Общественные интересы как основание обработки

Статья 6 ФЗ-152 перечисляет 11 оснований обработки персональных данных без согласия субъекта. Одно из них — обработка в целях, вытекающих из задач в области государственного управления, осуществления правосудия, исполнения полномочий государственных органов, а также в общественных интересах. На практике это основание вызывает наибольшее число споров: оператор ссылается на «общественный интерес», а РКН при проверке квалифицирует обработку как незаконную по ч. 1 ст. 13.11 КоАП. В материале разобраны признаки, при которых основание легитимно, типовые ошибки квалификации и стратегия защиты позиции перед регулятором.

Что понимается под общественными интересами в контексте ст. 6 ФЗ-152?

Федеральный закон «О персональных данных» не содержит определения «общественного интереса» как самостоятельного понятия. Ст. 3 ФЗ-152 даёт определения оператора, субъекта, обработки, трансграничной передачи и ряда других категорий — но не публичного или общественного интереса. Это означает, что квалификация основания строится через системное толкование норм закона и смежного законодательства.

Ст. 6 ФЗ-152 допускает обработку без согласия субъекта, в частности, когда обработка необходима для осуществления прав и законных интересов оператора или третьих лиц, достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта. Обработка также допустима, если она необходима для выполнения возложенных на оператора обязанностей, полномочий, функций публично-правового характера.

Три признака, при наличии которых основание признаётся корректным:

• Цель общественно значима — прямо вытекает из нормы закона или подзаконного акта, регулирующего сферу деятельности оператора (СМИ, архивы, научные организации, органы государственной власти).
• Объём данных соответствует цели — ст. 5 ФЗ-152 запрещает избыточный сбор; объём категорий ПДн должен быть минимально необходимым для достижения конкретной цели.
• Не нарушаются права субъекта — оператор обязан заблаговременно оценить, не создаёт ли обработка несоразмерный вред субъекту, особенно если речь идёт о специальных категориях ПДн по ст. 10 ФЗ-152.

Субъект пДн при обработке на этом основании сохраняет право на доступ к своим данным, право на уточнение и блокирование. Срок ответа оператора — 10 рабочих дней с момента обращения (с возможностью продления ещё на 5 рабочих дней при уведомлении субъекта) по ст. 20 ФЗ-152.

Какие операторы вправе ссылаться на общественные интересы?

Практика проверок РКН показывает: регулятор признаёт основание «общественные интересы» обоснованным преимущественно для следующих категорий операторов.

Государственные органы и органы местного самоуправления. Они обрабатывают ПДн в рамках полномочий, установленных нормативными актами. Основание прямо следует из п. 2 ст. 6 ФЗ-152 — необходимость выполнения функций, возложенных законодательством.

Организации в сфере здравоохранения и социальной защиты. Медицинские организации могут обрабатывать специальные категории ПДн (ст. 10 ФЗ-152 — сведения о состоянии здоровья) без согласия пациента в целях, предусмотренных ст. 13 Федерального закона об основах охраны здоровья граждан.

Средства массовой информации. Редакция вправе обрабатывать ПДн при подготовке публикаций в общественных интересах — при условии, что публикация не нарушает неприкосновенность частной жизни субъекта и опирается на признаки публичности лица либо его причастности к событиям общественного значения.

Научные, образовательные и архивные организации. При обработке ПДн в научных исследованиях или архивных целях допускается обезличивание данных как альтернатива получению согласия; методы обезличивания с 2025 года регулируются отдельным приказом РКН.

Как принципы ст. 5 ФЗ-152 ограничивают ссылку на общественные интересы?

Ст. 5 ФЗ-152 устанавливает 7 принципов обработки персональных данных. Они применяются к любому правовому основанию, включая общественные интересы, и не позволяют расширительно толковать цели обработки.

Принцип конкретных целей. Цель обработки должна быть сформулирована до начала обработки, быть конкретной, заранее определённой и законной. Ссылка на «общественный интерес» как обобщённую формулу без привязки к конкретной задаче противоречит этому принципу.

Принцип минимизации данных. Объём обрабатываемых ПДн должен соответствовать заявленным целям. Если оператор собирает номер телефона, адрес электронной почты, сведения о здоровье и данные о трудоустройстве «в общественных интересах», но цель обработки не требует всего перечня — РКН квалифицирует это как нарушение ст. 5 и ч. 1 ст. 13.11 КоАП.

Принцип несовместимости баз данных. Ст. 5 ФЗ-152 запрещает объединять базы данных, созданные для несовместимых целей. Оператор, обрабатывающий ПДн сотрудников в кадровых целях, не может на основании «общественного интереса» передать эти данные в аналитический проект без отдельного правового основания.

Принцип уничтожения или обезличивания. По достижении цели обработки оператор обязан уничтожить или обезличить ПДн. При ссылке на общественные интересы срок хранения должен быть чётко определён и обоснован в документах оператора — политике обработки и регламенте хранения.

Типичные ошибки квалификации: какие ситуации создают риск по ч. 1 ст. 13.11?

По данным РКН, в 2024 году зафиксировано более 135 случаев утечек и свыше 710 млн скомпрометированных записей. Значительная часть протоколов по ст. 13.11 составляется не по факту утечек, а по результатам плановых и внеплановых проверок — когда регулятор обнаруживает несоответствие заявленных оснований обработки реальной практике оператора.

Типовые ошибки квалификации, которые юрист видит в документах оператора:

• Ссылка на «общественный интерес» в политике без указания конкретной нормы-основания. РКН при проверке запрашивает документальное подтверждение. Если в политике написано «обрабатываем в общественных интересах» без ссылки на конкретную статью закона — основание считается недостаточным.
• Смешение оснований. Оператор одновременно указывает «согласие» и «общественный интерес» для одной категории ПДн. Это создаёт противоречие: если согласие получено, оно является самостоятельным основанием, и при его отзыве субъектом обработка по основанию «общественный интерес» должна быть отдельно обоснована.
• Обработка специальных категорий ПДн на основании «общественного интереса» без специального основания по ст. 10 ФЗ-152. Расовая или национальная принадлежность, политические взгляды, состояние здоровья, интимная жизнь, судимость — для них перечень допустимых оснований закрытый.
• Обработка без уведомления РКН. Ст. 22 ФЗ-152 обязывает оператора уведомить регулятора о намерении обрабатывать ПДн до начала обработки. Штраф за нарушение — 100 000–300 000 ₽ по ч. 10 ст. 13.11 КоАП.

Как это выглядит на практике: типовые сценарии для юриста

Сценарий 1. НКО ссылается на «общественный интерес» при обработке данных благополучателей. Некоммерческая организация, оказывающая социальную помощь, обрабатывает сведения о состоянии здоровья и имущественном положении получателей помощи. В политике указано основание — «общественный интерес». При проверке РКН устанавливает, что НКО не является государственным органом и не имеет нормативно закреплённых публичных полномочий. Обработка специальных категорий ПДн (сведения о здоровье) без письменного согласия субъекта квалифицируется по ч. 2 ст. 13.11 КоАП — штраф 300 000–700 000 ₽. Стратегия защиты: переоформить основание на согласие по ст. 9 с учётом требований ФЗ-156 от 24.06.2025 (с 01.09.2025 согласие — отдельный документ) либо обосновать полномочия через договор с органом власти.

Сценарий 2. Редакция онлайн-издания публикует расследование с ПДн физических лиц. СМИ обрабатывает и публикует данные о физическом лице, апеллируя к общественному интересу в раскрытии коррупции. Правовое основание корректно при соблюдении двух условий: лицо является публичным (занимает выборную должность или должность государственной службы) и публикуемые данные связаны именно с его публичной деятельностью. Если редакция публикует сведения об интимной жизни или состоянии здоровья — это специальные категории по ст. 10 ФЗ-152, и основание «общественный интерес» без дополнительного основания по ч. 2 ст. 10 не работает. Исход без корректировки — протокол по ч. 2 ст. 13.11, штраф до 700 000 ₽.

Сценарий 3. Коммерческая компания строит аналитическую платформу «для повышения качества городской среды». FinTech-компания собирает геолокацию и паттерны перемещения пользователей, позиционируя проект как «общественно значимый». Оператор — коммерческое юридическое лицо без публичных полномочий. РКН при проверке указывает: цель коммерческая, основание «общественный интерес» не применимо; требуется согласие субъекта по ст. 9 ФЗ-152. Дополнительный риск: геолокация в динамике квалифицируется как биометрические или иные особые категории ПДн в ряде правовых позиций. Стратегия: перейти на основание «согласие» с обязательными реквизитами по ст. 9 в редакции с 01.09.2025, либо применить обезличивание по методам, утверждённым приказом РКН, и исключить прямую идентификацию субъектов.

Как оформить обработку на основании общественных интересов в документах оператора?

Ст. 18.1 ФЗ-152 обязывает оператора принять меры, обеспечивающие соблюдение требований закона. Ключевой документ — политика обработки персональных данных. По ч. 2 ст. 18.1 политика должна содержать цели обработки, правовые основания, категории субъектов, перечень обрабатываемых данных, порядок и условия обработки, сроки хранения.

При использовании основания «общественные интересы» в политике необходимо указать:

• конкретную норму федерального закона или подзаконного акта, наделяющую оператора публичной функцией или обязанностью;
• цель обработки — без обобщённых формулировок типа «в общественных интересах»;
• перечень категорий ПДн строго в соответствии с целью;
• срок хранения, привязанный к достижению цели или требованиям законодательства об архивном деле;
• порядок реализации прав субъекта: доступ, уточнение, блокирование в сроки ст. 20 ФЗ-152.

Если оператор обрабатывает ПДн по поручению другого оператора (п. 3 ст. 6 ФЗ-152), договор поручения должен прямо указывать цель, перечень действий и требования конфиденциальности. Поручение не освобождает оператора-источника от ответственности за выбор поручителя.

Частые вопросы

1. Что считается обработкой ПДн по 152-ФЗ?

По ст. 3 ФЗ-152 обработка персональных данных — это любое действие или совокупность действий с ПДн: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение. Важно: даже простое хранение файла с именами и телефонами сотрудников — это обработка. Ответственность по ст. 13.11 КоАП возникает на любом этапе, если нарушено одно из 11 оснований ст. 6 ФЗ-152 или принципы ст. 5.

2. На основании чего можно обрабатывать ПДн?

Ст. 6 ФЗ-152 предусматривает 11 оснований. Основные: согласие субъекта (п. 1), исполнение договора с субъектом (п. 5), исполнение возложенных законом обязанностей (п. 2), судопроизводство (п. 3), жизненно важные интересы субъекта или третьих лиц (п. 7), общественно значимые цели (п. 4). Для большинства коммерческих операторов рабочими основаниями являются согласие и исполнение договора. Основание «общественные интересы» применимо при наличии нормативно закреплённой публичной функции.

3. Что грозит за нарушение 152-ФЗ?

Административная ответственность по ст. 13.11 КоАП в редакции с 30.05.2025 — от 30 000 до 700 000 ₽ за одиночные нарушения по чч. 1–6. При утечке от 1 000 до 10 000 субъектов — 3–5 млн ₽ по ч. 12; от 10 000 до 100 000 — 5–10 млн ₽ по ч. 13; свыше 100 000 — 10–15 млн ₽ по ч. 14. При повторной утечке — оборотный штраф по ч. 15: 1–3% годовой выручки, не менее 20 млн ₽, не более 500 млн ₽. Уголовная ответственность по ст. 272.1 УК (с 11.12.2024) — до 10 лет лишения свободы (ч. 5, тяжкие последствия).

4. Нужно ли уведомлять РКН малому бизнесу?

По ст. 22 ФЗ-152 уведомить РКН о намерении обрабатывать ПДн обязан любой оператор до начала обработки, вне зависимости от размера бизнеса. Исключения — закрытый перечень ч. 2 ст. 22: обработка только в связи с трудовыми отношениями, обработка в целях заключения договора с субъектом без передачи третьим лицам и ряд других. Отсутствие уведомления при отсутствии оснований для освобождения — штраф 100 000–300 000 ₽ по ч. 10 ст. 13.11 КоАП.

5. С какого возраста нужно согласие на ПДн?

По ст. 9 ФЗ-152 субъект вправе давать согласие самостоятельно с 18 лет. За лиц, не достигших 18 лет, согласие даёт законный представитель (родитель, усыновитель, опекун). В сфере образовательных услуг и детских онлайн-сервисов обработка ПДн несовершеннолетних требует согласия представителя и отдельного документа начиная с 01.09.2025 в соответствии с ФЗ-156 от 24.06.2025.

Итог

Обработка персональных данных в общественных интересах по ст. 6 ФЗ-152 — ограниченное основание, применимое к операторам с нормативно закреплёнными публичными функциями. Коммерческие организации без таких полномочий при использовании этого основания получают риск протокола по ст. 13.11 КоАП с первой же проверки РКН. Корректная квалификация основания, соблюдение принципов ст. 5 ФЗ-152 и документальная фиксация в политике обработки — три элемента, на которые РКН обращает внимание при проверке.

Практика DATUM по сопровождению операторов в части правовых оснований обработки ПДн включает аудит по чек-листу из 38 пунктов, сборку пакета ОРД и защиту позиции при проверках РКН.

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — проверка правовых оснований обработки и документальной базы
• Комплект ОРД под ключ — политика, согласия, приказы, регламенты в соответствии с актуальными требованиями
• DPO-аутсорсинг — абонентское сопровождение функции ответственного по ст. 22.1 ФЗ-152

22 февраля 2027 года