Политика для рекомендательных систем по ст. 16

Ст. 16 ФЗ-152 применяется, когда решение, порождающее правовые последствия или существенно затрагивающее интересы субъекта, принимается исключительно на основе автоматизированной обработки его персональных данных. Ключевые признаки — отсутствие участия человека в итоговом решении и прямая связь с ПДн конкретного физического лица.

Системы, которые попадают под ст. 16: кредитный скоринг без ручной проверки, автоматический отбор резюме по заданным параметрам, персонализированное ценообразование на основе профиля пользователя. Системы, которые формально не попадают: показ рекламного контента без правовых последствий для субъекта, агрегация обезличенных данных для аналитики.

Если система выдаёт персональную рекомендацию, но итоговое решение подтверждает человек — ст. 16 применяется частично: оператор обязан предусмотреть процедуру возражения субъекта. Зафиксируйте вывод о квалификации в аналитической записке или протоколе рабочей группы.

До написания политики юрист обязан установить правовое основание по ст. 6 ФЗ-152 для каждого типа данных, используемых в рекомендательной системе. Типовые варианты: согласие субъекта (п. 1), исполнение договора (п. 5), законный интерес оператора (п. 7 — применяется ограниченно и требует балансирующего теста).

С 01.09.2025 (ФЗ-156 от 24.06.2025) согласие на обработку оформляется отдельным документом — оно не может быть включено в договор, оферту или общую политику. Если рекомендательная система работает на основании согласия, проверьте, что форма согласия содержит все обязательные реквизиты по ст. 9 ФЗ-152: наименование оператора, цель, перечень данных, перечень действий, срок, способ отзыва. Согласия, оформленные до 01.09.2025 способом, не соответствующим новым требованиям, юридически действуют, но при первом изменении формы — переоформлять по новым правилам.

Если автоматизированная обработка профиля ведётся в рамках персонализации маркетинга, а субъект является потребителем — проверьте также соответствие ФЗ «О рекламе» в части адресности. Правовое основание фиксируется в реестре видов обработки ПДн — внутреннем документе ОРД.

Ст. 18.1 ФЗ-152 обязывает оператора опубликовать политику обработки персональных данных. Ч. 2 ст. 18.1 устанавливает обязательный состав документа. Для оператора, использующего рекомендательную систему, политика должна дополнительно содержать раздел об автоматизированной обработке и правах субъекта по ст. 16.

Обязательные разделы политики по ч. 2 ст. 18.1:

• Наименование и контактные данные оператора, в том числе адрес для обращений субъектов.
• Цели обработки ПДн с указанием каждой отдельной цели — общие формулировки («улучшение сервиса») не соответствуют принципу конкретности ст. 5 ФЗ-152.
• Правовые основания по ст. 6 (и ст. 10, если обрабатываются специальные категории) для каждой цели.
• Категории субъектов и перечень обрабатываемых данных с привязкой к целям.
• Порядок реализации прав субъектов: запрос, доступ, уточнение, блокирование, уничтожение, возражение против автоматизированных решений.
• Срок обработки и критерии его определения.
• Сведения о трансграничной передаче (при наличии) и перечень стран-получателей.
• Порядок защиты ПДн — без раскрытия конфиденциальных технических деталей.

Раздел об автоматизированной обработке по ст. 16 должен содержать: описание логики автоматизированной обработки, влияние на субъекта, способ подачи возражения и срок его рассмотрения оператором. Срок рассмотрения возражения законом прямо не установлен — практика РКН ориентируется на 10 рабочих дней по аналогии со ст. 20 ФЗ-152.

Ч. 2 ст. 18.1 ФЗ-152 требует опубликовать политику в открытом доступе — как правило, на сайте оператора. Требования к форме публикации: документ должен быть постоянно доступен, иметь дату редакции и быть однозначно идентифицирован как «Политика обработки персональных данных». Ссылка на политику размещается на каждой странице сайта, где происходит сбор данных, — в подвале или рядом с формой согласия.

Уведомление о намерении обрабатывать ПДн подаётся через портал pd.rkn.gov.ru по форме Приказа РКН №180 от 28.10.2022. Если рекомендательная система уже работает и оператор ранее уведомил РКН, но не отразил автоматизированную обработку — подаётся уведомление об изменении сведений. Срок включения в реестр после подачи — 30 дней. Неуведомление или несвоевременное уведомление — штраф 100 000–300 000 ₽ по ч. 10 ст. 13.11 КоАП.

В уведомлении по Приказу РКН №180 указывается факт автоматизированной обработки и принятия решений без участия человека (если применимо). Это отдельный признак, влияющий на категорию риска при плановых проверках РКН.

Ст. 22.1 ФЗ-152 обязывает оператора-юридическое лицо назначить лицо, ответственное за организацию обработки ПДн. Для оператора рекомендательной системы ответственный выполняет специфические функции: контролирует соответствие алгоритма правовым основаниям, принимает возражения субъектов против автоматизированных решений и обеспечивает актуальность политики.

Требования к квалификации ответственного по ч. 4 ст. 22.1: знание законодательства о ПДн, понимание технической архитектуры обработки. На практике ответственным назначают штатного юриста, DPO-специалиста или руководителя продукта — с обязательным приказом и должностной инструкцией. Если штатного специалиста нет — допустим аутсорсинг функции по договору.

Контактные данные ответственного публикуются в политике обработки ПДн и указываются в уведомлении РКН. Смена ответственного требует подачи уведомления об изменении сведений в РКН по Приказу №180.

Ст. 16 ФЗ-152 предоставляет субъекту право потребовать проверки любого автоматизированного решения, затрагивающего его права. Оператор обязан в течение разумного срока рассмотреть возражение, привлечь к проверке человека и письменно уведомить субъекта об итоге. Если возражение обоснованно — принятое автоматически решение пересматривается вручную.

Механизм возражения должен быть описан в политике и реально работать: выделенный адрес электронной почты или форма на сайте, назначенный сотрудник для рассмотрения, регламент с фиксацией срока ответа. Отсутствие работающего механизма при проверке РКН квалифицируется как нарушение ч. 1 ст. 13.11 — обработка без соблюдения условий, установленных законом.

Полный пакет ОРД для оператора рекомендательной системы включает: политику обработки ПДн по ст. 18.1 с разделом по ст. 16, реестр видов обработки, согласия субъектов в редакции с 01.09.2025, приказ о назначении ответственного по ст. 22.1, регламент рассмотрения возражений, журнал учёта обращений субъектов, соглашение с обработчиком (если данные передаются третьему лицу по поручению, ст. 6 п. 3 ФЗ-152).