Если этот пункт неприменим — какое основание из ч.ст.подходит?

Вопрос 1. Обработка данных третьих лиц без их согласия

Пункт 6 части 1 статьи 6 Закона № 152-ФЗ в данном случае неприменим.

Эта норма регулирует ситуации, когда обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта (или третьих лиц), если получение согласия невозможно (например, экстренная госпитализация).

Защита имущественных прав или составление процессуальных документов сюда не относятся.

Часть этой нормы, касающаяся осуществления правосудия, также не подходит, поскольку правосудие осуществляется исключительно судом (ст. 118 Конституции РФ), а досудебная стадия им не является.

Для работы вашего сервиса подходят два альтернативных основания из ч. 1 ст. 6 Закона № 152-ФЗ:

Пункт 7 части 1 статьи 6 Закона № 152-ФЗ (Законный интерес оператора или третьих лиц):

Суть: Обработка допускается, если она необходима для осуществления прав и законных интересов оператора или третьих лиц (в данном случае — вашего клиента, защищающего свои права), при условии, что не нарушаются права и свободы субъектов ПДн (третьих лиц, чьи данные указаны в документах).

Обоснование: Гражданин имеет законное право на защиту и подготовку к судебному спору. Данные третьих лиц (судьи, взыскателя) попали в документ на законных основаниях, и их использование для составления возражения не нарушает их права.

Пункт 5 части 1 статьи 6 Закона № 152-ФЗ (Исполнение договора с клиентом):

Суть: Обработка ПДн необходима для исполнения договора, стороной которого является субъект персональных данных (ваш клиент).

Обоснование: Пользователь сам загружает документы в рамках Пользовательского соглашения (оферты) для получения услуги.

Позиция Роскомнадзора и судебная практика (например, Постановление Арбитражного суда Московского округа по делу № А40-192520/2021) исходят из того, что если оператор обрабатывает ПДн третьих лиц, которые неразрывно связаны с исполнением договора с самим клиентом (инициатором), то отдельное согласие этих третьих лиц не требуется, если оператор не использует их данные в иных (самостоятельных) целях.

Вопрос 2. Обезличивание и трансграничная передача

С 1 сентября 2025 года вступили в силу изменения (ФЗ № 233-ФЗ и новый Приказ Роскомнадзора от 19.06.2025 № 140), которые существенно скорректировали правовой статус обезличенных данных.

(а) Является ли обезличенный текст персональными данными?

Нет, в описанной вами архитектуре зарубежный сервис не получает персональные данные.

Правовое обоснование: Согласно ст. 3 Закона № 152-ФЗ, персональные данные — это информация, относящаяся к определяемому физическому лицу. Обезличивание по закону — это лишь процесс (операция) обработки.

Ваш нюанс: Так как таблица (де-факто «ключ деонимизации») хранится исключительно на устройстве пользователя и недоступна ни вам (ИП), ни зарубежной стороне, для получателя и для вашей инфраструктуры этот текст превращается в анонимизированные (неперсонифицированные) данные.

Поскольку установить личность по тексту {ФИО_1} без ключа невозможно ни прямо, ни косвенно, данный текст для принимающей стороны не является персональными данными.

(б) Применяется ли ст. 12 (Трансграничная передача) и нужно ли уведомление?

Нет, ст. 12 Закона № 152-ФЗ не применяется, уведомление о трансграничной передаче подавать не требуется.

Правовое обоснование: Действие ст. 12 распространяется исключительно на трансграничную передачу персональных данных.

Поскольку за пределы РФ передается полностью анонимизированный текст, не позволяющий идентифицировать лиц, трансграничной передачи ПДн не происходит.

Важное условие: Первичная обработка и сам процесс замены данных (обезличивание) должны происходить строго на территории РФ (выполнение требования о локализации баз данных по ч. 5 ст. 18 Закона № 152-ФЗ), что в вашем сервисе и реализовано.

(в) Достаточно ли оператору уведомления по ст. 22 с указанием обезличивания?

Да, этого достаточно, но с одной важной оговоркой.

Правовое обоснование: В соответствии со ст. 22 Закона № 152-ФЗ, вы обязаны уведомить Роскомнадзор о намерении осуществлять обработку ПДн до её начала.

В форме уведомления в графе «Перечень действий с персональными данными» вы должны прямо указать операцию «обезличивание».

Дополнительное требование: Обратите внимание, что согласно новой статье 13.1 Закона № 152-ФЗ (введена ФЗ № 233-ФЗ), если оператор формирует массивы (датасеты) обезличенных данных для их последующего предоставления (например, для коммерческой аналитики или передачи третьим лицам в РФ), могут потребоваться дополнительные уведомления через Госуслуги в Минцифры.

Но в вашем сценарии («на лету» для обработки конкретного запроса пользователя без сохранения датасетов) стандартного уведомления в Роскомнадзор по ст. 22 с фиксацией операции обезличивания полностью достаточно.

Если потребуется составить процессуальные документы с учётом данных рекомендаций и (или) более подробная юридическая консультация — обращайтесь:

📞 Контакты для связи:

📱 MAX: +7(996)-759-62-59

💬 Telegram: @legalservicespriozersk

📲 WhatsApp: +7(996)-759-62-59

✉️ Email: podnieks.d@yandex.ru

⚖️ Личные сообщения: https://9111.ru/id-dovgan

Здравствуйте

По общему правилу такой ситуации пункт 6 части 1 статьи 6 Закона № 152-ФЗ действительно не сработает. Я поясню почему: закон разделяет два разных сценария.

В пункте 6 речь идёт об обработке данных в связи с уже идущим правосудием либо для установления или осуществления прав в рамках уже идущего процесса. То есть когда суд или иной орган прямо рассматривает дело, и ваши данные нужны для разбирательства — тогда основание есть.

Но если человек только готовится защищать свои права — например, собирает документы, составляет иск, обращается в какие-то инстанции до подачи заявления в суд, — то «осуществление правосудия» ещё не началось. Здесь нет судебного процесса, суд не рассматривает дело, поэтому и основание из п. 6 неприменимо.

В подобных случаях оператор (тот, кто собирает данные) по общему правилу должен получить письменное согласие субъекта персональных данных.

При этом важно помнить: обязанность доказать законность обработки (то есть подтвердить, что есть одно из исключений по ст. 6) лежит на операторе. Поэтому, если есть сомнения в конкретной ситуации, безопаснее запросить у человека согласие — это снимет риски претензий со стороны Роскомнадзора, в том числе.

## Добрый день

По первому вопросу в исходной формулировке смешаны две разные нормы Закона № 152-ФЗ.

Фраза о том, что обработка необходима «для установления или осуществления прав субъекта персональных данных или третьих лиц, а равно и в связи с осуществлением правосудия», содержится не в п. 6 ч. 1 ст. 6, а в п. 6 ч. 2 ст. 10 Федерального закона от 27.07.2006 № 152-ФЗ и относится к обработке специальных категорий персональных данных. Для обычных персональных данных основным основанием в описанной модели представляется п. 7 ч. 1 ст. 6, то есть необходимость обработки для осуществления прав и законных интересов оператора или третьих лиц при условии, что права и свободы субъекта персональных данных не нарушаются. Если гражданское, административное или иное судопроизводство уже началось, дополнительно может применяться п. 3 ч. 1 ст. 6. Статья 6 Закона № 152-ФЗ www.consultant.ru

Для специальных категорий данных п. 6 ч. 2 ст. 10 применим и до начала судебного разбирательства, если обработка действительно необходима для установления или осуществления прав самого пользователя либо третьего лица. Норма содержит два самостоятельных основания. Первое связано с установлением или осуществлением прав. Второе связано с осуществлением правосудия. Поэтому отсутствие уже возбужденного судебного дела не исключает применение первой части нормы. Статья 10 Закона № 152-ФЗ www.consultant.ru

По второму вопросу я бы не подтверждал тезис, что текст после обезличивания по приказу Роскомнадзора № 140 автоматически перестает быть персональными данными. Российское регулирование прямо оперирует категорией «персональные данные, полученные в результате обезличивания». Само обезличивание является операцией с персональными данными, а его легальное определение исходит из невозможности определить принадлежность данных конкретному субъекту без использования дополнительной информации. Статья 3 Закона № 152-ФЗ www.consultant.ru

Следовательно, если за границу передаются именно «персональные данные, полученные в результате обезличивания», безопасного основания считать, что ст. 12 к ним вообще не применяется, я не вижу. Если же после преобразования информация действительно утрачивает свойства персональных данных по п. 1 ст. 3, тогда ст. 12 не применяется, поскольку отсутствует объект трансграничной передачи персональных данных. Но это уже не следствие формального применения приказа № 140, а отдельный вывод о невозможности прямо или косвенно определить физическое лицо. Статья 12 Закона № 152-ФЗ www.consultant.ru

Кроме того, в описанной вами схеме есть существенная техническо-юридическая проблема. **Метод введения идентификаторов по приказу № 140 предполагает создание ключа, который хранится именно оператором отдельно от обезличенного массива и не передается третьим лицам. Если таблица соответствия существует только на устройстве пользователя и оператор ее вообще не имеет, это не полностью совпадает с конструкцией п. 3 приложения № 2 к приказу № 140. Такая архитектура может быть даже лучше с точки зрения фактической защиты личности, но юридически ее не следует без оговорок именовать именно методом введения идентификаторов в том виде, как он описан приказом. Приказ Роскомнадзора от 19.06.2025 № 140, приложение № 2 www.consultant.ru

Поэтому для сервиса, который помогает гражданину подготовить претензию, заявление, возражение на требования контрагента, правовую позицию или иной документ до возникновения судебного производства, наиболее подходящим общим основанием является п. 7 ч. 1 ст. 6.

При этом п. 7 ч. 1 ст. 6 нельзя рассматривать как разрешение обрабатывать любые сведения, которые пользователь решил загрузить. У нормы есть встроенное ограничение. Обработка должна быть необходимой, а права и свободы субъектов данных не должны нарушаться. Это требует соотносить конкретный состав данных с конкретной целью сервиса. Статья 6 Закона № 152-ФЗ www.consultant.ru

Она содержится в п. 6 ч. 2 ст. 10 Закона № 152-ФЗ.

Закон не говорит только о данных, обрабатываемых «в связи с осуществлением правосудия». Он сначала отдельно допускает обработку, необходимую для установления или осуществления прав, и лишь затем добавляет еще один случай, связанный с осуществлением правосудия.

Поэтому первая часть основания способна работать до обращения в суд.

Сервис получает сведения о взыскателе, представителе, свидетеле и других лицах не непосредственно от этих субъектов, а от пользователя.

Важно, что наличие основания по п. 7 ч. 1 ст. 6 не названо автоматическим освобождением от обязанности по ч. 3 ст. 18.

Пункт 9 той же статьи определяет обезличивание как действия, в результате которых становится невозможно без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.

Приказ № 140 эту конструкцию подтверждает. Он регулирует именно обезличивание персональных данных и неоднократно использует формулировку **«персональные данные, полученные в результате обезличивания». Требования к обезличиванию по приказу Роскомнадзора № 140 www.consultant.ru

Поэтому ответ на вопрос **(а) следующий.

Нет, в такой категоричной формулировке это неверно. Соблюдение приказа № 140 не создает юридической презумпции, что результат больше не является персональными данными.

То есть нужно учитывать не только прямые идентификаторы, но и квазиидентификаторы, сочетание которых позволяет установить лицо.

Однако п. 3 прямо устанавливает, что при применении этого метода должен создаваться ключ, позволяющий сопоставить идентификаторы с исходными персональными данными. Этот ключ хранится оператором отдельно от соответствующего массива и не передается третьим лицам. Методы обезличивания по приказу Роскомнадзора № 140 www.consultant.ru

До начала деятельности по трансграничной передаче персональных данных оператор должен направить в Роскомнадзор отдельное уведомление, отличное от общего уведомления по ст. 22. Статья 12 Закона № 152-ФЗ www.consultant.ru

Поэтому если квалифицировать передаваемый зарубежному сервису текст как «персональные данные, полученные в результате обезличивания», ответ на вопрос **(б) отрицательный.

Статья 12 применяется, и отдельное уведомление о трансграничной передаче требуется.

6.2. Если за рубеж передается информация, которая уже не является персональными данными

Здесь результат другой.

Статья 12 регулирует именно трансграничную передачу персональных данных. Если передаваемая информация после преобразования объективно не отвечает определению персональных данных из п. 1 ст. 3, ее направление иностранному сервису не образует трансграничную передачу персональных данных в смысле п. 11 ст. 3. Статья 3 Закона № 152-ФЗ www.consultant.ru

В этом случае отдельное уведомление по ст. 12 не требуется.

Но для такой позиции оператору нужно доказать больше, чем выполнение приказа № 140.

Нужно обосновать, что иностранный получатель не получает информации, которая прямо или косвенно относится к определяемому физическому лицу, включая возможность идентификации по сочетанию фактов и внешнему контексту.

Именно поэтому простая схема:

`Иванов Иван Иванович → {ФИО_1}`

не всегда решает проблему.

Если далее идет текст:

`{ФИО_1}, единственный учредитель ООО..., 14 февраля 2026 года участвовал в ДТП на..., после чего...`

лицо может оставаться определяемым без какой-либо таблицы соответствия.

Для юридически устойчивой позиции необходимо обезличивать не только прямые идентификаторы, но и уникальные комбинации фактов.

## 7. Дополнительная проблема зарубежного сервиса как обработчика

Если исходить из того, что передаваемый массив остается персональными данными, появляется еще один вопрос помимо ст. 12.

Часть 3 ст. 6 устанавливает правила поручения обработки персональных данных другому лицу. Если зарубежный сервис действует не как самостоятельный оператор со своей целью, а исключительно анализирует данные по команде российского сервиса, отношения по существу могут иметь признаки обработки по поручению.

Закон предусматривает для поручения специальный режим, включая договорные требования к составу данных, операциям, цели, конфиденциальности, безопасности, подтверждению соблюдения требований и ответственности. Для иностранного физического или юридического лица ч. 6 ст. 6 отдельно регулирует ответственность. Статья 6 Закона № 152-ФЗ www.consultant.ru

Поэтому вариант «мы подадим уведомление о трансграничной передаче и этого достаточно» я бы также не принимал.

Если наружу уходят персональные данные, необходимо одновременно проверить:

1. основание их исходной обработки;

2. допустимость предоставления иностранному получателю;

3. квалификацию иностранного сервиса как самостоятельного оператора либо лица, обрабатывающего данные по поручению;

4. требования договора с ним;

5. ст. 12;

6. безопасность;

7. соответствие первоначальной цели обработки.

## 8. Вопрос 2(в). Достаточно ли общего уведомления по ст. 22

В сформулированном виде ответ также зависит от того, что именно уходит за границу.

Вариант 1. За границу персональные данные не передаются

Если оператор способен обоснованно квалифицировать исходящий массив как информацию, которая уже не является персональными данными, отдельное уведомление по ст. 12 не требуется.

При этом российский сервис до обезличивания продолжает обрабатывать исходные персональные данные на территории России. Поэтому обязанность оператора по ст. 22 сохраняется.

Но фразы «в уведомлении указано обезличивание среди операций обработки» недостаточно для полного соблюдения ст. 22.

По ч. 3 и 3.1 ст. 22 оператор должен указывать сведения об операторе, цели обработки, меры защиты, дату начала обработки, срок или условие прекращения, сведения о наличии или отсутствии трансграничной передачи, месте нахождения базы данных, а для каждой цели также категории персональных данных, категории субъектов, правовое основание, перечень действий и способы обработки. Статья 22 Закона № 152-ФЗ www.consultant.ru

Поэтому корректнее ответить так.

Если вопрос означает, нужно ли кроме нормального полного уведомления по ст. 22 подавать еще какое-либо уведомление только потому, что внутри России проводится обезличивание, то отдельного самостоятельного уведомления об обезличивании закон не устанавливает. Операция обезличивания отражается в общем уведомлении и документации оператора.

Но если под «достаточно» понимать, что оператор заполняет в уведомлении лишь слово «обезличивание», этого недостаточно.

Вариант 2. За границу передаются обезличенные, но юридически остающиеся персональными данные

Тогда общего уведомления по ст. 22 недостаточно.

Часть 3 ст. 12 прямо устанавливает, что уведомление о намерении осуществлять трансграничную передачу направляется отдельно от уведомления по ст. 22. Статья 12 Закона № 152-ФЗ www.consultant.ru

Одновременно в общем уведомлении по ст. 22 оператор должен указывать сведения о наличии либо отсутствии трансграничной передачи. Статья 22 Закона № 152-ФЗ www.consultant.ru

То есть это два разных уровня уведомления, а не взаимозаменяемые документы.

## 9. Российская локализация базы не решает вопрос трансграничной передачи

То обстоятельство, что первоначальный сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ происходят на российских серверах, является важным для выполнения требования локализации.

Однако локализация и трансграничная передача регулируют разные действия.

Российское местонахождение первичной базы не означает, что последующая отправка персональных данных иностранному сервису перестает быть трансграничной передачей.

Если за рубеж уходит информация, сохраняющая статус персональных данных, нужно применять ст. 12 независимо от того, что основная база находится в России. Статья 12 Закона № 152-ФЗ www.consultant.ru

## 10. Что я бы изменил в юридической конструкции сервиса

Для обычных данных третьих лиц я бы закрепил в политике и внутренних документах правовое основание по п. 7 ч. 1 ст. 6 и сформулировал цель узко. Например, обработка персональных данных, содержащихся в предоставленных пользователем документах, в объеме, необходимом для анализа правовой ситуации пользователя и подготовки запрошенного им юридического документа или информационного результата. Статья 6 Закона № 152-ФЗ www.consultant.ru

Для документов по уже существующему судопроизводству отдельно учитывать п. 3 ч. 1 ст. 6.

Для специальных категорий закрепить отдельную проверку п. 6 ч. 2 ст. 10 и не считать наличие п. 7 ч. 1 ст. 6 достаточным для любой категории данных. Статья 10 Закона № 152-ФЗ www.consultant.ru

Для данных о судимости и биометрических данных предусмотреть отдельные ограничения либо техническое исключение таких данных из автоматической обработки.

Отдельно решить проблему ч. 3 ст. 18 для данных, получаемых не от их субъектов. Это нельзя оставлять только на уровне согласия пользователя. Статья 18 Закона № 152-ФЗ www.consultant.ru

Для зарубежного анализа я бы юридически не строил модель на утверждении «мы применили приказ № 140, поэтому наружу уходят не персональные данные».

Безопаснее сформулировать архитектурную цель иначе. До передачи иностранному сервису формируется самостоятельный информационный массив, который не позволяет иностранному получателю прямо или косвенно определить физическое лицо и не содержит уникального сочетания квазиидентификаторов. После этого отдельно документируется вывод, отвечает ли такой массив определению персональных данных из п. 1 ст. 3. Статья 3 Закона № 152-ФЗ www.consultant.ru

При этом я бы не называл существующую схему с пользовательской локальной таблицей соответствия «методом введения идентификаторов по приказу № 140» без дополнительного анализа, поскольку п. 3 приложения № 2 говорит о хранении ключа оператором. Приказ Роскомнадзора № 140, приложение № 2 www.consultant.ru

Юридически ближе может быть сочетание удаления атрибутов и изменения их значений на условные обозначения по методу изменения состава или семантики данных, если именно это соответствует фактической реализации.

## 11. Итоговые ответы по пунктам

Вопрос 1.

Приведенная вами норма находится в п. 6 ч. 2 ст. 10, а не в п. 6 ч. 1 ст. 6 Закона № 152-ФЗ.

Для обычных персональных данных третьих лиц в досудебной модели основным основанием является п. 7 ч. 1 ст. 6, если обработка объективно необходима для осуществления прав и законных интересов пользователя и не нарушает права и свободы соответствующих субъектов.

Если судопроизводство уже имеется, дополнительно применим п. 3 ч. 1 ст. 6.

Для специальных категорий данных п. 6 ч. 2 ст. 10 может применяться до начала правосудия, потому что необходимость установления или осуществления прав субъекта либо третьего лица сформулирована как самостоятельное основание наряду с осуществлением правосудия. Статья 6 Закона № 152-ФЗ www.consultant.ru Статья 10 Закона № 152-ФЗ www.consultant.ru

Вопрос 2(а).

Нет. Из факта соблюдения приказа № 140 не следует автоматически, что результат перестал быть персональными данными.

Более того, приказ прямо регулирует «персональные данные, полученные в результате обезличивания». Для выхода из сферы Закона № 152-ФЗ нужен самостоятельный вывод, что результат больше не относится к прямо или косвенно определенному или определяемому физическому лицу. Статья 3 Закона № 152-ФЗ www.consultant.ru Приказ Роскомнадзора № 140 www.consultant.ru

Кроме того, ваша схема, где обратный ключ существует только у пользователя, буквально не совпадает с п. 3 метода введения идентификаторов, поскольку приказ предусматривает хранение ключа оператором отдельно от массива. Приложение № 2 к приказу № 140 www.consultant.ru

Вопрос 2(б).

Если за границу передаются персональные данные, полученные в результате обезличивания, ст. 12 применяется и отдельное уведомление о трансграничной передаче требуется.

Если же оператор способен доказать, что после преобразования исходящий текст уже не является персональными данными по п. 1 ст. 3, направление такого текста иностранному сервису не является трансграничной передачей персональных данных, и уведомление по ст. 12 не требуется. Статья 3 Закона № 152-ФЗ www.consultant.ru Статья 12 Закона № 152-ФЗ www.consultant.ru

Вопрос 2(в).

Если наружу действительно не передаются персональные данные, достаточно обычного режима уведомления оператора по ст. 22. В нем обезличивание отражается как одна из операций обработки наряду с остальными обязательными сведениями. Отдельного «уведомления об обезличивании» Закон № 152-ФЗ не устанавливает. Статья 22 Закона № 152-ФЗ www.consultant.ru

Если же наружу передаются пусть и обезличенные, но сохраняющие статус персональных данные, общего уведомления по ст. 22 недостаточно. Требуется отдельное уведомление по ст. 12, поскольку это прямо предусмотрено ч. 3 этой статьи. Статья 12 Закона № 152-ФЗ www.consultant.ru

Общий итог

Наиболее устойчивой я считаю следующую конструкцию.

Обработка данных третьих лиц внутри российского контура обосновывается п. 7 ч. 1 ст. 6 в объеме, необходимом для защиты прав пользователя. При начавшемся судопроизводстве дополнительно учитывается п. 3 ч. 1 ст. 6. Для специальных категорий применяется п. 6 ч. 2 ст. 10, который охватывает и досудебное установление или осуществление права. Отдельно должен быть решен вопрос ч. 3 ст. 18 о данных, полученных не от их субъектов. Статья 6 Закона № 152-ФЗ www.consultant.ru Статья 10 Закона № 152-ФЗ www.consultant.ru Статья 18 Закона № 152-ФЗ www.consultant.ru

Для зарубежного сервиса принципиальная граница проходит не между «исходными» и «обезличенными по приказу № 140» данными, а между персональными данными, включая данные после обезличивания, и информацией, которая после преобразования действительно перестала относиться к определяемому физическому лицу. Только во втором случае есть достаточно сильное основание считать, что ст. 12 не применяется. Статья 3 Закона № 152-ФЗ www.consultant.ru Статья 12 Закона № 152-ФЗ www.consultant.ru

Прямой опубликованной судебной практики именно по передаче российским legal-tech сервисом предварительно преобразованного текста иностранной LLM или аналогичному сервису в найденных источниках я не обнаружил. Поэтому часть вывода о границе между обезличенными персональными данными и данными, фактически утратившими свойства персональных данных, следует воспринимать как толкование действующих норм, а не как уже подтвержденную специальную позицию Верховного Суда или Роскомнадзора по такой архитектуре.

Добрый день, Максим!

1. П. 3 ч. 1 ст. 6 № 152-ФЗ для досудебной стадии как самостоятельное основание применять не следует.

2. Для обработки ПДн третьих лиц основным основанием является п. 7 ч. 1 ст. 6 № 152-ФЗ, при условии доказуемой необходимости обработки и отсутствия нарушения прав и свобод соответствующих субъектов.

3. П. 5 ч. 1 ст. 6 не является универсальным основанием для обработки ПДн третьих лиц только потому, что пользователь заключил договор с сервисом.

4. Описанный способ обезличивания не вполне соответствует методу введения идентификаторов по Приказу № 140, поскольку приказ предусматривает создание и хранение оператором ключа сопоставления.

5. Однако если после преобразования иностранный сервис и оператор объективно не могут определить принадлежность сведений конкретным физическим лицам без дополнительной информации, передаваемый массив может квалифицироваться как обезличенные данные по ст. 3 № 152-ФЗ.

6. В таком случае передача этого массива иностранному сервису не является трансграничной передачей персональных данных, а следовательно, отдельное уведомление по ст. 12 не требуется.

7. Если же существует возможность идентификации лиц — даже косвенная с использованием доступной оператору или получателю дополнительной информации, — безопаснее квалифицировать сведения как ПДн и выполнять требования ст. 12.

8. Уведомление по ст. 22 не заменяет уведомление по ст. 12: это самостоятельные обязанности

Здравствуйте, Максим!

Отвечу Вам по пунктам на Ваши вопросы.

Вопрос 1: какое основание выбрать?

Пункт 6 части 1 статьи 6 Закона № 152-ФЗ в вашей ситуации неприменим. Ключевая загвоздка в формулировке: этот пункт допускает обработку без согласия, если она «необходима… в связи с осуществлением правосудия». А в вашем случае суд ещё не идёт — стадия досудебная. Правосудие как процесс не осуществляется, поэтому буквальное толкование нормы не работает.

Какое основание подойдёт лучше? Я рекомендую пункт 5 части 1 статьи 6. Он гласит, что обработка без согласия допустима, если она необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.

В вашем сценарии это работает так: гражданин заключает с вами договор на оказание юридической помощи (подготовка документов, консультация). В рамках этого договора для исполнения ваших обязательств (составить возражение, проанализировать документы) вам объективно нужны данные третьих лиц (взыскателя, представителя банка). Вы обрабатываете их не ради самих этих лиц, а чтобы исполнить договор с клиентом. Главное — чётко прописать в пользовательском соглашении или договоре с клиентом: какие данные третьих лиц потребуются, для какой конкретной цели в рамках услуги и что согласие этих третьих лиц не требуется в силу пункта 5.

Вопрос 2: про обезличивание и трансграничную передачу

Нет, если обезличивание проведено корректно по Приказу № 140. Согласно статье 16 Закона № 152-ФЗ, обезличивание — это действия, в результате которых становится невозможным без дополнительной информации определить принадлежность данных конкретному субъекту. Приказ Роскомнадзора от 19.06.2025 № 140 как раз утверждает требования к таким методам, включая метод введения идентификаторов. Если вы заменили ФИО, адреса и т.п. на устойчивые идентификаторы ({ФИО_1}, {АДРЕС_1}), а ключ для сопоставления храните отдельно и не передаёте ни вам, ни зарубежному сервису — вы выполнили требования. В таком виде набор данных уже не позволяет идентифицировать субъекта, и по смыслу закона это не персональные данные.

(б) Нужно ли уведомлять о трансграничной передаче?

Нет, в этой ситуации статья 12 Закона № 152-ФЗ не применяется. Ключевой момент: статья 12 регулирует передачу персональных данных. А раз после корректного обезличивания по Приказу № 140 данные перестали быть персональными, то и трансграничная передача таких данных под действие статьи 12 не подпадает. Уведомлять Роскомнадзор о передаче не требуется.

(в) Достаточно ли указать обезличивание в уведомлении по статье 22?

Да, но с важным уточнением. Уведомление по статье 22 подаётся, если в целом у оператора есть обработка персональных данных (и нет исключений). В этом уведомлении для каждой цели обработки вы обязаны указать правовое основание и описать меры защиты. Поэтому в строке про правовое основание вы указываете пункт 5 части 1 статьи 6 (или иной подходящий), а в разделе про меры защиты — подробно описываете метод обезличивания (метод введения идентификаторов), как именно вы его реализовали, где хранится ключ и что он не передаётся третьим лицам. То есть обезличивание — это не отдельное основание, а мера, которая позволяет в рамках выбранного основания (например, пункта 5) снизить риски и обосновать, почему для конкретной цели достаточно такой формы обработки.

Желаю Вам удачи в решении всех вопросов!

Здравствуйте!

Смотрите, давайте разберём оба вопроса по порядку ниже.

Какое основание из ч. 1 ст. 6 подходит?

пункт 6 ч. 1 ст. 6 Закона № 152-ФЗ в Вашей ситуации действительно неприменим.

Ключевая загвоздка в формулировке: этот пункт допускает обработку без согласия, если она «необходима для установления или осуществления прав субъекта персональных данных или третьих лиц, а равно и в связи с осуществлением правосудия».

Словосочетание «в связи с осуществлением правосудия» означает, что судебный процесс уже идёт (дело в суде, вынесен судебный акт).

В Вашем случае стадия досудебная, гражданин только готовится защищать права, сервиса ещё нет в самом судопроизводстве.

Поэтому ссылаться на этот пункт рискованно: регулятор и суд могут счесть, что условие не выполнено.

Какие альтернативы есть?

Я бы рекомендовал рассмотреть пункт 7 ч. 1 ст. 6.

Он звучит так:

обработка персональных данных допускается, если она необходима для осуществления прав и законных интересов оператора или третьих лиц при условии, что при этом не нарушаются права и свободы субъекта персональных данных.

В Вашем случае оператор (сервис) действует в интересах пользователя: помогает реализовать право на защиту, например, подготовить возражение, собрать доказательства.

Это и есть осуществление права третьего лица (пользователя).

Главное чётко прописать в политике обработки и пользовательском соглашении, что цель сервиса, содействие в реализации прав пользователя, и показать, что при этом не ущемляются права самих третьих лиц, тех, чьи данные попали в документы: взыскателя, представителя банка.

Также в отдельных случаях может подойти пункт 5 ч. 1 ст. 6, если есть договор с пользователем, где обработка данных прямо предусмотрена как условие оказания услуги, или пункт 2, если обработка прямо возложена на оператора законом.

Но пункт 7 наиболее универсальный для Вашей бизнес-модели.

Практический совет: при проверке Роскомнадзор будет смотреть на баланс.

Вам нужно будет доказать, что обработка была действительно необходимой для конкретной цели (подготовка документов для защиты), а не избыточной.

Поэтому важно детально зафиксировать цели в документах и ограничить объём собираемых данных только тем, что реально нужно для задачи.

Про обезличивание и трансграничную передачу

(а) Верно ли, что обезличенный текст не является персональными данными?

Да, верно.

Согласно ч. 9 ст. 3 Закона № 152-ФЗ, персональные данные это сведения, относящиеся к прямо или косвенно определённому физическому лицу.

Если метод обезличивания, в том числе метод введения идентификаторов по Приказу № 140, выполнен корректно, таблица соответствий хранится отдельно и не передаётся третьим лицам, то по таким данным уже нельзя определить субъекта.

Следовательно, с правовой точки зрения это уже не персональные данные в смысле закона.

(б) Нужно ли подавать уведомление о трансграничной передаче?

Нет, в этой ситуации нет.

Поскольку после обезличивания данные перестали быть персональными, норма ст. 12 Закона № 152-ФЗ, регулирующая передачу персональных данных за границу, к ним не применяется. Уведомлять Роскомнадзор не требуется.

(в) Достаточно ли указать обезличивание в уведомлении по ст. 22?

Да, достаточно.

Уведомление по ст. 22 подаётся оператором, который планирует осуществлять обработку персональных данных.

Если в рамках этой обработки вы применяете законное основание, например, п. 7 ч. 1 ст. 6, и отдельно документируете применение метода обезличивания, как того требует Приказ № 140, то в уведомлении по ст. 22 Вы просто указываете это как часть описания операций обработки.

Отдельно выделять обезличивание как самостоятельное основание не нужно, оно подтверждает, что в определённых сценариях данные перестают подпадать под регулирование, как персональные.

Чек-лист для защиты

Чётко зафиксируйте в документах цель обработки, содействие в реализации прав пользователя.

Примените метод обезличивания по Приказу № 140 и задокументируйте оценку его достаточности.

Проверьте, что ключ для сопоставления идентификаторов с исходными данными хранится отдельно и не передаётся зарубежному сервису.

Правовое обоснование: ст. 3, 6, 9, 12, 22 ФЗ «О персональных данных»

⚖️ С уважением, юрист Кочетков А.В.

⭐ Готов также ответить на все Ваши вопросы в личных сообщениях.

Здравствуйте.

Для обработки данных третьих лиц в вашем сервисе оптимально опираться на пункт 1 и пункт 5 части 1 статьи 6 Закона № 152‑ФЗ — через согласие пользователя и необходимость исполнения договора.

В оферте чётко пропишите цель и объём обработки. При соблюдении Приказа Роскомнадзора № 140 и раздельном хранении ключа обезличенные данные не считаются персональными, поэтому ст. 12 Закона № 152‑ФЗ не применяется, а факт обезличивания нужно отразить в уведомлении по ст. 22.

Вопрос 1. Обработка персональных данных третьих лиц без их согласия

Вы запускаете сервис, где пользователь загружает документы (судебный приказ, претензию, договор) и просит подготовить правовые документы (например, возражение на судебный приказ).

В этих документах неизбежно есть персональные данные третьих лиц — взыскателя, представителя банка, свидетелей, судьи. Получить от них согласие на обработку технически невозможно. Вы спрашиваете, можно ли применить п. 6 ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных» (обработка без согласия, если она необходима для установления или осуществления прав субъекта персональных данных либо в связи с осуществлением правосудия).

Здесь важно точно понимать формулировку закона. Пункт 6 ч. 1 ст. 6 Закона № 152‑ФЗ допускает обработку без согласия, в том числе «в связи с осуществлением правосудия». Судебная практика и разъяснения контролирующих органов трактуют эту норму как применимую к ситуациям, когда обработка прямо связана с уже идущим процессом в суде либо с реализацией процессуальных прав в рамках конкретного дела. Например, когда документы готовятся для приобщения к материалам дела, либо когда оператор действует как процессуальный участник.

На досудебной стадии, когда гражданин только формирует позицию и готовит документы, «осуществление правосудия» как юридический факт ещё не происходит. Поэтому ссылаться на п. 6 в чистом виде рискованно: регулятор может посчитать, что условие «в связи с осуществлением правосудия» не выполняется.

Наиболее безопасные варианты — это п. 1 и п. 5 ч. 1 ст. 6 Закона № 152‑ФЗ.

Вариант с п. 1 ч. 1 ст. 6 (обработка с согласия субъекта персональных данных) реализуем через согласие самого пользователя (клиента сервиса). Вы можете в пользовательском соглашении (оферте) прямо указать, что, загружая документы и подтверждая принятие оферты, пользователь даёт вам согласие на обработку персональных данных третьих лиц, содержащихся в этих материалах, исключительно в целях оказания услуги (подготовки правовых документов).

При этом нужно чётко зафиксировать цель обработки: «подготовка документов для защиты прав пользователя, включая анализ правовой ситуации и формирование позиции по делу». Такая цель должна быть конкретной, заранее определённой и законной, как того требует ст. 5 Закона № 152‑ФЗ.

Важно также ограничить объём данных тем, что действительно необходимо для услуги, и не использовать эти данные для иных целей (например, для рекламы, рассылок и т. п.). Тогда обработка будет считаться законной на основании согласия пользователя как стороны договора.

Вариант с п. 5 ч. 1 ст. 6 (обработка необходима для исполнения договора, стороной которого является субъект персональных данных) тоже уместен. Если вы оказываете услугу по договору (в том числе публичной оферте), и обработка данных третьих лиц объективно нужна для исполнения этого договора (чтобы подготовить возражение, проанализировать документы, сформировать правовую позицию), то можно обосновать обработку именно этой нормой.

При этом опять же цель должна быть чётко прописана в договоре/оферте, а объём данных — минимально необходимым для достижения этой цели.

На практике комбинация этих двух оснований (согласие пользователя + необходимость для исполнения договора) воспринимается регуляторами как наиболее устойчивая. Отдельно отмечу, что для третьих лиц (взыскателей, судей и т. д.) отдельное согласие не требуется, если вы действуете в рамках указанных исключений и соблюдаете принципы целесообразности, минимизации и безопасности данных.

Вопрос 2. Обезличивание и трансграничная передача

Вы обезличиваете текст перед отправкой на анализ зарубежному сервису: удаляете ФИО, адреса, названия организаций, номера документов и дел, телефоны и заменяете их на идентификаторы вида {ФИО_1}, {АДРЕС_1}. Таблица соответствия хранится только на устройстве пользователя и не передаётся ни вам, ни зарубежному сервису. Вы проводите оценку достаточности метода обезличивания и документируете её в соответствии с требованиями Приказа Роскомнадзора от 19.06.2025 № 140.

Разберу ваши три вопроса по порядку, с привязкой к нормам.

(а) Верно ли, что обезличенный таким методом текст не является персональными данными по смыслу Закона № 152‑ФЗ? Да, верно, при условии, что обезличивание действительно исключает возможность идентификации физического лица без использования дополнительной информации.

По смыслу ст. 3 Закона № 152‑ФЗ персональные данные — это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Если связь между атрибутами (ФИО, адресом и т. п.) и конкретным человеком утрачена и восстановить её без внешнего ключа невозможно, а сам ключ не находится у оператора и не передаётся третьим лицам, то такие данные перестают отвечать определению персональных данных.

Метод введения идентификаторов, описанный в Приказе № 140, как раз и направлен на достижение такого эффекта. Ключевое условие — соблюдение всех требований приказа, включая документирование оценки достаточности метода.

(б) Верно ли, что к передаче такого текста за границу не применяется ст. 12 Закона № 152‑ФЗ и уведомление о трансграничной передаче подавать не требуется? Да. Статья 12 регулирует трансграничную передачу именно персональных данных. Если передаваемые сведения не являются персональными (в силу корректного обезличивания), то требования ст. 12 к такой передаче не применяются, и обязанность уведомлять Роскомнадзор о трансграничной передаче отсутствует.

Здесь важно, чтобы в ваших внутренних документах (политике обработки, регламенте обезличивания) было зафиксировано, что перед передачей данные обезличиваются указанным методом, и что ключ для восстановления связи с субъектом не передаётся.

(в) Достаточно ли оператору уведомления по ст. 22 с указанием обезличивания среди операций обработки? Да, вы должны отразить обезличивание в уведомлении об обработке персональных данных, которое подаётся в Роскомнадзор по ст. 22 Закона № 152‑ФЗ. В нём перечисляются все операции с персональными данными (сбор, хранение, передача, уничтожение, обезличивание и т. д.). Указание на обезличивание — это не «формальность», а обязательная фиксация того, какие именно действия вы совершаете с данными.

Кроме того, наличие этой операции в уведомлении подтверждает, что вы осознаёте и контролируете процесс.

Однако само по себе указание в уведомлении не заменяет необходимость соблюдать требования к обезличиванию (включая Приказ № 140) и документально подтверждать, что выбранный метод действительно делает данные неперсональными.

Практические шаги, которые стоит сделать прямо сейчас

Перепишите пользовательское соглашение (оферту). Пропишите цель обработки максимально конкретно: «анализ предоставленных документов и подготовка правовых документов для защиты прав пользователя». Укажите, что пользователь, загружая материалы, даёт согласие на обработку содержащихся в них персональных данных третьих лиц именно для этой цели, а также подтвердите, что обработка необходима для исполнения договора.

Закрепите в локальных актах метод обезличивания. Включите в политику обработки персональных данных и отдельный регламент обезличивания описание метода (введение идентификаторов), порядок генерации идентификаторов, правило раздельного хранения ключа (только на устройстве пользователя), а также процедуру оценки достаточности метода в соответствии с Приказом № 140.

Актуализируйте уведомление в Роскомнадзор (ст. 22). Убедитесь, что в нём указаны все операции обработки, включая обезличивание, и что описание соответствует тому, что реально происходит в сервисе.

Минимизируйте данные. Не храните и не передавайте больше данных, чем необходимо для оказания услуги. Если для анализа достаточно обезличенного текста — именно его и используйте.

Обеспечьте безопасность. Даже обезличенные данные могут быть чувствительными, поэтому применяйте стандартные меры защиты (шифрование при передаче, контроль доступа, журналы событий и т. п.), чтобы исключить риск утечки и возможной деанонимизации.

--------

Таким образом, п. 6 ч. 1 ст. 6 Закона № 152‑ФЗ в вашей ситуации применять небезопасно, потому что «осуществление правосудия» ещё не началось. Лучше опираться на п. 1 (согласие пользователя) и п. 5 (необходимость для исполнения договора).

Что касается обезличенного текста: при соблюдении требований Приказа № 140 и раздельном хранении ключа он не считается персональными данными, трансграничная передача таких данных не подпадает под ст. 12, а указание на обезличивание в уведомлении по ст. 22 обязательно.

________________________________________________________

Хотите узнать обо мне больше?

Вопрос 1: применимость п. 6 ч. 1 ст. 6 Закона № 152-ФЗ

Пункт 6 ч. 1 ст. 6 Закона № 152-ФЗ в описанной ситуации неприменим.

Обоснование:

Суть в том, что для применения п. 6 необходимо, чтобы обработка данных была непосредственно связана с осуществлением правосудия — то есть дело уже находится в суде, идёт исполнительное производство и т.п.. В вашем же случае досудебная стадия (подготовка возражений, анализ документов) не подпадает под это основание.

На досудебной стадии гражданин только готовится защищать свои права. Сервис помогает в этой подготовке, но само правосудие ещё не осуществляется. Поэтому обработка данных третьих лиц (взыскателя, представителя банка, свидетелей, судьи) не может считаться необходимой «в связи с осуществлением правосудия».

Какое основание подходит?

В такой ситуации более подходящим основанием из ч. 1 ст. 6 Закона № 152-ФЗ будет п. 7 ч. 1 ст. 6.

Пункт 7 допускает обработку без согласия субъекта, если она необходима «для осуществления прав и законных интересов оператора или третьих лиц, а также для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных».

Как это применить к вашей ситуации:

- Права оператора (ИП). Цель сервиса — помочь гражданину защитить свои права, что является законным интересом ИП.

- Интересы третьих лиц. Сервис помогает гражданину, а значит, косвенно защищает и интересы тех, чьи данные обрабатываются (он анализирует документы, чтобы составить возражение).

- Общественно значимые цели. Подготовка юридически грамотных документов для защиты прав — это общественно полезная цель.

Ключевое условие: при использовании этого основания необходимо убедительно доказать, что обработка данных третьими лицами (взыскателем, свидетелем) не нарушает их права и свободы. Если анализ данных кого-то из них причинит вред или создаст необоснованные риски — основание не сработает.

Практический вывод

Рекомендую либо получить согласие субъектов персональных данных, либо тщательно документировать и обосновывать применение п. 7 ч. 1 ст. 6 при настройке сервиса (чётко прописать цели обработки, категории данных и меры защиты). Это снизит риски претензий со стороны Роскомнадзора.

Здравствуйте. Рассмотрим ваши вопросы по порядку.

Вопрос 1. Правовое основание для обработки данных третьих лиц

Законодательство. Условия обработки персональных данных перечислены в ст. 6 Федерального закона № 152-ФЗ .

Общий принцип: обработка допускается с согласия субъекта данных (п. 1 ч. 1 ст. 6) . Без согласия — только при наличии одного из исключений.

Анализ. Вы ссылаетесь на п. 6 ч. 1 ст. 6. Однако этот пункт допускает обработку для защиты жизни, здоровья или иных жизненно важных интересов, когда согласие получить невозможно . Это узкое исключение для экстренных ситуаций. Подготовка возражения на судебный приказ под него не подпадает.

Другие возможные основания:

· Пункт 7 ч. 1 ст. 6 — обработка для осуществления законных интересов оператора или третьих лиц при условии, что не нарушаются права субъекта данных .

· Пункт 5 ч. 1 ст. 6 — обработка для исполнения договора, стороной которого является субъект данных . Это основание применимо, если субъект — ваш пользователь (ваш клиент). Вы обрабатываете данные его контрагентов (взыскателя и т.д.) для исполнения вашего договора с пользователем.

· Пункт 3 ч. 1 ст. 6 — обработка в связи с участием лица в судопроизводстве . Это основание для суда и участников процесса, не для вашего сервиса.

Итог по первому вопросу. Пункт 6 ч. 1 ст. 6 не применим. Наиболее релевантное основание для вашего сценария — п. 5 ч. 1 ст. 6 (исполнение договора с пользователем) , либо п. 7 ч. 1 ст. 6 (законные интересы оператора) . Оба варианта требуют осторожной оценки: в первом случае нужно убедиться, что данные третьих лиц действительно необходимы для исполнения договора, во втором — что права этих третьих лиц не нарушаются.

---

Вопрос 2. Обезличивание и трансграничная передача

А) Является ли обезличенный текст персональными данными?

Если удалены все идентифицирующие сведения согласно приказу Роскомнадзора № 140, а восстановление невозможно без недоступной вам таблицы соответствия, то такой текст не является персональными данными. Закон определяет персональные данные как информацию, относящуюся к прямо или косвенно определенному или определяемому физическому лицу . Если идентификация невозможна, данные теряют этот статус.

Б) Применяется ли ст. 12 к передаче такого текста?

Нет, не применяется. Ст. 12 регулирует трансграничную передачу персональных данных . Поскольку текст после обезличивания перестает быть персональными данными, требования ст. 12 (включая уведомление Роскомнадзора) на него не распространяются.

В) Достаточно ли уведомления по ст. 22 с указанием обезличивания?

Да, достаточно, если вы обрабатываете и обезличенные, и необезличенные данные. Уведомление об обработке подается в Роскомнадзор (ст. 22) . В нем вы должны указать цели и все операции обработки, включая обезличивание. Дополнительного уведомления для передачи обезличенных данных за границу не требуется.