Обработка персональных данных в юридической практике: пересечение 152-ФЗ и адвокатской тайны
Вопрос соотношения требований Федерального закона № 152-ФЗ и адвокатской тайны является одним из наиболее тонких в правоприменительной практике. Юридические фирмы и адвокаты одновременно выступают операторами персональных данных своих клиентов и хранителями конфиденциальных сведений, защищённых специальным режимом. В данной статье рассмотрены ключевые аспекты этой коллизии, включая порядок оформления согласий, исключения из общего правила и практические рекомендации по выстраиванию комплаенс-процессов.
Подготовим и подадим уведомление в Роскомнадзор, разработаем пакет документов и введём компанию в реестр операторов персональных данных.
* Оплата после выполнения работ
В соответствии с Федеральным законом № 152-ФЗ любая организация, осуществляющая сбор и обработку личных сведений клиентов (ФИО, паспортные данные, контактная информация, детали дел), признаётся оператором персональных данных. Это налагает на фирму весь комплекс обязательств, предусмотренных законом: определение целей обработки, фиксация состава обрабатываемых данных, обеспечение их безопасности и конфиденциальности.
Важный практический аспект: при использовании автоматизированных систем (CRM, базы данных, электронные архивы) у оператора возникает обязанность по уведомлению Роскомнадзора о начале обработки. Однако законодательство предусматривает исключение: если персональные данные получены исключительно для исполнения договора с клиентом, не передаются третьим лицам и используются только в рамках этого договора, уведомление не требуется.
Адвокатская тайна, установленная статьёй 8 Федерального закона № 63-ФЗ «Об адвокатской деятельности и адвокатуре в Российской Федерации», и требования 152-ФЗ не являются взаимоисключающими, а напротив, дополняют друг друга. Адвокатская тайна защищает сведения, связанные с оказанием юридической помощи, от разглашения третьим лицам, тогда как 152-ФЗ регламентирует технические и организационные процедуры сбора, хранения и обработки этих сведений.
Ключевой вывод: даже в пределах адвокатской тайны оператор (адвокат или юридическая фирма) обязан соблюдать предписания 152-ФЗ — в частности, чётко определять цели обработки, обеспечивать конфиденциальность и безопасность данных, а также фиксировать все юридически значимые действия.
При этом существует существенная особенность: когда адвокат обрабатывает персональные данные в рамках оказания квалифицированной юридической помощи (включая судебное представительство), закон допускает такую обработку без отдельного согласия клиента. Правовым основанием здесь выступает не согласие, а необходимость обработки для исполнения профессиональных обязанностей. Однако если речь идёт о действиях, не связанных напрямую с делом (маркетинговые рассылки, обработка данных сотрудников фирмы, внутренняя статистика), согласие клиента становится обязательным.
С 1 сентября 2025 года вступили в силу обновлённые требования к форме согласия. Теперь согласие на обработку персональных данных должно оформляться отдельным документом — его нельзя включать в текст договора, оферты или анкеты. Исключение предусмотрено для случаев, когда обработка прямо необходима для исполнения договора, стороной которого является клиент: тогда основанием служит сам договор, и отдельное согласие не оформляется.
Клиент вправе в любой момент отозвать своё согласие. В документе целесообразно заранее предусмотреть процедуру отзыва (например, направление письменного заявления) и срок, в течение которого фирма обязана прекратить обработку и уничтожить данные.
При возникновении вопросов, связанных с разработкой документации по 152-ФЗ, подачей уведомления в Роскомнадзор, консультациями по применению 152-ФЗ, а также с актуализацией документов в соответствии с последними изменениями законодательства в сфере персональных данных, имеет смысл обратиться к нам за квалифицированной поддержкой.
| Нарушение | Штраф |
|---|---|
| Обработка ПДн без уведомления Роскомнадзора (ст. 19.17 КоАП) | до 300 000 ₽ |
| Обработка без согласия субъекта | до 100 000 ₽ |
| Отсутствие политики обработки ПДн | до 40 000 ₽ |
| Утечка или нарушение защиты данных | до 1 500 000 ₽ |
Любая организация или ИП, которая собирает и обрабатывает персональные данные клиентов, сотрудников или посетителей (ФИО, телефон, e-mail, адрес), признаётся оператором по 152-ФЗ и обязана до начала обработки подать уведомление в Роскомнадзор.
Уведомление подаётся через портал Роскомнадзора (pd.rkn.gov.ru) с усиленной квалифицированной электронной подписью, через Госуслуги при подтверждённой учётной записи либо в бумажном виде в территориальный орган. После проверки ведомство вносит компанию в реестр операторов персональных данных.
С 30 мая 2025 года за обработку персональных данных без уведомления Роскомнадзора штраф для организаций и ИП достигает 300 000 рублей. Дополнительно возможны штрафы за отсутствие политики обработки ПДн, согласий и нарушение требований к защите данных.
В большинстве случаев — да. Согласие оформляется под каждой формой сбора данных через незаполненный чекбокс со ссылкой на Политику конфиденциальности. Для специальных категорий данных, биометрии и распространения требуется отдельное письменное согласие.
Роскомнадзор рассматривает уведомление до 30 рабочих дней. При корректно заполненных документах компания попадает в реестр операторов персональных данных с первого раза, без возвратов и доработок.