Федеральный закон от 27 июля 2006 года № 152-ФЗ “О персональных данных”

1. Законность: означает, что обработка персональных данных должна иметь чёткие правовые основания. Это означает, что оператор (организация или лицо, обрабатывающее данные) обязан доказать соответствие своих действий одному из оснований, предусмотренных законом. К таким основаниям относятся:
   – предоставление субъектом явного согласия на обработку данных;
   – необходимость исполнения договора, стороной которого является субъект данных;
   – требование законодательства (например, обработка данных для налоговой, бухгалтерской отчетности);
   – защита жизненно важных интересов субъекта;
   – осуществление правосудия или исполнение государственных функций;
   – законные интересы оператора (при условии соблюдения баланса с правами субъекта).
2. Справедливость: подразумевает этично обоснованное, непротиворечивое и предсказуемое использование данных. Ключевые аспекты этого:
   – Запрет обманных практик (скрытый сбор данных, введение в заблуждение);
   – Соразмерность целей и методов обработки (недопустимость избыточного сбора);
   – Уважение прав и законных интересов субъекта (отсутствие дискриминации);
   – Обеспечение достоверности данных и своевременное их обновление.

Таким образом, норма требует, чтобы каждый этап работы с персональными данными – от сбора до уничтожения – основывался на прозрачных правовых механизмах и осуществлялся с уважением к личности, без злоупотреблений или скрытых умыслов. Это создает баланс между интересами бизнеса/государства и неприкосновенностью частной жизни граждан гарантированных статьёй 24 Конституции РФ.

1. Принцип целевого Ограничения: обработка персональных данных не может быть бесцельной или неограниченной. Оператор (тот, кто собирает и обрабатывает данные) обязан заранее определить конкретные, понятные и законные цели, ради которых он собирает и использует персональные данные.
   Эти цели должны быть сформулированы до начала обработки (например, при сборе данных через форму на сайте, в политике конфиденциальности сайта, в договоре с клиентом, политике по обработке персональных данных у оператора).
   Примеры законных целей: исполнение договора (например, доставка товара), выполнение требований закона (например, налоговая и бухгалтерская отчётность, воинский учёт), получение согласия на конкретные действия (например, рассылка новостей, информирование о новых услугах), защита жизненно важных интересов субъекта данных.
2. Принцип совместимости обработки с целями сбора: категорически запрещается использовать собранные персональные данные для каких-либо целей, несовместимых с теми целями, ради которых они изначально собирались. Если это необходимо, то нужно запросить согласие на такие действия по обработке данных с новой целью.

Таким образом, персональные данные нельзя собирать и обрабатывать “на всякий случай” или для неконкретных целей. Цели их использования должны быть заранее точно определены, законны и обязательно соответствовать причинам, по которым эти данные запросили. Использовать их потом для чего-то другого, не связанного с изначальной целью, запрещено законом, если на это не было получено согласие.

Соблюдение этого принципа является обязательным требованием законодательства о защите персональных данных, в том числе и в ЕС. Его нарушение может повлечь административную, гражданско-правовую или даже уголовную ответственность оператора, а также стать основанием для жалобы субъекта данных (человека, чьи данные обрабатываются) в уполномоченный орган (Роскомнадзор для России).

Закон прямо запрещает операторам (организациям или лицам, обрабатывающим персональные данные) объединять базы данных, содержащие персональные данные, если эти данные изначально обрабатывались в разных, несовместимых друг с другом целях.

Несовместимые цели – это цели, которые принципиально различаются по своей природе, противоречат друг другу или не могут быть логически увязаны в рамках одной деятельности по обработке. Объединение данных, собранных для таких разных целей, создает правовой конфликт и нарушает права субъекта персональных данных.

Каждый субъект данных дает согласие (или обработка осуществляется на ином законном основании) конкретно для определенной, заранее заявленной цели. Объединение данных, обрабатываемых для несовместимых друг с другом целей, означает, что данные начинают использоваться для новых, не оговоренных с субъектом целей. То есть неформально оператор начинает обработку персональных данных для новой цели, которая не была заранее оговорена с субъектом персональных данных.

Избыточность и нерелевантность: объединение баз данных может привести к обработке данных, не нужных для достижения конкретной цели, что нарушает принцип минимизации данных.

Риски для прав и свобод субъектов: такое объединение может привести к непрофильному использованию данных, нежелательным последствиям для человека (например, данные, собранные для медобслуживания, не должны без согласия использоваться для навязывания услуг).

Потеря контроля и прозрачности: субъект данных теряет понимание, как и для чего используются его данные, если они смешиваются в базе, созданной для непонятных ему целей.

Перед объединением баз оператор обязан проанализировать исходные цели обработки данных в каждой объединяемой базе и может объединить базы только если цели не противоречат друг другу.

Если цели признаны несовместимыми (например, база данных клиентов интернет-магазина и база данных пациентов медицинского центра; база данных сотрудников и база данных участников лояльности), их объединение запрещено.

Если оператор хочет объединить базы, он должен убедиться, что цели их обработки совместимы, или получить новое добровольное согласие субъектов данных на объединение и обработку их данных в новой, единой цели (макро-цели). Простое объединение без такого согласия и проверки совместимости целей незаконно.

Таким образом, закон говорит, что нельзя просто так брать и смешивать в одну кучу информацию о людях, которая изначально собиралась для совершенно разных целей. Если база данных создавалась для одной цели (например, доставки товаров), а другая база – для совсем другой цели (например, записи к флористу), то объединять их в одну базу запрещено, так как это нарушает права людей, чьи данные в этих базах хранятся. Перед любым объединением баз данных нужно тщательно проверить, соответствуют ли цели их создания друг другу, и при необходимости получить на это отдельное согласие людей.

Обрабатываться (то есть использоваться, храниться, передаваться и т.д.) могут только те персональные данные, которые действительно необходимы для достижения конкретной, заранее определённой цели. Другими словами, организация или лицо, которое собирает и использует персональные данные (например, имя, телефон, адрес и т.п.), должно чётко понимать, зачем им эти данные нужны, и обрабатывать только ту информацию, которая прямо связана с этой целью. Нельзя собирать или использовать лишние или не относящиеся к цели сведения.

Если, например, компания нуждается в имени и адресе пользователя, чтобы доставить заказ — она не имеет права собирать ваши данные о здоровье, например, что клиент инвалид или политических взглядах, потому что это не требуется для доставки заказа.

Что требуется выполнить:
— Определить конкретную цель обработки персональных данных до её начала;
— Обрабатывать только ту информацию, которая действительно нужна для этой цели;
— Не собирать и не использовать лишние или не нужные данные.

Обработка персональных данных должна быть разумной, целесообразной и строго ограниченной теми целями, которые были заранее определены и объяснены.

Организация или человек, которые собирают и используют ваши персональные данные (например, имя, телефон, адрес, данные о работе и т.п.), должны чётко понимать, зачем им эти данныенужны. Они могут собирать только ту информацию, которая действительно нужна для достижения заявленной цели. Например, если вы оформляете доставку товара, у вас могут запросить ФИО, адрес и номер телефона — это вполне уместно. А вот спрашивать, какое у вас образование или политические взгляды — излишне и запрещено. Нельзя собирать больше данных, чем необходимо. Даже если у организации есть доступ к какой-то информации, она не вправе использовать её, если это не связано с изначальной целью.

Что требует закон:

• Чётко определить, зачем нужны персональные данные;
• Собирать только ту информацию, которая напрямую нужна для достижения этой цели;
• Не использовать данные для других, не заявленных целей;
• Не хранить и не обрабатывать лишние, ненужные сведения, которые не требуются для достижения заявленной цели.

При работе с персональными данными — то есть любой информацией, с помощью которой можно установить личность человека (например, имя, дата рождения, адрес, телефон, паспортные данные и т.д.) — важно, чтобы эти данные были достоверными, полными и соответствовали целям, для которых они используются. Другими словами, информация о человеке должна быть точной, достаточной для тех задач, которые решает организация, и, при необходимости, — актуальной на текущий момент. Например, если компания использует данные сотрудника для начисления зарплаты, она должна убедиться, что указаны правильные банковские реквизиты, размер оклада и статус занятости. Если же данные устарели или содержат ошибки (например, указан старый номер счёта или неверная фамилия), это может привести к нарушениям прав человека на получение вознаграждения за труд, в том числе к финансовым потерям или иным негативным последствиям.

Поэтому закон обязывает оператора — то есть лицо или организацию, которая собирает, хранит или использует персональные данные — принимать все необходимые меры для того, чтобы:

• Обеспечить точность данных — проверять, чтобы информация была правдивой и не содержала ошибок;
• Обеспечить достаточность данных — собирать только ту информацию, которая действительно нужна для конкретной цели. Например, при оформлении заказа в интернет-магазине не требуется запрашивать данные о семейном положении;
• Поддерживать актуальность данных — при необходимости обновлять информацию, если она изменилась (например, человек сменил фамилию или адрес).

Если в процессе обработки выясняется, что персональные данные являются неполными (например, отсутствует номер телефона) или неточными (например, указан неверный адрес), оператор обязан принять меры по их уточнению или удалению. Это может означать запрос у самого субъекта данных (то есть у самого человека) подтверждения или исправления информации, либо самостоятельное обновление данных на основе достоверных источников.

Если организация (например, работодатель, банк, интернет-магазин) собирает и хранит персональные данные (например, ФИО, паспортные данные, телефон, адрес), она должна делать это так, чтобы можно было понять, к какому конкретному человеку эти данные относятся. То есть данные не должны быть «анонимными» в процессе хранения, если они используются для определённых целей (например, оформление договора, трудоустройства и т.п.).

Также часть устанавливает принцип ограниченного срока хранения. Организация имеет право хранить персональные данные только столько времени, сколько необходимо для достижения тех целей, ради которых эти данные были собраны.

Срок хранения может быть продлён, если:

• это прямо предусмотрено федеральным законом (например, налоговое законодательство требует хранить некоторые документы 5 лет);
• или если между человеком и организацией заключён договор, и в нём (или по закону) указано, что данные нужно хранить дольше (например, кредитный договор, страховой полис, ипотека);
• или если человек является выгодоприобретателем (например, получателем страховки) или поручителем — в таких случаях данные могут храниться дольше для обеспечения прав третьих лиц.

То есть, если есть закон или договор — срок хранения определяется ими. Если нет — действует принцип «хранить только до тех пор, пока это нужно».

Как только цель, ради которой собирались данные, достигнута (например, договор расторгнут, услуга оказана, заявка отклонена), или стало ясно, что данные больше не нужны, организация обязана:

• либо уничтожить персональные данные (например, удалить из базы, уничтожить бумажные носители);
• либо обезличить их — то есть изменить так, чтобы невозможно было установить, к какому конкретному человеку они относятся (например, заменить ФИО на код, удалить паспортные данные). Порядок обезличивания определяет Роскомнадзор.

Такой подход защищает человека от возможного злоупотребления его личной информацией в будущем.

Всё вышесказанное может быть изменено или дополнено федеральным законом. Например, архивное законодательство может требовать хранить кадровые документы 75 лет, даже если сотрудник уволился. В таких случаях приоритет имеет закон.

По общему правилу принятому в России и основанному на проверках Роскомнадзора срок хранения персональных данных составляет не более 5 лет. За это время, как правило, все цели обработки, для которых собирались данные, должны быть достигнуты.

Согласно статье 6 ч. 1 Федерального закона № 152-ФЗ «О персональных данных», операторы обязаны соблюдать ряд требований и процедур при обработке персональных данных.

• Получение согласия на обработку персональных данных
  • Что нужно сделать: Операторы должны получать письменное или электронное согласие субъекта персональных данных перед началом обработки. Согласие должно быть добровольным, информированным и осознанным. Оно оформляется отдельно от других документов и включает конкретные сведения, такие как цель обработки, объем собираемых данных и срок хранения. Состав согласия определён частью 4 статьи 9 этого закона.
• Исполнение международных обязательств и законодательных норм
  • Что нужно сделать: При обработке данных на основании международных соглашений или нормативных актов Российской Федерации оператор обязан убедиться, что сбор данных соответствует целям, установленным этими нормативными актами. Например, налоговая служба собирает данные налогоплательщиков исключительно для соблюдения Налогового кодекса.
• Участие в судебных процедурах
  • Что нужно сделать: Данные собираются в строгих пределах, необходимых для участия в судебных делах. Судьи, прокуроры, адвокаты и судебные приставы получают доступ к данным исключительно в ходе производства и рассмотрения дел.
• Инициатива государства и местных властей
  • Органы государственной власти имеют право собирать и обрабатывать персональные данные граждан в рамках предоставленных им полномочий на основании законов.
• Заключение и выполнение договоров
  • Для реализации договорных обязательств операторы могут обрабатывать персональные данные сторон договора.
• Защита жизненных интересов
  • Персональные данные могут использоваться в экстренных ситуациях, угрожающих здоровью или жизни граждан, даже без их предварительного согласия.
• Осуществление журналисткой и культурной деятельности
  • Средства массовой информации и журналисты вправе публиковать материалы с использованием личной информации граждан, если такое использование оправдано профессиональными интересами или общественной значимостью темы, особенно если это публичное лицо.
• Статистические исследования
  • Данные могут собираться и анализироваться анонимно и обезличенно для различных научных исследований и статистики.

Часть закона устанавливает, что при сборе, хранении, использовании, передаче и иных действиях с персональными данными лиц, находящихся под государственной охраной (например, высокопоставленных государственных деятелей), а также членов их семей, действуют специальные правила, отличающиеся от общих норм, регулирующих обработку персональных данных.

Эти особые правила содержатся в Федеральном законе № 57-ФЗ “О государственной охране”, который определяет правовые основы, цели и порядок обеспечения безопасности таких лиц. В частности, этот закон предусматривает:

• право на конфиденциальность информации о личности объекта охраны и его семье;
• ограничения на распространение данных, способных выдать местоположение, режим передвижения, контактную информацию и другую чувствительную информацию;
• повышенные требования к защите персональных данных таких лиц;
• специальные полномочия уполномоченных органов (например, ФСО) по обработке этих данных без согласия субъекта, если это необходимо для обеспечения их безопасности.

Данная часть закона устанавливает особый порядок обработки персональных данных определённых категорий лиц, чья деятельность или положение связаны с государственной безопасностью, правопорядком или требует особой защиты. Речь идёт о тех, кто выполняет служебные обязанности в силовых и специальных государственных структурах, а также о лицах, которые помогают этим структурам в их работе на конфиденциальной основе, и о тех, кто находится под государственной защитой.

Для всех этих категорий при обработке их персональных данных (то есть сборе, хранении, использовании, передаче и других действиях с информацией, связанной с их личностью) действуют особые правила , установленные отдельными федеральными законами. Это означает, что обычные нормы, регулирующие обработку персональных данных, в полной мере на них не распространяются. Вместо этого применяются специальные требования, предусмотренные перечисленными законами.

Часть закона говорит, что обработка определённых видов персональных данных — а именно, специальных категорий персональных данных и биометрических персональных данных — регулируется особыми правилами, установленными в законе.

Специальные категории персональных данных — это особенно чувствительная информация, касающаяся, например, расовой или этнической принадлежности, политических взглядов, религиозных или философских убеждений, членства в профсоюзах, а также данных о здоровье, сексуальной жизни или сексуальной ориентации. Из-за высокого риска нарушения прав и свобод человека такая информация требует повышенной защиты.

Биометрические персональные данные — это сведения, которые позволяют установить уникальные биологические или физиологические особенности человека (например, отпечатки пальцев, изображение лица, ДНК и т.п.) и определить этого человека по этим данным.

Часть закона говорит, что оператор — то есть организация или лицо, которое определяет цели и способы обработки персональных данных, — имеет право передать обработку таких данных другому лицу (например, сторонней компании или подрядчику), но только при соблюдении определённых условий.

Для этого необходимо, чтобы субъект персональных данных — то есть человек, к которому относятся эти данные — дал своё согласие на такую передачу, если иное не установлено прямо федеральным законом. Передача возможна на основании договора (в том числе государственного или муниципального контракта) или по решению государственного или муниципального органа — такой документ называется «поручение оператора».

Лицо, которому передаётся обработка персональных данных (например, подрядчик), обязано строго соблюдать все требования закона: обрабатывать данные только в установленных целях, обеспечивать их конфиденциальность, соблюдать принципы законности, добросовестности и прозрачности при работе с персональными данными. Кроме того, это лицо должно принимать все необходимые организационные и технические меры для защиты данных от несанкционированного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий.

В документе, на основании которого передаётся обработка (в поручении оператора), обязательно должны быть чётко указаны:

• какие именно персональные данные будут обрабатываться;
• какие действия с этими данными будут выполняться (например, сбор, хранение, изменение, передача и т.д.);
• с какой целью осуществляется обработка;
• обязанность подрядчика соблюдать конфиденциальность;
• требование о соблюдении всех норм, установленных законом, включая правила, касающиеся обеспечения безопасности персональных данных (в частности, требования статей 18, 18.1 и 19 Федерального закона);
• обязанность информировать оператора обо всех случаях утечки или нарушения безопасности персональных данных, как это предусмотрено законом. Крайне рекомендуется прописать срок не более 12 часов, так как оператор регуляторам должен предоставить информацию в срок не позднее 24 часов;
• обязанность по запросу оператора предоставлять документы и информацию, подтверждающие, что необходимые меры по защите данных действительно приняты и соблюдаются — как до начала обработки, так и в течение всего срока действия поручения.

Всё это должно быть прописано в договоре-поручении либо в отдельном поручении, либо в отдельном разделе договора между оператором и обработчиком (кому поручает обработку оператор).

Часть закона говорит, что если какое-либо лицо (например, компания или физическое лицо) обрабатывает персональные данные по поручению оператора, оно не обязано самостоятельно получать согласие от субъекта персональных данных — то есть от человека, к которому эти данные относятся.

Это означает, что право и обязанность по получению согласия на обработку персональных данных остаётся за оператором — тем, кто определяет цели и основания обработки. Например, если компания (оператор) передала данные клиентов сторонней организации для ведения базы данных, ведения бухгалтерии или отправки рассылок, то именно компания, а не эта сторонняя организация, должна была заранее получить согласие клиента на такие действия.

Лицо, действующее по поручению оператора (так называемый обработчик ), осуществляет обработку строго в рамках договора с оператором и в соответствии с его указаниями. Оно не вправе самостоятельно решать, зачем и как использовать персональные данные, и не несёт ответственность за отсутствие согласия — при условии, что действует в рамках переданных ему полномочий и на законных основаниях.

Часть закона говорит, что если оператор передаёт персональные данные обработчику по поручению для обработки (например, для хранения, анализа, отправки рассылок и т.п.), он сохраняет полную юридическую ответственность перед субъектом персональных данных — то есть перед человеком, чьи данные обрабатываются. Это означает, что в случае нарушения прав субъекта (например, утечки данных, их нецелевого использования или нарушения сроков хранения), отвечать перед этим человеком будет именно оператор, даже если виновным оказалось лицо, которому данные были переданы по поручению.

В то же время, лицо, которое обрабатывает персональные данные по поручению оператора (например, ИТ-компания или колл-центр), несёт ответственность перед самим оператором. То есть, если такое лицо нарушило условия договора или требования законодательства при обработке данных определённые договором, оператор вправе потребовать от него возмещения убытков, применить штрафные санкции или обратиться в суд.

Таким образом, часть закона обеспечивает защиту прав субъектов персональных данных: человек, чьи данные обрабатываются, всегда может обратиться с претензией к оператору — именно он выступает для субъекта главным ответственным. В свою очередь, оператор, понеся убытки из-за действий подрядчика, может взыскать их с этого подрядчика в порядке, установленном договором и законом через переговоры или в судебном порядке.

Часть закона говорит, что если организация или индивидуальный предприниматель, которые выступают в роли оператора персональных данных (то есть лица, определяющего цели и способы обработки персональной информации), поручает обработку такой информации иностранному физическому лицу (например, частному специалисту за рубежом) или иностранному юридическому лицу (компании, зарегистрированной за пределами страны), это не освобождает оператора от ответственности перед тем человеком, чьи данные обрабатываются (субъектом персональных данных).

Это означает, что даже если обработку персональных данных выполняет иностранная компания или специалист, именно оператор — то есть российская организация или лицо, передавшее данные на обработку — остаётся юридически ответственным за соблюдение всех прав субъекта персональных данных. Ответственность также несёт и лицо, которому поручена обработка, — то есть иностранный исполнитель, если он нарушил требования законодательства.

Таким образом, если в ходе обработки персональных данных за рубежом произойдёт нарушение — например, утечка данных, несанкционированный доступ к информации или использование данных не по назначению — субъект персональных данных вправе требовать компенсации, восстановления своих прав или иных мер защиты как от оператора, так и от иностранного исполнителя. При этом оператор не может ссылаться на то, что обработка велась третьей стороной за границей (по его поручению), чтобы избежать ответственности.

Часть закона говорит, что операторы и иные лица, получившие доступ к персональным данным, обязаны обеспечивать конфиденциальность такой информации и не вправе раскрывать её третьим лицам или осуществлять её распространение без предварительного согласия субъекта персональных данных. Исключение из этого правила допускается исключительно в случаях, когда обработка или передача персональных данных предусмотрена федеральным законом.

Часть закона говорит, что в общедоступные источники может включаться ограниченный перечень персональных данных субъекта, то есть конкретного человека, чьи данные обрабатываются. К таким данным относятся: фамилия, имя, отчество, год и место рождения, адрес проживания, номер телефона (абонентский номер), сведения о профессии, а также иные персональные сведения, которые сам человек предоставил добровольно. Важным условием включения информации в общедоступный источник является обязательное письменное согласие субъекта персональных данных. Это означает, что без официально оформленного в письменной форме разрешения человека его персональные данные не могут быть опубликованы или включены в справочники и подобные ресурсы.

Часть закона говорит, что любой человек, персональные данные которого размещены в общедоступных источниках (например, на сайтах, в справочниках, базах данных и т.п.), вправе в любое время потребовать удаления этих сведений. Такое требование может быть предъявлено непосредственно субъектом персональных данных — то есть самим человеком, к которому относятся эти данные. Кроме того, удаление информации может быть осуществлено не только по заявлению самого человека, но и на основании решения суда или Роскомнадзора, если установлено, что размещение персональных данных нарушает закон или права гражданина.

Согласно данному положению закона, каждый человек — субъект персональных данных — самостоятельно и добровольно принимает решение о том, предоставлять ли свои личные данные и разрешать ли их обработку. Это решение должно быть осознанным, свободным от какого-либо давления и принятым в собственных интересах самого человека.

Для того чтобы обработка персональных данных была законной, необходимо получить согласие от субъекта данных. Это согласие должно соответствовать определённым требованиям: оно должно быть конкретным (касающимся конкретных действий с данными), предметным (чётко указывать, какие именно данные и для каких целей будут обрабатываться), информированным (человек должен понимать на что он даёт согласие и что именно), сознательным (принято без принуждения, после получения всей необходимой информации) и однозначным (ясно выраженным, без двусмысленности).

Согласие может быть оформлено в любой форме, которая позволяет подтвердить факт его получения — например, в письменном виде, электронно (включая заполнение формы на сайте, расположенного на территории России), устно при наличии аудиозаписи или другим способом, если это допускается законом. Однако если федеральным законом предусмотрена обязательная письменная форма, то другие способы не применяются.

Если согласие даёт не сам человек, а его представитель (например, законный представитель или лицо по доверенности), оператор (тот, кто собирает и обрабатывает данные) обязан проверить, имеет ли этот представитель право действовать от имени субъекта персональных данных. То есть нужно убедиться в наличии у представителя соответствующих полномочий, например, через доверенность или документы, подтверждающие родство (в случае законного представителя).

Важно также, что согласие на обработку персональных данных должно быть оформлено отдельно от других документов. Оно не может быть «спрятано» в общих условиях, договоре или другой какой-то бумаге. Это означает, что человек должен чётко видеть, где именно он даёт согласие на обработку своих данных, и иметь возможность подписать или подтвердить только это согласие, не смешивая его с другими действиями.

Часть закона устанавливает, что согласие субъекта персональных данных на их обработку может быть им в любой момент отозвано. Это означает, что человек, данные которого обрабатываются, имеет право отказаться от ранее данного согласия. Однако отзыв согласия не всегда влечёт за собой прекращение обработки его персональных данных. Если субъект персональных данных отозвал своё согласие, оператор (то есть организация или лицо, которые обрабатывают данные) вправе продолжить обработку этих данных без согласия при наличии иных законных оснований. Такие основания предусмотрены в пунктах 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона «О персональных данных». К ним, например, могут относиться необходимость исполнения трудового договора, выполнение обязательств по гражданско-правовому договору, соблюдение требований налогового и бухгалтерского законодательства или защита жизни и здоровья субъекта.

Часть закона устанавливает, что каждый оператор — то есть организация или индивидуальный предприниматель, которые собирают, хранят или используют персональные данные граждан, — обязан быть готовым подтвердить законность такой обработки. Это означает, что если оператор обрабатывает персональные данные человека (например, ФИО, паспортные данные, номер телефона, адрес и т.д.), он должен иметь на это правовое основание. Чаще всего таким основанием является согласие самого субъекта персональных данных — то есть человека, чьи данные обрабатываются. Однако согласие — не единственный возможный вариант. Законом предусмотрены и другие случаи, когда обработка данных допускается без прямого согласия, например: выполнение трудового договора, защита жизни и здоровья, исполнение государственных или общественных обязанностей и другие, перечисленные в статьях 6, 10 и 11 закона. Важно понимать, что сам факт наличия правового основания — ещё не всё. Оператор обязан доказать, что такое основание действительно есть. То есть, если у него запросят подтверждение (например, при проверке контролирующими органами или по требованию самого субъекта данных), он должен предоставить документы или иные доказательства подтверждающие законные основания. Если основанием является согласие, оператор должен сохранить и предъявить, например, подписанный бланк согласия, скриншот электронной формы с датой и временем, запись в базе данных, либо иной документ, подтверждающий, что человек добровольно и осознанно дал разрешение на обработку своих данных. Если же обработка ведётся на ином основании (например, по договору или по закону), оператор должен быть готов показать соответствующий договор, нормативный акт или иной документ, который обосновывает правомерность его действий.

Часть закона устанавливает, что в определённых случаях обработка персональных данных человека (то есть любой информации, относящейся к конкретному физическому лицу, например, имя, дата рождения, адрес, паспортные данные и т.д.) может осуществляться только при наличии его добровольного и осознанного согласия, оформленного в только письменной форме. Это означает, что до начала обработки персональных данных — будь то сбор, хранение, использование, передача или иные действия — организация или лицо, которое планирует такую обработку (оператор), обязано получить от человека (субъекта персональных данных) письменное согласие. Исключения из этого правила возможны только в случаях, прямо предусмотренных федеральным законом (например, при необходимости исполнения государственных или правовых обязанностей). Согласие может быть оформлено как на бумажном носителе, так и в форме электронного документа. При этом электронный документ будет приравниваться к бумажному, если он подписан усиленной квалифицированной электронной подписью, соответствующей требованиям законодательства об электронной подписи. Такая подпись имеет юридическую силу, равную собственноручной подписи на бумаге.

Чтобы согласие было законным и действительным, оно должно содержать обязательные сведения, перечисленные в законе: 1) Данные самого субъекта персональных данных — его фамилия, имя, отчество, адрес места жительства, а также реквизиты документа, удостоверяющего личность (например, паспорта): серия и номер, дата выдачи, наименование органа, выдавшего документ или реквизиты иного документа; 2) Данные представителя (если согласие даётся не самим человеком, а его законным или уполномоченным представителем) — в этом случае необходимо указать ФИО, адрес, паспортные данные представителя, а также реквизиты доверенности или иного документа, подтверждающего его полномочия действовать от имени субъекта; 3) Информация об операторе — то есть о том, кто будет обрабатывать персональные данные. Нужно указать наименование (для организации) или ФИО (для индивидуального предпринимателя), а также адрес его места нахождения, номер в реестре операторов, ИНН; 4) Цель обработки — чётко и понятно сформулировать, зачем нужны персональные данные. Например: «для заключения и исполнения договора», «для предоставления услуг», «для направления информационных рассылок» и т.п. Цель должна быть конкретной, законной и обоснованной, и той, которая указана в Политике по обработке персональных данных у оператора; 5) Перечень персональных данных, на обработку которых даётся согласие. Это могут быть, например, фамилия, имя, отчество, дата рождения, номер телефона, адрес электронной почты, паспортные данные и другие. Перечень должен быть исчерпывающим и соответствовать целям обработки; 6) Информация о третьем лице, которому данные могут быть переданы — если оператор планирует поручить обработку данных другому лицу (например, сторонней компании), необходимо указать его наименование (или ФИО), а также адрес; 7) Перечень действий с данными и способы их обработки — например, сбор, хранение, уточнение, использование, передача, уничтожение. Также нужно кратко описать, каким образом будут обрабатываться данные (например, с использованием автоматизированных систем или вручную); 8) Срок действия согласия — указывается, на какой период данное согласие действительно. Например: «до достижения цели обработки» или «в течение 5 лет». Также необходимо указать, как субъект может отозвать своё согласие (например, направлением письменного заявления по почте или электронной почте). Отзыв согласия не должен быть затруднён; 9) Подпись субъекта персональных данных — это обязательный элемент, подтверждающий, что человек добровольно дал согласие. В случае электронного документа — используется электронная подпись, приравненная к собственноручной. В подписи должно быть: роспись, расшифровка, дата.

Обратите внимание, что отозвав согласие на обработку персональных данных субъект лишает вас права обрабатывать ВСЕ его персональные данные, даже если были даны другие согласия, кроме случаев, которые определены в пунктах 2 – 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона.

Часть закона устанавливает, что если персональные данные человека используются для предоставления ему государственных или муниципальных услуг — например, при оформлении паспорта, регистрации автомобиля, получении льгот или социальных выплат, — необходимо получить его согласие на обработку этих данных. Это требование действует и в тех случаях, когда обработка персональных данных нужна для оказания услуг, без которых невозможно предоставить государственную или муниципальную услугу (например, проверка сведений в налоговой или пенсионном фонде при оформлении пособия). Особенность этого правила в том, что согласие может быть получено в форме электронного документа — то есть не обязательно подписывать бумажный бланк лично. Человек может дать своё согласие дистанционно, через интернет, например, при подаче заявления на портале государственных услуг. Порядок работы портала государственных услуг устанавливаетя Правительством.

Часть закона устанавливает, что если человек, персональные данные которого собираются или обрабатываются (субъект персональных данных), признан недееспособным, он не может самостоятельно давать согласие на обработку своей информации. Недееспособность означает, что по решению суда человек не может понимать значение своих действий или руководить ими из-за психического расстройства, слабоумия или иного состояния здоровья. В таких случаях закон предусматривает, что согласие на обработку персональных данных должен предоставлять законный представитель этого человека. Законным представителем может быть, например, родитель, опекун или попечитель, назначенный в установленном порядке.

Операторы, которые собирают или используют персональные данные (например, медицинские учреждения, банки, образовательные организации и другие), обязаны убедиться в том, что при обработке данных недееспособного человека было получено письменное согласие его законного представителя. Без такого согласия обработка персональных данных является незаконной, за исключением случаев, когда это прямо разрешено законом (например, в целях оказания экстренной медицинской помощи).

Часть закона устанавливает, что если человек, являющийся субъектом персональных данных (то есть лицом, о котором собрана информация), умер, обработка его персональных данных после смерти может продолжаться только при наличии согласия. При этом, если такое согласие не было предоставлено самим человеком при жизни (например, в письменной форме или другим способом, предусмотренным законом), право дать согласие на обработку его персональных данных переходит к его наследникам. На практике это означает следующее: если организация или другое лицо планирует использовать, хранить или передавать персональные данные умершего (например, его имя, дату рождения, медицинские сведения, контактные данные и т.п.), они обязаны получить разрешение от наследников. Наследниками в данном случае признаются лица, вступившие в права наследства по закону или по завещанию. Пока наследники не дадут своё согласие на обработку персональных данных умершего, любая обработка этих данных (за исключением случаев, прямо предусмотренных законом, например, для выплаты на погребение) является незаконной. Операторы обрабатывающие персональные данные, должны соблюдать эту норму и, в случае смерти субъекта данных, убедиться в наличии согласия от наследников либо приостановить обработку, если такое согласие не получено. Именно поэтому крайне важно ограничивать срок обработки персональных данных.

Часть закона устанавливает, что организация или индивидуальный предприниматель, которые осуществляют обработку персональных данных, — может получать персональные данные не только непосредственно от самого субъекта (то есть от человека, к которому эти данные относятся), но и от третьих лиц. То есть, персональные данные могут быть переданы оператору кем-то другим — например, работодателем, родственником, партнёром по договору или иной организацией. Однако такая передача возможна только при соблюдении одного важного условия: лицо, передающее данные (не являющееся субъектом), обязано предоставить оператору подтверждение того, что у него есть законные основания для такой передачи. Эти основания указаны в пунктах 2–11 части 1 статьи 6, а также в частях 2 статьи 10 и части 2 статьи 11 данного закона.

Если кто-то передаёт оператору персональные данные другого человека (например, паспортные данные сотрудника, медицинские сведения или информацию о доходах), он должен доказать, что имеет на это право. Оператор не вправе принимать и использовать персональные данные от третьих лиц без проверки законности их получения. Он обязан запросить и получить от передающей стороны документы или иные доказательства, подтверждающие наличие одного из перечисленных законных оснований. Без таких подтверждений обработка данных будет считаться незаконной.

Часть закона устанавливает, что если человек (субъект персональных данных) даёт согласие на обработку своих персональных данных, при этом разрешает их распространение — например, публикацию, передачу третьим лицам или использование в открытых источниках, — то такое согласие должно быть оформлено определённым образом. Устанавливает форму согласия на распространение персональных данных Приказ Роскомнадзора от 24 февраля 2021 г. № 18 «Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения».

Согласно положениям закона, обработка специальных категорий персональных данных — то есть сведений, касающихся особенно личной и чувствительной информации о человеке — строго ограничена. К таким данным относятся сведения о расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, а также информация, связанная с интимной жизнью человека.

Законодательство запрещает сбор, хранение, использование, передачу и любую другую форму обработки таких данных. Это сделано для защиты основных прав и свобод граждан, поскольку подобная информация может быть использована не по назначению, в том числе для дискриминации, давления или нарушения частной жизни.

Однако запрет не является абсолютным. Существуют отдельные случаи, когда обработка таких данных всё же допускается — но только в тех ситуациях, которые прямо указаны в следующих частях этой статьи (части 2 и 2.1). Эти исключения могут предусматривать, например, необходимость обработки данных с добровольного и осознанного согласия самого субъекта, либо при наличии других законных оснований, установленных федеральными законами (например, в целях здравоохранения, научных исследований при соблюдении определённых условий, или в рамках деятельности профессиональных союзов при защите прав работников).

Таким образом, организация или лицо, планирующее обрабатывать подобные данные, обязано:

• убедиться, что такая обработка действительно необходима;
• проверить, соответствует ли цель обработки одному из разрешённых законом исключений;
• соблюсти все требования, предусмотренные для такого случая (включая получение письменного согласия, обеспечение конфиденциальности, ограничение доступа и т.д.);
• документально подтвердить правовую основу обработки.

Во всех остальных случаях, если нет чёткого указания в законе на возможность обработки, такие действия будут считаться незаконными и могут повлечь административную, гражданско-правовую или даже уголовную ответственность.

Существуют определённые категории персональных данных, которые считаются особенно чувствительными — это сведения о расовой или этнической принадлежности человека, его политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни, генетической и биометрической информации. Из-за высокого риска нарушения прав и свобод человека такие данные находятся под особой защитой закона, и их обработка строго ограничена.

В обычных условиях обработка таких сведений запрещена. Однако в некоторых важных и обоснованных случаях она всё же допускается, но только при соблюдении чётких условий. Закон перечисляет эти исключения, чтобы обеспечить баланс между защитой конфиденциальности и необходимостью выполнять общественные, правовые и государственные задачи.

Например, если человек сам дал своё письменное согласие, он разрешает организации или лицу обрабатывать его особо значимые данные. Это добровольное решение, которое должно быть оформлено письменно и храниться у оператора, как документальное подтверждение законности его действий.

Особые основания предусмотрены для случаев, когда речь идёт о высших жизненных ценностях: если требуется спасти жизнь, здоровье или защитить критически важные интересы человека или других людей, а получить его согласие невозможно — например, при аварии или экстренной медицинской помощи. В таких ситуациях закон позволяет действовать без предварительного разрешения, но только в пределах необходимого объёма.

Медицинские работники могут обрабатывать данные о здоровье пациентов в целях диагностики, лечения или профилактики заболеваний. При этом они обязаны сохранять врачебную тайну, то есть не разглашать полученную информацию, поскольку доверие между врачом и пациентом — основа качественной медицинской помощи и не вмешательства в личную жизнь.

Государственные органы также имеют право на обработку таких данных в строго определённых сферах: при проведении переписи населения, оформлении гражданства, назначении социальных выплат, пенсий, решении вопросов трудоустройства, страховании, а также при реализации мер по обороне, безопасности, противодействию терроризму и коррупции. Эти полномочия действуют только в рамках закона и не могут использоваться произвольно с нарушением полномочий.

Прокуратура вправе обрабатывать персональные данные при осуществлении надзора за исполнением законов, но только если доступ к этим данным предоставлен ей в установленном законом порядке. Суды, правоохранительные органы и службы исполнения наказаний могут использовать такие сведения для установления истины по делам, защиты прав граждан и отправления правосудия.

Религиозные и общественные организации могут обрабатывать данные своих членов для достижения целей, прописанных в их уставах — например, для внутренней коммуникации или организации мероприятий. Однако они не вправе передавать эти данные третьим лицам без письменного согласия каждого участника.

Отдельно выделены случаи, связанные с устройством детей, оставшихся без попечения родителей, в семьи — будь то усыновление, опека или попечительство. Здесь обработка данных необходима, чтобы найти подходящую семью и обеспечить благополучие ребёнка, что является приоритетом для государства.

Наконец, в рамках международных обязательств России — например, при возвращении лиц, незаконно пересекших границу (реадмиссия), — также может потребоваться обработка специальных категорий данных.

Таким образом, закон не запрещает полностью работу с наиболее чувствительными персональными данными, но требует, чтобы каждое такое действие было обосновано, законно, прозрачно и минимально по объёму. Организации и должностные лица, которые сталкиваются с такой информацией, обязаны чётко понимать, на каком основании они её обрабатывают, и неукоснительно соблюдать все требования закона, чтобы защитить права каждого человека и избежать их нарушений.

Существуют определённые категории персональных данных, которые требуют особо бережного отношения. К ним относятся, в том числе и сведения о состоянии здоровья человека. Обычно их обработка строго регулируется, поскольку они затрагивают одну из самых чувствительных сторон личной жизни. Однако закон предусматривает возможность использования таких данных в изменённом виде — если они были обезличены.

Обезличивание — это процесс, при котором из информации удаляются или шифруются все данные, по которым можно было бы установить, о ком именно идёт речь: имя, фамилия, адрес, номера документов и другие идентификаторы, позволяющие определить человека. В результате получается массив информации, в котором уже невозможно узнать конкретного человека, но при этом сохраняются полезные сведения — например, тип заболевания, возрастная группа, результаты лечения, географическое распределение болезней и так далее.

Такие обезличенные данные, касающиеся здоровья, можно использовать, но только в строго определённых целях и при соблюдении чётких правил. Во-первых, их обработка допускается для того, чтобы повышать эффективность государственного или муниципального управления. Например, органы власти могут анализировать такие данные, чтобы лучше понимать, как развивается заболеваемость в регионах, где не хватает врачей, какие медицинские программы работают успешно, а где требуется дополнительная поддержка. Это помогает принимать более точные, научно обоснованные решения в сфере здравоохранения, социальной политики и при планировании бюджета.

Во-вторых, использование таких данных разрешено в рамках специальных экспериментальных проектов, предусмотренных двумя федеральными законами. Один из них касается внедрения технологий искусственного интеллекта в Москве, а другой — создания экспериментальных правовых режимов для цифровых инноваций в России. Эти законы позволяют тестировать передовые технологии — например, алгоритмы, способные выявлять рак на ранних стадиях по медицинским снимкам или прогнозировать вспышки инфекционных заболеваний. Для обучения и проверки таких систем нужны большие объёмы данных, и обезличенные медицинские сведения становятся важным ресурсом — при условии, что конфиденциальность граждан полностью защищена.

Однако даже при наличии таких целей нельзя действовать произвольно. Закон требует, чтобы вся обработка проводилась в порядке и на условиях, установленных в статье 13.1 Федерального закона «О персональных данных», а также в указанных выше законах № 123-ФЗ и № 258-ФЗ. Это значит, что организации, которые работают с такими данными, обязаны:

• обеспечить надёжное обезличивание, исключающее возможность восстановления личности;
• использовать информацию только по прямому назначению — ни в коем случае не для коммерческой выгоды, рекламы или иных целей, не предусмотренных законом;
• соблюдать меры информационной безопасности;
• предоставлять отчёты и проходить проверки уполномоченных органов, включая Роскомнадзор.

Согласно этой части, обработка информации о судимости — то есть сведений о том, был ли человек осуждён за совершение преступления — допускается только в строго определённых случаях и исключительно уполномоченными на то лицами. Это связано с тем, что такие данные относятся к особо чувствительной категории информации, поскольку могут существенно повлиять на права и репутацию человека.

Право на обработку персональных данных о судимости предоставлено, в первую очередь, государственным органам — таким как полиция, прокуратура, суды, органы уголовно-исполнительной системы и другим структурам, выполняющим задачи в сфере правоприменения и безопасности. Муниципальные органы также могут осуществлять такую обработку, но только в рамках тех полномочий, которые им прямо предоставлены законодательством Российской Федерации. Например, если местная администрация участвует в реализации программы по реабилитации осуждённых, она может получать доступ к соответствующим данным, но лишь на законных основаниях и в пределах своей компетенции.

Кроме государственных и муниципальных органов, обрабатывать информацию о судимости могут и другие лица — например, работодатели, образовательные учреждения или частные организации. Однако это возможно только в тех случаях, когда такой порядок прямо установлен федеральными законами и это осуществляется с прямого согласия гражданина. Например, при приёме на работу в детские учреждения, школы или органы внутренних дел работодатель вправе запросить сведения о судимости.

Таким образом, никто не может свободно запрашивать или использовать информацию о судимости гражданина. Даже если у организации есть заинтересованность в таких данных, она обязана действовать только в соответствии с требованиями федерального законодательства: соблюдать порядок получения информации, обеспечивать её конфиденциальность и использовать исключительно по назначению.

Крайне не рекомендуется хранить такие данные у оператора, кроме случаев, когда федеральными законами прямо установлена такая обязанность.

Согласно этой части, если организация или должностное лицо начали обрабатывать такие данные на законных основаниях, предусмотренных законом, они обязаны внимательно следить за тем, сохраняются ли эти основания. Как только причина, по которой обработка была начата, перестаёт существовать, вся работа с этими данными должна быть немедленно прекращена.

Например, если работодатель обрабатывает медицинские сведения сотрудника, потому что тот находится на больничном, то после выздоровления и выхода на работу основание для использования этих данных исчезает. В этот момент работодатель уже не имеет права продолжать использовать, передавать или хранить эту информацию без нового, отдельного правового основания, кроме случая, когда нужно информацию о больничном передать в государственные органы для его оплаты (прямая обязанность установленная законом). При этом сообщать дигноз или хранить его у оператора оснований нет. Поэтому информация о диагнозе должна быть удалена. То же самое касается случаев, когда человек дал согласие на обработку своих данных — если он его отозвал, или цель, ради которой данные собирались, больше не актуальна, дальнейшая обработка становится незаконной.

Слово «незамедлительно» означает, что нельзя откладывать прекращение обработки. Нужно действовать сразу, как только станет ясно, что законные причины больше не действуют. Задержки, даже кратковременные, могут расцениваться как нарушение закона.

Единственное исключение — если федеральный закон прямо предусматривает иное. Например, некоторые данные могут подлежать длительному хранению в архивах или использоваться в научных целях на основании прямых обязанностей оператора определённых федеральными законами (например, налоговым кодексом).

Таким образом, данная часть закона напоминает всем, кто работает с такими данными, о необходимости быть предельно ответственными: обработка сведений допускается только тогда, когда она действительно необходима, и должна немедленно прекращаться, как только эта необходимость исчезает.

Согласно этой части, сведения, которые позволяют установить личность человека на основе его физиологических и биологических особенностей — такие как отпечатки пальцев, изображение лица, голос, данные радужной оболочки глаза или ДНК, — относятся к особой категории персональных данных и называются биометрическими. Эти данные отличаются высокой степенью индивидуальности и могут использоваться для точной идентификации человека, например, при входе в здание, получении доступа к системам или подтверждении личности в государственных или коммерческих сервисах.

Обратите внимание, что фотография, размещённая, например, на публичном сайте, сама по себе не является биометрическими персональными данными, поскольку в данном случае она не используется для целей идентификации или верификации личности оператором. Однако если фотография применяется в системе контроля доступа — например, в системе пропусков, где осуществляется сличение изображения на пропуске с внешностью человека, фактически проходящего на охраняемую территорию, — такая фотография уже подпадает под определение биометрических персональных данных. В этом случае изображение используется именно для установления личности, что соответствует установленному законом критерию.

Закон устанавливает строгие правила их обработки: использование таких данных возможно только в том случае, если человек, чья личность определяется с их помощью, дал на это своё согласие в письменной форме. Это означает, что ни одна организация — будь то работодатель, банк, медицинское учреждение или другой оператор персональных данных — не вправе собирать, хранить или использовать биометрическую информацию без предварительного, добровольного и оформленного документально согласия самого человека.

Письменное согласие должно быть конкретным: в нём должна быть указана цель обработки данных, какие именно сведения будут использованы, кто будет их обрабатывать и как они будут защищаться. Такое требование призвано обеспечить прозрачность и защиту прав граждан, поскольку биометрические данные невозможно изменить, как пароль, и их утечка может привести к серьёзным последствиям для личной безопасности.

Однако закон предусматривает исключения из этого правила. В отдельных случаях, которые будут указаны в следующей части статьи (часть 2), обработка биометрических данных может осуществляться без согласия — например, в целях обеспечения безопасности государства, борьбы с преступностью, защиты жизни и здоровья людей или при исполнении полномочий органов власти, прямо предусмотренных законом.

Таким образом, основной принцип, закреплённый в этой норме, состоит в том, что биометрические данные можно использовать только с разрешения человека, зафиксированного в письменном виде. Это создаёт дополнительный уровень защиты личной информации и гарантирует, что каждый гражданин осознанно принимает решение о предоставлении своих самых важных (с точки зрения неизменности) данных.

Согласно этой части, в определённых случаях обработка биометрических данных может проводиться без согласия субъекта — то есть без специального разрешения самого человека. Эти исключения не носят произвольного характера: они чётко прописаны в законе и связаны с важнейшими функциями государства, направленными на обеспечение безопасности, правопорядка, реализацию международных обязательств и отправление правосудия.

Так, например, если Россия участвует в международных договорах о реадмиссии — то есть о возвращении людей, незаконно покинувших одну страну, обратно в эту страну, — биометрические данные могут использоваться для достоверного установления личности. Это помогает избежать ошибок и предотвратить попытки сокрытия под чужим именем на территории РФ. Без согласия также допускается обработка данных при осуществлении правосудия — например, в ходе судебных процессов, расследований, исполнения решений судов. Сюда же относится и работа судебных приставов, которые могут использовать биометрию для розыска граждан, уклоняющихся от исполнения требований установленных судом.

Ещё один важный случай — обязательная государственная дактилоскопическая регистрация, которая проводится, например, при прохождении военной службы, при оформлении определённых документов или при задержании по подозрению в совершении преступления. Аналогично, в отдельных строго определённых ситуациях возможна государственная геномная регистрация, когда берётся анализ ДНК, например, для установления родства или идентификации лиц в ходе следственных действий, например установление личности убитого на месте преступления или убийцы по их ДНК.

Кроме того, закон разрешает обработку биометрических данных без согласия в широком круге других случаев, связанных с деятельностью государства. Среди них — вопросы обороны страны и национальной безопасности, противодействие терроризму и коррупции, обеспечение транспортной безопасности (например, в аэропортах), оперативно-разыскная деятельность, а также регулирование государственной службы. Также сюда входят уголовное судопроизводство и исполнение наказаний, порядок выезда из России и въезда в неё, вопросы гражданства, правовое положение иностранных граждан, миграционный учёт и даже некоторые аспекты нотариальной деятельности, где требуется надёжное определение личности.

Важно понимать, что эти исключения не дают никому права использовать биометрические данные по своему усмотрению. Каждая такая обработка должна быть прямо предусмотрена законом, иметь конкретную цель и осуществляться только уполномоченными на то лицами и органаами. При этом они обязаны соблюдать меры по защите информации, чтобы предотвратить её утечку, несанкционированное использование или передачу третьим лицам.

Для граждан это означает, что в перечисленных ситуациях предоставление биометрических данных может быть обязательным, а отказ — повлечь правовые последствия. Однако у каждого остаётся право на защиту своих интересов, если станет известно, что данные используются с нарушением закона — например, вне установленных целей или без достаточных оснований.

Согласно этой части, предоставление биометрических данных не может быть обязательным для человека, если только на это нет прямого указания в законе. Это означает, что ни одна организация, будь то банк, интернет-сервис, медицинское учреждение или государственная структура, не вправе требовать от вас сканирование лица, отпечатки пальцев или другие биометрические параметры как условие для получения услуги. Вы всегда можете отказаться от такого способа идентификации, и это не должно повлечь за собой последствия.

Исключения из этого правила возможны только в тех случаях, когда это прямо предусмотрено частью 2 данной статьи закона — например, при оформлении заграничного паспорта, прохождении пограничного контроля или других ситуациях, установленных федеральным законодательством. Только в таких строго определённых законом случаях сбор и использование биометрических данных может быть обязательным.

Кроме того, закон устанавливает: оператор — то есть организация или лицо, которое собирает и обрабатывает персональные данные — не имеет права отказывать человеку в обслуживании, если тот отказался предоставлять биометрическую информацию или не дал согласие на её обработку, кроме случаев, когда это прямо устанавливает закон. Если закон не требует, чтобы вы обязательно сдавали биометрические данные, то ваш отказ не может быть основанием для отказа в предоставлении услуги.

Согласно этой части, передача информации о гражданине за пределы территории Российской Федерации — регулируется строгими правовыми нормами. Согласно закону, такая передача может осуществляться только в том случае, если она соответствует положениям этого закона о персональных данных» и учитывает международные договоры, заключённые Российской Федерацией.

Это означает, что ни одна организация и ни одно лицо не вправе просто так отправить личные данные российских граждан или других субъектов, собранных на территории РФ в другую страну. Прежде чем это сделать, необходимо убедиться, что такая передача разрешена российским законодательством и не противоречит обязательствам России перед другими государствами по международным соглашениям. Например, если Россия подписала договор с определённой страной о взаимном обмене данными при соблюдении определённых условий защиты, то передача возможна только в рамках этих условий.

Кроме того, закон требует, чтобы при передаче за рубеж персональных данных обеспечивалась их защита на уровне, не ниже установленного российскими стандартами. Это касается как технических мер (например, шифрование, безопасность хранения), так и организационных (получение согласия субъекта данных, ведение учёта обработки, контроль со стороны оператора). На практике это означает, что компании, которые используют иностранные сервисы (например, облачные хранилища, CRM-системы или платформы для обработки заказов), должны заранее проверить, можно ли законно направлять туда данные, и принять все необходимые меры для соответствия требованиям законодательства.

Согласно этой части, чтобы защитить конституционные права граждан на конфиденциальность и безопасность их личной информации, государство устанавливает, в какие страны можно направлять персональные данные без дополнительных рисков и разрешений.

Для этого уполномоченный орган — то есть официальная государственная структура, отвечающая за защиту прав субъектов персональных данных (Роскомнадзор), — формирует и утверждает специальный перечень иностранных государств. Эти страны признаются такими, которые обеспечивают достаточный, или, как говорится в законе, адекватный, уровень защиты персональных данных.

Кроме того, закон требует, чтобы при передаче за рубеж персональных данных обеспечивалась их защита на уровне, не ниже установленного российскими стандартами. Это касается как технических мер (например, шифрование, безопасность хранения), так и организационных (получение согласия субъекта данных, ведение учёта обработки, контроль со стороны оператора). На практике это означает, что компании, которые используют иностранные сервисы (например, облачные хранилища, CRM-системы или платформы для обработки заказов), должны заранее проверить, можно ли законно направлять туда данные, и принять все необходимые меры для соответствия требованиям законодательства.

Как определяется, какие страны попадают в этот список? Критерии чёткие и обоснованные. Во-первых, туда автоматически включаются все государства, которые являются участниками Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных. Эта Конвенция — один из ключевых международных документов, устанавливающих высокие стандарты защиты личной информации. Страны, присоединившиеся к ней, обязуются соблюдать эти правила, поэтому их уровень защиты считается надёжным.

Однако в перечень могут попасть и те страны, которые не являются участниками Конвенции. Главное условие — чтобы их законодательство и реальные меры по защите персональных данных соответствовали требованиям этой Конвенции. То есть даже если страна формально не подписала документ, она может быть признана безопасной, если на практике обеспечивает такой же уровень конфиденциальности и безопасности, как и участники Конвенции. Уполномоченный орган проводит тщательную оценку: изучает законы, системы контроля, техническую защиту данных и другие аспекты, прежде чем включить такую страну в перечень.

Что это значит для лиц, которые работают с персональными данными? Перед тем как передавать информацию о гражданах за рубеж — например, при использовании иностранных сервисов хранения данных или при сотрудничестве с зарубежными партнёрами — необходимо проверить, входит ли страна получателя в утверждённый перечень. Если входит, передача допускается в общем порядке. Если нет — потребуется соблюсти дополнительные условия: получить согласие Роскомнадзора на передачу, заключить договор с гарантиями защиты данных или применить иные меры, предусмотренные действующим законодательством.

Согласно этой части, когда оператор планирует передавать персональные данные физических лиц за пределы Российской Федерации, например в другую страну для обработки или хранения, он обязан соблюсти определённую процедуру. До того, как такая передача начнётся, оператор должен официально уведомить уполномоченный орган по защите прав субъектов персональных данных о своём намерении осуществлять трансграничную передачу, через подачу соответствующего уведомления.

Это уведомление подаётся отдельно от основного уведомления о начале обработки персональных данных, которое также требуется по закону. То есть речь идёт о специальном, дополнительном документе, посвящённом именно факту передачи данных за рубеж. В нём оператор указывает, какие данные будут передаваться, в какие страны, кому и при каких условиях. Главное — сделать это до начала самой передачи, чтобы действия соответствовали требованиям закона.

Согласно этой части, любой оператор — то есть организация или индивидуальный предприниматель, который обрабатывает персональные данные, — обязан заранее уведомить уполномоченный орган, в роли которого выступает Роскомнадзор, о своём намерении передавать такие данные за пределы РФ. Это уведомление является обязательным шагом и должно быть направлено до начала самой передачи. Уведомление можно подать либо в бумажной форме, либо в виде электронного документа, но в любом случае оно должно быть подписано лицом, имеющим право действовать от имени оператора, например, руководителем организации или другим уполномоченным представителем, который назначен приказом. Без такой подписи документ не будет считаться действительным.

В содержании уведомления необходимо указать семь конкретных сведений. Во-первых, нужно сообщить полное наименование оператора, его адрес, а также дату и номер того уведомления, которое ранее было направлено в Роскомнадзор при начале обработки персональных данных — это позволяет связать текущее заявление с уже зарегистрированным оператором. Во-вторых, требуется указать информацию о сотруднике, который отвечает за организацию обработки персональных данных: его фамилию, имя, отчество, контактные телефоны, почтовый и электронный адреса. Это необходимо для того, чтобы контролирующий орган мог оперативно связаться с ответственным лицом при необходимости. Далее, в уведомлении должно быть чётко указано правовое основание и цель передачи данных за рубеж. Например, если компания использует иностранный сервис для хранения информации или заключила договор с партнёром из другой страны, она должна объяснить, на каком основании происходит передача и зачем это нужно. Обратите внимание, что цель, которую вы будете вносить в уведомление, должна быть внесена в уведомление по обработке персональных данных ПЕРЕД подачей уведомления об осуществлении передачи данных за пределы РФ. Если цель будет указана в уведомлении о передаче информации зарубеж, а в основном уведомлении она не была указана, то у Роскомнадзора могут появиться вопросы к оператору.

Также важно перечислить, какие именно категории и конкретные виды персональных данных будут передаваться — например, фамилия, имя, отчество, паспортные данные, сведения о доходах или номер телефона. Кроме того, нужно определить, к какой категории относятся лица, чьи данные передаются: это могут быть сотрудники, клиенты, участники маркетинговых акций и другие. Необходимо указать и список тех иностранных государств, на территорию которых планируется передача данных. Это помогает контролировать, в каких юрисдикциях окажутся персональные данные и соблюдаются ли там требования к их защите.

Наконец, оператор обязан провести оценку уровня защиты персональных данных в тех странах и у тех получателей, которым данные будут переданы. То есть он должен убедиться, что иностранные органы власти, компании или частные лица обеспечивают достаточный уровень конфиденциальности и безопасности при работе с данными. В уведомлении нужно указать дату, когда была проведена такая проверка.

Согласно этой части, любой оператор — то есть организация или индивидуальный предприниматель, который планирует передавать персональные данные своих клиентов, сотрудников или других лиц за границу — например, партнёру в другой стране, иностранной компании или государственному органу, — должен получить от иностранной стороны информацию трёх видов. Во-первых, оператор должен запросить у иностранной стороны сведения о том, какие меры она принимает для защиты персональных данных. Речь идёт о технических, программных и организационных средствах — например, шифровании информации, контроле доступа, внутренних политиках конфиденциальности. Также важно узнать, при каких условиях обработка этих данных будет прекращена: когда цель использования будет достигнута, по истечении определённого срока или по требованию самого человека, чьи данные передаются. Во-вторых, если передача осуществляется в страну, которая не является участником Конвенции Совета Европы о защите персональных данных и не включена в специальный перечень государств, признанных Россией как обеспечивающие достаточный уровень защиты, — тогда оператор обязан изучить правовую систему этой страны в области персональных данных. Нужно понять, есть ли в ней законы, регулирующие сбор, хранение и использование личной информации, предусмотрена ли ответственность за их нарушение, есть ли независимый орган, следящий за соблюдением прав граждан. Это позволяет оценить, насколько безопасно передавать туда данные российских граждан. В-третьих, необходимо собрать точные и достоверные контактные и идентификационные данные получателя: полное наименование организации или фамилию, имя и отчество, если это физическое лицо, а также почтовый адрес, номер телефона и электронную почту. Это нужно не только для оформления документов, но и для того, чтобы в любой момент можно было установить связь с получателем, направить запрос или потребовать прекращения обработки данных, если это потребуется.

На практике это означает, что до начала формального уведомления Роскомнадзора оператор должен заранее связаться с иностранным партнёром, направить ему запрос, получить письменные разъяснения, проанализировать законодательство страны (при необходимости — с привлечением юристов), проверить актуальность всех данных и зафиксировать всё полученное. Эти сведения становятся частью внутреннего учёта обработки персональных данных и могут быть запрошены в ходе проверок, как доказательство того, что вы исполнили требования закона.

Согласно этой части, любой оператор — то есть организация или индивидуальный предприниматель, который планирует передавать персональные данные своих клиентов, сотрудников или других лиц за границу — например, партнёру в другой стране, иностранной компании или государственному органу, — обязан быть готовым к тому, что его уведомление о трансграничной передаче может быть проверено уполномоченным органом по защите прав субъектов персональных данных. Это означает, что как крупная международная корпорация, так и небольшое предприятие, использующее облачные сервисы за рубежом, подпадают под действие этой нормы одинаково. Само по себе направление уведомления в уполномоченный орган — лишь первый шаг. Полноценное исполнение законодательства наступает тогда, когда оператор способен подтвердить достоверность указанной информации по запросу.

Если уполномоченный орган сочтёт необходимым уточнить сведения, он направляет оператору официальный запрос. В ответ на него необходимо представить те данные, которые были предусмотрены в пунктах 1–3 части 5 статьи — то есть конкретную информацию о целях передачи, категориях персональных данных, субъектах, а также о лицах, которым данные будут переданы за границу, и мерах по их защите.

Оператор обязан предоставить эти сведения в течение десяти рабочих дней с момента получения запроса. Срок начинает течь со следующего дня после даты получения обращения. При этом важно понимать: речь идёт именно о рабочих днях, без учёта выходных и праздников, и пропуск срока без уважительной причины приравнивается к нарушению законодательства (статья 19.7 КоАП РФ). Однако закон предусматривает разумную гибкость. Если у оператора возникают объективные трудности — например, требуется время для получения подтверждающих документов от иностранного партнёра, согласования информации на уровне холдинга или подготовки перевода текстов, — он вправе продлить срок предоставления сведений. Для этого необходимо направить в адрес уполномоченного органа мотивированное уведомление, в котором чётко и ясно изложены причины задержки. Такое уведомление должно быть отправлено до истечения первоначальных десяти рабочих дней. При этом продление возможно только однократно и не более чем на пять рабочих дней. Это означает, что максимальный срок для предоставления запрашиваемых сведений составляет пятнадцать рабочих дней с даты получения запроса. Более длительные задержки законом не допускаются и могут расцениваться как неисполнение обязанностей. Ответ на запрос должен быть полным, точным и оформлен в соответствии с требованиями уполномоченного органа. Все действия должны фиксироваться, а подтверждение отправки сохраняться в течение установленного срока.

На практике это требует от любого оператора выстроенной внутренней системы взаимодействия с запросами регулятора. Необходимо назначить ответственного сотрудника, обеспечить быструю передачу информации внутри организации, поддерживать в актуальном состоянии все документы, связанные с трансграничной передачей, и иметь чёткий алгоритм действий на случай получения запроса. Особенно это важно для компаний, которые регулярно работают с международными партнёрами. То есть в компании должен быть разработан регламент по взаимодействию с международными организациями и другими лицами (регламентирован бизнес-процесс).

Согласно этой части, трансграничная передача персональных данных — то есть передача информации о гражданах за пределы территории Российской Федерации — может быть временно запрещена или ограничена, если такая передача может повлечь угрозу важнейшим национальным и общественным интересам.

К таким интересам относятся основы конституционного строя страны, включая принципы правового государства, демократии и федерализма; защита нравственности и здоровья граждан; обеспечение их прав и законных интересов; обороноспособность и безопасность государства; экономические и финансовые интересы России; а также защита суверенитета, территориальной целостности и международных позиций страны. Кроме того, ограничения могут вводиться с целью обеспечения защиты прав российских граждан за рубежом с помощью дипломатических и международно-правовых механизмов.

Такой запрет или ограничение не действует по умолчанию. Он вводится только после официального решения уполномоченного органа — Роскомнадзора, которое принимается в установленном порядке и публикуется в доступной форме. С момента принятия этого решения любые действия по передаче персональных данных за границу в отношении указанных стран или получателей должны быть немедленно приостановлены или прекращены.

На практике это означает, что операторы, которые работают с персональными данными — будь то компании, государственные учреждения или предприниматели, — обязаны внимательно следить за информацией от Роскомнадзора. Они должны понимать, куда именно направляются данные, и при наличии соответствующего запрета оперативно реагировать: переводить обработку на серверы в России, менять поставщиков услуг или приостанавливать сотрудничество с иностранными партнёрами.

Государственные и муниципальные органы, осуществляя свою деятельность, часто сталкиваются с необходимостью обрабатывать персональные данные граждан — сведения о физических лицах, такие как ФИО, дата рождения, паспортные данные, адреса и другая личная информация. Чтобы обеспечить эффективную, безопасную и законную работу с такими данными, законодательство устанавливает обязанность для этих органов создавать специализированные информационные системы.

В пределах своих полномочий, то есть в тех сферах, где они имеют право действовать на основании федеральных законов, государственные органы — например, министерства, службы, агентства — и органы местного самоуправления — администрации городов, районов, поселений — обязаны разрабатывать и внедрять государственные или муниципальные информационные системы персональных данных. Эти системы представляют собой организованную совокупность технологий, программного обеспечения, баз данных и процедур, предназначенных для сбора, хранения, использования, передачи и защиты персональных данных.

Создание таких систем не является произвольным решением. Оно должно быть обосновано реальными задачами, возложенными на орган законом: например, учёт населения при предоставлении социальных услуг, ведение реестров получателей льгот, организация электронной записи к врачу или учёт детей в дошкольных учреждениях. При этом каждый орган создаёт систему только в той области, где он уполномочен действовать, и строго в соответствии с нормами федерального законодательства.

На практике выполнение этой нормы выглядит как поэтапный процесс. Сначала орган анализирует, есть ли у него потребность в такой системе и соответствует ли её создание его правовым полномочиям. Затем разрабатывается проект системы с учётом требований к защите информации по Постановлению Правительства РФ от 6 июля 2015 г. № 676.

Суть этой правовой нормы заключается в следующем: федеральные законы, принимаемые на уровне всей страны, могут предусматривать специальные условия, по которым ведётся сбор, хранение и использование персональных данных в информационных системах, созданных органами власти — как федеральными, так и местными. Такие системы используются, например, в здравоохранении, образовании, социальной защите, налоговой службе и других сферах, где требуется работать с данными о гражданах.

Особое внимание в этой норме уделяется тому, как именно определяется принадлежность тех или иных данных конкретному человеку. Вместо того чтобы повсеместно использовать прямые идентификаторы — такие как фамилия, имя, отчество, паспортные данные или ИНН — закон позволяет применять другие, более защищённые способы. Например, в системе может использоваться уникальный условный номер или идентификатор, который однозначно указывает на конкретного человека, но не раскрывает его личность при неполном доступе к данным.

На практике это означает, что когда разрабатывается новый федеральный закон — скажем, о цифровизации здравоохранения или единой системе учёта населения — в него могут быть включены положения, разрешающие или обязывающие использовать именно такие защищённые методы идентификации (цифровой профиль гражданина из ЕГАИС-госуслуг). Например, при обращении гражданина в поликлинику его медицинская карта может быть привязана не к имени, а к уникальному цифровому коду, который хранится в защищённой системе и доступен только уполномоченным лицам.

Суть этой правовой нормы означает, что ни один гражданин не должен сталкиваться с ущемлением своих конституционных прав — будь то право на получение социальной помощи, медицинской услуги, образования или трудоустройства — лишь по причине того, что его данные хранятся в определённой системе, обрабатываются автоматически или временно отсутствуют в электронном виде. Например, если база данных не работает, это не может быть основанием для отказа в выдаче лекарств льготнику. Технические особенности не должны становиться препятствием для реализации прав человека.

Кроме того, закон подчёркивает необходимость уважать человеческое достоинство при работе с персональными данными. В информационных системах, даже внутри технических записей или служебных пометок, запрещено использовать способы обозначения, которые могут оскорбить чувства гражданина или унижать его личность. Это касается любых формулировок, меток, шифров или ярлыков, которые носят пренебрежительный, насмешливый или дискриминационный характер. Например, недопустимо в базе данных называть человека «нарушитель», «бездомный бродяга» или использовать аббревиатуры с уничижительным подтекстом. Такие обозначения противоречат не только закону, но и общим моральным нормам.

На практике выполнение этого требования предполагает, что государственные и муниципальные органы, а также организации, работающие с персональными данными, обязаны выстраивать свою деятельность таким образом, чтобы уважение к личности было не просто декларацией, а реальной частью повседневной работы. Это включает разработку чётких внутренних правил оформления и хранения данных, обучение сотрудников этике обращения с информацией, регулярный контроль за содержанием записей в системах и создание механизмов, позволяющих оперативно исправлять нарушения.

Суть этой правовой нормы означает, что закон предусматривает возможность создания специального инструмента — государственного регистра населения. Этот регистр представлял бы собой единую, надёжную и защищённую базу данных, в которой хранилась бы достоверная информация о каждом гражданине: его фамилия, имя, отчество, дата рождения, место жительства, паспортные данные и другие сведения, относящиеся к персональным данным. Главная цель такого реестра — не сбор информации ради сбора, а обеспечение прозрачности, безопасности и контроля за тем, как используются личные данные граждан в рамках осуществления государственных услуг.

Создание подобного регистра — это не обязательное требование, а возможность, предусмотренная законом на будущее. То есть, сам по себе этот пункт не означает, что регистр уже должен быть создан сегодня. Он говорит о том, что если в интересах граждан будет принято решение о его создании, то такая структура может появиться, но только на основе отдельного федерального закона.

Федеральный орган исполнительной власти, отвечающий за развитие и регулирование информационных технологий в Российской Федерации — такими полномочиями обладает Министерство цифрового развития, связи и массовых коммуникаций, — имеет право на формирование специальных наборов данных в целях повышения эффективности государственного и муниципального управления. Эти наборы создаются из персональных данных, однако только после их надёжного обезличивания, то есть такой обработки, при которой становится невозможным установить, к какому конкретному человеку относятся эти сведения.

Процесс происходит следующим образом: уполномоченный орган получает доступ к персональным данным, например, из государственных информационных систем, но перед тем как использовать их для анализа или планирования, он применяет строгие методы обезличивания. Это может включать удаление всех прямых идентификаторов личности — таких как фамилия, имя, отчество, паспортные данные, ИНН, СНИЛС, номера телефонов и адреса электронной почты. Вместо этого данные группируются по определённым признакам — например, по возрастным категориям, регионам проживания, уровню дохода или частоте обращений за государственными услугами. В результате формируется обобщённая статистическая информация, которая позволяет анализировать тенденции, выявлять потребности населения и разрабатывать более эффективные программы и политики.

Важно, что такие действия разрешены только в случаях, прямо установленных Правительством Российской Федерации. При этом закон устанавливает строгие ограничения. Категорически запрещено формировать такие обезличенные наборы данных из информации, относящейся к особым категориям персональных данных. Речь идёт о сведениях, касающихся расовой или этнической принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также биометрических данных, позволяющих однозначно идентифицировать человека. Исключение делается только для тех случаев, когда использование таких данных прямо разрешено частью 2.1 статьи 10 Федерального закона — например, в целях научных исследований, статистики или здравоохранения, при условии соблюдения всех требований безопасности и конфиденциальности.

На практике это означает, что государственные структуры могут, например, анализировать, сколько людей в возрасте от 30 до 40 лет в разных регионах используют онлайн-услуги, чтобы понять, где нужно улучшать цифровую доступность. При этом ни один аналитик, ни один чиновник не сможет узнать, кто именно из граждан относится к этой группе. Данные остаются обобщёнными, безопасными и не подлежащими использованию в целях, выходящих за рамки утверждённых задач.

Уполномоченный орган в сфере регулирования информационных технологий — то есть федеральный орган исполнительной власти, отвечающий за развитие цифровой среды в стране (Минцифра), — имеет право инициировать формирование так называемых «составов данных». Эти составы представляют собой совокупности обезличенных персональных данных, которые могут использоваться для научных исследований, аналитики, планирования государственной политики или разработки передовых технологий, включая искусственный интеллект.

Для того чтобы такие данные могли быть собраны, уполномоченный орган направляет официальное требование операторам, которые обрабатывают персональные данные. Операторами могут быть различные организации — компании, государственные учреждения, медицинские или образовательные организации и другие лица, осуществляющие обработку информации о гражданах. Однако это требование не распространяется на тех операторов, которые участвуют в особом правовом эксперименте по внедрению технологий искусственного интеллекта в Москве. В этом случае применяются иные правила, установленные отдельным законом (от 24 апреля 2020 года N 123-ФЗ).

Требование, которое направляется операторам, должно быть чётким и конкретным. В нём обязательно указывается, какие именно категории персональных данных, уже подвергнутых процедуре обезличивания, необходимо предоставить. Обезличивание — это процесс, при котором из данных удаляются или изменяются все сведения, позволяющие прямо или косвенно установить личность человека, без использования дополнительной информации. Это делается для обеспечения конфиденциальности и защиты прав граждан. Кроме того, в требовании устанавливается срок, в который оператор должен передать запрашиваемые данные. Передача осуществляется в определённую Правительством Российской Федерации государственную информационную систему, которая находится под управлением уполномоченного органа в сфере информационных технологий. Эта система предназначена для безопасного хранения и использования обезличенных данных в интересах государства и общества.

На практике этот процесс выглядит следующим образом: уполномоченный орган анализирует потребности в данных для решения определённых задач — например, для моделирования транспортных потоков, оценки эффективности медицинских программ или развития цифровых сервисов. После этого он готовит официальное письмо-требование, в котором перечислены нужные категории обезличенных данных и указаны сроки. Оператор получает это требование, проверяет, соответствует ли запрашиваемая информация критериям обезличивания, формирует необходимый массив данных и передаёт его в установленный срок через защищённые каналы в единую государственную систему.

После получения соответствующего требования оператор обязан провести обезличивание в точном соответствии с правилами, которые устанавливаются Правительством Российской Федерации.

Особенно важно, что после обезличивания в данных не должно остаться никакой информации, доступ к которой ограничен законом. Это касается, например, медицинских данных, биометрической информации или другой конфиденциальной информации, которая защищается особыми нормами.

На практике выполнение этого требования выглядит следующим образом. Сначала оператор получает официальное поручение на обезличивание. Затем он изучает действующие государственные нормативы, чтобы понять, какие шаги нужно предпринять. Далее специалисты компании применяют установленные методы — используют программное обеспечение, изменяют или удаляют идентифицирующие данные, проверяют результат. После этого всё документируется: фиксируется, когда и как проводилось обезличивание, кем оно выполнялось, какие именно действия были сделаны.

Закон устанавливает, что если уполномоченный орган в сфере информационных технологий — это Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации — направит оператору соответствующее требование, тот обязан передать эти обезличенные данные в специальную государственную информационную систему. Цель такой передачи — использовать информацию для формирования государственной политики, анализа социально-экономических процессов, обеспечения кибербезопасности и совершенствования цифровых сервисов, при этом без риска нарушить право граждан на конфиденциальность.

Чтобы взаимодействие проходило единообразно и безопасно, Правительство Российской Федерации разрабатывает и утверждает порядок, который определяет, как именно операторы должны взаимодействовать с государственным органом, в каком формате передавать данные, какие технические и организационные меры необходимо соблюдать. При этом этот порядок согласовывается с федеральным органом, отвечающим за безопасность, — с ФСБ России, чтобы гарантировать защиту информации и исключить возможность её несанкционированного использования.

Особое внимание в законе уделяется защите получаемых данных. Уполномоченный орган, принимающий обезличенные сведения, обязан обеспечивать их конфиденциальность и принимать все необходимые меры, чтобы эти данные нельзя было «расшифровать» или связать с конкретными людьми. Это значит, что даже внутри государственных систем доступ к таким данным строго контролируется, а любое использование происходит только в целях, предусмотренных законом.

На практике выполнение этой нормы выглядит следующим образом: оператор получает официальный запрос, проводит обезличивание данных с использованием утверждённых методов, проверяет, что личность субъекта действительно не может быть установлена, и передаёт информацию через защищённые каналы связи в установленном формате. Вся процедура документируется, а подтверждения сохраняются для возможной проверки.

После получения обезличенных данных Минцифры не просто сохраняет их, а обязан организовать их структурированное хранение в специальной государственной информационной системе, находящейся в его ведении. Эта система предназначена для безопасного и централизованного управления массивами данных, чтобы обеспечить их доступность для законного использования при одновременной защите от несанкционированного доступа.

Порядок, по которому эти данные должны быть собраны, классифицированы, проверены и включены в систему, устанавливается Правительством Российской Федерации.

На практике это означает, что когда оператор передаёт обезличенные данные, Минцифры принимает их, проверяет на соответствие установленным требованиям и вносит в свою информационную систему строго в соответствии с утверждённым порядком. Данные группируются, маркируются, интегрируются в общие массивы, но при этом остаются защищёнными и используются только в целях, допустимых законом.

Согласно закону, порядок, по которому пользователям таких систем может быть предоставлен доступ к данным, разработан и официально утверждён Правительством Российской Федерации. Оно издало соответствующий нормативный акт.

Пользователями государственной системы могут быть государственные и муниципальные органы, подведомственные им организации, а также органы внебюджетных фондов. Кроме того, доступ может быть предоставлен гражданам Российской Федерации и российским юридическим лицам, но только при условии выполнения ряда обязательных требований.

Прежде всего, гражданин или организация должны быть включены в реестр операторов обрабатывающих персональные данные. Для юридических лиц важно, чтобы они находились под контролем Российской Федерации, её субъектов, муниципальных образований или граждан России, не имеющих гражданства другого государства. Под контролем понимается возможность определять решения компании — например, через владение более чем 50 процентами голосующих акций или долей в уставном капитале. Это требование исключает влияние иностранных структур на работу организаций, получающих доступ к чувствительной государственной системе.

Также в Едином государственном реестре юридических лиц не должно быть записи о недостоверности сведений об организации. То есть компания должна вести свою деятельность прозрачно, своевременно обновлять данные и избегать ситуаций, когда налоговые или судебные органы признают её действия недобросовестными.

Особое внимание уделяется вопросам безопасности. Ни сам гражданин, ни руководитель юридического лица не должны входить в перечни лиц и организаций, связанных с экстремистской деятельностью, терроризмом или финансированием незаконных структур. Эти списки формируются в соответствии с Федеральным законом от 7 августа 2001 года N 115-ФЗ и находятся под постоянным контролем компетентных органов. Ещё одно важное условие — отсутствие у гражданина или руководителя компании гражданства иностранного государства. Даже наличие второго паспорта, даже если он не используется, является препятствием для получения доступа к системе. Это связано с необходимостью минимизировать риски внешнего влияния.

Кроме того, у заявителя не должно быть неснятой или непогашенной судимости за совершение преступления. Судимость, даже если она была давней, пока не погашена или не снята, делает невозможным получение доступа к системе.

Наконец, в течение последних пяти лет до момента подачи заявки на доступ к системе гражданин или руководитель организации не должен был привлекаться к уголовной ответственности по ряду особо значимых статей Уголовного кодекса — в частности, тем, которые касаются разглашения государственной тайны, незаконного доступа к компьютерной информации, создания вредоносных программ, шпионажа и других действий, угрожающих информационной безопасности.

Согласно этой части, Правительство издало официальный акт — в котором будет подробно описано, как именно должна проходить проверка пользователей. Важно, что при разработке такого порядка Правительство обязано согласовать его с федеральным органом исполнительной власти, уполномоченным в области обеспечения информационной безопасности. Таким органом выступает Федеральная служба безопасности (ФСБ России), отвечающие за защиту информации.

Когда организации, не являющиеся государственными или муниципальными структурами — например, коммерческие компании, частные операторы или некоммерческие организации — собирают, уточняют или обновляют персональные данные своих клиентов, сотрудников или пользователей, они могут передавать эти данные в обезличенной форме в специализированную государственную информационную систему. Обезличивание означает, что из данных удалены или изменены сведения, позволяющие прямо или косвенно установить личность человека, чтобы исключить риск раскрытия его частной жизни. Однако даже после обезличивания существует потенциальный риск того, что при наличии дополнительных данных или с помощью сложных аналитических методов можно попытаться восстановить личность. Поэтому закон устанавливает дополнительные меры предосторожности, особенно если такие данные были собраны или обновлены в течение последних трёх лет до их передачи.

Согласно данному положению, доступ к составам данных, полученным из таких недавно собранных персональных сведений, регулируется по-разному в зависимости от категории пользователей. Государственные органы, муниципальные учреждения и другие организации, выполняющие публичные функции и указанные в первом пункте части 7 статьи, могут получить доступ к этим данным сразу после их передачи в систему. Это необходимо для выполнения ими своих задач — планирования, мониторинга, анализа социально-экономической ситуации, разработки политики и принятия решений в интересах общества и государства.

В то же время другая категория пользователей — к которой относятся, как правило, научные и образовательные организации, исследователи, а также аккредитованные частные струкции, указанные во втором пункте той же части статьи, — получают доступ к таким данным только спустя один год с момента их передачи в государственную информационную систему. Этот временной барьер служит дополнительной гарантией защиты: за прошедший год снижается актуальность данных, уменьшается риск их связывания с конкретными людям, а значит — повышается уровень безопасности персональной информации.

Согласно указанному положению, вся обработка данных — будь то просмотр, редактирование, анализ или иное использование — должна осуществляться исключительно внутри самой государственной информационной системы. Это означает, что сотрудники, имеющие доступ к системе, могут работать с информацией только непосредственно в её пределах, используя предоставленные программные средства и интерфейсы. При этом закон прямо запрещает любые действия, которые связаны с выведением данных за границы этой системы. Так, не допускается запись данных на внешние носители, их копирование в другие программы, отправка по электронной почте, передача через мессенджеры, распечатка без специального разрешения, а также предоставление доступа к этим данным третьим лицам вне установленного порядка. Запрет распространяется на любые формы извлечения, распространения, предоставления или передачи составов данных, даже если это делается с благими намерениями или по запросу других структур.

На практике это требует от уполномоченного органа внедрения комплекса мер, направленных на защиту информации. Технически система должна быть устроена так, чтобы исключить возможность копирования или экспорта данных. Организационно — доступ к системе предоставляется только тем сотрудникам, которым это необходимо для выполнения служебных задач, при этом их действия фиксируются системой аудита. Каждое обращение к данным регистрируется, чтобы при необходимости можно было установить, кто и когда выполнял те или иные операции. Кроме того, персонал, работающий с такой системой, проходит обязательное инструктирование и обучение, в ходе которого ему разъясняется, что любое извлечение данных за пределы системы, даже в виде скриншота или распечатки, является нарушением закона и может повлечь за собой дисциплинарную, административную или даже уголовную ответственность.

Суть нормы заключается в том, что даже если у организации или физического лица есть доступ к данным и правовая возможность их обрабатывать, делать это разрешается только в том случае, если такая обработка не повлечёт вреда. Под вредом понимаются самые разные последствия: угроза жизни и здоровью людей, распространение информации, оскорбляющей общепринятые моральные нормы, нарушение прав граждан — например, их права на частную жизнь, честь или достоинство, — а также ущерб интересам организаций. Кроме того, недопустимо причинение вреда окружающей среде, объектам культурного наследия, обороне страны и её безопасности. Особое внимание в этом положении уделяется вопросам государственной безопасности. Если использование результатов обработки данных может затронуть оборону или безопасность государства, полномочия по принятию решений переходят к федеральному органу исполнительной власти, уполномоченному в этой сфере — речь идёт о Федеральной службе безопасности. Такой орган вправе запретить предоставление или дальнейшее использование полученных результатов, если сочтёт их потенциально опасными.

На практике это означает, что любая организация, которая работает с большими объёмами данных — будь то персональные сведения, аналитические выводы или результаты работы искусственного интеллекта, — обязана заранее оценить, к каким последствиям может привести их обработка. Например, если компания разрабатывает систему распознавания лиц или анализирует поведение пользователей в интернете, она должна проверить, не может ли эта технология быть использована с нарушением прав человека, не приведёт ли к дискриминации, не создаст ли угрозу конфиденциальности или не будет ли применена способом, опасным для национальной безопасности.

Суть нормы заключается в том, что любая информация, которая была получена в результате сбора, анализа, систематизации или иной обработки данных, не может быть направлена за пределы страны, если только для этого нет специального разрешения.

Ограничение действует как мера защиты национальных интересов, безопасности и суверенитета государства. Оно направлено на то, чтобы предотвратить возможный вынос из России информации, которая, даже будучи обобщённой или аналитической, может иметь стратегическое значение. Речь может идти, например, о результатах статистических исследований, экономических отчётах, данных о населении, инфраструктуре, экологии или других сферах, где обработка информации позволяет делать выводы, важные для функционирования государства. Однако закон предусматривает исключения. Передача таких результатов обработки допускается только в трёх случаях: если она предусмотрена международным договором, в котором участвует Российская Федерация; если прямо разрешена федеральным законом; либо если дана санкция Президента Российской Федерации в виде официального решения. Без одного из этих оснований передача считается незаконной.

На практике это означает, что любая организация или должностное лицо, которые работают с данными и могут оказаться в ситуации, когда требуется их передача иностранной стороне, обязаны заранее убедиться в правомерности таких действий. Необходимо проверить, подпадает ли передаваемая информация под стратегическую информацию, которая может нанести ущерб обществу или государству, кто является получателем и есть ли одно из трёх разрешающих условий. Если такового нет, передачу осуществлять нельзя.

Для соблюдения требования на предприятиях и в учреждениях рекомендуется внедрять внутренние процедуры контроля: проводить оценку рисков, создавать списки типов данных, подлежащих особой защите, и устанавливать чёткие правила согласования международных обменов информацией. В спорных случаях следует обращаться за консультацией к юристам или в соответствующие государственные органы, чтобы избежать нарушений.

Субъект персональных данных — то есть любой человек, о котором собирается и используется личная информация, — имеет законное право знать, как именно обрабатываются его персональные данные. Он вправе запросить у организации или лица, которое собирает и использует его информацию (оператора), сведения о том, какие именно персональные данные о нём хранятся, с какой целью они обрабатываются, как долго будут храниться, кому могут быть переданы и на каком основании. Это право является важным элементом защиты частной жизни и обеспечивает прозрачность действий тех, кто работает с личной информацией.

Однако это право не является безусловным. В отдельных случаях, предусмотренных законом, оператор может отказать в предоставлении такой информации. Например, если доступ к данным ограничен в целях обеспечения безопасности государства, при проведении оперативно-разыскных мероприятий или в других ситуациях, прямо указанных в части 8 этой статьи.

Помимо права на получение информации, человек может требовать от оператора уточнения своих персональных данных, если они содержат ошибки или являются неполными. Он также вправе потребовать их блокирования — временного приостановления обработки — или полного удаления, если данные устарели, больше не нужны для заявленных целей, были получены незаконно или используются с нарушением закона. Такие меры позволяют субъекту защищать свою репутацию, избегать недостоверных сведений и контролировать, чтобы его личная информация не использовалась вопреки его интересам.

Если оператор игнорирует запросы или отказывается выполнять требования, не имея на то законных оснований, субъект персональных данных может воспользоваться предусмотренными законом способами защиты своих прав. К ним относятся обращение в уполномоченный государственный орган — Роскомнадзор — или подача иска в суд либо жалобу в прокуратуру. Эти механизмы обеспечивают реальную возможность отстаивать свои права в случае их нарушения.

На практике реализация этих прав начинается с направления письменного запроса оператору. Запрос должен быть составлен ясно и конкретно: указаны фамилия, имя, отчество, контактные данные, суть обращения — например, просьба предоставить информацию об обработке данных или их удалении. Оператор должен определить порядок по возможности обращения. То есть должна быть разработана официальная процедура, которая включается в политику в отношении обработки персональных данных. Оператор обязан рассмотреть обращение и дать ответ в течение 10 рабочих дней. Ответ должен быть мотивированным, особенно в случае отказа. С этим ответом субъект персональных данных имеет право на защиту своих прав.

Когда человек хочет узнать, какие сведения о нём хранятся в той или иной организации — например, в банке, у работодателя, в интернет-магазине или медицинской клинике, — закон даёт ему на это право. Организация, которая собирает и использует эти данные, обязана ответить: зачем она обрабатывает информацию, какие именно данные у неё, кому они могут передаваться и сколько времени хранятся.

Но сделать это нужно правильно. Ответ должен быть понятным и конкретным. При этом в таком ответе не должно быть информации о других людях. Например, если человек работал в команде, участвовал в сделке с поручителем или лечился в одной палате с другими пациентами — нельзя просто переслать копию документа, где указаны фамилии, телефоны или паспортные данные третьих лиц. Это является разглашением данных.

Единственное исключение — если есть законное основание раскрыть чужие данные. Например, если другой человек сам согласился, если суд потребовал предоставить информацию, или если это необходимо для защиты жизни, здоровья или в рамках уголовного дела.

На практике организация перед отправкой ответа внимательно проверяет, нет ли в документах упоминаний о других людях. Если такие есть — их убирают, заменяют на общие формулировки или оставляют только ту часть, которая относится непосредственно к самому заявителю (делают выписку). Ответ должен быть направлен тем каналом связи, который указан в заявлении субъекта персональных данных. Обратите внимание, что ответы лучше всего сохранять, так как проверяющие органы могут их запросить, если им будет направлена жалоба.

Данная часть закона регламентирует порядок предоставления информации о персональных данных субъекту этих данных или его представителю.

Когда человек обращается к организации (оператору), которая обрабатывает его персональные данные, он имеет право получить информацию о них. Организация обязана предоставить эти сведения в строго определённые сроки.

Основной срок предоставления информации составляет 10 рабочих дней с момента получения запроса. Однако закон предусматривает возможность увеличения этого срока ещё на 5 рабочих дней. Но для этого организация должна направить субъекту персональных данных специальное уведомление, где подробно объясняются причины задержки.

Чтобы получить запрашиваемую информацию, человек должен правильно оформить свой запрос. В нём необходимо указать:

• данные документа, удостоверяющего личность (номер, дата выдачи, орган выдачи);
• доказательства того, что человек действительно взаимодействовал с организацией (например, номер договора, дата его заключения);
• личную подпись.

Запрос можно направить как в письменной форме, так и в электронном виде. В случае электронного обращения требуется электронная подпись. Организация обязана предоставить ответ в той же форме, в какой был получен запрос. Например, если запрос был отправлен по электронной почте, ответ также должен быть направлен электронно. Однако человек может указать в запросе и другую предпочтительную форму получения информации.

На практике это работает следующим образом: человек собирает необходимые документы, подтверждающие его личность и взаимодействие с организацией, составляет запрос и направляет его. Организация, получив запрос, проверяет его корректность и в установленный срок предоставляет запрашиваемые сведения в указанном формате.

Каждый человек, чьи персональные данные обрабатываются какой-либо организацией (субъект персональных данных), имеет право узнавать информацию о своих данных. Однако закон устанавливает определённые правила для повторного обращения за такой информацией.

Когда человек впервые обращается к организации (оператору) с запросом о своих персональных данных, оператор обязан предоставить запрашиваемую информацию. После этого повторное обращение возможно не раньше чем через 30 календарных дней.

Этот тридцатидневный срок может быть уменьшен в нескольких случаях:

• если такой срок установлен федеральным законом;
• если он прописан в соответствующем нормативном правовом акте;
• если он указан в договоре, где человек выступает стороной, выгодоприобретателем или поручителем.

Есть ситуация, когда можно обратиться раньше установленного срока — если при первом обращении вы не получили всю запрашиваемую информацию в полном объёме. В этом случае нужно будет обосновать причину повторного обращения.

Такие правила введены для того, чтобы:

• предотвратить частые и необоснованные обращения;
• дать операторам время на обработку запросов;
• оптимизировать работу с обращениями граждан;
• обеспечить более эффективное управление персональными данными.

Допустим, вы обратились в банк 1 сентября за информацией о своих персональных данных. Банк предоставил вам ответ. Повторно обратиться в банк с таким же запросом вы сможете только после 1 октября (через 30 дней).

Законодательство предоставляет субъекту персональных данных возможность повторно обратиться к оператору в случае, если при первичном обращении он не получил всю необходимую информацию в полном объеме. Это право действует до момента истечения срока (30 дней), установленного законом для первоначального ответа.

Повторное обращение возможно в следующих случаях:

• субъект не получил полную информацию по своему первоначальному запросу;
• срок ответа на первоначальный запрос (30 дней) ещё не истёк;
• существует необходимость в получении дополнительных сведений об обработке персональных данных.

Важно учитывать следующие временные рамки:

• повторный запрос должен быть направлен до истечения срока (30 дней), установленного для ответа на первоначальный запрос;
• оператор обязан рассмотреть повторный запрос в установленные законом сроки (10 рабочих дней);
• при нарушении сроков рассмотрения субъект имеет право на обжалование действий оператора.

При подготовке повторного обращения необходимо учесть следующие моменты. В новом запросе нужно:

• повторить всю информацию из первоначального обращения;
• чётко обосновать причину повторного обращения;
• конкретизировать запрашиваемые сведения;
• ссылаться на соответствующие нормы закона (на эту статью).

Для эффективной работы с повторными запросами рекомендуется:

• сохранять копии всех предыдущих обращений и ответов на них;
• тщательно формулировать перечень недостающей информации;
• подготавливать документальные подтверждения необходимости получения запрашиваемых сведений;
• фиксировать факт отправки каждого обращения;
• отслеживать сроки ответа на запросы.

Повторный запрос может быть представлен в двух форматах:

• в письменной форме с личной подписью направленной почтовым отправлением;
• в электронном виде с использованием электронной подписи.

В документе необходимо указать: полные данные субъекта персональных данных; информацию об операторе; конкретный перечень запрашиваемых сведений; подробное обоснование необходимости повторного обращения.

Данное положение регулирует процедуру взаимодействия между субъектами персональных данных и операторами при повторном обращении за информацией о персональных данных.

Право оператора на отказ в выполнении повторного запроса возникает в следующих случаях:

• запрос не соответствует условиям, установленным законом (см. части 4 и 5);
• запрос направлен с нарушением установленных сроков (см. части 4 и 5);
• запрос не содержит необходимых обоснований.

При отказе оператор обязан предоставить мотивированное объяснение причин отказа.

Субъект персональных данных вправе получить у оператора информацию, связанную с обработкой его персональных данных. Данное положение направлено на обеспечение прозрачности процессов обработки персональных данных, а также на реализацию права субъекта на доступ к информации о себе, что является важным элементом защиты его прав и законных интересов.

В соответствии с указанной нормой, может быть запрошена следующая информация:

• подтверждение факта осуществления оператором обработки персональных данных субъекта;
• правовые основания и цели обработки персональных данных;
• цели обработки, а также способы, применяемые оператором при обработке персональных данных;
• наименование и место нахождения оператора, а также сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым такие данные могут быть раскрыты на основании договора с оператором либо в соответствии с требованиями федеральных законов;
• перечень обрабатываемых персональных данных, относящихся к конкретному субъекту, и источник их получения, если иной порядок представления таких сведений не установлен федеральным законом;
• сроки обработки персональных данных, включая сроки их хранения;
• порядок реализации субъектом персональных данных прав, предусмотренных настоящим Федеральным законом;
• информацию о факте осуществлённой или предполагаемой трансграничной передачи персональных данных;
• наименование (фамилию, имя, отчество) и адрес лица, осуществляющего обработку персональных данных по поручению оператора, в случае, если такая обработка поручена или планируется быть поручена указанному лицу;
• сведения об исполнении оператором обязанностей, установленных статьёй 18.1 настоящего Федерального закона, включая меры по обеспечению безопасности персональных данных;
• Иные сведения, предусмотренные настоящим Федеральным законом или иными актами федерального законодательства.

• запрос не соответствует условиям, установленным законом (см. части 4 и 5);
• запрос направлен с нарушением установленных сроков (см. части 4 и 5);
• запрос не содержит необходимых обоснований.

Для реализации данного права субъект персональных данных вправе направить письменный запрос или запрос в электронной форме оператору, с приложением документов, подтверждающих его личность и полномочия. Запрос может быть подан лично, направлен по почте, через официальный сайт оператора (при наличии технической возможности) или иным доступным способом, обеспечивающим фиксацию обращения.

Оператор обязан рассмотреть запрос в 10 рабочих дней и предоставить запрашиваемую информацию. В случае необходимости продления срока рассмотрения до 15 рабочих дней оператор уведомляет субъекта о причинах задержки.

Предоставляемая информация должна быть достоверной, полной и изложенной в понятной форме. Ответ подлежит оформлению в письменном виде или в форме электронного документа, подписанного уполномоченным лицом оператора электронной подписью.

В случае неполучения ответа, предоставления неполной или недостоверной информации, субъект персональных данных вправе обратиться с жалобой в уполномоченный орган по защите прав субъектов персональных данных — Роскомнадзор либо прокуратуру, а также в судебном порядке защитить свои права.

Если организация, предприниматель или иной оператор планирует использовать персональные данные для того, чтобы продвигать свои товары, услуги путём прямых контактов с людьми — например, звонить, отправлять SMS, писать в мессенджеры или рассылать электронные письма, — он обязан получить предварительное согласие самого субъекта персональных данных. Это означает, что до любого контакта человек должен ясно и добровольно выразить свою волю на получение такой информации. Простое наличие данных, например, потому что человек когда-то сделал заказ или подписался на новости, не даёт права использовать эти данные для рекламы.

Особое значение имеет то, что бремя доказывания наличия согласия лежит на самом операторе. Если гражданин заявит, что он не давал согласия на получение рекламы, но продолжает получать сообщения, Роскомнадзор потребуют от оператора доказательства обратного. Оператор должен быть готов предоставить подтверждённые документы: подписанные анкеты, записи голосового согласия, логи регистрации на сайте с чётко обозначенной галочкой о согласии на рассылку и другими достоверными материалами. Если таких доказательств нет, закон считает, что согласия не было, даже если компания утверждает, что человек «подразумевал» своё согласие.

На практике это требует от организаций выстроить прозрачную и юридически корректную систему сбора и хранения согласий. Например, при оформлении заказа на сайте должна быть отдельная галочка, не отмеченная по умолчанию, с понятной формулировкой: «Я согласен на получение рекламных сообщений по email и SMS». При личном общении — письменное заявление или запись разговора с информированием о том, что согласие фиксируется. Все эти данные нужно надёжно хранить, чтобы при необходимости подтвердить законность обработки.

Речь идёт о прекращении именно той обработки, которая была указана в предыдущей части статьи — это рассылка рекламы, участие в маркетинговых исследованиях. Если человек сказал: «Я больше не хочу, чтобы мои данные использовали для этих целей» — организация обязана уважить этот выбор и удалить данные для рассылки.

На практике это выглядит следующим образом. Представим, что человек зарегистрировался на сайте и дал согласие на получение новостных писем и специальных предложений. Через некоторое время он решил, что больше не хочет получать такие сообщения. Он отправляет оператору простое заявление — например, через электронную почту или форму на сайте: «Прошу прекратить обработку моих персональных данных для целей прямого маркетинга». В этот момент оператор обязан без промедления исключить адрес электронной почты и другие контактные данные этого человека из всех рассылок, заблокировать их использование в рекламных целях и обеспечить, чтобы информация больше не передавалась партнёрам для аналогичных задач.