Нужна ли политика конфиденциальности и уведомление Роскомнадзора, если сайт собирает только логин, пароль и никнейм, но пользователи сами публикуют видео с лицом и контакты в профиле, а IP-адреса пишутся в логи?

Считаются ли логи (IP), видео с лицом и сведения, указанные самим пользователем, персональными данными

Определение персональных данных максимально широкое: это любая информация, относящаяся к прямо или косвенно определяемому физическому лицу, а не только паспортные ФИО.

персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
— п. 1 ст. 3 ФЗ-152

Отсюда прямо следуют три вывода по вашим фактам. IP-адрес + время захода — это косвенно определяемая информация (по совокупности с логами провайдера и учётной записью лицо устанавливается), значит, это персональные данные, и неважно, что вы их «специально не собираете» — сервер их записывает, а запись уже есть обработка: > обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

— п. 3 ст. 3 ФЗ-152 — в понятие обработки включены сбор, запись, накопление и хранение.

Видео с вебкамерой, где видно лицо, — тоже персональные данные (изображение человека относится к нему). Но квалификация как биометрических возникает только тогда, когда такие сведения используются оператором для установления личности:

Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных
— ч. 1 ст. 11 ФЗ-152

То есть пост с лицом, размещённый как контент пользователя, — это персональные данные, но не биометрия; письменное согласие по ст. 11 нужно лишь если вы начнёте распознавать/идентифицировать людей по лицу (внедрение face-ID и т.п.).

Сведения, которые пользователь сам напишет в описании профиля (номер, почта, ссылки на соцсети), становятся персональными данными, обрабатываемыми вами, потому что вы их храните и делаете доступными. Но для данных, раскрытых самим субъектом неограниченному кругу лиц без отдельного согласия на распространение, закон перекладывает доказывание законности дальнейшего распространения на того, кто распространяет:

В случае раскрытия персональных данных неопределенному кругу лиц самим субъектом персональных данных без предоставления оператору согласия, предусмотренного настоящей статьей, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице, осуществившем их распространение или иную обработку.
— ч. 2 ст. 10.1 ФЗ-152

В случае, если персональные данные оказались раскрытыми неопределенному кругу лиц вследствие правонарушения, преступления или обстоятельств непреодолимой силы, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице, осуществившем их распространение или иную обработку. 4. В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных согласился с распространением персональных данных, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без права распространения. 5.
— ч. 3 ст. 10.1 ФЗ-152

Практический смысл для вас: сам факт, что пользователь написал свой телефон публично, не делает вашу платформу нарушителем, но именно вы будете обязаны доказать законность последующего распространения, если оно оспаривается; поэтому в правилах сайта важно закрепить, что публикация таких сведений — осознанное действие пользователя.

Вывод по вопросу. Да, все три категории — персональные данные в широком смысле ст. 3: IP и логи (косвенно определяемая информация), видео с лицом (не биометрия, пока вы не идентифицируете по ним личность), а также сведения, которые пользователь сам внёс в профиль. Отсутствие полей «почта/телефон/ФИО» не выводит вас из-под закона: оператором вы становитесь по факту обработки любых таких данных, включая автоматически накапливаемые логи.

Обязательна ли Политика обработки ПДн, нужны ли согласие и Пользовательское соглашение

Оператором признаётся любое лицо, которое организует обработку ПДн и определяет её цели и состав данных, — под это определение вы подпадаете в полном объёме:

оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
— п. 2 ст. 3 ФЗ-152

Обязанность опубликовать Политику прямо и императивно установлена для тех, кто собирает данные через интернет, — а у вас есть форма регистрации:

Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети , в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети "Интернет", с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети.
— ч. 2 ст. 18.1 ФЗ-152

Публиковать нужно сам документ о правилах обработки, а не данные пользователей. Согласие же получается отдельно — но по правилам ст. 9:

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.
— ч. 1 ст. 9 ФЗ-152

Из легального определения согласия видно, что оно должно быть конкретным, предметным, информированным и однозначным, а форма — любой, позволяющей подтвердить факт получения (для сайта это и есть чекбокс). Кроме согласия, обработку легитимизирует и исполнение договора с пользователем — Пользовательского соглашения:

обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных ; (В редакции федеральных законов от 21.12.2013 № 363-ФЗ, от 03.07.2016 № 231-ФЗ, от 14.07.2022 № 266-ФЗ) 6) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно; 7) обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц
— п. 5 ч. 1 ст. 6 ФЗ-152

А бремя доказывания, что согласие получено (или что было иное основание), лежит на вас:

Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
— ч. 3 ст. 9 ФЗ-152

Для целей обработки закон требует и соблюдения принципа целевого использования — нельзя «на всякий случай» хранить данные дольше и шире, чем нужно:

Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
— ч. 2 ст. 5 ФЗ-152

Дополнительно вы обязаны обеспечивать безопасность данных (шифрование, разграничение доступа, учёт носителей и т.п.):

Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
— ч. 1 ст. 19 ФЗ-152

Вывод по вопросу. Политику обработки ПДн на сайте публиковать обязательно (это требование закона, а не рекомендация). Согласие оформляется чекбоксом при регистрации и должно быть конкретным — с перечнем целей (регистрация, работа профиля, хранение логов, обратная связь). Пользовательское соглашение (договор) — ваше законное основание обработки для целей работы сервиса по п. 5 ч. 1 ст. 6, и оно же закрывает статус UGC-платформы. Отдельный текст «Согласия» публиковать на сайте не требуется — достаточно формы-галочки, но сама Политика должна быть на общедоступной странице.

Нужно ли уведомление Роскомнадзора, если данные «сами копятся»

Общее правило: уведомить Роскомнадзор нужно до начала обработки ПДн:

Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
— ч. 1 ст. 22 ФЗ-152

Исключения с 14.07.2022 резко сужены — сохранены лишь государственные системы безопасности и обработка исключительно без средств автоматизации:

Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: 1) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 2) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 7) включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка; (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
— ч. 2 ст. 22 ФЗ-152

Ваш сервер ведёт логи автоматически, регистрация и хранение профилей — тоже автоматизированная обработка, поэтому «исключение по автоматизации» к вам неприменимо. Даже если вы субъективно «ничего не собираете», а логи «сами копятся», это не меняет юридическую картину: закону важен факт обработки, а не намерение. При уведомлении подаются сведения о целях, категориях данных и субъектов, правовых основаниях, мерах защиты, дате начала и сроке обработки, месте нахождения базы данных (с 14.07.2022 перечень в ч. 3 ст. 22 существенно детализирован — по каждой цели указываются категории ПДн, субъектов, основание и способы обработки).

Отдельно оцените статус по ФЗ-149: блог-платформа, где пользователи обмениваются сообщениями и размещают информацию, может подпадать под понятие организатора распространения информации, что тянет за собой собственную обязанность уведомить Роскомнадзор о начале деятельности и хранить сведения о фактах приёма/передачи сообщений:

Организатором распространения информации в сети "Интернет" является лицо, осуществляющее деятельность по обеспечению функционирования информационных систем и (или) программ для электронных вычислительных машин, которые предназначены и (или) используются для приема, передачи, доставки и (или) обработки электронных сообщений пользователей сети "Интернет". 2. Организатор распространения информации в сети "Интернет" обязан в установленном Правительством Российской Федерации порядке уведомить федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере средств массовой информации, массовых коммуникаций, информационных технологий и связи, о начале осуществления деятельности, указанной в части 1 настоящей статьи.
— ч. 1–2 ст. 10.1 ФЗ-149

Вывод по вопросу. Да, уведомление в Роскомнадзор о намерении обрабатывать ПДн вам, как правило, направить необходимо — до начала работы платформы, поскольку данные обрабатываются автоматизированно. «Исключение» оставлено только для неавтоматизированной обработки и государственных систем защиты безопасности, поэтому на блог-платформу с логированием оно не распространяется. Дополнительно проверьте себя по ст. 10.1 ФЗ-149: если функционал подпадает под организатора распространения информации, потребуется отдельное уведомление РКН по этому основанию.

Ответственность и гражданско-правовые последствия нарушений

За обработку данных без законного основания (в том числе без надлежащего согласия, когда оно требуется) установлена административная ответственность:

Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, - (В редакции федеральных законов от 11.06.2021 № 206-ФЗ, от 30.11.2024 № 420-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей.
— ч. 1 ст. 13.11 КоАП РФ

За отсутствие опубликованной Политики — отдельный состав с меньшим штрафом:

Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных - влечет наложение административного штрафа на граждан в размере от одной тысячи пятисот до трех тысяч рублей; на должностных лиц - от шести тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей - от десяти тысяч до двадцати тысяч рублей; на юридических лиц - от тридцати тысяч до шестидесяти тысяч рублей.
— ч. 3 ст. 13.11 КоАП РФ

За непредоставление субъекту информации об обработке его данных:

Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных, - влечет наложение административного штрафа на граждан в размере от двух тысяч до четырех тысяч рублей; на должностных лиц - от восьми тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей - от двадцати тысяч до тридцати тысяч рублей; на юридических лиц - от сорока тысяч до восьмидесяти тысяч рублей.
— ч. 4 ст. 13.11 КоАП РФ

Ключевой риск практики — не только штраф РКН, но и иски пользователей о моральном вреде, который по закону возмещается независимо от имущественного вреда:

Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
— п. 2 ст. 24 ФЗ-152

Если платформа используется для распространения информации о частной жизни человека без его согласия, включается гражданско-правовая охрана:

Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни. Не являются нарушением правил, установленных абзацем первым настоящего пункта, сбор, хранение, распространение и использование информации о частной жизни гражданина в государственных, общественных или иных публичных интересах , а также в случаях, если информация о частной жизни гражданина ранее стала общедоступной либо была раскрыта самим гражданином или по его воле.
— п. 1 ст. 152.2 ГК РФ

То же касается изображения гражданина: обнародование и использование фото и видеозаписей с человеком допускаются только с его согласия, кроме прямо названных случаев (публичный интерес, съёмка в открытых местах, где изображение не является основным объектом, позирование за плату):

Обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с согласия этого гражданина. После смерти гражданина его изображение может использоваться только с согласия детей и пережившего супруга, а при их отсутствии - с согласия родителей. Такое согласие не требуется в случаях, когда: 1) использование изображения осуществляется в государственных, общественных или иных публичных интересах ; 2) изображение гражданина получено при съемке, которая проводится в местах, открытых для свободного посещения, или на публичных мероприятиях (собраниях, съездах, конференциях, концертах, представлениях, спортивных соревнованиях и подобных мероприятиях), за исключением случаев, когда такое изображение является основным объектом использования; 3) гражданин позировал за плату. 2. Изготовленные в целях введения в гражданский оборот, а также находящиеся в обороте экземпляры материальных носителей, содержащих изображение гражданина, полученное или используемое с нарушением пункта 1 настоящей статьи, подлежат на основании судебного решения изъятию из оборота и уничтожению без какой бы то ни было компенсации. (п. 2 введен Федеральным законом от 02.07.2013 N 142-ФЗ) 3.
— п. 1 ст. 152.1 ГК РФ

Вывод по вопросу. Нарушение грозит административными штрафами по ст. 13.11 КоАП РФ (для граждан — от 10 000 руб. за обработку без основания, от 1 500 руб. — за отсутствие Политики) и гражданскими исками о компенсации морального вреда по п. 2 ст. 24 ФЗ-152, при распространении сведений о частной жизни — по ст. 152.2 ГК РФ, при использовании чужого изображения — по ст. 152.1 ГК РФ. Поскольку вы выступаете оператором, отвечать будете именно вы, а не пользователь, — если не докажете законность обработки и не обезопасите себя правилами сайта и модерацией.