КС напомнил: открытый источник сам по себе не заменяет основание обработки персональных данных

Конституционный Суд РФ вынес определение от 30 июня 2026 г. № 2029-О — об отказе в принятии к рассмотрению жалобы на нарушение конституционных прав пунктами 6 и 7 части 1 статьи 6 Федерального закона «О персональных данных». Текст акта можно найти по его реквизитам в базе решений Конституционного Суда РФ — рекомендуем свериться с первоисточником, а не только с обзорами.

Заявителю принадлежит рекомендательный сервис для выбора врачей и медицинских организаций. Статуса средства массовой информации у него нет. В карточке врача были размещены фамилия, имя и отчество, сведения об образовании и местах работы; общество ссылалось на то, что эти данные ранее раскрыты на сайтах медицинских организаций в силу закона. Врач сначала потребовал удалить сведения у самого общества, затем обратился в управление Роскомнадзора, которое вынесло требования от 17.02.2022 № 6020-12/78 и от 20.04.2022 № 17061-12/78 об удалении персональных данных. Суд первой инстанции, апелляция и кассация отказали обществу в признании требований незаконными.

Оспаривались пункты 6 и 7 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» — основания обработки без согласия субъекта: пункт 6 о защите жизненно важных интересов субъекта и пункт 7 об осуществлении прав и законных интересов оператора или третьих лиц либо достижении общественно значимых целей. Конституционный Суд отказал в принятии жалобы к рассмотрению, исходя из действующей конструкции пункта 7: такая обработка допустима лишь при условии, что не нарушаются права и свободы субъекта персональных данных. С учётом ранее сформулированной позиции Суда негативное обсуждение граждан и их деятельности, в том числе в интернете, может относиться к издержкам свободы информации, но уравновешивается защитой чести и доброго имени.

Важная оговорка о том, чего в определении нет: это отказ в принятии жалобы, а не решение по существу конституционности норм. Суд не признавал публикацию незаконной и ничего не запрещал — он не нашёл оснований пересматривать конструкцию статьи 6, при которой спор разрешился не в пользу площадки.

Чем это отличается от позиции 2021 года

Постановлением от 25.05.2021 № 22-П Конституционный Суд по жалобе владельца сервиса отзывов о врачах признал пункт 8 части 1 статьи 6 152-ФЗ не противоречащим Конституции в той мере, в какой он допускает размещение сетевым изданием персональных данных медицинского работника без его согласия — при соблюдении условий: сведения ранее раскрыты медицинской организацией на основании закона; они касаются профессиональной деятельности, а не частной жизни вне профессии; присутствует общественный интерес; редакция пресекает очевидно противоправные и непрофессиональные отзывы.

Ключевое здесь — пункт 8 части 1 статьи 6: обработка для профессиональной деятельности журналиста и деятельности средства массовой информации. У сайта без статуса СМИ такого основания нет, и обосновывать обработку ему приходится другими пунктами статьи 6 — с более строгим условием о ненарушении прав субъекта.

Проекция на другие случаи

Медицинская специфика здесь вторична. Сходные риски возникают у площадок без статуса СМИ, если они публикуют идентифицирующие сведения о людях без согласия и без самостоятельного основания по статье 6:

• отзовики и рейтинги специалистов — юристов, репетиторов, мастеров, риелторов;
• каталоги и агрегаторы, собирающие карточки сотрудников с сайтов организаций;
• форумы и сообщества, где участники называют конкретных людей по фамилии и должности;
• доски объявлений и базы контактов, наполняемые из открытых источников.

Первое: «данные были открыты» — не основание обработки. Общедоступность источника не заменяет ни согласия, ни другого основания из статьи 6. Для персональных данных, разрешённых субъектом для распространения, закон требует отдельного согласия именно на распространение, оформляемого отдельно от других согласий; молчание или бездействие субъекта согласием не считаются (статья 10.1 152-ФЗ, действует с 1 марта 2021 года). Сам факт размещения работодателем сведений о работнике не доказывает согласие человека на последующее распространение этих данных третьим лицом.

Второе: ссылка на собственный законный интерес работает только при балансе. Пункт 7 части 1 статьи 6 разрешает обработку для прав и законных интересов оператора или третьих лиц либо для общественно значимых целей, но с прямой оговоркой — при условии, что не нарушаются права и свободы субъекта. В рассмотренном деле суды не увидели достаточного основания продолжать обработку без согласия после требований субъекта об удалении.

Третье: спор начинается не в суде. Поводом стало обращение гражданина в Роскомнадзор, а не иск. Требование надзорного органа можно оспаривать — общество этим правом воспользовалось, — но в этом деле суды всех трёх инстанций признали требования законными, и издержки легли на владельца сайта.

Что проверить владельцу сайта или форума

• Признать себя оператором. Регистрация пользователей, профили, отзывы, форма обратной связи — это уже обработка персональных данных. По общему правилу оператор до начала обработки уведомляет Роскомнадзор (часть 1 статьи 22 152-ФЗ), кроме случаев, перечисленных в части 2 той же статьи.
• Опубликовать политику. Оператор обязан опубликовать документ, определяющий его политику в отношении обработки персональных данных, или иным образом обеспечить к нему неограниченный доступ; при сборе данных через сайт политика размещается на соответствующих страницах сайта (часть 2 статьи 18.1 152-ФЗ).
• Зафиксировать основание для каждой категории данных. Отдельно для данных пользователей (согласие, договор) и отдельно — для данных третьих лиц, которых упоминают в отзывах и сообщениях. Второе у площадок обычно самое слабое место.
• Завести процедуру обращения субъекта. На запрос о наличии персональных данных и ознакомлении с ними отвечают в течение десяти рабочих дней с возможностью продления не более чем на пять рабочих дней с мотивированным уведомлением заявителя (часть 1 статьи 20 152-ФЗ). Если субъект подтвердил, что данные получены незаконно или не нужны для заявленной цели, оператор обязан уничтожить их в срок не более семи рабочих дней (часть 3 статьи 20).
• Осторожнее с наполнением из открытых источников. Модель, построенная на сборе карточек с чужих сайтов, оказывается уязвимой: сведения придётся удалять по обоснованному требованию, а спор — вести с надзорным органом.
• Настроить модерацию пользовательского контента. Правила площадки, порядок удаления по обращению, фиксация обращений и сроков ответа. Отзыв об услуге и распространение персональных данных конкретного работника — разные вещи, и второе рискованнее.
• Минимизировать состав публикуемого. Чем меньше идентифицирующих признаков в карточке (место работы, график, контакты, фотография), тем меньше объём возможной претензии.

Тем, кто рассчитывает на «журналистское» основание, стоит помнить: пункт 8 части 1 статьи 6 действует для деятельности СМИ, и постановление № 22-П связывает его с общественным интересом и профессиональной сферой человека, а не с любыми сведениями о нём.

Материал носит справочный характер. Точные формулировки — в текстах определения Конституционного Суда РФ от 30.06.2026 № 2029-О и постановления от 25.05.2021 № 22-П; оба доступны в базе решений Конституционного Суда РФ. Наименования участников споров здесь не приводятся: для понимания правовой позиции они значения не имеют.