справочник 14 ноября 2026 По состоянию на 14 ноября 2026

Достижение целей договора как основание (ст. 6 п. 5)

Достижение целей договора — одно из одиннадцати правовых оснований обработки персональных данных по ст. 6 ФЗ-152: оператор вправе обрабатывать ПДн без отдельного согласия субъекта, если это необходимо для исполнения договора, стороной которого является субъект, или для заключения договора по его инициативе.

Ошибка в выборе основания — штраф по ч. 1 ст. 13.11 КоАП от 150 000 до 300 000 ₽ за обработку, не предусмотренную законом. При повторном нарушении — до 500 000 ₽ по ч. 1.1.

→ Если вы юрист и проверяете комплаенс компании — убедитесь, что каждое основание обработки в политике и реестре соответствует фактическому объёму данных и цели.

С 30.05.2025 ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024: 18 частей вместо прежних семи, штрафы для юрлиц кратно выросли. Для юриста, который сопровождает оператора ПДн, точное разграничение оснований обработки — это не формальность, а базовый инструмент защиты от протокола. Справочник раскрывает содержание п. 5 ч. 1 ст. 6 ФЗ-152, его границы, типовые ошибки и сопутствующие нормы.

Что такое основание обработки ПДн и зачем оно нужно?

Правовое основание обработки — это норма или факт, которые легитимируют конкретные действия оператора с персональными данными. Ст. 6 ФЗ-152 перечисляет одиннадцать оснований: согласие субъекта (п. 1), исполнение обязанности по закону (п. 2), судопроизводство (п. 3), жизненно важные интересы (п. 4), исполнение договора (п. 5), осуществление оператором полномочий (п. 6), профессиональная деятельность журналиста (п. 7), статистика и научные цели (п. 8), общедоступные ПДн (п. 9), охрана здоровья (п. 10), договор в интересах субъекта (п. 11).

«Ст. 6 ч. 1 п. 5 ФЗ-152 — обработка ПДн допускается, если она необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПДн, а также для заключения договора по инициативе субъекта ПДн или договора, по которому субъект ПДн будет являться выгодоприобретателем или поручителем.»

Принцип соответствия целей по ст. 5 ФЗ-152 требует, чтобы обрабатываемые данные не выходили за рамки цели. Если основание — договор, то и объём ПДн, и срок их хранения привязаны к договорным отношениям. Любой выход за эти рамки требует отдельного основания.

Оператор ПДн по ст. 3 ФЗ-152 — юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку ПДн, а также определяющее цели и содержание обработки. Субъект ПДн — физическое лицо, которое прямо или косвенно определяется через обрабатываемые данные.

Как применять п. 5 ст. 6 на практике?

Основание по п. 5 применяется в трёх ситуациях:

Исполнение договора со стороны субъекта. Субъект — покупатель, заказчик, арендатор, работник по гражданско-правовому договору. Оператор обрабатывает ПДн, которые объективно необходимы для исполнения обязательств: ФИО, адрес доставки, реквизиты счёта.
Заключение договора по инициативе субъекта. Субъект направил оферту или заполнил форму заказа. До заключения договора оператор вправе обрабатывать переданные ПДн для оценки условий и ответного акцепта.
Договор, в котором субъект — выгодоприобретатель или поручитель. Страховой полис в пользу третьего лица, банковская гарантия — ПДн поручителя или выгодоприобретателя обрабатываются на этом же основании.

Обработка персональных данных по ст. 3 ФЗ-152 — любое действие или совокупность действий: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Каждое из этих действий требует правового основания.

Проверяете основания обработки в реестре ПДн компании?

Реестр без корректных оснований по ст. 6 — типовое несоответствие при проверке РКН. Юристы DATUM проведут аудит обработки ПДн по чек-листу из 38 пунктов и выдадут отчёт с приоритизированным планом устранения нарушений. Срок аудита — от 5 рабочих дней.

Заказать аудит 152-ФЗ

Ответим за 2 часа · +7 (983) 510-38-76 · info@vitveteam.ru

Где заканчивается договорное основание и начинается нарушение?

Три типовые ошибки, которые выявляет проверка РКН:

Расширительное толкование «необходимости». Оператор обрабатывает данные, которые удобны, но не обязательны для исполнения договора. Пример: интернет-магазин собирает дату рождения при оформлении заказа на основании п. 5 — без этих данных договор купли-продажи исполним. РКН квалифицирует это как нарушение ст. 5 (избыточность) и ст. 6 (отсутствие основания).
Маркетинговая рассылка «в рамках договора». Обработка ПДн для направления рекламных предложений не входит в объём договорного основания. Требуется отдельное согласие по п. 1 ст. 6 или п. 1 ст. 9. С 01.09.2025 такое согласие оформляется отдельным документом по ст. 9 ФЗ-152 в редакции ФЗ-156 от 24.06.2025.
Хранение ПДн после прекращения договора. Основание по п. 5 исчезает с момента исполнения или расторжения договора. Если отдельный срок не установлен иным федеральным законом, ПДн подлежат уничтожению или обезличиванию по ст. 21 ФЗ-152. Исключение — бухгалтерские первичные документы (срок хранения — 5 лет по Закону о бухгалтерском учёте) и трудовые договоры (75 лет по архивному законодательству).

Категории ПДн влияют на выбор основания: специальные категории по ст. 10 (здоровье, вероисповедание, судимость и др.) и биометрические по ст. 11 не обрабатываются только на основании п. 5 ст. 6 — для них установлены дополнительные требования. Биометрия требует письменного согласия субъекта, а специальные категории — одного из условий п. 2 ст. 10.

Что проверить юристу при аудите оснований по ст. 6

Перечень оснований в реестре обработки ПДн соответствует фактически обрабатываемым данным и целям — нет «согласия» там, где достаточно договора, и нет «договора» там, где нужно согласие.
По каждому основанию п. 5 указан конкретный договор или тип договора с датой начала и условием прекращения обработки.
Объём ПДн, обрабатываемых на основании п. 5, не выходит за рамки, объективно необходимые для исполнения договора (ст. 5 ФЗ-152 — принцип минимизации).
Маркетинговые, аналитические и иные цели выделены в отдельные основания с соответствующими документами.
Политика конфиденциальности опубликована и содержит перечень оснований по ст. 18.1 ФЗ-152.

Если вы юрист и в реестре обработки ПДн основание по п. 5 ст. 6 применено к маркетинговым рассылкам или аналитике — это готовый протокол по ч. 1 ст. 13.11 КоАП (150–300 тыс. ₽). Юристы DATUM приведут реестр и ОРД в соответствие.

Собрать ОРД под ключ

Типовые ситуации: как применяется п. 5 ст. 6 в практике

Ситуация 1. Интернет-магазин обрабатывает адрес доставки без согласия. Основание — п. 5 ст. 6: адрес необходим для исполнения договора купли-продажи с доставкой. РКН при проверке примет это основание при условии, что адрес не передаётся третьим лицам сверх необходимого и удаляется после истечения срока хранения первичных документов. Риск возникает, если тот же адрес используется для рекламных предложений без отдельного согласия.

Ситуация 2. Банк обрабатывает ПДн поручителя по кредитному договору. Основание — п. 5 ст. 6 (субъект является поручителем). Объём обработки ограничен данными, необходимыми для оценки поручительства и ведения кредитного дела. Передача ПДн поручителя в кредитное бюро регулируется ФЗ-218 и требует отдельного согласия субъекта по ст. 6 ФЗ-152.

Кейс из практики DATUM. Оператор розничной торговли (Сибирский ФО, конец 2025) при внеплановой проверке РКН получил предписание: в реестре обработки ПДн основание по п. 5 ст. 6 было применено к программе лояльности. Инспектор установил, что участие в программе не является условием исполнения договора купли-продажи. Компании предъявили протокол по ч. 1 ст. 13.11 КоАП. После аудита и переработки реестра с заменой основания на согласие субъекта производство прекратили в связи с малозначительностью при первичном нарушении. ⚠️ Конкретный номер дела и точная дата — менеджер уточняет при публикации.

Услуги DATUM по теме

Аудит соответствия 152-ФЗ — проверка оснований обработки, реестра ПДн, политики и ОРД
Комплект ОРД под ключ — реестр обработки, политика, согласия, приказы под актуальные требования
DPO-аутсорсинг — ответственный за обработку по ст. 22.1 ФЗ-152 на абонентском обслуживании

Частые вопросы

1. Что считается обработкой ПДн по 152-ФЗ?

По ст. 3 ФЗ-152 обработка ПДн — это любое действие или совокупность действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Даже хранение базы клиентов без какого-либо использования является обработкой и требует правового основания по ст. 6 ФЗ-152.

2. На основании чего можно обрабатывать ПДн?

Ст. 6 ФЗ-152 перечисляет одиннадцать правовых оснований. Наиболее часто применяемые в коммерческой практике: согласие субъекта (п. 1), исполнение договора (п. 5), исполнение обязанности по федеральному закону (п. 2). Основания не взаимозаменяемы: выбор зависит от цели и категории ПДн. Для специальных категорий по ст. 10 и биометрии по ст. 11 установлены дополнительные требования.

3. Что грозит за нарушение 152-ФЗ?

Административная ответственность по ст. 13.11 КоАП в редакции ФЗ-420 (действует с 30.05.2025): за обработку ПДн без надлежащего основания — штраф для юрлица от 150 000 до 300 000 ₽ по ч. 1; за повторное нарушение — от 300 000 до 500 000 ₽ по ч. 1.1. Утечка ПДн от 100 000 субъектов — 10–15 млн ₽ по ч. 14, при повторности — оборотный штраф до 500 млн ₽ по ч. 15. Уголовная ответственность по ст. 272.1 УК действует с 11.12.2024.

4. Нужно ли уведомлять РКН малому бизнесу?

По ст. 22 ФЗ-152 уведомление обязательно для большинства операторов до начала обработки ПДн. Исключения перечислены в ч. 2 ст. 22: обработка в рамках трудовых отношений, обработка ПДн членов организации без передачи третьим лицам и ряд других. Размер бизнеса не является критерием освобождения от уведомления. Неуведомление — штраф от 100 000 до 300 000 ₽ по ч. 10 ст. 13.11 КоАП.

5. С какого возраста нужно согласие на обработку ПДн?

ФЗ-152 не устанавливает единого возрастного порога, однако по общим нормам ГК РФ дееспособность в полном объёме наступает с 18 лет. В отношении несовершеннолетних до 14 лет согласие на обработку ПДн дают родители или законные представители. С 14 до 18 лет — в зависимости от характера обработки и объёма дееспособности несовершеннолетнего. Образовательные организации при сборе ПДн несовершеннолетних применяют ст. 9 ФЗ-152 с учётом этих ограничений.

Итог

Достижение целей договора по п. 5 ч. 1 ст. 6 ФЗ-152 — точечное основание: оно легитимирует только те действия с ПДн, которые объективно необходимы для исполнения, заключения или участия субъекта в конкретном договоре. Расширение объёма обработки, применение этого основания к маркетингу или хранение данных после прекращения договора — типовые нарушения, выявляемые при проверке РКН.

DATUM сопровождает операторов ПДн в формировании реестра обработки с корректными основаниями по ст. 6, разработке политики по ст. 18.1 и подготовке к проверкам Роскомнадзора.

ИБ

Игорь Беляев

Партнёр · РКН и арбитраж

Партнёр практики DATUM. Специализация — уведомления и проверки РКН, обжалование протоколов по ст. 13.11 КоАП в ред. ФЗ-420, защита от оборотных штрафов с 30.05.2025, подсудность после ФЗ-508.

14 ноября 2026 года