Продукты
Продукты
Menu
02
База знаний
05
Услуги
01
О нас
04
2025
Контакты
phone
e-mail:
Обучение
03
Законный интерес как основание обработки персональных данных: граница между 152-ФЗ и GDPR
13.01.2023
13/08/26
Б-152
Законный интерес — правовое основание обработки персональных данных, закрепленное в пункте 7 части 1 статьи 6 Федерального закона № 152-ФЗ. Оно позволяет обрабатывать данные без согласия субъекта, если оператор преследует реальный, конкретный интерес, обработка необходима для его достижения и при этом не нарушает права и свободы субъекта персональных данных.
Законный интерес — не универсальная замена согласия и не запасной вариант на всякий случай: это самостоятельное основание со своими условиями применения и границами.
Содержание
Содержание
Что такое законный интерес по 152-ФЗ
Пункт 7 части 1 статьи 6 Федерального закона № 152-ФЗ «О персональных данных» устанавливает: обработка персональных данных допустима, если она необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей, при условии, что при этом не нарушаются права и свободы субъекта персональных данных.
Формулировка нормы намеренно широкая. Законодатель не создаёт закрытого перечня ситуаций, в которых применим этот пункт, и не предлагает алгоритма оценки. Это означает, что оператор самостоятельно определяет, является ли его интерес достаточным основанием для обработки, и самостоятельно несёт ответственность за эту оценку.
Роскомнадзор в публичных разъяснениях неоднократно указывал: согласие не должно превращаться в универсальный инструмент «на всякий случай». Закон допускает иные основания, и они должны применяться там, где реально подходят. Получение избыточного согласия регулятор не считает признаком добросовестности: напротив, это может свидетельствовать о неверном определении правовой базы обработки.
Важно также понимать, что законный интерес не применяется к специальным категориям персональных данных: о здоровье, биометрии, политических взглядах, религиозных убеждениях и ряду других (статья 10 Закона № 152-ФЗ). Для таких данных предусмотрены специальные основания, и п. 7 ч. 1 ст. 6 к ним неприменим.
Формулировка нормы намеренно широкая. Законодатель не создаёт закрытого перечня ситуаций, в которых применим этот пункт, и не предлагает алгоритма оценки. Это означает, что оператор самостоятельно определяет, является ли его интерес достаточным основанием для обработки, и самостоятельно несёт ответственность за эту оценку.
Роскомнадзор в публичных разъяснениях неоднократно указывал: согласие не должно превращаться в универсальный инструмент «на всякий случай». Закон допускает иные основания, и они должны применяться там, где реально подходят. Получение избыточного согласия регулятор не считает признаком добросовестности: напротив, это может свидетельствовать о неверном определении правовой базы обработки.
Важно также понимать, что законный интерес не применяется к специальным категориям персональных данных: о здоровье, биометрии, политических взглядах, религиозных убеждениях и ряду других (статья 10 Закона № 152-ФЗ). Для таких данных предусмотрены специальные основания, и п. 7 ч. 1 ст. 6 к ним неприменим.
Законный интерес: где он работает, а где — только видимость?
Законный интерес выглядит удобным основанием ровно до тех пор, пока его не нужно защищать перед регулятором, судом или внутри собственной группы компаний. Проверить, где это основание у вас действительно работает, а где уже нет, можно точечно.
Четыре критерия допустимости законного интереса
Поскольку формализованного теста в российском праве нет, на практике оценка законного интереса строится на четырех ключевых критериях. Каждый из них должен быть соблюден одновременно.
Первый критерий — реальность интереса
Интерес оператора должен быть конкретным, существующим и связанным с его фактической деятельностью. Абстрактные соображения («нам это может пригодиться», «так принято в отрасли», «мы хотим улучшить продукт») не являются достаточным обоснованием. Интерес должен быть возможным для формулировки в виде конкретного утверждения.
Второй критерий — необходимость обработки
Обработка данных должна быть действительно нужна для достижения заявленной цели, а не просто удобна. Если ту же цель можно достичь без обработки персональных данных или с меньшим объемом данных — применение законного интереса как основания ставится под сомнение.
Третий критерий — минимизация
Принцип ограниченности обработки закреплен в статье 5 Закона № 152-ФЗ и применяется независимо от основания обработки. Объём обрабатываемых данных должен быть минимально достаточным: не «все, что может быть полезно», а именно то, что необходимо для конкретной цели.
Четвертый критерий — баланс интересов
Интерес оператора не должен перевешивать права и свободы субъекта. Оператор обязан оценить: создает ли обработка для субъекта риски, несоразмерные преследуемой цели? Может ли субъект разумно ожидать такой обработки в данном контексте? Если ответ на первый вопрос «да», а на второй «нет» — основание применяется неправомерно.
Когда законный интерес признается допустимым: типовые случаи
Несмотря на отсутствие закрытого перечня, правоприменительная практика и устойчивые комплаенс-подходы выработали ряд ситуаций, в которых законный интерес в целом признаётся допустимым основанием.
Физическая и информационная безопасность. Обработка данных в рамках пропускного режима, видеонаблюдение в общедоступных зонах, мониторинг ИТ-периметра традиционно обосновывается законным интересом оператора в защите своей собственности, персонала и инфраструктуры.
При этом важно соблюдать принцип минимизации: видеозаписи из зон, где сотрудники не могут разумно ожидать полной конфиденциальности (общие коридоры, вход), — допустимы. Скрытое наблюдение в рабочих помещениях без уведомления — нет.
Внутригрупповые и корпоративные процедуры. Передача персональных данных сотрудников внутри корпоративной группы для целей управления, консолидированной отчётности, контроля и реализации прав акционеров или участников общества. Ключевые условия: обработка ограничена необходимым минимумом, субъекты уведомлены, предусмотрены надлежащие гарантии.
Предотвращение мошенничества и обеспечение безопасности транзакций. Обработка данных клиентов для выявления подозрительных операций, скоринга и проверки в рамках внутренних комплаенс-процедур.
Прямые коммуникации в рамках существующих деловых отношений. В ряде интерпретаций — направление информационных (не рекламных) сообщений клиентам, с которыми существует действующий договор, об изменениях условий обслуживания. Этот случай требует аккуратной квалификации: граница между информационной и рекламной коммуникацией имеет правовое значение (статья 15 Закона № 152-ФЗ, Федеральный закон № 38-ФЗ «О рекламе»).
Физическая и информационная безопасность. Обработка данных в рамках пропускного режима, видеонаблюдение в общедоступных зонах, мониторинг ИТ-периметра традиционно обосновывается законным интересом оператора в защите своей собственности, персонала и инфраструктуры.
При этом важно соблюдать принцип минимизации: видеозаписи из зон, где сотрудники не могут разумно ожидать полной конфиденциальности (общие коридоры, вход), — допустимы. Скрытое наблюдение в рабочих помещениях без уведомления — нет.
Внутригрупповые и корпоративные процедуры. Передача персональных данных сотрудников внутри корпоративной группы для целей управления, консолидированной отчётности, контроля и реализации прав акционеров или участников общества. Ключевые условия: обработка ограничена необходимым минимумом, субъекты уведомлены, предусмотрены надлежащие гарантии.
Предотвращение мошенничества и обеспечение безопасности транзакций. Обработка данных клиентов для выявления подозрительных операций, скоринга и проверки в рамках внутренних комплаенс-процедур.
Прямые коммуникации в рамках существующих деловых отношений. В ряде интерпретаций — направление информационных (не рекламных) сообщений клиентам, с которыми существует действующий договор, об изменениях условий обслуживания. Этот случай требует аккуратной квалификации: граница между информационной и рекламной коммуникацией имеет правовое значение (статья 15 Закона № 152-ФЗ, Федеральный закон № 38-ФЗ «О рекламе»).
Важно понимать, что перечисленные ситуации не носят характер безусловного разрешения. В каждом конкретном случае оператор должен быть готов обосновать применение этого основания.
Сравнение с GDPR: в чем сходство и где расходятся подходы
Европейский регламент GDPR закрепляет аналогичное основание в статье 6(1)(f): обработка правомерна, если она необходима для целей законных интересов контролера или третьей стороны, за исключением случаев, когда такие интересы перевешиваются интересами или основными правами и свободами субъекта данных.
На концептуальном уровне подходы 152-ФЗ и GDPR близки: оба строятся на балансировке интересов оператора и субъекта. Однако различия существенны и имеют практическое значение.
На концептуальном уровне подходы 152-ФЗ и GDPR близки: оба строятся на балансировке интересов оператора и субъекта. Однако различия существенны и имеют практическое значение.
Ограничение для публичных органов
GDPR прямо оговаривает: статья 6(1)(f) не применяется к обработке, осуществляемой публичными органами при выполнении своих задач. В российском праве аналогичного прямого ограничения нет, хотя логика правоприменения движется в схожем направлении.
Степень формализации
Европейская модель значительно более структурирована. На практике применение законного интереса по GDPR предполагает проведение LIA (Legitimate Interests Assessment) — трехшагового теста: идентификация интереса, тест необходимости, тест балансировки. Эта оценка документируется и может быть запрошена надзорным органом в ходе расследования или проверки.
В российском праве обязательного документирования оценки законного интереса не предусмотрено. Оценка носит казуистический характер и формируется преимущественно через правоприменение. Это дает операторам больше гибкости, но создает правовую неопределенность: при возникновении спора доказать обоснованность примененного основания значительно сложнее без документальной фиксации.
В российском праве обязательного документирования оценки законного интереса не предусмотрено. Оценка носит казуистический характер и формируется преимущественно через правоприменение. Это дает операторам больше гибкости, но создает правовую неопределенность: при возникновении спора доказать обоснованность примененного основания значительно сложнее без документальной фиксации.
Право на возражение
GDPR прямо закрепляет право субъекта возражать против обработки, основанной на законном интересе (статья 21 GDPR), и обязывает контролёра прекратить обработку, если его интерес не перевешивает интересы субъекта. В российском законодательстве аналогичное право прямо не выделено применительно к основанию законного интереса, хотя общие права субъектов (статьи 14−17 Закона № 152-ФЗ) существуют.
Прозрачность
GDPR требует прямо информировать субъекта о применении законного интереса и разъяснять, в чём он состоит. Российский закон содержит общую обязанность информировать субъекта об обработке, однако специальных требований к раскрытию именно этого основания не предъявляет.
Типичные ошибки при применении законного интереса
Практика показывает несколько устойчивых ошибок, которые операторы совершают при работе с этим основанием:
- Применение вместо согласия там, где согласие требуется в силу закона. Для обработки специальных категорий данных (биометрия, состояние здоровья, политические взгляды) закон устанавливает специальные основания. Пункт 7 части 1 статьи 6 к ним не относится.
- Законный интерес как «запасной» вариант без реальной оценки. Фраза «мы вправе обрабатывать данные в своём законном интересе» без конкретизации, в чем состоит этот интерес и как соблюдён баланс, — не основание, а декларация. Именно этот подход создаёт наибольшие риски при взаимодействии с регулятором.
- Смешение оснований. Оператор одновременно ссылается на несколько оснований применительно к одним и тем же данным в рамках одной цели, не разграничивая, какое основание действует для какой цели. Это создает путаницу в документации и при взаимодействии с регулятором.
- Игнорирование права субъекта на получение информации. Даже если законный интерес применен правомерно, субъект сохраняет право знать об обработке его данных. Отсутствие надлежащего уведомления является отдельным нарушением.
- Распространение на маркетинговые коммуникации. Нередко операторы пытаются обосновать законным интересом направление рекламных рассылок. Это противоречит статье 15 Закона № 152-ФЗ, которая прямо требует предварительного согласия субъекта на обработку данных в целях продвижения товаров, работ и услуг.
Документирование оценки: зачем это нужно даже при отсутствии обязанности
Российский закон не обязывает оператора документировать оценку законного интереса. Тем не менее это разумная и полезная практика по нескольким причинам.
Доказательная база при проверке. Если регулятор запрашивает обоснование примененного основания, наличие задокументированной оценки позволяет предоставить конкретный ответ, а не восстанавливать логику решения постфактум.
Управление внутренними рисками. Документирование фиксирует, кто, когда и на каком основании принял решение об обработке. Это важно при смене ответственных сотрудников и при проведении внутренних аудитов.
Соответствие требованиям международных контрагентов. Если оператор взаимодействует с европейскими партнерами или работает с данными граждан ЕС, документирование в формате LIA является обязательным по GDPR.
Минимальная документация оценки законного интереса может включать: описание конкретного интереса оператора; обоснование необходимости обработки именно этих данных именно в этом объёме; оценку возможного воздействия на права субъектов; вывод о том, что интерес оператора не перевешивается интересами субъектов; дату и ответственного за оценку.
Доказательная база при проверке. Если регулятор запрашивает обоснование примененного основания, наличие задокументированной оценки позволяет предоставить конкретный ответ, а не восстанавливать логику решения постфактум.
Управление внутренними рисками. Документирование фиксирует, кто, когда и на каком основании принял решение об обработке. Это важно при смене ответственных сотрудников и при проведении внутренних аудитов.
Соответствие требованиям международных контрагентов. Если оператор взаимодействует с европейскими партнерами или работает с данными граждан ЕС, документирование в формате LIA является обязательным по GDPR.
Минимальная документация оценки законного интереса может включать: описание конкретного интереса оператора; обоснование необходимости обработки именно этих данных именно в этом объёме; оценку возможного воздействия на права субъектов; вывод о том, что интерес оператора не перевешивается интересами субъектов; дату и ответственного за оценку.
Практические рекомендации для оператора
При принятии решения о применении законного интереса как основания обработки рекомендуется придерживаться следующей последовательности действий.
Если оператор имеет международное присутствие или работает с данными граждан ЕС, имеет смысл сразу ориентироваться на стандарт GDPR. Это автоматически закрывает требования российского права с запасом.
- Сформулировать интерес конкретно. Не «повышение качества услуг», а «контроль соблюдения стандартов обслуживания путём анализа обращений клиентов с целью выявления системных сбоев». Чем конкретнее — тем проще оценить его реальность и необходимость.
- Проверить необходимость. Можно ли достичь той же цели без обработки персональных данных или с меньшим объёмом? Если да — основание применено неверно.
- Оценить баланс. Рассмотреть, мог ли субъект разумно ожидать такой обработки в данном контексте? Создаёт ли обработка для него существенные риски? Чем выше ожидания конфиденциальности у субъекта, тем сложнее обосновать применение законного интереса.
- Проверить совместимость с другими нормами. Не противоречит ли планируемая обработка специальным требованиям по категориям данных, отраслевым нормам или договорным обязательствам?
- Зафиксировать оценку. Даже краткая запись с датой и подписью ответственного лица лучше, чем её отсутствие.
Если оператор имеет международное присутствие или работает с данными граждан ЕС, имеет смысл сразу ориентироваться на стандарт GDPR. Это автоматически закрывает требования российского права с запасом.
💬 Комментарий эксперта
«Законный интерес — рабочий инструмент, но не универсальный. Его применение требует реальной оценки, а не формального упоминания в политике обработки персональных данных. Оператор, который ссылается на законный интерес без конкретизации, в чём именно он состоит и как соблюден баланс, по сути не имеет правового основания. Это один из тех случаев, когда формальное соответствие документа и реальная правомерность обработки — разные вещи.»
Часто задаваемые вопросы
Можно ли использовать законный интерес вместо согласия?
Да, если соблюдены четыре критерия: реальность интереса, необходимость обработки, минимизация данных и баланс с правами субъекта. Однако для специальных категорий данных этот пункт неприменим, т.к. там требуются специальные основания по статье 10 Закона № 152-ФЗ.
Обязан ли оператор документировать оценку законного интереса?
По российскому праву — нет, обязательного требования нет. Однако документирование является разумной практикой: оно формирует доказательную базу при проверках и упрощает взаимодействие с регулятором.
Распространяется ли законный интерес на маркетинговые рассылки?
Нет. Статья 15 Закона № 152-ФЗ прямо требует предварительного согласия субъекта на обработку его данных в целях продвижения товаров, работ и услуг.
В чем главное отличие подхода 152-ФЗ от GDPR в части законного интереса?
GDPR значительно более формализован: требует проведения документированного трёхшагового теста (LIA) и прямо закрепляет право субъекта возражать против такой обработки. В российском праве требований к документированию оценки нет, подход формируется преимущественно через правоприменение.
Как понять, что баланс интересов соблюден?
Ключевой вопрос: мог ли субъект разумно ожидать такой обработки в данном контексте? Если обработка создает для субъекта существенные риски, которые он не мог предвидеть, баланс, скорее всего, не соблюден.
Обязан ли оператор уведомлять субъекта о применении законного интереса?
Закон № 152-ФЗ содержит общую обязанность информировать субъекта об обработке его данных. Специального требования именно к раскрытию основания «законный интерес» нет, однако GDPR требует такого раскрытия — это важно при работе с европейскими данными.
Применяется ли законный интерес к данным о состоянии здоровья?
Нет. Данные о состоянии здоровья относятся к специальным категориям персональных данных по статье 10 Закона № 152-ФЗ. Для их обработки предусмотрены специальные основания; пункт 7 части 1 статьи 6 к ним неприменим.
Ввод оборотных штрафов за утечки откладывается минимум до 1 июля 2023 года
На стыке 152-ФЗ и GDPR обычно возникает не теоретический, а очень прикладной вопрос: что реально можно обосновать без согласия.
В Telegram-канале мы продолжаем именно эту линию — с кейсами, пограничными сценариями и разбором спорных оснований.
В Telegram-канале мы продолжаем именно эту линию — с кейсами, пограничными сценариями и разбором спорных оснований.
Материалы по теме