Имеет ли право физическое лицо собирать персональные ( паспортные) данные?

Добрый день. Имеет ли право физическое лицо собирать персональные (паспортные) данные?

Здравствуйте!

Коротко: для личных и семейных нужд физическое лицо вправе собирать чужие персональные, включая паспортные, данные без согласия человека, если это не нарушает его прав (ч. 2 ст. 1 Закона № 152-ФЗ). Для иных целей нужны основания по ст. 6 и, как правило, согласие по ст. 9.

Ниже разберём, когда закон вообще требует согласие на сбор и обработку персональных данных, что обязано быть в письменном согласии, чем работа с чужими данными «для себя» отличается от обработки в коммерческих или иных целях, и какая ответственность грозит за нарушение этих правил.

Можно ли физическому лицу собирать чужие персональные данные для личных нужд?

Персональными данными закон называет любую информацию, которая прямо или косвенно относится к определённому или определяемому человеку (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»). Паспортные данные — фамилия, имя, отчество, серия и номер паспорта, дата и место рождения, адрес регистрации — под это определение подпадают полностью, поэтому вопрос о праве их собирать регулируется именно этим законом, а не каким-то отдельным «паспортным» регламентом.

Действие закона № 152-ФЗ не распространяется на обработку персональных данных физическим лицом исключительно для личных и семейных нужд, если при этом не нарушаются права субъекта этих данных (ч. 2 ст. 1 закона). Именно на это основание опирается право собирать паспортные данные знакомого, соседа, будущего супруга или контрагента по частной сделке — записать их для себя, сверить документ при передаче денег в долг, сохранить копию доверенности. Как только эти же данные начинают использоваться не в личных целях — передаются третьим лицам, систематически собираются про разных людей, применяются в предпринимательской деятельности или иным образом затрагивают права самого субъекта данных, — лицо, которое их собирает, становится оператором персональных данных в смысле закона, и на него распространяются уже все требования к обработке: законные основания по ст. 6, форма согласия по ст. 9, обязанности по ст. 18–22.

Когда допускается обработка персональных данных без согласия субъекта?

Помимо согласия самого человека, ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» перечисляет и другие законные основания для обработки — без них оператор обрабатывать чужие данные не вправе. На практике для физических лиц и небольших организаций чаще всего значимы такие основания:

• есть согласие субъекта персональных данных на обработку (п. 1 ч. 1 ст. 6);
• обработка нужна для целей, предусмотренных международным договором РФ или законом, либо для выполнения функций, возложенных на оператора законодательством (п. 2 ч. 1 ст. 6);
• субъект участвует в конституционном, гражданском, административном или уголовном судопроизводстве, судопроизводстве в арбитражных судах, либо речь идёт об исполнении судебного акта (п. 3 и п. 3.1 ч. 1 ст. 6);
• обработка нужна для исполнения полномочий органов власти и местного самоуправления при оказании государственных и муниципальных услуг (п. 4 ч. 1 ст. 6);
• обработка необходима для заключения или исполнения договора, стороной, выгодоприобретателем или поручителем по которому является сам субъект персональных данных (п. 5 ч. 1 ст. 6);
• обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта, а получить его согласие невозможно (п. 6 ч. 1 ст. 6);
• обработка нужна для законных интересов оператора или третьих лиц либо для общественно значимых целей, если при этом не нарушаются права и свободы субъекта (п. 7 ч. 1 ст. 6);
• обработка связана с профессиональной журналистской, научной, литературной или иной творческой деятельностью и не нарушает права субъекта (п. 8 ч. 1 ст. 6);
• данные сделаны общедоступными самим субъектом либо по его просьбе, либо подлежат обязательному опубликованию или раскрытию по закону (п. 10 и п. 11 ч. 1 ст. 6).

Даже когда законное основание есть, оператор обязан соблюдать общие принципы обработки: собирать данные под заранее определённую и законную цель, не запрашивать их больше, чем нужно для этой цели, и не хранить дольше, чем требует цель обработки (ст. 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).

Какие требования предъявляются к согласию на обработку персональных данных?

Согласие на обработку персональных данных субъект даёт свободно, своей волей и в своём интересе; оно должно быть конкретным, информированным и сознательным и может быть дано в любой форме, позволяющей подтвердить факт его получения, если иное прямо не установлено законом (ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»). В случаях, прямо предусмотренных законом, согласие требуется только в письменной форме — на бумаге с подписью или в виде электронного документа, подписанного электронной подписью. Такое письменное согласие должно содержать (ч. 4 ст. 9 закона):

1. фамилию, имя, отчество и адрес субъекта персональных данных, реквизиты его документа, удостоверяющего личность, — а при согласии от представителя дополнительно те же сведения о представителе и реквизиты доверенности;
2. наименование либо фамилию, имя, отчество и адрес оператора, получающего согласие;
3. цель обработки персональных данных;
4. перечень персональных данных, на обработку которых даётся согласие;
5. наименование или ФИО и адрес лица, которому оператор поручает обработку данных, — если такое поручение предусмотрено;
6. перечень действий с персональными данными, на которые даётся согласие, и общее описание используемых способов обработки;
7. срок, в течение которого действует согласие, и способ его отзыва;
8. подпись субъекта персональных данных.

Согласие можно отозвать в любой момент. После отзыва оператор обязан прекратить обработку, если у него не осталось другого законного основания продолжать её — например, из числа перечисленных в ст. 6 закона. Доказывать, что согласие было получено или что для обработки есть иное законное основание, обязан именно оператор, а не субъект персональных данных.

Чем сбор данных для личных нужд отличается от их обработки в коммерческих целях?

Граница проходит по цели и масштабу использования данных. Пока паспортные и иные персональные данные другого человека остаются у Вас «для себя» — не передаются третьим лицам, не собираются систематически про разных людей и не используются в предпринимательской деятельности, — действует исключение ч. 2 ст. 1 закона № 152-ФЗ, и отдельное согласие не требуется. Как только данные начинают обрабатываться в коммерческих, кадровых или иных организационных целях, лицо становится оператором и обязано соблюдать требования по обеспечению безопасности данных (ст. 19 закона), а по общему правилу — ещё и уведомить Роскомнадзор об обработке (ст. 22 закона), кроме случаев, прямо перечисленных как исключения в ч. 2 этой статьи. Характерный пример законной обработки без отдельного согласия — работодатель, который собирает и хранит паспортные данные сотрудника: это необходимо для заключения и исполнения трудового договора (п. 5 ч. 1 ст. 6 закона) и для исполнения обязанностей, возложенных на работодателя Трудовым кодексом РФ, а не самостоятельная инициатива компании; подробнее о границах такой обработки — в материале «Кто и как обязан защищать персональные данные работника?».

Отдельно стоит нюанс, о котором часто забывают: то, что данные человека когда-то стали общедоступными — например, он сам указал их в открытом профиле или объявлении, — само по себе не даёт другим лицам право свободно распространять их дальше. С 1 марта 2021 года (изменения внесены Федеральным законом от 30.12.2020 № 519-ФЗ) для дальнейшего распространения таких данных требуется отдельное согласие субъекта именно на распространение — ст. 10.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Прежнее правило «раз данные публичны, их может использовать кто угодно» с этой даты не применяется.

Какая ответственность грозит за незаконный сбор или использование персональных данных?

Ответственность зависит от того, что именно нарушено — правила обработки как таковые или неприкосновенность частной жизни человека:

Уполномоченный орган по защите прав субъектов персональных данных — Роскомнадзор (ст. 23 закона № 152-ФЗ): именно он рассматривает жалобы граждан на незаконную обработку и возбуждает дела по ст. 13.11 КоАП РФ. Ответственность за нарушения в этой сфере за последние годы заметно ужесточилась: Федеральным законом от 30.11.2024 № 420-ФЗ в Уголовный кодекс РФ введена отдельная ст. 272.1 УК РФ за неправомерные сбор, использование, передачу и хранение персональных данных, полученных незаконным путём, а санкции по ст. 13.11 КоАП РФ за повторные нарушения и утечки данных выросли. Подробнее о том, кто рассматривает такие обращения и куда с ними идти, — в материале «Ужесточение наказания за обработку персональных данных: кто возбуждает дела по статье 13.11 КоАП РФ и куда обращаться?».

Частые вопросы

Распространяются ли правила о персональных данных на фотосъёмку людей в общественных местах?

Не совсем — это разные институты. Съёмка и публикация изображения гражданина регулируется прежде всего ст. 152.1 ГК РФ об охране изображения гражданина, а не законом № 152-ФЗ, хотя фотография тоже относится к персональным данным. Подробнее о правилах съёмки — в материале «Право на собственное изображение: правовые аспекты съемки и публикации фотографий граждан в общественных местах».

Нужно ли отдельное согласие, чтобы указать паспортные данные партнёра по сделке в договоре?

Нет, если эти данные нужны именно для заключения и исполнения договора, стороной которого является сам этот человек, — это самостоятельное законное основание обработки (п. 5 ч. 1 ст. 6 закона № 152-ФЗ). Отдельное согласие требуется, если данные предполагается использовать шире — например, передавать третьим лицам не для целей этого договора.

Что делать, если сосед, коллекторы или посторонняя компания собирают Ваши персональные данные без всяких оснований?

Направить жалобу в Роскомнадзор как уполномоченный орган по защите прав субъектов персональных данных (ст. 23 закона № 152-ФЗ), а при признаках преследования, разглашения сведений о частной жизни или ином посягательстве на неприкосновенность частной жизни — обратиться в полицию или прокуратуру по признакам ст. 137 УК РФ.

Можно ли собирать и дальше передавать данные, которые человек сам когда-то сделал общедоступными?

Собирать — как правило, можно, если это не нарушает его прав (п. 10 ч. 1 ст. 6 закона № 152-ФЗ). А вот распространять такие данные дальше с 1 марта 2021 года можно только при наличии отдельного согласия субъекта именно на распространение (ст. 10.1 закона № 152-ФЗ) — того факта, что данные когда-то были опубликованы, для этого уже недостаточно.

Может ли работодатель собирать паспортные данные сотрудника без его отдельного согласия?

Да, в объёме, необходимом для заключения и исполнения трудового договора и для исполнения обязанностей, возложенных на работодателя Трудовым кодексом РФ, — отдельного согласия на это не требуется (п. 5 ч. 1 ст. 6 закона № 152-ФЗ), но собранные данные работодатель обязан хранить конфиденциально и использовать только по этой цели.

Краткая сводка: право физического лица на сбор и обработку персональных данных

• Для личных и семейных нужд собирать чужие персональные, включая паспортные, данные можно без согласия субъекта, если это не нарушает его прав (ч. 2 ст. 1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).
• Для любых иных целей нужно одно из оснований ст. 6 закона: согласие субъекта, исполнение договора с его участием, законная обязанность оператора, защита жизни и здоровья, общедоступность данных и другие.
• Письменное согласие на обработку должно содержать реквизиты по ч. 4 ст. 9 закона и может быть отозвано субъектом в любой момент.
• Дальнейшее распространение уже общедоступных персональных данных с 1 марта 2021 года требует отдельного согласия по ст. 10.1 закона.
• Незаконная обработка персональных данных влечёт административную ответственность по ст. 13.11 КоАП РФ, а посягательство на частную жизнь человека — уголовную по ст. 137 УК РФ.
• За неправомерные сбор, использование и передачу персональных данных, полученных с нарушением закона, с 30 мая 2025 года предусмотрена уголовная ответственность по ст. 272.1 УК РФ.

Таким образом, физическое лицо вправе собирать персональные, включая паспортные, данные другого человека без его согласия только для личных и семейных нужд и при условии, что это не нарушает его прав. Для любых иных целей нужны законные основания по ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и, как правило, согласие субъекта по ст. 9, а дальнейшее распространение уже общедоступных данных с 2021 года требует отдельного согласия по ст. 10.1. Незаконный сбор, использование или распространение чужих персональных данных грозит ответственностью — от административного штрафа по ст. 13.11 КоАП РФ до уголовной по ст. 137 и ст. 272.1 УК РФ.

С уважением, адвокат Анатолий Антонов, управляющий партнер адвокатского бюро «Антонов и партнеры».

Адвокатское бюро «Антонов и партнеры» готово оказать юридическую помощь по всем категориям дел в любых регионах России. Эффективно и качественно решаем возникшие у Вас юридические задачи любой сложности.

Получить дополнительную информацию или ознакомиться с нашими услугами по данной теме можно по ссылкам ниже:

• Защита персональных данных
• Аудит процессов обработки персональных данных