Конфиденциальность персональных данных: что требует статья 7 закона

Конфиденциальность персональных данных - это не общее пожелание из серии «берегите данные клиентов», а конкретная обязанность из статьи 7 закона № 152-ФЗ. Она запрещает оператору раскрывать и распространять данные третьим лицам без согласия субъекта или другого законного основания. Формулировка короткая, но именно вокруг нее строится значительная часть претензий Роскомнадзора: не про технику защиты, а про то, кто и кому показал файл, письмо или экран с базой данных.

Дальше разберем, что именно требует статья 7 152 ФЗ, чем конфиденциальность персональных данных это отличается от общедоступности и распространения, какие бытовые ситуации закон считает раскрытием и как оформить режим конфиденциальности персональных данных внутри компании, чтобы не отвечать на запрос РКН объяснением «мы не думали, что это нарушение».

Что говорит статья 7 закона о персональных данных

Текст нормы простой: операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать их третьим лицам и не распространять данные без согласия субъекта, если иное не предусмотрено федеральным законом. Три момента здесь ключевые - «третьим лицам», «без согласия» и «если иное не предусмотрено законом».

Третье лицо - это любой, кто не является ни субъектом данных, ни оператором, ни лицом, которому данные переданы на основании договора поручения обработки. Например, аутсорсинговая бухгалтерия или курьерская служба, работающая по отдельному соглашению, третьим лицом в этом смысле не считается. Передача данных подрядчику по договору поручения не нарушает конфиденциальность, если это прописано в договоре и субъект знает о такой передаче из политики обработки. А передача тех же данных стороннему маркетологу «для рассылки» без такого договора - уже раскрытие персональных данных, и разница здесь не в намерениях, а в оформлении.

Исключений, когда согласие на передачу не требуется, закон отводит закрытый перечень оснований: исполнение договора с самим субъектом, требование суда, прокуратуры или иного уполномоченного органа, статистические и научные цели при условии обезличивания и еще несколько случаев. Все, что не попадает в этот перечень, остается под запретом статьи 7, пока нет зафиксированного согласия субъекта.

Стоит отдельно отметить: закон не требует хранить персональные данные в сейфе и никому их не показывать. Он требует показывать данные только тем, кому это действительно нужно по работе или по закону, и фиксировать, на каком основании это происходит. Отсюда и растет требование к внутреннему режиму конфиденциальности, о котором дальше.

Конфиденциальность персональных данных и ее отличие от общедоступности и распространения

Путаница чаще всего возникает между тремя соседними нормами закона, и у каждой свой предмет регулирования.

Статья 8 говорит об общедоступных источниках персональных данных - справочниках, каталогах, реестрах, куда сведения включаются с согласия субъекта и откуда их можно брать без нового согласия на каждое обращение. Если человек сам указал номер телефона в открытом профиле компании как контактное лицо, это не значит, что оператор вправе передать этот номер третьей фирме под предлогом «он и так публичный». Общедоступность работает применительно к тому источнику, в который данные были включены сознательно и с понятной субъекту целью, а не распространяется автоматически на любое использование этих сведений.

Статья 10.1 регулирует распространение - действия, направленные на раскрытие данных неограниченному кругу лиц: публикацию в соцсетях, на сайте компании, в открытой базе или каталоге. С 1 марта 2021 года для распространения нужно отдельное, самостоятельное согласие, которое нельзя спрятать внутри общей формы согласия на обработку данных. Разница с конфиденциальностью в адресате: раскрытие по статье 7 - это передача одному конкретному третьему лицу или ограниченному кругу лиц, а распространение - это открытие данных для всех и каждого.

Если компания планирует не просто передать данные другой организации, а выложить фото сотрудника с фамилией на сайт или в соцсети, речь уже про статью 10.1, и оформлять это нужно отдельным документом. Подробный разбор такой ситуации есть в статье про согласие на распространение персональных данных по статье 10.1. Для внутренней передачи между отделами или подрядчику без публикации достаточно соблюдать режим конфиденциальности, о котором эта статья.

Что на практике считается раскрытием персональных данных

Формулировка «раскрытие третьим лицам» звучит абстрактно, пока не разложить ее на конкретные бытовые ситуации, с которыми сталкивается почти любой бизнес - от интернет-магазина до кабинета врача.

Письмо не тому адресату

Классическая находка при проверках: сотрудник копирует получателей рассылки в поле «Копия» вместо «Скрытая копия», отправляя коммерческое предложение сразу полусотне клиентов. Каждый получатель видит email всех остальных. Формально это раскрытие персональных данных неограниченному кругу лиц и одновременно распространение, потому что список адресов увидели все получатели разом. Правильная настройка - скрытая копия или сервис рассылок, который технически не показывает список получателей друг другу.

Экран с базой данных на ресепшене или на кассе

Монитор администратора клиники, повернутый экраном к очереди посетителей, с открытой картой пациента - тоже раскрытие, просто визуальное, а не письменное. Инспектор при выездной проверке фиксирует такие детали не менее охотно, чем отсутствие политики обработки данных на сайте. Практическое решение простое: развернуть монитор, поставить приватность-фильтр на экран или включить автоблокировку компьютера при отходе сотрудника с рабочего места.

Ответ в общем чате вместо личного сообщения

Отдел продаж ведет общий рабочий чат на пятнадцать человек, и менеджер отвечает клиенту прямо в этом чате с упоминанием его телефона и адреса доставки - остальные четырнадцать участников получают доступ к данным, не имея на это никаких оснований по своим должностным обязанностям. Похожая история случается, когда HR пересылает резюме кандидата в общий чат руководителей «для обсуждения», хотя решение принимает только один из них.

Скриншот базы для быстрого отчета

Менеджеру нужно быстро показать руководителю статус по клиенту, и он присылает скриншот карточки CRM в чат руководства или личному контакту в мессенджере. На скриншоте попадают не только нужные для отчета цифры, но и телефон, адрес, а иногда комментарии с суммой долга или диагнозом - карточка целиком. Раскрытие происходит незаметно для самого сотрудника: он не считает скриншот «передачей данных», хотя по сути это именно она, просто в картинке вместо файла. Правильная привычка - выгружать в отчет только нужные показатели, а не карточку целиком, и присылать текстом, а не изображением с лишними полями.

Во всех случаях нарушение происходит не из злого умысла, а из бытовой невнимательности - и именно поэтому режим конфиденциальности должен быть не абзацем в политике обработки, а рабочей привычкой, которую сотрудники держат в голове каждый день.

Конфиденциальность при удаленной работе и на личных устройствах

Многие компании разрешают сотрудникам работать с личного ноутбука или телефона, и это создает отдельный риск для конфиденциальности персональных данных. Если менеджер выгружает список клиентов в личную почту, чтобы поработать вечером с домашнего компьютера, база физически покидает периметр компании, и проконтролировать, кто еще имеет доступ к этому устройству или к самой почте, оператор уже не может. Формально это тоже раскрытие: сотрудник передал данные фактически себе, но на ресурс, который компания не администрирует и не может гарантированно защитить.

Похожая ситуация с рабочими чатами в мессенджерах на личных телефонах. Приложения синхронизируются с облаком производителя, делают резервные копии переписки, а сама переписка остается на телефоне и после увольнения сотрудника, если доступ не отозван вручную. Пересылка базы клиентов или скана паспорта в личный чат «чтобы не забыть» технически ничем не отличается от передачи третьему лицу, даже если получатель - тот же сотрудник, просто в другом качестве и на другом устройстве.

Практическое решение не в запрете удаленной работы, а в трех простых правилах. Рабочая переписка с персональными данными ведется только в корпоративных сервисах, доступ к которым закрывается централизованно одним действием администратора. Личные устройства для работы с базой данных используются только через защищенное подключение, без локального сохранения файлов на диск. При увольнении или переводе сотрудника проверяется не только служебная почта, но и то, куда еще могли уйти рабочие файлы за время работы.

Как оформить режим конфиденциальности персональных данных внутри компании

Режим конфиденциальности персональных данных - это не отдельный документ с таким названием, а совокупность из нескольких элементов, которые вместе доказывают проверяющему, что компания реально ограничила доступ к данным, а не просто написала об этом в политике.

Перечень должностей с доступом к данным

Приказом руководителя утверждается список должностей - не фамилий, а именно должностей, чтобы не переиздавать документ при каждой кадровой перестановке - сотрудники на которых работают с персональными данными по роду деятельности. Бухгалтер видит зарплатные данные, менеджер по продажам - контакты клиентов своего направления, специалист по кадрам - личные дела сотрудников. Продавцу в розничном магазине сведения о зарплате директора не нужны для работы, и доступа к ним у него быть не должно.

Разграничение доступа в информационных системах

В CRM, учетной системе и почтовых рассылках права выдаются по ролям, а не поголовно с администраторскими правами «чтобы не тормозило работу». Если на сайте есть форма с заявками, стоит свериться, кто видит выгрузку из CRM целиком, а кто - только свои сделки за текущий месяц. Отдельно стоит проверить бывших сотрудников: доступ к почте и CRM должен закрываться в день увольнения, а не через неделю, когда про это вспомнят.

Обязательство о неразглашении

Каждый сотрудник, допущенный к персональным данным, подписывает обязательство о неразглашении - отдельным документом или пунктом трудового договора. Без подписи ссылаться на режим конфиденциальности почти бессмысленно: при проверке или судебном споре именно эта подпись подтверждает, что человек знал о запрете и лично взял на себя обязательство его соблюдать.

Доступ подрядчиков, обслуживающих сайт и CRM

Веб-студия, которая дорабатывает сайт, или специалист, который настраивает CRM, часто получает административный доступ к базе данных целиком - это обычная практика при технической поддержке, но она тоже требует оформления. Если с подрядчиком не подписан договор поручения обработки персональных данных, любой доступ к базе клиентов формально является раскрытием третьему лицу, даже если подрядчик просто чинит форму на сайте и в мыслях не держит воспользоваться данными. На практике это закрывается коротким пунктом в договоре на техническое обслуживание: подрядчик обязуется не копировать данные себе, использовать доступ только для указанных работ и удалить временные выгрузки после завершения задачи.

Четыре этих элемента - перечень должностей, разграничение доступа, обязательства сотрудников и оформленный доступ подрядчиков - вместе и составляют режим конфиденциальности персональных данных, который требует статья 7. По отдельности каждый выглядит формальностью, но именно их комплект инспектор просит показать в числе первых документов при проверке.

При чем тут цель обработки персональных данных

Конфиденциальность неразрывно связана с целями, которые оператор заявил при сборе данных. Если в форме заявки на сайте указана цель «обработка заказа и доставка», то передача email из этой формы стороннему маркетинговому агентству для холодной рассылки выходит за пределы заявленной цели - и одновременно становится раскрытием третьему лицу без согласия. Как правильно сформулировать цели обработки, чтобы потом не переписывать все документы из-за нового направления бизнеса, разобрано в статье про цели обработки персональных данных.

Практический вывод простой: прежде чем передать данные кому-то новому - подрядчику, партнеру, соседнему отделу внутри компании - стоит свериться с двумя вопросами. Первый: входит ли это лицо в число тех, кому данные можно передавать по договору или по закону. Второй: укладывается ли такая передача в цель, которая была заявлена субъекту при сборе данных. Если ответ «нет» хотя бы на один из вопросов, нужно новое согласие или отказ от передачи.

Примеры из практики, где конфиденциальность нарушают чаще всего

Садовое некоммерческое товарищество ведет реестр членов с адресами участков, телефонами и суммами взносов - и председатель нередко пересылает этот реестр целиком в общий чат СНТ «для прозрачности» перед общим собранием. Формально каждый член товарищества получает доступ к персональным данным всех остальных без какого-либо основания, кроме «так удобнее». Подробный разбор с примерами оформления реестра и протоколов собраний есть в статье про персональные данные в СНТ.

Похожая история в организациях с кадровым учетом: справки о больничных, результаты медосмотров и сведения о состоянии здоровья сотрудников относятся к специальным категориям данных, для которых требования к конфиденциальности строже общих. Передать такую справку в бухгалтерию для расчета больничного - законно и прямо предусмотрено обязанностями работодателя, а обсудить диагноз сотрудника в общем чате руководителей отделов - уже нарушение, причем более серьезное, чем с обычными данными. Подробнее об этом - в материале про медицинские данные сотрудников.

Третий частый случай - переписка кадровой службы с внешними рекрутинговыми агентствами: пересылка резюме кандидата с телефоном и предыдущим местом работы стороннему агентству без согласия самого кандидата тоже подпадает под раскрытие, даже если цель на первый взгляд благая - «помочь человеку найти работу в другом месте».

Ответственность за нарушение конфиденциальности персональных данных

Раскрытие персональных данных без согласия наказывается по части 1 статьи 13.11 КоАП - именно эта норма описывает обработку данных без законных оснований или с превышением заявленных целей. Отдельно предусмотрена ответственность за необеспечение сохранности данных, когда доступ к ним допустили не умышленно, а из-за небрежности - это статья 13.14 КоАП о разглашении информации с ограниченным доступом. Если раскрытие переросло в утечку с существенным ущербом или совершено из корыстных побуждений, применяется уголовная статья 137 УК о нарушении неприкосновенности частной жизни, а с 30 мая 2025 года дополнительно действует статья 272.1 УК за неправомерные действия с персональными данными в крупном размере, введенная 420-ФЗ от 30.11.2024.

Норма	Что охватывает	Ответственность
Ч. 1 ст. 13.11 КоАП	Обработка данных без согласия или с превышением заявленных целей	Штраф для юрлиц до 150 000 рублей за первое нарушение, при повторном - существенно выше
Ст. 13.14 КоАП	Разглашение информации с ограниченным доступом по небрежности	Штраф для должностных и юридических лиц, размер зависит от статуса нарушителя
Ст. 137 УК	Нарушение неприкосновенности частной жизни	Штраф, обязательные работы или лишение свободы для виновного физлица
Ст. 272.1 УК (с 30.05.2025)	Неправомерные действия с персональными данными в крупном размере	Уголовная ответственность вплоть до лишения свободы

Отдельный риск, который часто упускают из виду - оборотные штрафы, введенные тем же 420-ФЗ: при повторном нарушении, связанном с утечкой персональных данных большого числа субъектов, сумма считается не фиксированно, а в процентах от годовой выручки компании. Подробный разбор конкретных сумм и частей статьи есть в материале про статью 13.11 КоАП.

Как снизить риск, если раскрытие уже произошло

Если раскрытие все же произошло - письмо ушло не туда, скриншот попал не в тот чат - худшая тактика делать вид, что ничего не случилось. Роскомнадзор чаще узнает о таких случаях не из собственных проверок, а из жалобы самого субъекта данных: человек увидел свои сведения там, где не ожидал, и написал обращение. Поэтому первый практический шаг - зафиксировать инцидент внутренним актом: что произошло, кто получил доступ, какие данные затронуты и когда это выявили.

Второй шаг - устранить доступ немедленно: отозвать неверно отправленное письмо, если это технически возможно, попросить получателя удалить данные, закрыть доступ к чату или файлу. Промедление в этом вопросе выглядит для проверяющего хуже самого факта ошибки: компания, которая за час закрыла доступ и уведомила субъекта, воспринимается иначе, чем та, что узнала о проблеме только из жалобы спустя месяц.

Третий шаг - оценить, нужно ли уведомлять субъекта данных напрямую. Закон не всегда обязывает к формальному уведомлению при разовой ошибке без крупного ущерба, но короткое сообщение о том, что ошибку заметили, приняли меры и данные удалены получателем, на практике снижает вероятность, что человек пойдет с жалобой в Роскомнадзор, а не решит вопрос напрямую с оператором. Это не юридическая обязанность, а разумная практика, которая работает на репутацию не хуже, чем на снижение будущего штрафа.

Что проверить в своей компании прямо сейчас

Чтобы понять, соблюдается ли режим конфиденциальности персональных данных на практике, а не только на бумаге, стоит пройтись по короткому списку.

• Есть ли приказ с перечнем должностей, допущенных к персональным данным, и соответствует ли он реальному распределению обязанностей в компании
• Подписаны ли обязательства о неразглашении у всех, кто фактически имеет доступ к базе клиентов, CRM или личным делам сотрудников
• Настроены ли рассылки клиентам через скрытую копию или через сервис, который не показывает список получателей друг другу
• Видны ли посетителям, клиентам или случайным людям в офисе экраны с открытыми персональными данными
• Есть ли договор поручения обработки с каждым подрядчиком, который получает доступ к данным - бухгалтерией на аутсорсе, службой доставки, колл-центром
• Разграничены ли права доступа в CRM и учетной системе по ролям, а не выданы поголовно с правами администратора
• Закрывается ли доступ бывших сотрудников к почте и базам данных в день увольнения

Если хотя бы на два-три пункта ответ «нет» - это не повод паниковать, но повод внести правки в течение ближайшего месяца, а не после запроса из Роскомнадзора. Большая часть перечисленного - это не техническая доработка сайта, а организационные документы и внутренние инструкции, которые можно привести в порядок без остановки текущей работы: переиздать приказ, собрать недостающие подписи, поправить настройки рассылки. Времени на это уходит меньше, чем кажется, если не откладывать проверку на потом.

Там, где проблема упирается не в организационные документы, а в саму техническую реализацию - форму на сайте без корректного согласия, чек-бокс, который не сохраняет факт согласия отдельно от заявки, или текст политики обработки, который не совпадает с реальными процессами компании - можно посмотреть, чем в этой части занимается 152fzpro.ru. Сайт делает именно документы и доработку форм под требования 152-ФЗ, без обещаний аттестации или лицензий, которых у большинства компаний из малого и среднего бизнеса просто нет и не должно быть.