Согласие на распространение персональных данных по статье 10.1

Согласие на распространение персональных данных - отдельный документ, а не пункт в общей форме на сайте. Его ввели в закон N 519-ФЗ от 30 декабря 2020 года, и с 1 марта 2021 года оно действует как самостоятельный институт статьи 10.1 закона N 152-ФЗ о персональных данных. Если компания публикует отзывы клиентов с фамилиями, выкладывает фото сотрудников на странице команда или размещает список выпускников курса, обычного согласия на обработку персональных данных для этого недостаточно. Нужно отдельное разрешение на распространение персональных данных, оформленное по правилам статьи 10.1.

Путаница возникает потому, что оба документа называются похоже и оба требуют, чтобы субъект поставил галочку или подписал бумагу. Разница в объеме прав, который субъект передает оператору. Обычное согласие разрешает обрабатывать данные внутри компании и передавать их ограниченному кругу лиц - подрядчикам, банку, курьерской службе. Согласие на распространение открывает данные неограниченному кругу лиц: любой человек в интернете сможет увидеть фамилию, фото или отзыв, если оператор выложит их в открытый доступ.

Дальше по тексту - что именно должно быть в этом документе, что произойдет, если оставить поле про запреты пустым, и как эта тема связана с обновлением закона 2025 года, из-за которого отдельным документом теперь должно быть и обычное согласие тоже.

Что такое согласие на распространение персональных данных

Статья 10.1 закона о персональных данных описывает случай, когда оператор хочет сделать данные субъекта общедоступными - доступными неограниченному кругу лиц через сайт, соцсети, витрину резюме или печатный каталог. Для этого нужно отдельное письменное согласие, в котором субъект прямо разрешает распространение конкретных категорий данных.

Ключевое слово здесь - распространение. Закон отличает его от простой передачи третьим лицам. Передача - это когда данные уходят к конкретному получателю: банку, страховой компании, подрядчику по договору поручения на обработку. Распространение - это когда данные становятся доступны заранее неопределенному кругу лиц, и оператор не может проконтролировать, кто именно их увидит и как использует дальше.

До 2021 года операторы решали эту задачу общей формулировкой в согласии: разрешаю передачу третьим лицам в любых целях. Такая фраза больше не работает для случаев публичного распространения. Роскомнадзор и суды рассматривают отдельное согласие на распространение как обязательное условие, а не как формальность на бумаге.

Распространение и общедоступные источники - разные механизмы

В законе есть смежное понятие - общедоступные источники персональных данных по статье 8. Это справочники, каталоги, реестры, куда данные попадают тоже с письменного согласия субъекта, но по другим правилам и с другой формой согласия. На практике операторы иногда путают эти два механизма и пытаются закрыть публикацию отзывов или фото согласием на общедоступный источник, хотя нужен именно документ по статье 10.1. Разница принципиальная: общедоступный источник - это отдельный реестр или справочник, а согласие на распространение - это разрешение конкретному оператору выложить данные там, где он сам определит: на своем сайте, в приложении, в соцсети.

Когда нужно согласие на распространение персональных данных

Отдельное согласие нужно каждый раз, когда данные конкретного человека становятся видны посторонним, а не остаются внутри компании. На практике это встречается чаще, чем кажется.

• Интернет-магазин публикует отзыв покупателя с именем и фото товара в руках
• Клиника размещает благодарность пациента на сайте с его именем и диагнозом
• Школа или курсы выкладывают список выпускников с результатами экзамена
• Агентство недвижимости печатает контакты собственника в буклете для покупателей
• Мастер или самозанятый публикует портфолио с именами и фото клиентов
• Компания размещает фото сотрудников с должностями на странице команда
• Компания размещает кейс с указанием заказчика и суммой сделки в портфолио на сайте

Общий признак во всех этих случаях один: данные оказываются доступны людям, которых оператор лично не выбирал и не может ограничить в дальнейшем использовании увиденного. Именно поэтому закон требует отдельного и осознанного разрешения, а не молчаливого согласия по умолчанию.

Для самозанятых мастеров и небольших студий этот пункт особенно легко пропустить: портфолио кажется частью обычной работы с клиентом, а по закону это уже распространение персональных данных, для которого нужен отдельный документ. Минимальный набор требований для самозанятых разобран в статье про персональные данные для самозанятых.

Когда согласие на распространение не требуется

Если данные видны только сторонам договора - например, курьер видит адрес клиента в приложении, а бухгалтер видит зарплату сотрудника в 1С, - это обычная обработка, а не распространение. Отдельное согласие не нужно и для внутренней переписки, для передачи данных подрядчику по договору поручения, для сведений, которые оператор публикует в обезличенном виде, без возможности определить конкретного человека.

Почему нельзя вписать разрешение в общее согласие или в договор

Закон требует, чтобы согласие на распространение оформлялось отдельно от других согласий субъекта. Нельзя добавить пункт про публичное распространение в договор оказания услуг, в пользовательское соглашение сайта или в общее согласие на обработку персональных данных, которое человек подписывает при регистрации.

Причина в том, что распространение - самое рискованное для субъекта действие с его данными, и закон намеренно не дает оператору спрятать разрешение на него внутри длинного текста, который никто не читает. Отдельный документ означает отдельную форму, отдельную подпись или отдельный чекбокс, который человек ставит осознанно, понимая именно этот пункт.

На практике это создает неудобство для операторов, которые собирают персональные данные в рамках оказания услуг: одного согласия на обработку теперь недостаточно, если параллельно данные попадают в открытый доступ. Как правильно развести эти два документа при заключении договора с клиентом, подробно разобрано в статье про персональные данные в договоре оказания услуг.

Отдельный документ не обязан быть длинным. Часто это одна страница: кто оператор, какие данные, для какой цели, какие запреты и на какой срок. Юридическая сила не зависит от объема текста, а зависит от того, что каждый пункт заполнен предметно, а не общей фразой из шаблона, скачанного без адаптации под конкретный сайт.

Что происходит, если согласия смешаны

Если согласие на распространение вписано пунктом в общий текст, при проверке это, скорее всего, признают ненадлежащим оформлением: формально документ есть, но требование об отдельном оформлении не выполнено. Для оператора это означает, что законного основания для публикации данных фактически нет, даже если человек когда-то поставил галочку. Пересобирать формы задним числом дороже и дольше, чем сделать их правильно один раз, особенно если публикаций накопились сотни.

Что обязательно должно быть в тексте согласия

Универсального бланка согласия на распространение персональных данных (ПДн) в законе нет, и просить готовый образец бессмысленно: перечень данных, запреты и цель у каждого оператора свои. Но состав обязательных полей закон определяет точно.

Поле согласия	Что писать
Волеизъявление	Прямая фраза о том, что субъект разрешает распространение именно неограниченному кругу лиц, а не абстрактное согласие на обработку
Цель обработки	Зачем данные становятся общедоступными: публикация отзыва, размещение резюме, участие в рейтинге
Перечень данных	Конкретные категории: имя, фото, должность, город, а не общая формулировка все персональные данные
Информационные ресурсы	Сайт, страница, соцсеть или каталог, через которые данные станут доступны неограниченному кругу лиц
Запреты и условия	Что субъект прямо запрещает делать с данными дальше: копировать, индексировать поисковиками, передавать третьим лицам
Срок действия	Конкретный период или условие, при котором действие согласия заканчивается

Срок действия часто оставляют пустым, а зря: без него согласие формально действует, пока субъект сам его не отзовет, и оператору сложнее объяснить проверяющему, почему данные пятилетней давности до сих пор висят на сайте. Как формулировать срок в обычном согласии на обработку и почему бессрочность - плохая идея, разобрано в статье про сроки обработки персональных данных, и логика там применима и к согласию на распространение.

Как выглядит формулировка на практике

Рабочий текст поля о волеизъявлении может звучать так: я разрешаю ООО Ромашка сделать общедоступными мои имя, фамилию и фото на странице отзывов сайта romashka.ru без права передачи третьим лицам и без права индексации поисковыми системами, срок действия - три года с даты подписания. Это не универсальный образец для копирования, а иллюстрация того, насколько конкретной должна быть каждая деталь: имя оператора, площадка, срок, запреты - не общие слова, а данные конкретной компании.

Если данных о человеке в публикации несколько видов - например, и фото, и цитата с именем - логичнее прописать каждый вид отдельной строкой в перечне, а не одной общей формулировкой. Тогда при частичном отзыве согласия, допустим, человек против фото, но не против цитаты, оператору проще понять, что именно нужно убрать, а что можно оставить.

Запреты и условия: что писать и что будет, если оставить поле пустым

Это самая недооцененная часть согласия на распространение персональных данных. Субъект имеет право прямо запретить оператору передавать данные дальше третьим лицам, кроме случая, когда доступ к ним и так открыт всем на сайте. Он также может поставить условие: например, разрешить публикацию отзыва без фото или без указания города.

Если оператор присылает субъекту форму, где поле про запреты просто отсутствует или спрятано мелким шрифтом внизу, он ничего не выигрывает. Роскомнадзор на практике трактует такую ситуацию не в пользу оператора: отсутствие явно заполненного поля о запретах не читается как разрешение распространять данные без всяких ограничений. Разумная практика - явно предлагать субъекту заполнить этот пункт, а не полагаться на то, что молчание сработает как отсутствие возражений.

Список возможных запретов и условий, которые вправе указать субъект, обычно включает:

• запрет на передачу данных оператором другим лицам, кроме случая, когда доступ и так открыт неограниченному кругу лиц
• запрет на дальнейшее копирование и распространение данных третьими лицами, которые их увидели
• запрет на индексацию страницы поисковыми системами
• условие о том, что данные публикуются без фото или без указания точного адреса
• условие об анонимизации части данных, например замена фамилии на инициалы

Пример из практики: клиника опубликовала фото пациента с его согласия на сайте в разделе истории лечения, но не прописала запрет на дальнейшее копирование. Через полгода фото перепечатал сторонний паблик с искаженной подписью. Формально клиника выполнила требование о согласии, но не закрыла риск, который закон прямо предлагает закрыть текстом того же документа. Разбор похожих случаев и то, на что реально смотрят суды при похожих спорах, собран в статье про судебную практику по персональным данным.

Похожая история случается с интернет-магазинами: отзыв с фото публикуют бессрочно, а через пару лет покупатель просит его убрать. Если в согласии заранее не был прописан срок и порядок отзыва, спор решается дольше, чем если бы поле про срок действия было заполнено сразу.

Молчание и бездействие - это не согласие на распространение

Закон прямо закрепляет: молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на распространение. Это касается любых ситуаций, где оператор пытается вывести согласие из того, что человек не возразил, не удалил анкету или продолжил пользоваться сайтом после уведомления об изменениях.

На практике это правило ломает несколько распространенных, но незаконных схем: заранее проставленный чекбокс, который нужно снять, чтобы отказаться; фраза в правилах сайта разрешаю публикацию отзывов, если не указано иное; автоматическое согласие при заполнении формы обратной связи. Все это - попытка получить согласие через бездействие, а закон такую конструкцию не признает.

Субъект вправе в любой момент отозвать уже данное согласие на распространение, и оператор обязан прекратить обработку и, по общему правилу, убрать данные из открытого доступа. Порядок действий оператора при отзыве согласия, включая сроки на удаление, подробно описан в статье про отзыв согласия на обработку персональных данных.

Частый вопрос: можно ли получить согласие через мессенджер

Да, если субъект сам, по собственной инициативе, письменно подтверждает согласие - например, отвечает в чате конкретной фразой после того, как увидел полный текст условий, а не эмодзи или простое ок на общий вопрос. Формат канала - сайт, мессенджер, бумага - закон не ограничивает, но в каждом случае должно быть зафиксировано, что субъект видел весь текст согласия, а не только его часть.

Два способа оформить согласие на распространение

Закон предусматривает два пути. Первый и основной на практике - согласие оформляется напрямую с оператором: бумажный бланк с подписью, электронная форма с чекбоксом или отдельный документ, который субъект подписывает электронной подписью.

Второй путь - через информационную систему Роскомнадзора, куда субъект самостоятельно вносит перечень данных, разрешенных к распространению, и указывает свои запреты и условия. Идея в том, чтобы человек управлял разрешениями централизованно, а не подписывал новую бумагу у каждого оператора отдельно. На практике этот механизм запускался медленнее, чем ожидалось, и подавляющее большинство операторов в 2026 году продолжают работать через собственную форму согласия, а не через систему Роскомнадзора.

Для оператора это значит одно: рассчитывать нужно на первый способ. Собственная форма согласия должна быть готова к проверке в любой момент - с полным набором обязательных полей из предыдущего раздела, а не в виде абстрактной фразы про даю согласие на публикацию.

Для проверки со стороны Роскомнадзора важно не только наличие текста согласия, но и возможность подтвердить, что конкретный человек его дал: дата, время, техническая привязка к заявке или к личному кабинету. Форма на сайте без сохранения этих данных выглядит так же уязвимо, как бумага, которую оператор не может найти.

Если оператор получает несколько согласий от одного человека в разное время - например, сначала для отзыва, потом для кейса в портфолио, - логичнее вести их реестром с датами и текстом каждого документа, а не полагаться на память или переписку в почте.

Отдельный документ теперь и для обычного согласия: связь с законом 2025 года

С 1 сентября 2025 года действует поправка 156-ФЗ от 24 июня 2025 года: письменное согласие на обработку персональных данных в принципе должно оформляться отдельным документом, а не пунктом внутри оферты, анкеты или пользовательского соглашения. Раньше это правило прямо действовало только для согласия на распространение по статье 10.1, теперь логика распространилась на обычное согласие тоже.

Для операторов, которые уже привели в порядок согласие на распространение, это не создает новой работы - принцип отдельного документа им знаком. А для тех, кто все еще прячет согласие на обработку персональных данных строкой в договоре или в чекбоксе под кнопкой отправить, актуальны сразу два требования закона, а не одно, и разбираться в них дешевле сейчас, чем на проверке.

Заодно стоит помнить про общий фон 2026 года: за нарушения закона о персональных данных с 30 мая 2025 года применяются оборотные штрафы, а в отдельных случаях наступает уголовная ответственность по статье 272.1 УК. Согласие на распространение - не самый крупный риск на этом фоне, но именно оно чаще всего оформлено небрежно, потому что кажется формальностью.

На практике это значит, что форму на сайте стоит проверить дважды: один раз на предмет отдельного документа для согласия на обработку, второй раз - на предмет отдельного документа для согласия на распространение, если публикация данных вообще происходит. Это два разных чекбокса, а не один универсальный.

Типичные ошибки на практике

Ошибки повторяются от отрасли к отрасли.

• Согласие на распространение объединено с обычным согласием на обработку в одном чекбоксе
• В форме нет поля для запретов и условий, субъект физически не может их указать
• Перечень данных сформулирован общей фразой все персональные данные вместо конкретного списка
• Не указан срок действия, согласие считается бессрочным по умолчанию
• Согласие получено на бумаге, но нигде не хранится, и оператору нечем подтвердить его на проверке
• Данные остаются в открытом доступе после того, как субъект отозвал согласие
• В согласии на распространение указана общая цель без привязки к конкретной странице или разделу сайта
• Оператор путает согласие на распространение с согласием на общедоступный источник и оформляет не тот документ

За каждой строкой в списке стоит реальный случай, а не гипотетический риск: операторы, которые публикуют отзывы или портфолио годами, обычно проходят через одну и ту же ошибку, потому что форма создавалась один раз и с тех пор не пересматривалась, хотя закон за это время менялся дважды.

Каждая из этих ошибок проверяется инспектором Роскомнадзора буквально по чекбоксу в акте проверки. Отдельно она может показаться мелочью, но при внеплановой проверке на фоне жалобы субъекта именно отсутствие корректного согласия на распространение чаще всего становится основанием для предписания, а не сам факт публикации данных.

Что сделать прямо сейчас

Разбираться в статье 10.1 в теории не обязательно, если компании нужен рабочий порядок действий.

1. Найдите на сайте и в документах все места, где данные конкретных людей становятся видны посторонним: отзывы, фото команды, портфолио, списки, рейтинги
2. Для каждого такого места подготовьте отдельную форму согласия на распространение - не пункт в общей форме, а самостоятельный документ или чекбокс с собственным текстом
3. Включите в форму все шесть обязательных полей: волеизъявление, цель, перечень данных, ресурсы, запреты и условия, срок действия
4. Явно предложите субъекту заполнить поле про запреты, а не оставляйте его пустым по умолчанию
5. Настройте техническую возможность снять данные из открытого доступа, если субъект отзовет согласие
6. Зафиксируйте дату и способ получения каждого согласия, чтобы было чем ответить на запрос Роскомнадзора
7. Проверьте формы на согласие на обработку персональных данных отдельно - с 1 сентября 2025 года они тоже должны быть отдельным документом

Отдельно стоит держать это в поле зрения не разово, а на регулярной основе: каждая новая страница с отзывами, новый раздел портфолио или обновленная форма заявки - повод свериться с этим списком заново, а не полагаться на то, что один раз сделанная работа закрывает тему навсегда.

Если разбирать это своими силами некогда, а на сайте одновременно нужно поправить формы согласия, политику обработки персональных данных и уведомление в Роскомнадзор, услуги 152фзпро.ру собраны на главной странице сайта: там же можно посмотреть, с чего обычно начинается такая доработка.