Электросамокаты и геолокация

Кикшеринговые сервисы собирают геолокацию непрерывно: при регистрации, аренде, движении и парковке. Эти данные используются для тарификации, штрафных зон, аналитики маршрутов, взаимодействия с городской инфраструктурой и передачи страховым партнёрам. С точки зрения ФЗ-152 каждое из этих действий — обработка персональных данных, требующая отдельного правового основания. Настоящий материал разбирает, как финансовый директор должен оценивать комплаенс-риски кикшеринговой компании: от правовых оснований сбора геоданных до уголовной ответственности по ст. 272.1 УК РФ.

Что считается персональными данными в кикшеринге?

Геолокация сама по себе не всегда является персональными данными. Однако в кикшеринге она привязана к учётной записи пользователя, его телефону, платёжным реквизитам и истории поездок. Такая совокупность однозначно подпадает под определение персональных данных по ст. 3 ФЗ-152 — любая информация, относящаяся к прямо или косвенно определённому физическому лицу.

Данные, которые собирает типичный кикшеринг-оператор:

• Имя, телефон, email при регистрации
• Данные платёжной карты или кошелька (обрабатываются через НПС-оператора)
• Геолокация в реальном времени в период аренды
• История маршрутов с временными метками
• Фото документа при верификации личности
• Поведенческие данные в приложении (тип устройства, IP, сессии)

Финансовому директору важно понимать: каждый тип данных из перечисленного требует собственного правового основания по ст. 6 ФЗ-152. Смешивать основания — ошибка, которая стоит штрафа по ч. 1 ст. 13.11 КоАП от 150 000 до 300 000 ₽ за обработку в целях, не соответствующих заявленным.

Какое правовое основание использовать для обработки геолокации?

Наиболее распространённая ошибка операторов кикшеринга — опора на единственное основание: согласие пользователя. На практике геолокация обрабатывается сразу по нескольким основаниям, и их нужно чётко разграничить в документах.

Исполнение договора аренды (п. 5 ч. 1 ст. 6 ФЗ-152) покрывает геолокацию в период активной аренды — без неё невозможно определить факт использования самоката, рассчитать стоимость и зафиксировать место возврата. Это законное основание без согласия.

За пределами аренды — хранение истории маршрутов, передача данных партнёрам для рекламы или страхования, аналитика поведения — уже требует отдельного согласия по ст. 9 ФЗ-152. С 01.09.2025 это согласие должно быть оформлено отдельным документом по требованиям ФЗ-156 от 24.06.2025: нельзя совмещать его с пользовательским соглашением или офертой.

Передача геоданных страховым партнёрам или банкам для скоринга по ст. 16 ФЗ-152 — это уже поручение обработки (п. 3 ст. 6 ФЗ-152) или самостоятельная передача третьим лицам. Первое требует договора поручения с конкретными условиями, второе — отдельного согласия субъекта с указанием конкретного получателя.

Где хранить геолокационные данные и как передавать их за рубеж?

Все операции с геоданными российских пользователей — запись, систематизация, хранение, извлечение — обязаны осуществляться в базах данных, физически расположенных в России. Это требование ч. 5 ст. 18 ФЗ-152 о локализации, действующее с 2015 года и ужесточённое с 01.07.2025 поправками ФЗ-233.

Типичная инфраструктура кикшеринга создаёт риски локализации в двух точках:

• Использование зарубежных облачных платформ (AWS, GCP, Azure) для хранения пользовательских данных — нарушение ч. 5 ст. 18, штраф по ч. 8 ст. 13.11 КоАП от 1 до 6 млн ₽
• Передача геоданных в головную компанию или аналитические сервисы за рубежом — трансграничная передача по ст. 12 ФЗ-152, требующая уведомления РКН

Трансграничная передача в страны без адекватного уровня защиты ПДн разрешена только после уведомления РКН. Перечень стран с адекватным уровнем защиты определяется актуальным приказом РКН. США и большинство азиатских юрисдикций в этот перечень не входят.

Для финансового директора ключевой вопрос — где физически располагается основная база данных приложения и каков маршрут репликации. Если бэкап уходит в зарубежный дата-центр автоматически, это уже потенциальное нарушение даже при наличии основной базы в России.

Каковы сценарии привлечения кикшеринг-оператора к ответственности?

Финансовый директор должен оценивать риски через конкретные сценарии, а не абстрактные нарушения. Ниже три наиболее вероятных.

Сценарий 1. Утечка базы пользователей через уязвимость в API. База на 80 000 пользователей с историей маршрутов уходит в даркнет. Оператор не уведомляет РКН в течение 24 часов. Исход: два состава по ст. 13.11 КоАП — ч. 11 (неуведомление об утечке, штраф 1–3 млн ₽) и ч. 13 (утечка от 10 000 до 100 000 субъектов, штраф 5–10 млн ₽). Суммарный риск — от 6 до 13 млн ₽. При повторном инциденте в следующие три года — оборотный штраф по ч. 15, минимум 20 млн ₽.

Сценарий 2. Передача геоданных страховому партнёру без надлежащего основания. Оператор заключил соглашение о передаче агрегированных маршрутов страховщику для расчёта тарифов. Отдельного согласия пользователей нет, договора поручения нет. Роскомнадзор фиксирует это при проверке. Исход: ч. 1 ст. 13.11 КоАП (обработка в целях, не предусмотренных законом, или несовместимая с целями) — штраф от 150 000 до 300 000 ₽. При повторности — ч. 1.1, штраф от 300 000 до 500 000 ₽.

Сценарий 3. Обнаружение нарушения локализации при плановой проверке РКН. Аудит показывает, что резервные копии базы пользователей реплицируются в облако зарубежного провайдера. Основная база в России, но репликация не задокументирована как законная трансграничная передача. Исход: предписание РКН об устранении, возбуждение дела по ч. 8 ст. 13.11 КоАП — штраф от 1 до 6 млн ₽. Устранение в срок, установленный предписанием, снижает риск повторного состава.

Как это применяется на практике

Кейс 1. Компания кикшеринга (Центральный ФО, весна 2025) получила предписание РКН по итогам внеплановой проверки. Поводом стала жалоба пользователя на получение рекламы от страхового партнёра без явного согласия. Юристы выявили отсутствие договора поручения обработки и несоответствие реквизитов согласия требованиям ст. 9 ФЗ-152. Штраф по ч. 1 ст. 13.11 составил суммарно сотни тысяч рублей. После устранения нарушений компания прошла повторную проверку без замечаний.

Кейс 2. Компания финтех-инфраструктуры (Северо-Западный ФО, осень 2025) обнаружила факт несанкционированного доступа к базе данных пользователей мобильного сервиса (около 15 000 записей с геолокацией). Первичное уведомление в РКН направлено за 21 час, отчёт о расследовании — за 68 часов. Применение ст. 4.1 КоАП с учётом оперативности реагирования позволило снизить итоговый штраф по ч. 12 ст. 13.11 до нижней границы диапазона — 3 млн ₽.

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — проверка правовых оснований обработки геоданных, договоров поручения, локализации
• Комплект ОРД под ключ — политика, согласия пользователей по ФЗ-156, договоры с подрядчиками
• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11 КоАП

Частые вопросы

1. Можно ли отказать пользователю в аренде самоката, если он не разрешил сбор геолокации?

Нет в части принуждения к расширенному согласию, но да — в части технически необходимой геолокации. Оператор вправе требовать доступ к геолокации в период аренды как условие исполнения договора (п. 5 ч. 1 ст. 6 ФЗ-152): без этого услуга технически невозможна. Однако нельзя связывать отказ в аренде с отсутствием согласия на маркетинговую обработку геоданных или передачу их третьим лицам — это разные правовые основания.

2. Что грозит кикшеринг-оператору за утечку геоданных пользователей?

Зависит от масштаба. Утечка от 1 000 до 10 000 субъектов — штраф 3–5 млн ₽ по ч. 12 ст. 13.11 КоАП (в ред. с 30.05.2025). От 10 000 до 100 000 субъектов — 5–10 млн ₽ по ч. 13. Свыше 100 000 субъектов — 10–15 млн ₽ по ч. 14. При повторной утечке — оборотный штраф по ч. 15: 1–3% совокупной годовой выручки, минимум 20 млн ₽, максимум 500 млн ₽. Дополнительно: неуведомление РКН в 24 часа — ещё 1–3 млн ₽ по ч. 11.

3. Какое основание обработки геолокации действует после завершения поездки?

После завершения аренды исполнение договора как основание исчерпано. Хранение истории маршрутов для целей, выходящих за рамки договора (аналитика, маркетинг, передача партнёрам), требует отдельного согласия по ст. 9 ФЗ-152. Хранение для защиты законных интересов оператора (споры, претензии) может опираться на п. 7 ч. 1 ст. 6 ФЗ-152, но срок хранения должен соответствовать сроку исковой давности, а не превышать его.

4. Как передача геоданных зарубежному аналитическому сервису соотносится с требованиями 152-ФЗ?

Это трансграничная передача по ст. 12 ФЗ-152. Если страна получателя не включена в перечень стран с адекватным уровнем защиты ПДн, оператор обязан до начала передачи уведомить РКН. Одновременно должна соблюдаться локализация по ч. 5 ст. 18: первичная запись геоданных российских пользователей — только в базах в России. Передача за рубеж после локализации возможна, но требует документального оформления.

5. Как оспорить штраф по ст. 13.11 КоАП, если нарушение уже зафиксировано?

Оспаривание идёт через мирового судью (с 28.12.2025 — подсудность возвращена мировым судьям по ФЗ-508). Ключевые инструменты: ст. 4.1 КоАП — снижение штрафа с учётом смягчающих обстоятельств (оперативное устранение, компенсация ущерба, инвестиции в ИБ более 0,1% выручки за 3 года); ст. 4.1.1 КоАП — замена штрафа предупреждением для микропредприятий при первичном нарушении без причинения вреда (не применяется к оборотным составам ч. 15, ч. 18). Срок обжалования постановления — 10 дней с момента вручения.

Итог

Геолокационные данные пользователей кикшеринга требуют чёткого разграничения оснований обработки: исполнение договора покрывает период аренды, за его пределами нужно отдельное согласие по ФЗ-156. Локализация в России обязательна, трансграничная передача — по уведомлению РКН. Ответственность по ст. 13.11 КоАП в редакции с 30.05.2025 существенно выросла: даже единственная утечка среднего масштаба обходится в 5–10 млн ₽, при повторности — оборотный штраф без верхней практической границы.

DATUM сопровождает операторов кикшеринга и смежных финтех-сервисов в выстраивании комплаенса по 152-ФЗ: от аудита правовых оснований обработки геоданных до защиты в арбитраже при получении протокола по ст. 13.11 КоАП.