Право на забвение для СМИ (ст. 10.3 ФЗ-149)

С 30.05.2025 ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024 — 18 составов вместо прежних 9. Одновременно с 01.09.2025 вступил в силу ФЗ-156, потребовавший отдельного документа согласия по ст. 9 ФЗ-152. Для СМИ, операторов связи, ТСЖ, каршеринга и других отраслевых операторов это означает пересборку правовых оснований обработки ПДн. Настоящий материал разбирает пять отраслевых ситуаций: право на забвение по ст. 10.3 ФЗ-149, уведомление РКН для СМИ, передачу данных абонентов ФСБ, данные в жилищном секторе и геолокацию в каршеринге.

Что такое право на забвение по ст. 10.3 ФЗ-149 и кого оно обязывает?

Статья 10.3 Федерального закона «Об информации, информационных технологиях и о защите информации» (ФЗ-149) регулирует право гражданина требовать удаления из поисковой выдачи ссылок на недостоверную, неактуальную или незаконно размещённую информацию о нём. Субъектом обязанности выступает оператор поисковой системы — не редакция СМИ и не хостинг-провайдер.

Норма устанавливает исчерпывающий перечень оснований для отказа. Поисковик вправе не удалять ссылки, если сведения связаны с уголовно наказуемым деянием, по которому не истёк срок судимости или давности, либо если информация составляет общественный интерес — касается государственных и должностных лиц при осуществлении ими публичных функций. Это исключение принципиально: публикация о чиновнике в контексте коррупционного расследования не подпадает под право на забвение, даже если он сам является субъектом ПДн.

Для юриста, проверяющего комплаенс редакции, важно разграничение: ст. 10.3 ФЗ-149 адресована поисковику, тогда как ст. 14 и 21 ФЗ-152 адресованы любому оператору, включая СМИ. Требование субъекта об уничтожении или блокировании ПДн, направленное в редакцию напрямую, регулируется ФЗ-152, а не ФЗ-149. Смешение этих оснований — типичная ошибка при формировании политики реагирования.

Освобождены ли СМИ от уведомления Роскомнадзора по ст. 22 ФЗ-152?

Статья 22 ФЗ-152 содержит закрытый перечень исключений из обязанности уведомить РКН о намерении обрабатывать ПДн. Одно из оснований — обработка ПДн, осуществляемая исключительно в связи с журналистской деятельностью, редакционной или СМИ-деятельностью в соответствии с законодательством о СМИ. Формулировка ключевая: «исключительно».

На практике редакции ведут не только журналистскую, но и хозяйственную деятельность: нанимают сотрудников, заключают договоры с авторами и рекламодателями, собирают данные подписчиков через личные кабинеты. Обработка ПДн работников и контрагентов не подпадает под исключение ст. 22 — здесь уведомление обязательно. Неуведомление о намерении обрабатывать ПДн образует состав по ч. 10 ст. 13.11 КоАП: штраф для юрлица 100 000–300 000 ₽.

Аналогичная логика применяется к операторам связи. Обработка трафика и биллинговых данных абонентов — операционная деятельность, прямо регламентированная ФЗ-126 «О связи», однако это не освобождает оператора от обязанности стоять в реестре РКН по тем категориям ПДн, которые выходят за рамки исполнения договора с абонентом.

Как оператору связи передавать данные абонентов по запросам ФСБ и суда?

Федеральный закон «О связи» и система СОРМ обязывают операторов связи обеспечивать уполномоченным органам доступ к сведениям об абонентах и их трафике. С позиции ФЗ-152 эта передача осуществляется на основании п. 2 ч. 1 ст. 6 — исполнение обязанности, предусмотренной федеральным законом. Согласие абонента не требуется и не запрашивается.

Точки риска здесь иные. Во-первых, сведения об абонентах, переданные третьим лицам без законного основания (например, коллекторам или конкурентам), образуют состав ч. 1 ст. 13.11 КоАП — обработка, не предусмотренная законом. Во-вторых, данные о геолокации абонента относятся к категории, обработка которой требует отдельного согласия или явного законного основания. В-третьих, при утечке базы абонентов от 10 000 субъектов оператор попадает под ч. 13 ст. 13.11 — штраф 5–10 млн ₽, при утечке от 100 000 субъектов — ч. 14, штраф 10–15 млн ₽.

Кто оператор ПДн в жилищном секторе: ТСЖ или управляющая компания?

ТСЖ и управляющая компания (УК) обрабатывают ПДн собственников независимо и в разных объёмах. ТСЖ — некоммерческая организация, которая в силу Жилищного кодекса обрабатывает данные членов товарищества и собственников в доме: ФИО, площадь помещения, контакты. УК обрабатывает аналогичный набор плюс данные о задолженностях и платёжных инструментах. Каждая из них — самостоятельный оператор по ст. 3 ФЗ-152.

ГИС ЖКХ добавляет обязанность размещать сведения о собственниках и начислениях в федеральной системе. Это передача ПДн третьему лицу (оператору ГИС ЖКХ) на основании ФЗ-209 «О ГИС ЖКХ». Согласие собственника не требуется — основание из ст. 6 ФЗ-152. Однако если УК передаёт данные дополнительно — например, в мобильное приложение стороннего разработчика — это уже поручение обработки по п. 3 ст. 6 ФЗ-152, требующее договора с обработчиком.

На практике именно передача данных жильцов в сторонние сервисы (чат-боты, агрегаторы) без оформления поручения — наиболее распространённое нарушение в жилищном секторе. Отсутствие договора с обработчиком и политики конфиденциальности создаёт основание для административного протокола по ч. 1 ст. 13.11 и ч. 3 ст. 13.11 КоАП одновременно.

Какие данные собирает каршеринг и как их обрабатывать законно?

Каршеринговая компания обрабатывает как минимум четыре категории ПДн: идентификационные (паспорт, водительское удостоверение), контактные (телефон, email), финансовые (данные банковской карты, история платежей) и геолокационные (маршрут, стоянки, скорость). Геолокация в режиме реального времени — данные о перемещении физического лица. Роскомнадзор квалифицирует их как ПДн, обработка которых требует явного правового основания.

Сбор данных водительского удостоверения и паспорта — необходим для заключения и исполнения договора (п. 5 ч. 1 ст. 6 ФЗ-152). Геолокация в целях безопасности и оценки ущерба — также обоснована договором или законным интересом оператора при наличии оценки соразмерности. Но геолокация для таргетированной рекламы или передача маршрутных данных партнёрам требуют отдельного согласия по ст. 9 ФЗ-152 — с 01.09.2025 в виде самостоятельного документа.

Трансграничная передача данных пассажиров и маршрутов в зарубежные аналитические системы (BI-платформы, CRM за рубежом) требует уведомления РКН по ст. 12 ФЗ-152. Нарушение локализации — хранение ПДн российских граждан на серверах за рубежом — образует состав ч. 8 ст. 13.11 КоАП: штраф 1–6 млн ₽, при повторности — 6–18 млн ₽.

Типовые ситуации: три сценария для юриста

Сценарий 1. СМИ получило требование субъекта удалить публикацию. Редакция онлайн-издания (Центральный ФО, осень 2025) получила обращение физического лица с требованием удалить статью о нём как «нарушающую право на забвение». Редакция квалифицировала требование по ст. 10.3 ФЗ-149 и отказала — обязанным субъектом по этой норме является поисковик, а не редакция. Параллельно субъект направил жалобу в РКН по ФЗ-152. По итогам проверки РКН установил отсутствие политики конфиденциальности на сайте и вынес предписание. Редакция опубликовала политику в течение 10 дней и избежала протокола. Итог: разграничение оснований по ФЗ-149 и ФЗ-152 определило стратегию реагирования и позволило минимизировать последствия.

Сценарий 2. Управляющая компания передаёт данные жильцов в мобильное приложение без договора. УК (Приволжский ФО, начало 2026) подключила сторонний сервис управления заявками — данные жильцов (ФИО, квартира, телефон) автоматически выгружались в облако разработчика. Договора поручения обработки не было. При плановой проверке РКН зафиксировал нарушение ч. 1 ст. 13.11 и ч. 3 ст. 13.11. Штраф для юрлица составил суммарно в диапазоне сотен тысяч рублей по обоим составам. Стратегия защиты — заключение договора поручения с обработчиком и опубликование политики до рассмотрения дела позволили применить смягчающие обстоятельства.

Сценарий 3. Оператор связи не уведомил РКН о расширении обработки. Телекоммуникационная компания (Северо-Западный ФО, лето 2025) запустила сервис геоаналитики на основе агрегированных данных абонентов и передавала обезличенные выборки B2B-клиентам. Уведомление в РКН было подано при регистрации, но цель «обработка в целях геоаналитики» в него не вошла. РКН возбудил дело по ч. 10 ст. 13.11 — неуведомление об изменении сведений. Штраф — в нижней части диапазона 100–300 тыс. ₽. Вывод: изменение целей обработки требует актуализации уведомления, а не только политики конфиденциальности.

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — проверка правовых оснований и ОРД для отраслевых операторов
• Комплект ОРД под ключ — политика, согласия, договоры поручения, регламенты
• DPO-аутсорсинг — абонентское ведение функции ответственного по ст. 22.1 ФЗ-152

Частые вопросы

1. Кто является оператором ПДн: ТСЖ или управляющая компания?

Каждая организация — самостоятельный оператор по ст. 3 ФЗ-152, если самостоятельно определяет цели и способы обработки ПДн собственников и жильцов. ТСЖ обрабатывает данные членов товарищества на основании Жилищного кодекса. УК обрабатывает данные собственников в рамках договора управления. Если УК привлекает ТСЖ для отдельных функций — необходим договор поручения обработки по п. 3 ст. 6 ФЗ-152.

2. Освобождены ли СМИ от уведомления Роскомнадзора об обработке ПДн?

Частично. Ст. 22 ФЗ-152 освобождает от уведомления обработку ПДн, осуществляемую исключительно в связи с журналистской деятельностью. Обработка данных работников, авторов, рекламодателей и подписчиков (если они оставляют данные в личном кабинете) под это исключение не подпадает. Неуведомление о намерении обрабатывать ПДн в части, не охваченной исключением, — ч. 10 ст. 13.11 КоАП, штраф 100 000–300 000 ₽.

3. Как оператор связи законно передаёт данные абонентов ФСБ и суду?

На основании п. 2 ч. 1 ст. 6 ФЗ-152 — обработка необходима для исполнения обязанности, предусмотренной федеральным законом (ФЗ-126 «О связи», нормы СОРМ). Согласие абонента не требуется. Риски возникают при передаче данных иным лицам без законного основания или при утечке базы абонентов — в этом случае применяются ч. 1 или ч. 12–14 ст. 13.11 КоАП в зависимости от масштаба.

4. Какие данные каршеринг вправе собирать без отдельного согласия?

Без отдельного согласия — данные, необходимые для заключения и исполнения договора аренды автомобиля: паспорт, водительское удостоверение, контакты, платёжные данные (п. 5 ч. 1 ст. 6 ФЗ-152). Геолокация в целях безопасности также обоснована договором при условии, что это прямо указано в его условиях. Геолокация для рекламных и аналитических целей, передача маршрутов партнёрам — требуют отдельного согласия по ст. 9 ФЗ-152 (с 01.09.2025 — отдельный документ).

5. Что должен хранить ТСЖ о собственниках и как долго?

ТСЖ вправе хранить данные, необходимые для реализации функций управления домом: ФИО, площадь помещения, контакты, сведения о задолженности. Срок хранения определяется целью: до прекращения права собственности и урегулирования всех расчётов. Хранение после достижения цели без отдельного основания нарушает принцип ст. 5 ФЗ-152 об уничтожении ПДн при достижении цели обработки.

Итог

Право на забвение по ст. 10.3 ФЗ-149 адресовано поисковым системам, а не редакциям СМИ. Требования субъектов к СМИ об удалении или блокировании ПДн регулируются ФЗ-152 и требуют отдельного реагирования. Отраслевые операторы — связь, ЖКХ, каршеринг, СМИ — работают в пересечении отраслевого законодательства и ФЗ-152, и именно в зонах этого пересечения накапливаются нарушения: отсутствие уведомления, незакрытые основания обработки, передача ПДн без договора поручения.

DATUM сопровождает отраслевых операторов в части соответствия ФЗ-152: от аудита правовых оснований до формирования полного пакета ОРД и абонентского ведения функции DPO по ст. 22.1 ФЗ-152.

1 июня 2026 года