Персональные данные в социальных сетях: что можно публиковать бизнесу

Персональные данные в социальных сетях - зона, где бизнес нарушает закон чаще всего неосознанно. Никто не парсит базы и не сливает клиентскую CRM: просто SMM-менеджер репостит отзыв с именем и фото, отмечает клиента на снимке с мероприятия или собирает анкеты участников конкурса в директе. С точки зрения закона о персональных данных это обработка персональных данных наравне с любой формой на сайте, и подчиняется она тем же правилам.

Разница в том, что нарушения в соцсетях видны сразу. Отзыв с фамилией и телефоном клиента лежит в открытом доступе у всех подписчиков, скриншот переписки собирает лайки, а в комментариях к конкурсному посту участники сами оставляют номера и домашние адреса. Дальше по порядку: публикация отзывов клиентов, фото клиента в соцсетях до и после, конкурс в соцсетях и персональные данные участников, отметки на фото и что делать, если клиент или бывший сотрудник просит все это удалить.

Цена ошибки выросла. С 30 мая 2025 года, после поправок 420-ФЗ от 30.11.2024, за нарушения с персональными данными действуют оборотные штрафы, а при утечке большого объема данных возможна уголовная ответственность по статье 272.1 УК. Соцсети под эти нормы попадают наравне с сайтом компании: жалобу в Роскомнадзор способен подать тот же клиент, чье фото до и после разошлось без спроса, а не только тот, чьи данные утекли из базы при взломе.

Персональные данные в социальных сетях: с чего начинается ответственность бизнеса

Юридически неважно, где хранятся данные - в базе на сайте или в ленте инстаграм-аккаунта компании. Как только в публикации есть имя, фото лица, номер телефона или другая информация, по которой человека можно узнать, начинается обработка персональных данных в смысле закона от 27.07.2006 № 152-ФЗ. Правила соцсети - это договор с площадкой, а закон о персональных данных - обязанность перед конкретным человеком, и они существуют параллельно, одно не заменяет другое.

Отдельно закон выделяет распространение персональных данных - действия, которые делают данные доступными неограниченному кругу лиц. Публичный пост в паблике с десятью тысячами подписчиков - типичный случай распространения. На него нужно отдельное согласие, и то, что человек сам присылал отзыв или фото в переписку с компанией, этим согласием не является: переписка была адресована сотруднику, а не всем читателям паблика.

Убеждение, что если соцсети ведет сам собственник бизнеса, то отвечает он только перед собой, встречается у самозанятых и небольших ИП не реже, чем у крупных компаний со штатным SMM-отделом. Размер бизнеса не влияет на обязанности оператора персональных данных: у мастера маникюра с личным аккаунтом на три тысячи подписчиков те же требования к согласиям, что у сети клиник с отдельным маркетинговым департаментом.

Кто отвечает - компания или соцсеть

Отвечает компания, чей аккаунт опубликовал данные. Роскомнадзор и суд разбираются с оператором персональных данных, а не с администрацией соцсети - она в этой цепочке только хостинг для контента. Если пост публиковал подрядчик - агентство или SMM-фрилансер, - ответственность все равно остается у компании, если стороны не заключили отдельный договор поручения на обработку персональных данных с четким распределением обязанностей.

Что в соцсетях считается персональными данными, а что нет

Список шире, чем кажется на первый взгляд. Персональными данными может быть не только полное имя с фотографией лица, а любая комбинация сведений, которая позволяет узнать конкретного человека.

• имя и фамилия в подписи к отзыву;
• фотография, на которой видно лицо клиента или сотрудника;
• номер телефона или адрес, оставленные в комментариях к конкурсу;
• диагноз, процедура или услуга, указанные в подписи к фото до и после;
• геометка места жительства или работы в сторис;
• сочетание общих деталей - имя, город, профессия, - если по ним человека легко вычислить среди подписчиков.

Пост без фамилии и лица вроде клиентка из Тулы довольна результатом формально несет меньше риска, но не гарантирует безопасность. Если в этом же посте фигурирует редкая услуга, дата записи и город с небольшим числом клиник, вычислить человека может любой, кто читает паблик регулярно и знаком с местным рынком.

Для сравнения удобно держать в голове масштаб: пост с одним отзывом видит условная тысяча подписчиков паблика, а если его продвинуть рекламой, аудитория вырастает до десятков тысяч случайных людей. Это и есть распространение в юридическом смысле - данные уходят далеко за пределы тех, кому человек изначально их сообщал, и уже не находятся под его контролем.

Публикация отзывов клиентов: когда обязательно согласие

Самый частый сценарий: клиент пишет благодарность в вотсапе или директе, менеджер делает скриншот и выкладывает его в сторис или ленту с именем и фото. С точки зрения закона это распространение персональных данных, а не пересказ вежливых слов. Согласие на переписку с компанией и согласие на публикацию - два разных документа, даже если по смыслу кажется, что раз человек написал хорошее, значит, не против огласки.

Похожая история в интернет-магазинах: покупатель присылает в отзыв фото распакованного заказа, где случайно попадает его лицо или бланк с адресом доставки, и это фото публикуют в карточке товара или в соцсети магазина без дополнительного вопроса. Формально это тоже распространение персональных данных, а не просто пример довольного клиента.

На практике достаточно короткого дополнительного вопроса: можно ли опубликовать отзыв с именем и фотографией в соцсетях компании. Если ответ пришел в переписке, это уже что-то - при споре у компании будет доказательство, что согласие спрашивали и получали, а не додумали за клиента. Устная договоренность по телефону такого следа не оставляет и в случае жалобы ничем не подтверждается.

Отдельный вопрос - имя без фамилии. Подпись вроде спасибо, Ирина под фото лица в сторис снимает часть риска по фамилии, но не снимает его целиком: фото лица само по себе биометрическая примета, по которой человека может узнать кто-то из круга общения, даже без имени рядом.

Фото до и после: особая осторожность для клиник и салонов

Кейсы бьюти-индустрии и медицины - отдельная категория риска. Фото до и после процедуры показывает не просто внешность, а информацию о состоянии здоровья или вмешательстве: акне, шрамы, коррекция носа, стоматологическое лечение. Это специальные категории персональных данных, для которых закон требует более строгого подхода к согласию, чем для обычного отзыва без медицинского контекста.

Правильный момент для согласия - не после публикации и не на кассе перед уходом, а в момент фотосъемки, письменно, отдельным бланком или пунктом в форме, которую клиент подписывает вместе с остальными документами на услугу. Мы уже разбирали, нужно ли отдельное согласие в договоре оказания услуг: для фото до и после ответ однозначный - да, и лучше оформить его отдельным пунктом, а не полагаться на общую фразу в конце договора.

Согласие можно отозвать в любой момент - устно, письмом, через любой доступный канал связи. После отзыва фото нужно убрать не когда-нибудь, а в разумный срок, который стоит закрепить во внутреннем регламенте: неделя - рабочий ориентир, месяцами такие просьбы висеть без ответа не должны. Отдельно стоит проверить архив старых публикаций: если фото клиента лежит в ленте три года, а согласие никто не спрашивал, риск не снимается тем, что жалоб пока не было.

Конкурс в соцсетях: что происходит с персональными данными участников

Механика знакома всем, кто вел паблик: репост, отметка друзей, а затем анкета в директе - имя, телефон, адрес для доставки приза. С момента, когда участник присылает эти данные, начинается их обработка, и она подчиняется тем же требованиям, что обработка данных из формы на сайте: нужно основание, нужен понятный срок хранения, нельзя использовать данные шире цели, ради которой их собрали.

Отдельная ловушка - что делать с анкетами после розыгрыша. Часто их просто оставляют в переписке годами или переносят в таблицу для рассылок, ничего не спросив у участников заново. Согласие на участие в конкурсе не равно согласию на подписку на рассылку с рекламой: это разные цели обработки, и для второй нужно отдельное согласие, полученное отдельно от условий конкурса.

Если анкет много и они регулярно попадают в таблицу или CRM, стоит проверить, не превращается ли такая база в информационную систему персональных данных со своими требованиями к защите. Мы отдельно разбирали классификацию ИСПДн - как определить категорию своей системы, и тот же подход применим к базе участников конкурсов, а не только к клиентской CRM компании.

Практический ориентир по срокам: данные победителя нужны, пока приз не доставлен и не закрыты вопросы по гарантии, а данные проигравших участников разумно удалить в течение месяца после подведения итогов, если условия конкурса не предупреждали заранее о более долгом хранении.

Отметки людей и геометки на фото

Отметка человека на фото с мероприятия - тоже форма распространения персональных данных, даже если сам пост выкладывает не отмеченный человек, а компания. Если клиент или сотрудник не давал согласия быть узнаваемым в паблике компании, отметка создает риск жалобы, особенно если фото сделано на закрытом мероприятии - корпоративе, презентации для узкого круга гостей, - а не на открытом городском событии.

Практическое правило простое: людей, которые попали в кадр случайно и на общем плане - на выставке, конференции, в очереди у стойки, - можно не спрашивать отдельно, если лицо не крупным планом и не в фокусе кадра. А тех, кто в кадре целенаправленно и узнаваемо - клиент на консультации, сотрудник в интервью для блога, - лучше спросить прямо перед публикацией, а не полагаться на то, что никто не откажет задним числом.

Геометка заслуживает отдельного внимания: отметка адреса офиса или магазина безопасна, а вот геометка, случайно указывающая домашний адрес клиента - например, если фото сделано у него дома при выездной услуге, - раскрывает больше, чем кажется на первый взгляд, и такие метки лучше убирать перед публикацией.

Похожая ситуация возникает у клиник и салонов, которые снимают общий план зала для сторис: если в кадре узнаваемо видно посетителя в зоне ожидания, это тоже фото с человеком, который не давал согласия сниматься. Проще заранее выбрать время для съемки интерьера, когда клиентов в кадре нет, чем потом вычищать лица с готового ролика по одной жалобе.

Как законно получить согласие в переписке

С 1 сентября 2025 года, после поправок 156-ФЗ от 24.06.2025, согласие на распространение персональных данных оформляется отдельным документом - его нельзя спрятать пунктом внутри общего согласия на обработку или пользовательского соглашения сайта. Для переписки в соцсетях это означает, что формулировка должна быть конкретной: что именно публикуется - фото, имя, отзыв целиком, - где именно и что человек может согласие отозвать в любой момент.

Рабочий вариант для директа или вотсапа выглядит так: менеджер присылает клиенту готовый текст согласия - что и где будет опубликовано, - и просит подтвердить простым да или согласен. Это не идеальная замена бумажному бланку с подписью, но переписка сохраняется, и в случае вопроса от Роскомнадзора или претензии от клиента у компании есть, что показать. Хуже всего - публикация по устной договоренности на созвоне или личной встрече, где не остается ничего, кроме слов сотрудника.

Согласие, полученное на словах, юридически существует, но доказать его при споре нечем. Для бизнеса это почти то же самое, что согласия не было вовсе.

Что обязательно указать в тексте согласия

Жесткой единой формы для каждого случая нет, но по смыслу требований к согласию на распространение в тексте стоит закрыть пять пунктов:

• какие именно данные публикуются - имя, фото, отзыв, диагноз или процедура;
• где именно они появятся - конкретное название соцсети и аккаунта, а не общая формулировка без уточнения;
• цель публикации - реклама услуг, портфолио работ, отзыв о сервисе;
• срок, на который дается согласие, или указание, что оно действует до отзыва;
• способ, которым человек может отозвать согласие и потребовать удаления публикации.

Хранить такие переписки стоит не в личных чатах отдельных сотрудников, а в общей папке или CRM: если человек, который вел диалог с клиентом, уволится, а переписка останется только на его личном телефоне, доказательство согласия уйдет вместе с ним.

Сотрудники компании в соцсетях: фото с мероприятий и кейсы

Тот же набор правил касается не только клиентов, но и сотрудников. Фото с корпоратива, кейс с именем менеджера, который вел сделку, страница команды на сайте с фотографиями - все это персональные данные, и трудовой договор сам по себе не дает права публиковать фото сотрудника в соцсетях без отдельного согласия на распространение.

Кадровику здесь проще, чем маркетологу: согласие на фото для внутренних нужд компании обычно уже включено в пакет документов при трудоустройстве. А вот согласие именно на публикацию в открытых соцсетях компании - отдельная история, и его часто забывают взять, полагаясь на общее согласие на обработку персональных данных сотрудника.

Отдельная ситуация - увольнение. Фотографии и упоминания часто остаются в лентах годами после того, как человек ушел из компании, просто потому что никто не вспоминает их убрать. Бывший сотрудник вправе отозвать согласие и попросить удалить публикации, и закон не делает исключения для тех, кто уже не в штате. Что в такой ситуации нужно уничтожить, а что можно оставить, разбирали в статье о персональных данных при увольнении - логика во многом та же, что для клиентских архивов.

Что можно публиковать без отдельного согласия

Не любая публикация требует отдельной бумаги. Если клиент сам, по своей инициативе, опубликовал пост с отметкой аккаунта компании - похвалил сервис, выложил фото с процедуры или отметил бренд в сторис, - это уже открытые данные, которые человек сделал общедоступными сам. Компания может, как правило, ответить на такой пост или сделать репост с указанием источника, опираясь на тот же принцип, что разбирали в статье про персональные данные из открытых источников: если субъект сам раскрыл информацию неограниченному кругу лиц, повторное использование этой же информации несет меньше риска, чем публикация того, что человек говорил лично сотруднику.

Правило работает не универсально и не отменяет здравый смысл. Для сравнения: у банков стандарты жестче, чем в среднем SMM, - там нельзя подтвердить даже сам факт, что человек является клиентом, без его согласия, и это разобрано в статье о персональных данных в банке. Розничному бизнесу такая строгость обычно не грозит, но подход общий: чем чувствительнее данные, тем осторожнее нужно быть с любой формой огласки, даже основанной на публичном источнике.

Без риска можно публиковать агрегированную статистику без привязки к конкретному человеку - вроде доли довольных клиентов в процентах, - фото помещения и товаров без лиц клиентов в кадре, общие описания кейсов без имени и узнаваемых деталей заказчика.

Отдельный случай - отзывы с Яндекс Карт, 2ГИС или Google-профиля компании. Раз отзыв уже опубликован автором на открытой площадке под своим именем или ником, повторная публикация скриншота в соцсетях компании обычно не требует нового согласия: человек уже сделал эти данные общедоступными сам, когда добавлял отзыв на карту. Осторожность нужна, если в отзыве упомянуты чувствительные детали вроде диагноза или финансовых подробностей - их лучше закрыть при цитировании, даже если сам отзыв публичный.

Таблица для быстрой проверки

Ситуация	Нужно согласие на распространение	Комментарий
Отзыв с именем и фото лица	Да	Отдельный документ с 01.09.2025, переписка тоже подходит как доказательство
Отзыв без фамилии и фото	Обычно нет	Риск остается, если детали позволяют узнать человека
Фото до и после в клинике или салоне	Да	Специальная категория данных, согласие лучше оформлять при съемке
Анкета участника конкурса	Да, на обработку	Отдельно нужно согласие для переноса данных в рассылку
Отметка человека на фото с закрытого мероприятия	Да	Спросить до публикации, а не после жалобы
Геометка домашнего адреса клиента	Да	Лучше убрать метку перед публикацией
Репост публичного поста клиента с упоминанием бренда	Как правило, нет	Данные уже сделаны общедоступными самим субъектом
Фото помещения или товара без людей в кадре	Нет	Персональных данных в кадре просто нет

Что делать: порядок действий для бизнеса, который ведет соцсети

Проверить процессы стоит один раз и закрепить их в простом внутреннем правиле для SMM-менеджера, а не разбирать каждый пост отдельно заново.

1. Перед публикацией отзыва с именем и фото спросить у клиента отдельное согласие и сохранить переписку, а не полагаться на устное да.
2. Для фото до и после оформлять согласие письменно в момент съемки, вместе с остальными документами на услугу.
3. Анкеты участников конкурса хранить только до момента вручения приза, а для добавления в рассылку запрашивать отдельное согласие.
4. Перед тем как отметить человека на фото с закрытого мероприятия, спросить разрешения, а не постфактум удалять публикацию по жалобе.
5. Завести журнал или папку, где хранятся все согласия на распространение персональных данных, отдельно от личных переписок сотрудников.
6. Раз в несколько месяцев проверять старые публикации на предмет бывших клиентов и сотрудников, которые просили удалить свои данные.
7. При смене SMM-менеджера передавать журнал согласий вместе с доступами к аккаунтам, а не оставлять его в переписке уволенного сотрудника.

Отдельного разрешения ФСТЭК или лицензии для ведения соцсетей закон не требует, но требует порядка в согласиях и понятной внутренней логики, кто и когда их спрашивает. Если в компании накопилось много публикаций и непонятно, какие согласия оформлены правильно, а какие держатся на честном слове, на 152fzpro.ru приводят документы и формы сайта в соответствие с законом, включая шаблоны согласий на распространение персональных данных.