Общедоступные источники персональных данных: что это на самом деле

Общедоступные источники персональных данных - это не любая информация о человеке, которую можно найти в интернете. Термин закреплен в статье 8 федерального закона 152-ФЗ, и закон описывает конкретный механизм: справочник или база данных, куда сведения о человеке попадают только с его письменного согласия. Само по себе размещение данных в открытом доступе источником в смысле закона их не делает, и это расхождение между бытовым и юридическим пониманием слова общедоступный подводит немало компаний под штраф.

Заблуждение, на котором строится значительная часть парсинга сайтов и соцсетей, звучит примерно так: если данные видны всем, значит их можно свободно собирать и использовать, ссылаясь на общедоступность источника. Разберем, что закон на самом деле понимает под общедоступными персональными данными, чем справочник по статье 8 отличается от страницы человека в соцсети и что грозит бизнесу, который путает эти два понятия.

Что говорит статья 8 152-ФЗ об общедоступных источниках

Статья 8 федерального закона от 27 июля 2006 года N 152-ФЗ О персональных данных описывает единственный законный способ создать общедоступный источник персональных данных: с письменного согласия субъекта. В такой источник - справочник, адресную книгу, базу контактов - оператор вправе включить фамилию, имя, отчество, год и место рождения, адрес, номер телефона, сведения о профессии и другие данные, которые человек сообщил сам и разрешил разместить именно в этом качестве.

Ключевое слово здесь - согласие. Не факт публикации, не наличие данных в открытом доступе на каком-то сайте, а прямое письменное согласие человека на включение его данных в этот конкретный справочник. Без согласия справочник персональных данных не может считаться общедоступным источником в смысле закона, даже если доступ к нему открыт для всех желающих и ссылка на него лежит в открытом поиске.

Практический вывод для бизнеса простой: если компания ведет собственный справочник контрагентов, партнеров или клиентов и хочет показывать его публично, письменное согласие нужно получить у каждого, чьи данные там окажутся. Например, агентство недвижимости, которое хочет разместить на сайте открытую базу риелторов с фото, должностями и телефонами, обязано собрать согласие каждого сотрудника отдельно, даже если те же данные уже видны в его резюме на площадке по поиску работы. Устной договоренности недостаточно - с 1 сентября 2025 года действует требование оформлять согласие на обработку персональных данных отдельным документом по закону 156-ФЗ от 24 июня 2025 года, и оно распространяется в том числе на согласие для общедоступного источника. Форму такого документа стоит делать по проверенному образцу - в материале про форму согласия на обработку персональных данных разобрано, чем бланк отличается от самого согласия и как их не перепутать.

Роскомнадзор в разъяснениях по применению статьи 8 не раз обращал внимание: сам факт нахождения сведений о человеке в интернете не превращает источник в общедоступный в понимании закона, если сведения туда попали не через процедуру статьи 8. Ведомство разграничивает открытость технического доступа к странице и правовой статус общедоступного источника персональных данных - это разные вещи, и совпадать они могут только тогда, когда справочник изначально создавался по правилам статьи 8, включая письменное согласие каждого, чьи данные там есть.

Справочники персональных данных: что в них включают

Список данных для общедоступного источника закон не делает закрытым, но задает четкий ориентир. В справочник обычно попадают контактные и профессиональные сведения - то, что человек готов показывать публично именно в этом качестве, а не любые данные, которые о нем можно найти. Ниже - таблица того, что укладывается в логику статьи 8, и того, что требует отдельного основания или вообще не годится для справочника.

Отдельный частый вопрос - фамилия и имя. Многие считают, что раз имя и фамилия у всех на виду, то это вообще не персональные данные, и включать их в любые списки и базы можно свободно. Это не так: вопрос, является ли ФИО персональными данными, разобран отдельно, и позиция и Роскомнадзора, и судов однозначна - ФИО остается персональными данными вне зависимости от контекста справочника, если позволяет идентифицировать конкретного человека вместе с другими сведениями.

Как оформить согласие на включение в общедоступный источник

Согласие на общедоступный источник по смыслу и оформлению отличается от обычного согласия на обработку персональных данных, которое компании собирают для рассылок или обработки заявок. Здесь субъект соглашается не просто на обработку, а на то, что его данные увидит неограниченный круг лиц, поэтому формулировка должна быть однозначной и не допускать двойного толкования.

В тексте согласия имеет смысл прямо указать: что данные будут размещены в открытом для всех источнике, а не только использованы внутри компании; конкретный перечень сведений, которые войдут в справочник, без общих фраз вроде и другие данные; цель размещения, например справочник специалистов компании или каталог поставщиков; срок, на который дается согласие, и порядок, в котором субъект может потребовать исключения своих данных в любой момент. Отдельно стоит зафиксировать, кто в компании отвечает за прием таких заявлений и в какой срок данные фактически убирают со страницы, а не только помечают как скрытые во внутренней базе.

Похожая ситуация - страница преподавателей на сайте школы или курсов: карточка с фото, полным именем и контактным телефоном тоже формально превращает сайт в общедоступный источник для этих людей, и без письменного согласия каждого преподавателя такая страница юридически уязвима, даже если сведения совпадают с теми, что уже указаны в дипломе или трудовом договоре.

Кадровику, который формирует справочник сотрудников для сайта компании, стоит держать в голове разницу между внутренним списком контактов для клиентов, куда данные попадают по трудовому договору без отдельного согласия на общедоступность, и публичной страницей команда на сайте, доступной любому посетителю. Второй случай требует именно согласия по статье 8, и подменять его общим согласием на обработку персональных данных сотрудника рискованно: при проверке эти два основания разойдутся.

Отзыв согласия оформляется так же просто, как и его выдача: заявление в свободной форме, дата, требование исключить данные. Ответ на такое обращение имеет смысл фиксировать письменно, даже если закон прямо не требует именно такой формы - это подтверждение того, что компания отреагировала в срок, если дело дойдет до жалобы в Роскомнадзор. Хорошая практика - ограничивать срок действия такого согласия разумным периодом, например одним годом с автоматическим продлением по умолчанию, и заранее предупреждать, что по истечении срока данные будут скрыты, если человек не подтвердит согласие повторно. Это снимает большую часть споров о бессрочности и облегчает саму процедуру исключения данных, когда справочник хотят почистить от неактуальных записей.

Почему страница человека в соцсети - не общедоступный источник

Публикация - это не согласие на конкретный справочник

Здесь и кроется главная ошибка, на которой строят парсинг. Человек завел страницу во ВКонтакте, указал имя, город, место работы, телефон в разделе контактов - и эти данные стали видны любому пользователю сети. Компания решает: раз данные открыты, значит источник общедоступный, и парсит профили пачками для базы холодного обзвона или рассылки.

С точки зрения статьи 8 эта логика не работает. Общедоступный источник - это справочник, который создает оператор с согласия субъекта именно на создание такого справочника. Социальная сеть общедоступным источником персональных данных в смысле закона не является: человек согласился показывать данные на своей странице другим пользователям сети, а не на то, чтобы сторонняя компания собрала их в базу и обрабатывала для своих коммерческих целей. Кадровое агентство, которое пополняет базу кандидатов, копируя резюме и контакты с открытых площадок без запроса к самим кандидатам, действует по той же ошибочной логике. Интернет-магазин, который формирует базу для email-рассылок, беря адреса и имена из открытых профилей покупателей на маркетплейсах или в отзывах на сторонних площадках, попадает в ту же ловушку: открытый профиль на маркетплейсе не создавался как справочник по статье 8, и использовать его как источник для собственной рассылки без отдельного согласия человека нельзя, даже если магазин никогда не выкладывал эти данные у себя на сайте.

Отдельная история - согласие на распространение

С 1 марта 2021 года в закон добавлена статья 10.1 - обработка персональных данных, разрешенных субъектом для распространения. Она регулирует именно ситуацию, когда человек сам публикует данные о себе в открытом доступе, например в соцсети или на личном сайте. Но и здесь распространение не происходит автоматически: субъект должен дать отдельное согласие на распространение, и по умолчанию действует запрет на дальнейшую передачу данных третьим лицам, если он прямо не разрешил иное.

На практике это означает, что даже данные, которые человек сознательно сделал видимыми всем, оператор не вправе просто скопировать себе и обрабатывать без правового основания. Нужно либо получить согласие у самого человека, либо найти иное законное основание для обработки - закон называет несколько случаев, когда обработка персональных данных без согласия допустима, но общедоступность в бытовом понимании сама по себе в этот перечень не входит.

Чем общедоступные персональные данные отличаются от общедоступной информации

Термины путают часто, и разница принципиальная. Общедоступная информация - понятие из законодательства об информации, информационных технологиях и защите информации: сведения, доступ к которым не ограничен, например данные о директоре компании из ЕГРЮЛ, сведения из открытых государственных реестров, объявления в средствах массовой информации. Общедоступные персональные данные - понятие именно 152-ФЗ, и оно значительно уже: это данные, включенные в справочник с согласия субъекта по правилам статьи 8.

Пересечение между этими понятиями есть, но оно не полное. Данные из ЕГРЮЛ формально общедоступны, потому что реестр публичный по закону о государственной регистрации юридических лиц, и основание здесь другое - не статья 8, а прямое указание в отраслевом законе. А вот телефон, который человек указал в объявлении о продаже машины на доске объявлений, общедоступным источником персональных данных не становится: доска объявлений не создавалась как справочник по статье 8, отдельного согласия на такой статус никто не давал, и правило для этого случая ближе к статье 10.1, чем к статье 8.

Похожая путаница возникает вокруг сайтов объявлений о работе и досок вакансий: соискатель публикует резюме с телефоном и адресом почты, рассчитывая на отклик работодателей через саму площадку. Использование этих контактов для рассылки предложений от компаний, не связанных с конкретной вакансией, на которую откликался человек, суды и Роскомнадзор в схожих спорах трактуют не в пользу того, кто собирал данные: согласие на публикацию резюме на одной площадке не равно согласию на использование этих же данных за пределами этой площадки.

Как оператор персональных данных выступает при работе со справочником

Компания, которая ведет справочник или открытую базу контактов, сама становится оператором персональных данных и несет все обязанности, которые из этого следуют: уведомление Роскомнадзора об обработке, соблюдение принципов и условий обработки, реагирование на обращения субъектов. Общедоступность справочника не освобождает от этих обязанностей - она лишь описывает основание для конкретной операции, сбора данных в открытый список, и не отменяет остальные требования закона.

Самозанятый мастер, который ведет табличку клиентов, скопированную из открытых профилей в мессенджерах и соцсетях, формально тоже подпадает под эту логику: если он потом использует эти контакты для рассылок, ему нужно основание для обработки, а не только ссылка на то, что данные и так были в открытом доступе. Масштаб бизнеса здесь не имеет значения, значение имеет факт обработки чужих данных без правового основания.

Похожая логика касается интернет-магазинов, которые публикуют на сайте отзывы покупателей с именем и городом без явного согласия на публичное размещение именно в этом виде, полагая, что раз отзыв оставлен добровольно, дальнейшая судьба данных оператора не касается. Согласие на отзыв и согласие на включение в общедоступный источник - разные основания, и лучше развести их в форме на сайте явно, а не полагаться на то, что пользователь и так все понимает.

Как человек может исключить свои данные из общедоступного источника

Закон дает субъекту право в любой момент потребовать исключения своих данных из общедоступного источника - оператор справочника обязан отреагировать на такое обращение и убрать данные. Дополнительно данные могут быть исключены по решению суда или по предписанию уполномоченного государственного органа, если справочник вели с нарушениями. Это право логично встраивается в общий список прав субъекта персональных данных наравне с правом на отзыв согласия и правом требовать уточнения данных.

Для оператора это значит, что справочник нельзя вести как статичный список, собранный один раз и забытый. Нужен рабочий процесс: прием заявления на исключение, фиксированный срок реакции, фактическое удаление данных из публичной версии справочника, а не только пометка во внутренней базе. Если справочник дублируется на нескольких площадках или зеркалах сайта, исключать данные придется везде одновременно, иначе формальное соблюдение права ничего не даст на практике и обернется повторной жалобой. Ловят на этом чаще там, где справочник ведут не разработчики сайта, а маркетинг: в CRM данные обновили, а на витрине сайта осталась старая версия с уже отозванным согласием. Такую рассинхронизацию стоит проверять регулярно, а не только по жалобе - разрыв между базой и публичной страницей сам по себе создает риск для оператора.

Что грозит за использование чужих данных под видом общедоступных

Ошибка в квалификации источника - не теоретическая проблема, а частая причина проверок. Компании, которые парсят соцсети, доски объявлений или чужие сайты и обрабатывают собранные данные так, будто это законный общедоступный источник, на практике действуют без надлежащего правового основания. Формально это нарушение условий обработки персональных данных, и оно тянет за собой полный набор последствий: от предписания Роскомнадзора устранить нарушение и удалить незаконно собранную базу до штрафа.

С 30 мая 2025 года за нарушения в этой сфере, включая повторные, действуют оборотные штрафы, введенные федеральным законом 420-ФЗ от 30 ноября 2024 года, а в отдельных случаях, при утечке значительных объемов незаконно собранных данных, возможна уголовная ответственность по статье 272.1 УК РФ. Массовый сбор данных из открытых источников без правовых оснований - ровно та ситуация, где риск утечки и последующей проверки выше среднего: базу, собранную парсингом с разных площадок, сложнее защитить организационно и технически, чем данные, полученные с согласия и оформленные по правилам.

Клиника, которая собирает контакты потенциальных пациентов через парсинг форумов и групп в соцсетях, рискует вдвойне: помимо отсутствия основания для самой обработки, к делу добавляются требования к специальным категориям данных, если из переписки видно, по какому поводу человек интересовался услугами. Школа или образовательный проект в похожей ситуации рискует получить дело сразу по двум направлениям - обработка данных детей и отсутствие оснований для сбора контактов родителей.

На практике такие нарушения чаще всего всплывают не из-за проактивного контроля, а по жалобе самого субъекта: человек находит свои данные в чужой базе, рассылке или справочнике, вспоминает, что такого согласия не давал, и обращается в Роскомнадзор напрямую. Дальше запускается стандартная процедура запроса пояснений у оператора, и отсутствие документа с письменным согласием на этом этапе почти всегда означает признание нарушения, а не повод для спора.

Что делать: порядок действий для бизнеса

Если компания планирует вести справочник, базу контактов или любой публичный список с персональными данными, порядок действий такой:

• Получите письменное согласие каждого субъекта именно на включение в справочник - отдельным документом, а не пунктом в общем договоре или пользовательском соглашении.
• Не используйте данные из соцсетей, форумов и досок объявлений как общедоступный источник по статье 8 - это разные правовые основания, и подмена не спасет при проверке или судебном споре.
• Проверьте, есть ли у вас правовое основание для обработки данных, собранных из открытых источников, помимо самого факта их видимости в интернете.
• Настройте процесс обработки обращений об исключении данных из справочника - со сроком реакции и фактическим удалением, а не только пометкой во внутренней базе.
• Зафиксируйте срок действия согласия на включение в справочник и не оставляйте его бессрочным по умолчанию.
• Если справочник дублируется на нескольких ресурсах или зеркалах, синхронизируйте исключение данных на всех копиях одновременно.
• Учитывайте, что данные, самостоятельно опубликованные человеком в сети, не равны согласию на распространение - для их использования нужно отдельное основание, а не ссылка на открытость страницы.

Последний пункт часто упускают уже после того, как формальности соблюдены: согласие получено, справочник запущен, а через год никто не помнит, у кого какое согласие действует и на какой срок. Разумно провести ревизию таких списков заранее, а не после первого обращения от Роскомнадзора или самого субъекта данных. Формальный подход - собрать все согласия один раз и забыть про них - работает ровно до первой жалобы или проверки, дальше отсутствие порядка обходится дороже, чем настройка процесса заранее. Если нужно привести в порядок согласия, справочники на сайте или процесс работы с обращениями субъектов, разумно начать с аудита того, что уже есть, а не переписывать все с нуля - с этим можно разобраться на 152fzpro.ru, где собраны материалы и услуги по доработке документов и сайтов под требования 152-ФЗ.