Принципы обработки персональных данных: что говорит статья 5 закона № 152-ФЗ

Статья 5 закона № 152-ФЗ звучит как теоретическая преамбула — шесть общих принципов, которые легко пролистать, чтобы перейти к конкретным требованиям: согласию, политике, срокам уведомления. Но на практике именно эти шесть пунктов часто становятся формальным основанием претензии, даже когда все процедурные требования формально выполнены.

Зачем бизнесу знать эти принципы, а не только конкретные требования

Конкретные требования, с которыми обычно работает бизнес — форма согласия, политика обработки, срок ответа на обращение субъекта, состав документов, — не существуют сами по себе. Это практическое воплощение более общих принципов, закреплённых в статье 5. Когда компания нарушает конкретную процедуру, она почти всегда одновременно нарушает один из этих шести принципов.

Разница важна практически. Формальный чек-лист («есть ли политика», «есть ли чекбокс согласия») можно пройти и всё равно нарушить закон — если, например, собираемые данные избыточны относительно заявленной цели, или если две разные базы, собранные для разных целей, оказались объединены в одну. Понимание самого принципа позволяет увидеть нарушение там, где формальная проверка по чек-листу его не находит, — а именно так работают и инспекторы, когда оценивают, насколько реальные процессы компании соответствуют духу закона, а не только букве отдельных процедур.

Принцип 1 — законность и справедливая основа обработки

Первый принцип задаёт рамку для всего остального: обработка персональных данных должна вестись строго в рамках законодательства. Это означает, что у любой обработки должно быть легальное основание — либо согласие субъекта, либо, в случаях, когда согласие не требуется, исполнение обязательств по договору или другое основание, прямо предусмотренное статьёй 6 закона № 152-ФЗ.

На практике этот принцип — фундамент, на котором строится вся логика согласий и правовых оснований, которую мы уже разбирали в блоге отдельно: от общего правила «согласие нужно для всего, что выходит за рамки прямой функции договора или требования закона» до конкретных сценариев для разных отраслей. Если у конкретной операции с данными нет ни согласия, ни другого законного основания, не имеет значения, насколько аккуратно оформлены остальные документы компании, — сама обработка уже незаконна в своей основе.

Принцип 2 — ограничение обработки заявленными целями

Второй принцип запрещает собирать данные «про запас» — то есть без конкретной, заранее определённой цели, просто потому что они могут где-то пригодиться в будущем. Цель должна существовать до начала сбора данных, а не придумываться постфактум, когда данные уже лежат в базе и оказались для чего-то удобны.

Типичный пример нарушения этого принципа — компания собирает данные посетителей сайта формально «для обработки заявки», но на самом деле сразу закладывает их в общую маркетинговую базу для будущих рассылок, рекламных кампаний или передачи партнёрам, не формулируя эти цели заранее и не указывая их в согласии. Формально согласие на обработку есть, но реальная цель, для которой данные впоследствии используются, не была определена до их сбора, — и это самостоятельное нарушение, отдельное от вопроса, было ли получено согласие вообще.

Принцип 3 — соответствие объёма данных заявленным целям

Третий принцип логически продолжает второй: даже если цель заявлена корректно, содержание и объём обрабатываемых данных должны полностью ей соответствовать. Нельзя собирать больше данных, чем объективно нужно для этой конкретной цели, — даже если формально согласие на их обработку получено.

Мы уже разбирали в блоге реальный пример такого нарушения в статье о судебной практике по штрафам: онлайн-сервис собирал паспортные данные пользователей для подписки на обычную информационную рассылку. Регулятор признал это избыточным сбором данных, несовместимым с заявленной целью, — штраф составил 150 000 рублей. Логика здесь простая и универсальная: цель «подписаться на рассылку» объективно не требует паспортных данных, и наличие формального согласия на их сбор не снимает ответственности за то, что сам объём запрошенных данных избыточен.

Практический вывод для любой компании — регулярно проверять, действительно ли каждое поле в форме сбора данных необходимо для той цели, которая заявлена именно для этой формы, а не для компании в целом.

Принцип 4 — достоверность и достаточность данных

Четвёртый принцип возлагает на оператора обязанность принимать меры по удалению или уточнению неполных или неточных данных. Это означает, что данные нельзя просто собрать один раз и хранить «как есть» бесконечно, не обращая внимания на то, что они могли устареть или оказаться неточными.

На практике это проявляется, например, когда клиент сменил номер телефона, адрес или фамилию и сообщил об этом компании, — у компании должен быть реальный механизм, позволяющий эту информацию актуализировать, а не оставлять устаревшие сведения в базе просто потому, что формального требования «удалить всё и собрать заново» не существует. Этот же принцип тесно связан с обязанностью реагировать на запросы субъектов об уточнении данных — такие обращения и сроки ответа на них мы отдельно разбирали в статье про журнал учёта обращений.

Принцип 5 — недопустимость объединения баз, собранных для разных целей

Пятый принцип касается ситуации, которая часто возникает незаметно, по мере роста компании: базы данных, собранные для несовместимых между собой целей, не могут обрабатываться совместно.

Представим типичную ситуацию: компания собрала базу клиентов для исполнения договоров купли-продажи — без отдельного согласия, на основании договорных отношений. Отдельно, с согласия, она собрала базу подписчиков на рекламную рассылку — часть из них совпадает с клиентами, часть нет. Объединить эти две базы в один общий массив и начать использовать его как единое целое — например, отправлять рекламные предложения всем клиентам из первой базы, ссылаясь на то, что данные «уже есть в системе» — нарушение этого принципа, даже если каждая база по отдельности была собрана законно. Несовместимость целей не исчезает только из-за того, что обе базы технически хранятся в одной CRM-системе.

Принцип 6 — ограничение хранения данных сроком

Шестой принцип устанавливает, что персональные данные должны храниться не дольше, чем этого требуют цели их обработки. После того как цель достигнута, данные подлежат уничтожению или обезличиванию — если законодательством не предусмотрено иное, например, более длительный срок хранения по другим нормативным требованиям, не связанным напрямую с персональными данными.

Важная деталь этого принципа — он не привязан жёстко к какому-то одному универсальному сроку в годах. Основанием для прекращения хранения служит именно достижение цели обработки, а не истечение формального периода, назначенного «на всякий случай». Если договор с клиентом исполнен и все связанные с ним обязательства закрыты, дальнейшее хранение его персональных данных без отдельного основания — уже нарушение этого принципа, даже если никакого конкретного срока в документах компании на этот случай прямо не указано.

Проведем бесплатный аудит вашей организации или ИП на предмет соблюдения новых требований закона «О персональных данных»

Сделаем заключение на соблюдение требований Роскомнадзора

Запишитесь на бесплатный аудит

Заполните форму и мы свяжемся с вами

Нажимая кнопку "Отправить", я даю свое Согласие на обработку моих персональных данных в соответствии с Федеральным законом от 27.07.2006 года № 152-ФЗ «О персональных данных» на условиях и для целей, определенных Политикой конфиденциальности

Нажимая кнопку "Отправить", я даю свое согласие на получение сообщений информационного (рекламного) характера в соответствии с Федеральным законом от 13.03.2006 г № 38-ФЗ «О рекламе» на условиях и для целей, определенных Политикой конфиденциальности, Согласием на осуществление рекламной рассылки

Отправить

Если нужна помощь

Проверить, соответствуют ли реальные процессы компании этим шести принципам — а не только формальному набору документов, — помогают специалисты сервиса «Роском Онлайн».

Частые вопросы

Сколько принципов обработки персональных данных закреплено в статье 5 закона № 152-ФЗ?

Шесть — законность и справедливая основа, ограничение целями, соответствие объёма данных целям, достоверность и достаточность, недопустимость объединения баз, ограничение хранения сроком.

Можно ли собирать данные «на будущее», если пока не знаешь, для чего они понадобятся?

Нет, цель обработки должна быть конкретной и определена заранее — это прямо нарушает принцип ограничения обработки целями.

Можно ли объединить базу клиентов и базу подписчиков рассылки в одну общую базу?

Нет, если эти базы собраны для несовместимых между собой целей, — закон прямо запрещает их совместную обработку без отдельного основания.

Нужно ли удалять данные клиента, если цель их обработки уже достигнута?

Да, данные должны храниться не дольше, чем требуют цели обработки, после чего подлежат уничтожению или обезличиванию, если законом не предусмотрено иное.

Что считается нарушением принципа соответствия объёма данных целям? Сбор данных, которые объективно не нужны для заявленной цели, — например, запрос паспортных данных для подписки на обычную рассылку.