Публикация фото без согласия: когда это законно по статье 152.1 ГК

Клиент увидел свое фото в сторис компании и написал в директ: уберите, я не давал согласия. Дальше начинается разбор, к которому редко готовы маркетолог или кадровик: публикация фото без согласия регулируется сразу двумя нормами, которые не совпадают между собой. Первая - статья 152.1 Гражданского кодекса об охране изображения гражданина. Вторая - закон от 27 июля 2006 года № 152-ФЗ о персональных данных, потому что фотография человека тоже относится к персональным данным. Одни требования снимаются исключением из статьи 152.1 ГК РФ, другие остаются в силе как обязанности оператора персональных данных, и путать эти два режима дорого.

В статье - конкретно про фото: сотрудников на сайте, клиентов в кейсах, участников мероприятий в отчетных постах. Разберем, когда фото с мероприятия без согласия публиковать можно, что говорит статья 152.1 ГК РФ, чем обычный снимок отличается от биометрии по 152-ФЗ, как оформить согласие на использование фото и что делать, если человек требует его удалить.

Два закона одновременно: статья 152.1 ГК и закон о персональных данных

Фотография попадает под два разных режима, и они работают независимо друг от друга. 152-ФЗ регулирует обработку сведений о человеке, включая изображение как один из идентифицирующих признаков. Статья 152.1 ГК РФ регулирует другое - использование внешнего облика человека, то есть само изображение как объект охраны, отдельно от того, что оно кому-то принадлежит как данные.

На практике это означает, что закрытия одного основания недостаточно. У сотрудника есть согласие на обработку персональных данных, подписанное вместе с трудовым договором, а часть сведений обрабатывается вообще без отдельного согласия, потому что основание - трудовые отношения. Но это не дает права публично разместить его фото на странице «Команда» на сайте компании или в рекламном буклете. Публикация - это использование изображения, и для нее по статье 152.1 ГК нужно отдельное согласие, даже если с обработкой персональных данных все оформлено правильно.

Обратная ситуация тоже возможна. Человек согласился, чтобы его сфотографировали и разместили фото в соцсетях компании, но не подписывал согласие на обработку персональных данных как таковых. Для целей 152-ФЗ такое согласие тоже нужно, если компания хранит фото вместе с именем, должностью или другими данными, позволяющими установить личность. Поэтому в форме согласия для клиентов и сотрудников разумно закрывать сразу оба основания одним документом, а не выбирать одно из двух.

Когда публикация фото без согласия не нарушает закон

Статья 152.1 ГК РФ называет три случая, когда согласие на использование изображения не требуется. Это исчерпывающий перечень, и суды трактуют его буквально, без расширения по аналогии.

• Использование изображения в государственных, общественных или иных публичных интересах - например, фото должностного лица на пресс-конференции или фото врача в репортаже о работе больницы.
• Изображение получено при съемке в местах, открытых для свободного посещения, или на публичных мероприятиях, если человек не является основным объектом использования. Съемка зала на конференции, толпы на ярмарке или очереди у кассы подпадает сюда, пока в кадре нет крупного плана конкретного человека.
• Гражданин позировал за плату - модель на фотосессии, статист в рекламном ролике. Тут желателен письменный договор, потому что устная договоренность о оплате за позирование доказывается тяжело, если дело доходит до претензии.

Ключевая ловушка - второе исключение работает только пока человек остается частью общего плана. Если из группового кадра с мероприятия вырезают, увеличивают и подписывают конкретного участника с именем, он превращается в основной объект использования, и исключение перестает действовать. Разница между «фото зала, где виден Иванов» и «фото Иванова в зале» с точки зрения закона принципиальна.

Похожий вопрос регулярно возникает у школ и детских садов: фото с линейки или утренника, где в кадре тридцать детей, обычно попадает под второе исключение как общий план мероприятия. А стенд с фото и фамилией лучшего ученика месяца в холле школы - это уже не общий план, а целевое использование конкретного ребенка, и без согласия родителей вешать его не стоит.

Ниже - таблица с типичными ситуациями, которые разбирают чаще всего.

Фото сотрудников на сайте, в соцсетях и на пропусках

Работодатели чаще всего ошибаются в одном месте: считают, что раз человек подписал все документы при трудоустройстве, дальше можно использовать его фото где угодно. Это не так. Фото для пропуска - обработка персональных данных с узкой целью, доступ к системе на проходной, и она законна без отдельного согласия, потому что основание - выполнение трудового договора и обеспечение безопасности. А фото на сайте, в презентации для клиентов или в новостной статье про открытие нового офиса - это уже публичное использование изображения, и на него нужно отдельное письменное согласие, оформленное не как строчка мелким шрифтом в трудовом договоре, а как самостоятельный документ.

Хорошая практика - закрепить эти правила в общей инструкции по обработке персональных данных для сотрудников, где отдельным разделом идет порядок съемки, хранения и публикации фото: образец такой инструкции разобран в отдельном материале, и туда же можно вписать, кто в компании отвечает за получение согласия перед публикацией.

Отдельная история - фото иностранных работников для миграционного учета, пропускной системы и уведомлений в МВД. Там свои сроки хранения и свои основания обработки, не связанные напрямую со статьей 152.1 ГК, и разбирать эту тему стоит отдельно, о ней есть подробный материал про персональные данные иностранных работников.

Фото уволенных сотрудников

После увольнения фото со страницы «Команда» нужно снять - основание для использования его изображения на сайте компании было связано с трудовыми отношениями, а они закончились. Держать фото и достижения бывшего сотрудника в разделе «О нас» еще полгода, потому что руки не дошли обновить сайт, - формально уже нарушение статьи 152.1 ГК, если человек не давал согласия именно на бессрочное использование.

Фото клиентов и участников мероприятий

Фотоотчет с конференции или открытия магазина - типичный пример второго исключения из статьи 152.1 ГК: людей снимают в открытом для посещения месте, они не основной объект, публиковать общий план можно без отдельных согласий. Проблема начинается, когда компания идет дальше и делает из этого материала кейс: «клиент Иванов рассказывает, как решил вопрос с ипотекой у нас в офисе» с крупным фото и именем. Это уже целевое использование конкретного человека в рекламных целях, и здесь нужно письменное согласие, а не ссылка на публичность мероприятия.

Похожая история встречается в страховых компаниях: фото клиента с полисом в руках для кейса на сайте - не случайный кадр с мероприятия, а прицельное использование изображения вместе с сюжетом сделки, а часто и с медицинскими сведениями, если речь о добровольном страховании здоровья. Тонкости такого сочетания разобраны в материале про персональные данные в страховой компании.

Отдельно стоит охранное видеонаблюдение в торговом зале, клинике или офисе. Сама запись с камер безопасности законна без согласия каждого посетителя - основание другое, законный интерес оператора в обеспечении безопасности имущества и людей. Но как только запись с этих камер решают выложить в соцсети как забавный момент или для истории о случае в магазине, это уже публикация чужого изображения, и исключения статьи 152.1 ГК к ней применяются ровно так же, как к обычному фото, - то есть чаще всего согласие требуется.

Фото до и после в клиниках и салонах красоты

Отдельный конфликтный жанр - фото до и после в клиниках, салонах красоты и кабинетах у косметологов. Тут пересекаются сразу три пласта: изображение человека по статье 152.1 ГК, персональные данные по 152-ФЗ и специальная категория сведений о здоровье, потому что снимок показывает состояние кожи, лица или тела до и после процедуры. Обычное согласие на фото тут не годится - нужно отдельное письменное согласие именно на обработку данных о здоровье, где явно указано, что клиент разрешает публикацию снимков с лицом или без него, до и после, в конкретных каналах: сайт клиники, аккаунт в соцсетях, портфолио мастера. Практика, которая часто подводит: мастер увольняется и уносит фото клиентов в свой личный аккаунт как портфолио, хотя согласие клиент давал клинике на использование в ее каналах, а не мастеру лично. Перенос фото без нового согласия - нарушение с двух сторон сразу, и клиники, и бывшего сотрудника.

Фото и биометрия: когда снимок становится специальной категорией данных

Обычная фотография на сайте - персональные данные, но не биометрические. Определение из 152-ФЗ говорит о сведениях, которые характеризуют физиологические и биологические особенности человека и используются оператором именно для установления его личности. Фото в разделе «Команда» никого не идентифицирует автоматически - оно решает совсем другую задачу, показать человека.

Ситуация меняется, если компания использует систему распознавания лиц: турникет на проходной, который сверяет лицо с базой сотрудников, счетчик посетителей магазина по лицам для аналитики, приложение с верификацией по селфи. В этих случаях тот же самый снимок обрабатывается уже как биометрические персональные данные, и требования становятся строже: нужно отдельное письменное согласие именно на обработку биометрии, а не общее согласие на фото для сайта, и хранить такую базу нужно с повышенными мерами защиты.

Если для распознавания лиц компания собирает закрытую базу фотографий сотрудников и клиентов, доступ к этой базе стоит регулировать так же строго, как доступ к коммерческой тайне: утечка базы, по которой можно идентифицировать людей, обходится дороже, чем утечка обычных анкет с именами и телефонами. О том, где эти два режима защиты пересекаются, - в статье про персональные данные и коммерческую тайну.

Стоит различать два похожих на первый взгляд случая. Косметолог-самозанятый хранит фото лица клиента в карточке визита, чтобы отследить прогресс лечения, - это данные о здоровье, специальная категория, но не биометрия, потому что фото используется для сравнения состояния кожи, а не для установления личности. А сеть клиник, где на входе камера сверяет лицо посетителя с базой пациентов, чтобы найти его карточку без вопроса фамилии, - это уже биометрия в чистом виде, даже если технически используется тот же формат файла.

Как оформить согласие на использование фото

С 1 сентября 2025 года действует требование закона № 156-ФЗ от 24 июня 2025 года: согласие на обработку персональных данных должно оформляться отдельным документом, а не строчкой в договоре или пользовательском соглашении сайта. Разумно объединить в этом документе сразу два согласия - на обработку персональных данных и на использование изображения по статье 152.1 ГК, чтобы не собирать две разные бумаги под одну и ту же фотографию.

В согласии на фото стоит закрыть несколько пунктов:

• кто дает согласие - фамилия, имя, отчество, для несовершеннолетнего - данные и подпись законного представителя;
• цель использования - сайт компании, соцсети, печатные материалы, презентации для клиентов;
• способ использования - публикация как есть, ретушь, обрезка, использование в коллаже с другими фото;
• срок действия согласия и порядок его отзыва;
• перечень каналов, где фото может появиться, если компания хочет ограничить круг заранее.

Для клиентов, которые снимаются в отзыве или кейсе, полезно сразу проговорить границы: согласие на публикацию текста отзыва не равно согласию на публикацию фото и видео с лицом, это разные объекты и разные основания. Одна подпись под одной формой, где явно перечислено и то и другое, снимает потом половину переписки с недовольным клиентом.

Похожая ситуация в интернет-магазинах: клиент присылает фото в чат поддержки или отмечает магазин в соцсетях, а магазин хочет перенести это фото на карточку товара как живой отзыв. Формально это тоже использование чужого изображения в рекламных целях, и репост в директе или комментарии - не согласие на использование фото на сайте компании. Проще всего в таких случаях сразу в переписке с клиентом уточнить одной фразой, можно ли использовать фото на сайте и в соцсетях магазина, и сохранить эту переписку как подтверждение согласия - по сути это тоже письменная форма, если видны дата, автор и однозначное да.

Если человек требует удалить фото

Первый шаг - выяснить, на каком основании фото вообще было опубликовано. Если это было согласие, отзыв согласия прекращает право компании использовать изображение дальше, и снимок нужно снять из всех каналов, куда он попал, а не только из того места, куда пришла жалоба. Если публикация опиралась на одно из трех исключений статьи 152.1 ГК, формально согласие тут ни при чем, но на практике вежливее и дешевле удалить спорный кадр, чем спорить в переписке о том, был ли человек основным объектом съемки.

Закон не дает бизнесу право растягивать ответ на такое обращение на месяцы: реагировать нужно в разумный срок, обычно счет идет на рабочие дни. Полезно заранее прописать короткую процедуру: кто в компании принимает такие обращения, кто согласовывает удаление, в какой срок снимок должен пропасть не только из ленты соцсети, но и из архива у подрядчика по SMM или дизайну, если фото туда передавалось для обработки.

Такие просьбы особенно часто прилетают в личные сообщения соцсетей компании, где публикуются и клиенты, и сотрудники. О том, что вообще можно публиковать бизнесу в социальных сетях и где проходит граница, подробно разобрано в статье про персональные данные в социальных сетях.

Ответственность за публикацию фото без согласия

Гражданская ответственность идет через статью 152.1 ГК: суд может обязать удалить фото и уничтожить материальные носители, на которых оно хранится, если удаление другим способом невозможно. Отдельно взыскивается компенсация морального вреда по статьям 151 и 1101 ГК РФ, размер определяет суд исходя из обстоятельств дела, фиксированной суммы в законе нет.

Административная ответственность идет через статью 13.11 КоАП РФ за нарушения при обработке персональных данных, и штрафы для юридических лиц по этой статье измеряются сотнями тысяч рублей, а при повторном нарушении вырастают кратно.

С 30 мая 2025 года заработали изменения из закона № 420-ФЗ от 30 ноября 2024 года: оборотные штрафы за утечки персональных данных и статья 272.1 УК РФ за неправомерные действия с данными, полученными незаконным путем, если это причинило значительный ущерб. Публикация одного фото без согласия - это, как правило, не утечка в смысле этих норм, оборотные штрафы рассчитаны на массовые случаи. Но если речь о базе фотографий для распознавания лиц, которая ушла третьим лицам, или о системе, собранной без всякого согласия и с нарушением закона, риск попасть уже в эту, более тяжелую категорию ответственности реальный.

На практике типичный спор выглядит так: интернет-магазин публикует кейс с фото и именем клиента без согласия, клиент подает иск. Суд, скорее всего, обяжет удалить фото и присудит компенсацию морального вреда - размер сильно разнится и зависит от того, где и как долго провисело фото и насколько сильно это задело человека, единой ставки в законе нет. Отдельно от иска Роскомнадзор может завести дело по статье 13.11 КоАП, если увидит признаки обработки персональных данных без надлежащего согласия, и это уже отдельный штраф для юридического лица, никак не связанный с суммой, которую присудил суд по иску о защите изображения.

Что делать: порядок действий

Порядок, который снимает большую часть спорных случаев еще до того, как они превратились в жалобу или иск.

1. Определить тип съемки: публичное мероприятие, кейс с клиентом, портрет сотрудника, система распознавания лиц. От этого зависит, какая норма применяется в первую очередь.
2. Проверить, подпадает ли ситуация под одно из трех исключений статьи 152.1 ГК - публичный интерес, съемка в открытом месте без выделения человека, позирование за плату.
3. Если не подпадает - подготовить письменное согласие с указанием цели, способа, каналов и срока использования, а не полагаться на устную договоренность.
4. Для сотрудников оформить отдельное согласие на использование изображения, отличное от согласия на обработку персональных данных по трудовому договору.
5. Для несовершеннолетних - согласие от законного представителя, отдельно на фото и отдельно на публикацию в конкретных каналах.
6. Прописать короткую процедуру на случай отзыва согласия: ответственный, срок, список мест, откуда фото нужно убрать.
7. Если используется распознавание лиц - оформить это как обработку биометрических персональных данных со своим согласием и повышенными мерами защиты, отдельно от обычных фото на сайте.
8. Хранить архив согласий отдельно от самих фотографий и файлов, чтобы при проверке или жалобе можно было быстро показать, на каком основании конкретное фото оказалось в публикации.

Пересмотреть договоры, согласия и формы на сайте с прицелом именно на изображения человека - отдельная задача, и не факт, что штатный юрист компании занимался ей раньше отдельно от общих согласий на обработку персональных данных. На сайте 152fzpro.ru можно заказать доработку документов и форм согласия под эту ситуацию - без обещаний того, чего единичный комплект бумаг дать не может, просто рабочие формы, которые выдержат проверку.