Согласие на распространение персональных данных нужно сайту каждый раз, когда он публикует сведения о конкретном человеке для всех: ФИО и фото сотрудников на странице "Команда", карточки врачей и мастеров, отзывы клиентов с именем и фото, кейсы с цитатой представителя заказчика. Это требование статьи 10.1 закона 152-ФЗ, и обычное согласие на обработку данных его не заменяет. Оформляется оно отдельным документом, и в нём должен быть адрес страницы, где данные появятся.
Здесь чаще всего и спотыкаются. Согласие у формы заявки стоит, политика опубликована, а страница с двенадцатью фотографиями сотрудников держится на трудовых договорах. Ниже - какие страницы сайта требуют такого согласия, что в нём писать по приказу Роскомнадзора, как собрать его у сотрудника, клиента и автора отзыва, и что делать, когда человек уволился или передумал.
Какие страницы сайта требуют согласия на распространение
Распространение в законе - действия, направленные на раскрытие данных неограниченному кругу лиц. Публичная страница сайта - ровно такой круг. Пройдитесь по сайту с этой таблицей.
| Что на сайте | Нужно ли согласие на распространение | Почему |
|---|---|---|
| Страница Команда: ФИО, фото, должность | Да, от каждого сотрудника | Человек узнаваем, данные открыты всем; плюс согласие на изображение по статье 152.1 ГК |
| Карточки врачей, мастеров, тренеров с образованием и стажем | Да | К ФИО добавлены биография и квалификация |
| Отзыв клиента с именем, фамилией и фото | Да | По таким сведениям человека можно узнать |
| Отзыв с подписью Анна без фото | Как правило, нет | Одно имя человека не определяет |
| Видеоотзыв | Да | Лицо и голос узнаваемы |
| Кейс с ФИО и должностью представителя заказчика | Да, от этого человека | Согласие компании-заказчика не заменяет согласие её сотрудника |
| Скриншот отзыва с Яндекс Карт с именем и аватаром | Да, если имя и фото видны | Автор публиковал отзыв на другой площадке, а не на вашем сайте |
| Фото с вашего мероприятия, где видны участники | Да, если люди узнаваемы и в центре кадра | Для общих планов публичных мероприятий в ГК есть исключение |
| Логотипы клиентов | Нет | Это сведения о компаниях, а не о людях |
Строка про скриншоты с Карт заслуживает отдельного слова. Часть 2 статьи 10.1 говорит: если человек сам раскрыл свои данные, не дав согласия по этой статье, то каждый, кто их распространяет дальше, должен сам доказать, что делает это законно. Автор написал отзыв на Яндекс Картах. На ваш сайт он его не отдавал. Безопаснее показывать такие отзывы без имени и аватара или через виджет площадки, где отзыв остаётся у неё.
Как отличить персональные данные от неперсональных в спорных случаях, разобрано в нашей статье что относится к персональным данным, с таблицей на три десятка примеров.
Что должно быть в согласии
Требования к содержанию утвердил приказ Роскомнадзора от 24 февраля 2021 года № 18. Он действует с 1 сентября 2021 года до 1 сентября 2027 года. В согласии должны быть:
- Фамилия, имя, отчество человека.
- Его контакты: телефон, почта или почтовый адрес.
- Сведения об операторе: для компании наименование, адрес по ЕГРЮЛ, ИНН и ОГРН, для ИП ФИО, ИНН и ОГРНИП.
- Адреса информационных ресурсов, через которые данные будут доступны, вплоть до протокола, домена и пути к странице.
- Цель или цели обработки.
- Категории и перечень данных, которые человек разрешает распространять.
- Данные, для которых человек устанавливает условия и запреты, и сами эти условия, если он их задал.
- Условия передачи данных внутри компании, если человек их задал.
- Срок действия согласия.
Пункт 4 - самый практичный и самый пропускаемый. Нельзя написать "на сайте компании". Нужен адрес: https://site.ru/komanda/. Переехали на новый домен или перенесли страницу в другой раздел - формально нужен новый документ. Если сотрудник появляется ещё и в карточке услуги, и в блоге, перечислите все адреса сразу.
Пункт 6 означает, что человек выбирает сам. Он может разрешить фото и имя, но не фамилию. Или фамилию и должность, но не фото. Часть 9 статьи 10.1 запрещает оператору отказывать в таких запретах. Поэтому бланк с одной галочкой "разрешаю всё" требованию не отвечает: в нём должны быть отдельные строки под каждую категорию.
Как это выглядит собранным в один абзац для страницы команды:
Я, [фамилия, имя, отчество], телефон [номер], даю согласие ООО "[название]" (адрес по ЕГРЮЛ [адрес], ИНН [номер], ОГРН [номер]) на распространение моих персональных данных на страницах https://site.ru/komanda/ и https://site.ru/uslugi/[раздел]/ в целях знакомства клиентов со специалистами компании. Разрешаю распространять: фамилию - да/нет, имя - да/нет, отчество - да/нет, должность - да/нет, образование и стаж - да/нет, фотографию - да/нет. Запреты и условия: [например, без передачи третьим лицам]. Согласие действует до [дата] или до моего требования прекратить распространение.
Это иллюстрация того, как пункты приказа ложатся в текст, а не готовый бланк на все случаи. Если в компании есть юрист, отдайте ему формулировку целей и срока.
И три правила из самой статьи 10.1, которые полезно держать в голове:
- согласие оформляется отдельно от иных согласий, строчка "разрешаю публикацию" в общем согласии на обработку не работает;
- молчание и бездействие согласием не считаются ни при каких обстоятельствах, так что "если не возражаете, разместим" не годится;
- условия и запреты, которые человек установил, оператор публикует не позже трёх рабочих дней с момента получения согласия.
Как собрать согласие у сотрудника, клиента и автора отзыва
Сотрудник. Отдельный бумажный или электронный документ при приёме на работу или до публикации, с перечнем данных построчно и адресами страниц. Отдельно по статье 152.1 ГК - согласие на использование изображения, его удобно включить в тот же документ отдельным пунктом. Согласие может быть дано непосредственно оператору, то есть вам, или через информационную систему Роскомнадзора: на портале pd.rkn.gov.ru для этого есть раздел "Согласие на обработку ПД, разрешённых для распространения".
Клиент для кейса. Согласие берут у конкретного человека, чьё имя, должность и цитата появятся в кейсе. Письмо от компании "не возражаем против кейса" касается компании, а не её сотрудника. Если цитата идёт без фамилии и фото, вопрос снимается.
Автор отзыва через форму на сайте. Самый удобный случай: человек сам приносит данные. В форме отзыва нужен отдельный флажок, не проставленный заранее, со ссылкой на текст согласия на распространение. В тексте указан адрес страницы с отзывами и перечень того, что будет видно: имя, фамилия, фото, город. Флажок согласия на обработку, который стоит у той же формы, - другой документ, и совмещать их нельзя. Как не ошибиться с самим флажком, мы разбирали отдельно.
Короткая проверка готового бланка: есть ли в нём адрес страницы, можно ли выбрать данные по отдельности, есть ли срок, отдельный ли это документ. Четыре "да" - бланк рабочий.
Человек передумал или уволился
Часть 12 статьи 10.1 позволяет человеку в любой момент потребовать прекратить распространение. В требовании он указывает ФИО, контакты и перечень данных. Согласие перестаёт действовать с момента, когда требование пришло оператору. Если данные распространяет кто-то другой с нарушением, он обязан прекратить в течение трёх рабочих дней после требования.
С увольнением сложнее, потому что закон про него отдельно не говорит. Согласие может формально действовать до конца указанного срока, но цель "представить сотрудника клиентам" с увольнением исчерпана, а данные, цель обработки которых достигнута, не хранят. На практике фото и карточку убирают в день увольнения. Не забудьте про копии: превью в соцсетях, PDF-презентации на сайте, страницы в веб-архиве, которые вы можете попросить удалить.
Что мы увидели на сайтах
Мы посмотрели главные страницы 149 русскоязычных сайтов из базы нашей бесплатной проверки. У 30 на главной есть блок или ссылка на страницу команды, специалистов или врачей. У 43 - блок или страница отзывов клиентов. Хотя бы одно из двух есть у 56 сайтов.
Дальше мы открыли политики обработки данных тех из них, где политика открывается и ведёт на настоящий текст. Таких сайтов с командой или отзывами набралось 45. Данные, разрешённые для распространения, упомянуты в политике у 15 из 45. Само согласие снаружи увидеть нельзя, оно лежит в кадровой папке или в базе формы. Но если политика молчит о распространении, а на сайте висят двенадцать лиц с фамилиями, это первое, что заметит проверяющий.
Распознавали мы по тексту и адресам ссылок на главной, поэтому часть страниц команды, спрятанных глубже в меню, в счёт не попала. Реальная доля скорее выше.
Что из этого видно при проверке сайта
Отдельной строки за распространение без согласия в статье 13.11 КоАП нет. Его квалифицируют либо как обработку без законного основания, это часть 1, для компании от 150 до 300 тысяч рублей, либо как обработку без письменного согласия там, где оно обязательно, это часть 2, от 300 до 700 тысяч. Какую часть применят, зависит от обстоятельств. Как складываются суммы на обычном сайте, мы считали отдельно.
Наша экспресс-проверка сайта по закону о персональных данных согласий сотрудников не видит, это бумаги внутри компании. Ей доступно то, что снаружи: формы с флажками, политика, баннер о cookie, зарубежные сервисы, реквизиты. Форма отзывов попадает в эту проверку как обычная форма. Восемь пунктов, светофор, без регистрации. Страницу "Команда" после неё всё равно стоит пройти глазами, с этой статьёй под рукой.
вопросы
Частые вопросы
01Что такое согласие на распространение персональных данных?
Это отдельное согласие человека на то, чтобы его данные стали доступны неограниченному кругу лиц, например опубликованы на сайте. Его требует статья 10.1 закона 152-ФЗ. Оно оформляется отдельно от других согласий, человек сам выбирает, какие данные разрешает публиковать, и может установить запреты.
02Нужно ли согласие сотрудника, чтобы разместить его фото на сайте?
Да. Фото с ФИО и должностью на странице Команда - это распространение персональных данных, нужен отдельный документ по статье 10.1 с адресом страницы, где их опубликуют. Кроме того, статья 152.1 Гражданского кодекса требует согласия на использование изображения. Трудовой договор и общее согласие на обработку данных его не заменяют.
03Можно ли объединить согласие на распространение с согласием на обработку?
Нет. Часть 1 статьи 10.1 прямо требует оформлять его отдельно от иных согласий. Один бланк на всё или строчка о публикации внутри общего согласия этому требованию не отвечают.
04Что должно быть в согласии на распространение?
По приказу Роскомнадзора от 24.02.2021 № 18: ФИО и контакты человека, сведения об операторе, адреса страниц сайта, где будут опубликованы данные, цели, перечень данных, условия и запреты, если человек их установил, и срок действия согласия.
05Сколько действует согласие на распространение и как его отозвать?
Столько, сколько указано в самом согласии. Человек может в любой момент потребовать прекратить распространение, и согласие перестаёт действовать с момента, когда требование пришло оператору. Любое лицо, которое публикует данные с нарушением, должно прекратить это в течение трёх рабочих дней после требования.
06Нужно ли согласие, чтобы опубликовать отзыв клиента на сайте?
Если в отзыве имя с фамилией, фото, должность или другие сведения, по которым человека можно узнать, - да. Проще всего взять его прямо в форме отзыва: отдельный флажок со ссылкой на текст согласия, где указан адрес страницы с отзывами. Отзыв без имени и фото согласия на распространение не требует.
Источники
- Статья 10.1 закона 152-ФЗ: отдельное согласие, молчание, способы дачи, запреты, три рабочих дня, прекращение по требованию: consultant.ru.
- Приказ Роскомнадзора от 24.02.2021 № 18, перечень сведений в согласии и срок действия приказа, разбор: its.1c.ru.
- Раздел портала Роскомнадзора для согласий на распространение: pd.rkn.gov.ru/soglasiya.
- Статья 152.1 Гражданского кодекса, охрана изображения гражданина и исключения для публичных мероприятий: текст статьи.
- Наша выборка, 17.10.2026: главные страницы 149 русскоязычных сайтов из базы бесплатной проверки и их политики обработки данных. Итоги без названий сайтов.