Религиозные организации и ПДн прихожан

Религиозные организации традиционно считали себя вне сферы действия законодательства о ПДн. Между тем они собирают имена, контакты, сведения о крещении, венчании, исповеди и пожертвованиях. Каждое из этих действий — обработка персональных данных по ст. 3 ФЗ-152. РКН ведёт реестр операторов, включая НКО и религиозные структуры, и проводит плановые проверки. Ниже — пошаговая инструкция для юриста, который ставит такую организацию на рельсы 152-ФЗ.

Шаг 1. Определите статус оператора и категории данных

Любая организация, самостоятельно или совместно с другими лицами определяющая цели и способы обработки ПДн, является оператором по ст. 3 ФЗ-152. Религиозная организация, ведущая реестр прихожан, список крещённых, базу жертвователей или журнал венчаний, подпадает под это определение без исключений.

Ключевой вопрос — категория данных. Сведения о религиозных убеждениях прямо перечислены в ст. 10 ФЗ-152 как специальная категория. Их обработка по общему правилу запрещена, кроме случаев, когда субъект дал явное согласие либо обработка необходима для законной деятельности религиозной организации в отношении её членов. Второе основание работает только при соблюдении двух условий: данные не распространяются третьим лицам без согласия и организация является религиозным объединением, членами которого являются субъекты.

На практике: список прихожан для внутренней рассылки — допустим без согласия при соблюдении условий ст. 10. Передача тех же данных в благотворительный фонд или публикация на сайте — требует отдельного согласия по ст. 10.1 ФЗ-152. Контактные данные и финансовые сведения жертвователей — общая категория, но всё равно требует правового основания из ст. 6 ФЗ-152.

Шаг 2. Подайте уведомление в Роскомнадзор

До начала обработки ПДн оператор обязан уведомить РКН по ст. 22 ФЗ-152. Уведомление подаётся через портал pd.rkn.gov.ru с использованием ЕСИА или УКЭП по форме Приказа РКН № 180 от 28.10.2022. Срок включения в реестр операторов — 30 дней.

В уведомлении указываются: цели обработки, категории субъектов и данных, перечень действий, меры защиты, сведения об ответственном лице. Религиозная организация, обрабатывающая специальные категории ПДн, указывает это явно — иначе реестровая запись не будет соответствовать фактической деятельности, что создаёт основание для штрафа по ч. 1 ст. 13.11 КоАП (150 000 — 300 000 ₽).

Шаг 3. Разработайте политику обработки персональных данных

Оператор обязан опубликовать политику обработки ПДн в открытом доступе по ст. 18.1 ФЗ-152. Для религиозной организации с сайтом — разместить в виде отдельной страницы. Для организации без сайта — вывесить в помещении, доступном для прихожан. Отсутствие политики — состав по ч. 3 ст. 13.11 КоАП, штраф 30 000 — 60 000 ₽.

Обязательные разделы политики по ч. 2 ст. 18.1 ФЗ-152:

• наименование и реквизиты оператора;
• цели обработки ПДн (отдельно для каждой категории);
• правовые основания обработки со ссылкой на ст. 6 и ст. 10 ФЗ-152;
• перечень обрабатываемых категорий ПДн;
• порядок и условия хранения, сроки;
• порядок реализации прав субъектов (запросы, уточнение, уничтожение);
• сведения о трансграничной передаче, если она осуществляется;
• актуальная дата и подпись ответственного лица.

Шаблон из интернета без адаптации создаёт риск: чужая политика описывает чужие цели и категории. При проверке РКН сравнивает текст политики с фактической обработкой. Расхождение — основание для предписания и протокола по ч. 1 ст. 13.11 КоАП.

Шаг 4. Оформите согласия прихожан по требованиям ФЗ-156

С 01.09.2025 согласие на обработку ПДн оформляется только в виде отдельного документа — его нельзя встраивать в договор, заявление о членстве, анкету или правила прихода (ФЗ-156 от 24.06.2025, изменения в ч. 1 ст. 9 ФЗ-152). Ранее полученные согласия, оформленные по старым правилам, сохраняют силу — обратной силы закон не имеет.

Обязательные реквизиты согласия по ст. 9 ФЗ-152:

• фамилия, имя, отчество и контактные данные субъекта;
• наименование и реквизиты оператора;
• цель обработки;
• перечень персональных данных;
• перечень действий с ПДн;
• срок действия согласия;
• способ отзыва согласия.

Для специальных категорий (религиозные убеждения) — согласие должно явно указывать категорию. Обработка без надлежащего согласия, когда оно требуется, — состав по ч. 2 ст. 13.11 КоАП, штраф 300 000 — 700 000 ₽; повторное нарушение — 1 000 000 — 1 500 000 ₽ по ч. 2.1.

Шаг 5. Назначьте ответственного по ст. 22.1 ФЗ-152

Оператор-юридическое лицо обязан назначить лицо, ответственное за организацию обработки ПДн, по ст. 22.1 ФЗ-152. Для религиозной организации — это сотрудник или руководитель, уполномоченный приказом. Требования к квалификации установлены ч. 4 ст. 22.1: лицо должно знать законодательство о ПДн и иметь возможность выполнять установленные обязанности.

Функции ответственного: взаимодействие с субъектами ПДн и РКН, контроль за соблюдением 152-ФЗ, организация обучения сотрудников, ведение документации. Если в штате нет подходящего специалиста — функцию можно передать на аутсорсинг. Отсутствие назначенного ответственного фиксируется при проверке РКН как нарушение ст. 18.1 ФЗ-152.

Обратите внимание: ответственный за обработку — не то же самое, что обработчик по поручению. Ответственный — внутренняя функция оператора. Обработчик — третье лицо, которому оператор поручает обработку по договору (п. 3 ст. 6 ФЗ-152). Если организация передаёт базу прихожан, например, сервису рассылок — нужен письменный договор поручения обработки.

Как проверка РКН проходит для религиозных организаций на практике

Сценарий 1. Епархиальное управление (Центральный ФО, начало 2026) не было включено в реестр операторов — структура считала себя «не коммерческой организацией». РКН при плановой проверке НКО зафиксировал ведение базы прихожан (более 2 000 записей с именами, телефонами, сведениями о крещении) без уведомления. Протокол по ч. 10 ст. 13.11 КоАП. После консультации с юристом организация подала уведомление, разработала политику и согласия — суд учёл это как смягчающее обстоятельство при назначении штрафа.

Сценарий 2. Региональная религиозная организация (Сибирский ФО, осень 2025) вела сайт с разделом «Наш приход» — публиковала фотографии прихожан с именами. По жалобе субъекта РКН провёл внеплановую проверку. Квалификация: нарушение ст. 10.1 ФЗ-152 (распространение специальных категорий ПДн без отдельного согласия). Протокол по ч. 2 ст. 13.11 КоАП. Согласия с прихожан, чьи данные размещены, получены не были. После проверки — предписание об удалении данных и штраф в диапазоне ч. 2 ст. 13.11. Ситуацию осложнило то, что политика конфиденциальности на сайте отсутствовала (дополнительный протокол по ч. 3 ст. 13.11).

Услуги DATUM по теме

• Комплект ОРД под ключ — политика, согласия, приказы, регламенты за 2–3 недели
• Аудит соответствия 152-ФЗ — проверка 38 параметров с приоритизированным планом устранения нарушений
• DPO-аутсорсинг — абонентское сопровождение функции ответственного по ст. 22.1 ФЗ-152

Частые вопросы

1. Какие документы должны быть у оператора ПДн?

Минимальный пакет для религиозной организации: уведомление в РКН (или выписка из реестра), политика обработки ПДн по ст. 18.1 ФЗ-152, шаблоны согласий по ст. 9 ФЗ-152 в редакции ФЗ-156, приказ о назначении ответственного по ст. 22.1, журнал обращений субъектов, договоры с обработчиками (если данные передаются третьим лицам — сервисам рассылок, бухгалтерам на аутсорсе). При обработке специальных категорий — дополнительные согласия на каждую цель.

2. Как составить политику обработки ПДн?

Политика разрабатывается под конкретную организацию: описываются реальные цели (ведение реестра членов, организация богослужений, рассылки), фактические категории данных (ФИО, контакты, сведения о таинствах), сроки хранения и порядок уничтожения. Ч. 2 ст. 18.1 ФЗ-152 устанавливает обязательные разделы. После составления — публикация на сайте или размещение в доступном месте. Политику нужно обновлять при изменении целей обработки или состава данных.

3. Кого назначить ответственным по ст. 22.1?

Ответственным назначается сотрудник, который реально выполняет эту функцию: понимает требования 152-ФЗ, может отвечать на запросы субъектов в срок 10 рабочих дней (ст. 20 ФЗ-152) и взаимодействовать с РКН. В небольшой религиозной организации это может быть бухгалтер, секретарь или сам руководитель. Если квалификации нет — оптимально передать функцию на DPO-аутсорсинг: это допустимо по ст. 22.1 ФЗ-152 и снимает риск нарушений из-за незнания норм.

4. Можно ли использовать шаблон политики из интернета?

Шаблон допустим как отправная точка, но не как итоговый документ. РКН при проверке сравнивает текст политики с фактической обработкой. Если в организации обрабатываются специальные категории ПДн (религиозные убеждения), а политика об этом молчит — расхождение фиксируется как нарушение ст. 18.1 ФЗ-152 и основание для протокола. Чужой шаблон также может содержать ссылки на несуществующие основания или устаревшие нормы.

5. Какие согласия нужны после 01.09.2025?

С 01.09.2025 (ФЗ-156 от 24.06.2025) согласие — самостоятельный документ с реквизитами по ст. 9 ФЗ-152: ФИО субъекта, наименование оператора, цель, перечень данных, перечень действий, срок и способ отзыва. Для религиозной организации нужны отдельные согласия: на обработку специальных категорий (религиозные убеждения) — если нет оснований по ст. 10, на публикацию фото и имён (ст. 10.1), на передачу данных третьим лицам. Согласия, полученные до 01.09.2025 в старой форме, действительны — переоформлять их не требуется.

Итог

Религиозная организация обязана соблюдать 152-ФЗ в полном объёме: встать в реестр операторов, разработать политику, оформить согласия в соответствии с требованиями ФЗ-156 от 24.06.2025, назначить ответственного по ст. 22.1. Специфика — в категории данных: сведения о религиозных убеждениях относятся к специальным по ст. 10 ФЗ-152 и требуют особого правового основания для каждого случая обработки. Совокупный риск при игнорировании требований — штрафы по нескольким частям ст. 13.11 КоАП одновременно.

Практика DATUM сопровождает религиозные организации, НКО и приходские структуры в разработке ОРД, постановке на учёт в РКН и подготовке к проверкам. Комплект документов формируется под конкретную организацию с учётом её фактической обработки и структуры.