В договорах операторов связи указано, что клиент дает согласие на обработку и передачу персональных данных 3 лицам. Могут ли эти лица передавать  данные еще кому-либо? И законно ли получение этих данных от 3 лиц?

Добрый день. В договорах операторов связи указано, что клиент дает согласие на обработку и передачу персональных данных 3 лицам. Могут ли эти лица передавать данные еще кому-либо? И законно ли получение этих данных от 3 лиц?

Здравствуйте!

Коротко: третьи лица используют переданные данные только в целях согласия; передавать их дальше без нового согласия и получать их в обход закона незаконно.

Ниже приведён подробный разбор норм о согласии на обработку и передачу персональных данных, тайне связи и практических шагов на случай нарушения.

Что означает согласие на передачу персональных данных третьим лицам в договоре с оператором связи?

Обработка персональных данных, включая их передачу, допускается только по основаниям, перечисленным в статье 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных): по общему правилу — с согласия субъекта, а также в случаях исполнения договора, требований другого федерального закона и ряда иных, прямо названных в этой статье. Согласие на обработку и передачу данных третьим лицам, которое включено в договор оператора связи, — это как раз реализация первого основания. Чтобы такое согласие было действительным, оно должно отвечать требованиям статьи 9 Закона о персональных данных: быть конкретным, информированным и сознательным, то есть в нём должны быть названы цель обработки, перечень данных и передаваемых действий, а также лицо (или категория лиц), которому данные передаются.

Ключевое следствие этого правила — принцип ограничения цели обработки (статья 5 Закона о персональных данных): обработка данных должна ограничиваться достижением конкретных, заранее определённых и законных целей, а собранные данные нельзя обрабатывать способом, несовместимым с этими целями. Иначе говоря, согласие на передачу данных абонента, скажем, партнёру оператора для оказания конкретной услуги не превращается автоматически в разрешение использовать эти данные для любых иных целей — ни самим оператором, ни тем, кому данные переданы.

Может ли третье лицо, получившее Ваши данные, передать их дальше?

По общему правилу — нет. Статья 7 Закона о персональных данных прямо обязывает операторов и «иных лиц, получивших доступ к персональным данным», не раскрывать их третьим лицам и не распространять без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. То есть обязанность не передавать данные дальше без законного основания лежит не только на первоначальном операторе (самом операторе связи), но и на любом лице, которому данные были переданы. Раз обработка ограничена целью и объёмом, указанными в согласии (статьи 5 и 9 Закона о персональных данных), то и получатель данных вправе использовать их лишь в этих пределах — самостоятельно расширять круг лиц, которым он передаёт данные далее, он не может, если это прямо не разрешено в тексте самого согласия или не установлено отдельным федеральным законом.

Этот подход подтверждает и практика Верховного Суда РФ: разбирая спор о доступе к сведениям о гражданах, Судебная коллегия по экономическим спорам ВС РФ указала, что «законодательство о персональных данных позволяет третьим лицам обрабатывать информацию, имеющую отношение к физическому лицу, только с согласия самого физического лица или в прямо установленных федеральным законом случаях» (определение Судебной коллегии по экономическим спорам Верховного Суда РФ от 28.05.2026 № 306-ЭС25-10567 по делу № А72-10657/2024). Формулировка общая и не привязана к отрасли связи, поэтому применима и к ситуации с оператором связи и его партнёрами.

Что изменилось с 2021 года в правилах о данных, разрешённых для распространения?

С 1 марта 2021 года в Законе о персональных данных действует статья 10.1, посвящённая особенностям обработки персональных данных, разрешённых субъектом персональных данных для распространения. Эта статья требует отдельного согласия именно на распространение данных — оно оформляется отдельно от иных согласий (например, от общего согласия на обработку по договору) — и позволяет субъекту прямо в тексте такого согласия установить запреты или условия на дальнейшую передачу его данных оператором неограниченному кругу лиц. Важно и обратное правило: то, что субъект НЕ указал в согласии запретов на дальнейшее распространение, само по себе не означает его согласия на распространение персональных данных после того, как это согласие отозвано.

Эта статья появилась в законе позже 2020 года, поэтому в договоре, который заключался раньше, отдельного согласия на «распространение» в смысле статьи 10.1 обычно не было — там, скорее всего, стоит более общая формулировка о согласии на передачу данных третьим лицам, о которой шла речь выше. Если Вы сомневаетесь, к какому виду относится согласие, которое Вы подписывали, — прочитайте его текст: если он прямо называет цель распространения и предполагает доступ неограниченного круга лиц, применяется статья 10.1; если данные передаются конкретному, названному в согласии лицу для конкретной цели — работают общие правила статей 6 и 9.

Законно ли получение персональных данных от третьих лиц без согласия субъекта?

Нет, если у получателя нет законного основания. Закон о персональных данных регулирует не только передачу данных, но и их получение: персональные данные могут быть получены оператором от лица, не являющегося субъектом персональных данных, только при условии, что это лицо подтвердит оператору наличие оснований, указанных в пунктах 2–11 части 1 статьи 6 Закона о персональных данных, — то есть тех же законных оснований для обработки без согласия (исполнение международного договора или закона, исполнение договора с субъектом, защита жизни и здоровья и т. п.). Если такого подтверждения нет, а согласия субъекта на передачу данных именно этому получателю тоже нет, — получение данных от третьего лица незаконно, независимо от того, что сам источник мог получить их когда-то на законных основаниях.

Другими словами, законность получения данных «в цепочке» не наследуется автоматически: каждое следующее звено — оператор связи, его партнёр, а затем ещё одно лицо — обязано иметь собственное законное основание для того объёма данных, которым оно фактически завладело. Отсутствие такого основания у любого из звеньев делает получение данных этим лицом незаконным, даже если предыдущая передача была правомерной.

Как тайна связи защищает данные абонента у оператора связи?

Помимо общего законодательства о персональных данных, у операторов связи есть дополнительная, отраслевая обязанность — соблюдать тайну связи по Федеральному закону от 07.07.2003 № 126-ФЗ «О связи». Сведения об абонентах и оказанных им услугах связи, ставшие известными оператору связи в силу заключённого договора, являются конфиденциальной информацией. Их передача третьим лицам возможна только с согласия абонента либо в случаях, прямо предусмотренных федеральными законами (например, по законному запросу суда или органов следствия). Это правило работает вместе с общими нормами Закона о персональных данных, а не вместо них: если тема Вашего вопроса — именно данные, которые оператор связи собрал о Вас как об абоненте, у Вас есть двойная защита — общая (Закон о персональных данных) и отраслевая (тайна связи).

С этой же отраслевой обязанностью связан частый на практике вопрос о том, вправе ли операторы сотовой связи передавать данные абонентов коллекторам или судебным приставам, — подробный разбор этой ситуации есть в статье «В праве ли операторы сотовой связи передавать персональные данные коллекторам и службе судебных приставов?» на нашем сайте.

Что делать, если данные передали третьим лицам или получили от них с нарушением закона?

1. Запросите у оператора связи (как у оператора персональных данных) сведения об обработке Ваших данных, в том числе о том, кому и на каком основании они передавались, — такое право прямо закреплено в статье 14 Закона о персональных данных.
2. Если основания для передачи или получения данных нет, потребуйте от оператора и от третьего лица прекратить обработку и уничтожить незаконно полученные данные — это их прямая обязанность.
3. При необходимости отзовите согласие на обработку персональных данных (статья 9 Закона о персональных данных); отзыв не действует «задним числом» на уже правомерно обработанные данные, но прекращает обработку на будущее, если нет иных законных оснований для неё.
4. Обжаловать действия или бездействие оператора и любого лица, получившего доступ к данным, можно по статье 17 Закона о персональных данных — в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) либо в суд.
5. За незаконную обработку или разглашение персональных данных предусмотрена административная ответственность по статье 13.11 КоАП РФ, а также по статье 24 Закона о персональных данных — возможность требовать в суде компенсации морального вреда.

Частые вопросы

Может ли оператор связи включить согласие на передачу данных третьим лицам в стандартный договор, который клиент не читает?

Само по себе размещение условия о согласии в тексте договора не запрещено, но действительным такое согласие будет, только если оно отвечает требованиям статьи 9 Закона о персональных данных: конкретно называет цель обработки, перечень данных и лицо (или категорию лиц), которому данные передаются. Общая фраза без этих сведений может быть оспорена как ненадлежащее согласие.

Как узнать, кому оператор связи в действительности передал мои данные?

Направьте оператору письменный запрос со ссылкой на статью 14 Закона о персональных данных — он обязан сообщить, обрабатываются ли Ваши данные и на каком основании, включая сведения о лицах, которые имеют к ним доступ или которым они передавались, за исключением случаев, когда такие сведения сами защищены законом (например, составляют государственную тайну).

Можно ли отозвать уже данное согласие на передачу данных третьим лицам?

Да, статья 9 Закона о персональных данных прямо позволяет отозвать согласие в любой момент. После отзыва оператор обязан прекратить обработку и передачу данных, если только не сохраняется иное законное основание из статьи 6. Пошаговый порядок такого обращения разобран в статье «Как мне составить отказ о передаче личных данных третьим лицам?».

Какая ответственность грозит за незаконную передачу или получение персональных данных?

Для операторов и должностных лиц предусмотрена административная ответственность по статье 13.11 КоАП РФ — она охватывает и незаконную обработку, и незаконное распространение персональных данных без согласия субъекта. Подробнее о том, кто возбуждает такие дела и куда обращаться, — в статье «Ужесточение наказания за обработку персональных данных: кто возбуждает дела по статье 13.11 КоАП РФ и куда обращаться?». Помимо административного штрафа, субъект вправе требовать в суде компенсации морального вреда по статье 24 Закона о персональных данных.

Краткая сводка: право третьих лиц на передачу и получение персональных данных

• Третье лицо, получившее данные с согласия субъекта, вправе использовать их только в пределах цели и объёма, указанных в этом согласии (статьи 5, 6 и 9 Закона о персональных данных).
• Передавать данные дальше без нового согласия или отдельного законного основания третье лицо не вправе — обязанность не раскрывать и не распространять персональные данные прямо установлена статьёй 7 Закона о персональных данных.
• С 1 марта 2021 года действует статья 10.1 Закона о персональных данных — специальные правила согласия на распространение данных, включая право субъекта прямо запретить их дальнейшую передачу; в договорах старше этой даты такого согласия обычно нет.
• Получение персональных данных от лица, не являющегося их субъектом, законно, только если у получателя есть собственное основание из пунктов 2–11 части 1 статьи 6 Закона о персональных данных, — иначе получение незаконно независимо от законности предыдущей передачи.
• У операторов связи есть дополнительная обязанность — тайна связи по статье 63 Федерального закона от 07.07.2003 № 126-ФЗ «О связи»: сведения об абонентах передаются третьим лицам только с согласия абонента либо по основаниям федерального закона.
• Практика Верховного Суда РФ (определение СКЭС ВС РФ от 28.05.2026 № 306-ЭС25-10567) подтверждает: обрабатывать данные, относящиеся к физическому лицу, третьи лица вправе только с его согласия или в прямо установленных федеральным законом случаях.
• За незаконную передачу или получение персональных данных предусмотрена административная ответственность по статье 13.11 КоАП РФ и возможность компенсации морального вреда по статье 24 Закона о персональных данных.

Таким образом, третьи лица, получившие Ваши персональные данные с согласия, вправе использовать их только в тех целях и в том объёме, что указаны в согласии, и передавать их дальше без нового согласия или отдельного законного основания не могут — это прямо запрещено статьёй 7 Закона о персональных данных, а для оператора связи дополнено тайной связи по статье 63 Федерального закона «О связи». Получение персональных данных от таких третьих лиц в обход этих правил также незаконно: у каждого, кто фактически владеет данными, должно быть собственное законное основание для их получения.

С уважением, адвокат Анатолий Антонов, управляющий партнер адвокатского бюро «Антонов и партнеры».

Адвокатское бюро «Антонов и партнеры» готово оказать юридическую помощь по всем категориям дел в любых регионах России. Эффективно и качественно решаем возникшие у Вас юридические задачи любой сложности.

Получить дополнительную информацию или ознакомиться с нашими услугами по данной теме можно по ссылкам ниже:

• Защита персональных данных
• Какие гос. учреждения имеет право распространять персональные данные без согласия, включая передачу данных в мировой суд?