Как ИП-тренеру оформить согласие родителей на обработку персональных данных детей: анкета, журнал, фото и видео в соцсетях, отзыв согласия

Статус тренера-ИП как оператора и правовое основание обработки данных анкеты и журнала

Вы — оператор персональных данных: самостоятельно определяете цели, состав данных и действия с ними.

1. оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных; 4) автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники; 5) распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
   — п. 2, 5 ст. 3 ФЗ от 27.07.2006 № 152-ФЗ

Это означает, что и бумажные анкеты, и таблица на компьютере, и журнал посещаемости/оплаты — всё это обработка персональных данных, подпадающая под № 152-ФЗ; уведомление в Роскомнадзор вы подали верно и обязанность по ст. 22 ФЗ № 152-ФЗ закрыта. Для анкеты, журнала и хранения данных законного интереса «по умолчанию» нет: у вас нет ни возложенной законом функции, ни обязательного по закону согласия — значит, нужно либо согласие, либо основание «исполнение договора».

1. обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; 3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах; (В редакции Федерального закона от 29.07.2017 № 223-ФЗ ) 3 1 ) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта); (Дополнение пунктом - Федеральный закон от 29.07.2017 № 223-ФЗ ) 4) обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года № 210-ФЗ "Об организации предоставления государственных и муниципальных услуг", включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг; (В редакции Федерального закона от 05.04.2013 № 43-ФЗ ) 5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных
   — п. 1 и п. 5 ч. 1 ст. 6 ФЗ от 27.07.2006 № 152-ФЗ

Ключевой вывод для оформления: данные, которые вам действительно нужны для оказания услуги (ФИО ребёнка, дата рождения, ФИО и телефон родителя, посещаемость, оплата), вы вправе обрабатывать не только по согласию, но и по п. 5 ч. 1 ст. 6 — как необходимые для исполнения договора на обучение. Это важно практически: при отзыве согласия (см. блок 5) такие данные вы сможете продолжать обрабатывать по договорному основанию, ссылаясь на ч. 2 ст. 9:

1. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона.
   — ч. 2 ст. 9 ФЗ от 27.07.2006 № 152-ФЗ

Но есть ограничение: адрес проживания, а тем более данные о здоровье не являются необходимыми для договора об обучении танцам — по ним единственное основание именно согласие. И ещё одно ограничение, которое прямо касается вашей идеи «согласие как условие записи в группу»:

Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных ; (В редакции федеральных законов от 21.12.2013 № 363-ФЗ , от 03.07.2016 № 231-ФЗ , от 14.07.2022 № 266-ФЗ ) 6) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно; 7) обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц, в том числе в случаях, предусмотренных Федеральным законом "О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон "О микрофинансовой деятельности и микрофинансовых организациях", либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
— абз. 2 п. 5 ч. 1 ст. 6 ФЗ от 27.07.2006 № 152-ФЗ

То есть нельзя ставить запись в студию в зависимость от согласия на публикацию фото и от «лишних» данных (адрес, здоровье): договор не может содержать условия, ограничивающие права субъекта и устанавливающие случаи обработки данных несовершеннолетних. Согласие на фото и на необязательные данные должно быть добровольным и отдельно отделяемым от факта заключения договора.

Вывод: вы оператор ПД; анкету, журнал и хранение можно закрыть одним документом, но с оговорками — минимально необходимые данные (ФИО, дата рождения, контакт родителя, посещаемость, оплата) обрабатываются по договорному основанию п. 5 ч. 1 ст. 6 и по согласию; адрес и сведения о здоровье — только по согласию; ставить запись в группу в зависимость от «широкого» согласия нельзя.

Можно ли одним документом закрыть анкету, журнал и публикацию фото

Нет — публикация фото в соцсети требует отдельного согласия, и это прямо установлено законом, а не является рекомендацией.

1. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
   — ч. 1 ст. 10.1 ФЗ от 27.07.2006 № 152-ФЗ

Фотографии детей на странице студии в соцсети — это распространение, то есть раскрытие данных неопределённому кругу лиц (п. 5 ст. 3 № 152-ФЗ, см. блок 1), а не просто «хранение и использование». Поэтому схема документа должна быть такой:

1. Согласие на обработку ПД (анкета, журнал, хранение, медсправка) — вредный для вас миф, что оно должно быть «одно на всё»: оно оформляется отдельно от иных документов и от согласия на распространение.
2. Согласие на обработку ПД, разрешённых для распространения (фото/видео в соцсетях) — отдельный документ со своим набором обязательных реквизитов.

Форма согласия на обработку — по ч. 1 ст. 9: оно «должно быть оформлено отдельно от иных информации и (или) документов», то есть не как пункт 7 внутри договора или внутри анкеты.

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.
   — ч. 1 ст. 9 ФЗ от 27.07.2006 № 152-ФЗ

Практически: анкета — это не согласие. Согласие — отдельный лист, который родитель подписывает, а анкета остаётся анкетой (сбор сведений). Если впишете согласие одной строкой в анкету, вы рискуете квалификацией «обработка с нарушением требований к составу сведений, включаемых в согласие» — ч. 2 ст. 13.11 КоАП РФ (блок 8).

Вывод: одним документом закрыть всё нельзя. Нужны минимум два отдельных согласия: (1) на обработку данных анкеты/журнала/медсправки и хранение, (2) на распространение фото и видео (публикацию в соцсетях). Каждое — отдельный подписываемый лист, не часть договора и не часть анкеты.

Обязательные реквизиты: конкретные цели, перечень данных, срок, способ отзыва

Письменное согласие должно включать строго определённый набор сведений. Перечислю те, которые нужны именно вам, и переведу их в практику.

1. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; 2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных); 3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных; 4) цель обработки персональных данных; 5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных; 6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу; 7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; 8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом; 9) подпись субъекта персональных данных.
   — ч. 4 ст. 9 ФЗ от 27.07.2006 № 152-ФЗ

Из этого перечня для вашей анкеты/журнала обязательно указать: (1) данные ребёнка (ФИО, адрес, документ — для ребёнка 7–12 лет это свидетельство о рождении; будьте готовы указать его реквизиты — либо, чтобы не собирать лишнее, ограничьтесь теми данными, которые реально нужны, помня, что перечень данных должен быть конкретным и предметным); (2) данные представителя — ФИО, адрес, паспортные данные, реквизиты документа о полномочиях (для родителя это свидетельство о рождении ребёнка/запись о родителе — именно так вы «проверяете полномочия представителя», как требует ч. 1 ст. 9); (3) ваши ФИО, адрес, ИНН/ОГРНИП как ИП; (4) цель — отдельно для каждой цели: «заключение и исполнение договора на обучение танцам, ведение учёта посещаемости и оплаты», «обеспечение безопасности и учёт медицинских ограничений на занятиях»; (5) перечень данных по каждой цели; (6) перечень действий (сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача — если есть, блокирование, удаление, уничтожение) и способы (бумажный, автоматизированный); (7) срок и способ отзыва; (8) подпись.

По фото обязательные реквизиты задаёт отдельный акт:

1. категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты, а также перечень устанавливаемых условий и запретов 3 (заполняется по желанию субъекта персональных данных); ______________________________ 3 Часть 9 статьи 10.1 Федерального закона от 27 июля 2006 г. № 152-ФЗ "О персональных данных". 8) условия, при которых полученные персональные данные могут передаваться оператором, осуществляющим обработку персональных данных, только по его внутренней сети, обеспечивающей доступ к информации лишь для строго определенных сотрудников, либо с использованием информационно-телекоммуникационных сетей, либо без передачи полученных персональных данных (заполняется по желанию субъекта персональных данных) 4 ; ______________________________ 4 Часть 9 статьи 10.1 Федерального закона от 27 июля 2006 г. № 152-ФЗ "О персональных данных". 9) срок действия согласия.
   — п. 7 Требований, утв. Приказом Роскомнадзора от 24.02.2021 № 18

Отдельно обратите внимание на пункт 4 Требований — сведения об информационных ресурсах оператора (адрес страницы в соцсети, где будут размещаться фото). Его нужно указать в согласии на распространение: это ровно тот случай, когда данные предоставляются неограниченному кругу лиц через конкретную страницу. Также в этом согласии надо перечислить категории данных (обычные ПД, специальные, биометрические — п. 6 Требований) и срок действия.

Срок: закон требует указать срок действия согласия, но не запрещает сформулировать его как «до достижения цели обработки» или «на период действия договора и 3 года после». Для фото практичнее указывать срок «до отзыва» либо конкретный срок (например, 3 года), после чего публикации снимаются.

Вывод: в согласии на обработку обязательно указать ваши данные как ИП, паспортные данные родителя-представителя и реквизиты документа о родстве, конкретные цели (учёт/договор, безопасность и здоровье — отдельно от фото), перечень данных и действий, срок и способ отзыва, подпись. В согласии на распространение дополнительно — адрес страницы в соцсети, категории данных и срок; всё это строго по ч. 4 ст. 9 № 152-ФЗ и п. 1–9 Требований Роскомнадзора № 18.

Медсправка и особенности здоровья — специальная категория данных

Сведения о состоянии здоровья — специальная категория персональных данных, и правило здесь жёстче, чем для обычной анкеты.

1. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных частями 2 и 2 1 настоящей статьи. (В редакции Федерального закона от 24.04.2020 № 123-ФЗ ) 2. Обработка указанных в части 1 настоящей статьи специальных категорий персональных данных допускается в случаях, если: 1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;
   — ч. 1, п. 1 ч. 2 ст. 10 ФЗ от 27.07.2006 № 152-ФЗ

Для вас это означает: строка «особенности здоровья» и приложенная медсправка допустимы только при наличии письменного согласия законного представителя. Устного «мама сказала на словах» недостаточно, и одного общего согласия «на обработку любых данных» тоже рискованно — лучше вынести здоровье в отдельный раздел с отдельной подписью родителя (либо в отдельное согласие), потому что письменная форма здесь — обязательное условие законности.

Обратите внимание и на границу: биометрическими являются только те сведения, «которые используются оператором для установления личности»:

1. Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
   — ч. 1 ст. 11 ФЗ от 27.07.2006 № 152-ФЗ

Вы не используете фото для установления личности ребёнка (не сверяете лицо при входе), поэтому обычные фото с занятий биометрическими данными не становятся — но при публикации они всё равно требуют согласия на распространение по ст. 10.1 (блок 5). Если же вы заведёте, например, проходную систему с распознаванием лиц, это уже письменное согласие на биометрию.

Вывод: данные о здоровье и медсправку берите только с отдельно выделенным письменным согласием родителя (п. 1 ч. 2 ст. 10 № 152-ФЗ); по возможности минимизируйте — достаточно отметки «допуск к занятиям имеется / ограничения: …», без диагнозов. Обычная фотосъёмка занятий биометрией не является, но публикация фото всё равно требует согласия на распространение.

Отзыв согласия и требование убрать давно опубликованные фото

Отзыв согласия на обработку — право субъекта (родителя), и он влечёт обязанность оператора прекратить обработку и уничтожить данные, если они больше не нужны для целей.

1. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого
   — ч. 5 ст. 21 ФЗ от 27.07.2006 № 152-ФЗ

Срок — до 30 дней с даты отзыва. Для данных анкеты/журнала это означает: прекратить обработку тех данных, которые не нужны для исполнения договора; данные по договору (посещаемость, оплата) можно продолжить обрабатывать по п. 5 ч. 1 ст. 6, но адрес и здоровье — прекратить и уничтожить. Уничтожение оформляйте актом — доказывать законность обработки обязан именно оператор (ч. 3 ст. 9 № 152-ФЗ).

Для фото механизм другой и более быстрый: согласие на распространение прекращается с момента поступления требования, а сама передача/доступ должны быть прекращены.

1. Передача (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по требованию субъекта персональных данных. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта персональных данных, а также перечень персональных данных, обработка которых подлежит прекращению. Указанные в данном требовании персональные данные могут обрабатываться только оператором, которому оно направлено.
   — ч. 12 ст. 10.1 ФЗ от 27.07.2006 № 152-ФЗ

1. Действие согласия субъекта персональных данных на обработку персональных данных, разрешенных субъектом персональных данных для распространения, прекращается с момента поступления оператору требования, указанного в части 12 настоящей статьи.
   — ч. 13 ст. 10.1 ФЗ от 27.07.2006 № 152-ФЗ

Обратите внимание на содержание требования: родитель должен указать ФИО, контакт (телефон/почта/адрес) и перечень данных, обработку которых надо прекратить. Если мама написала просто «уберите фото моего ребёнка», этого достаточно для запуска механизма — не отказывайте формально, а попросите уточнить перечень фото (ссылку/дату).

«Давно висят» значения не имеет: закон не делает исключения для ранее размещённых фотографий — требование прекратить распространение действует «в любое время». Практический порядок: снять фото со страницы, сохранить скриншот/архив подтверждения удаления, уведомить родителя. Удаление из самой соцсети может быть неполным (кэш, репосты третьих лиц) — тогда у вас есть право требования и к этим лицам, и они обязаны прекратить в 3 рабочих дня:

1. Субъект персональных данных вправе обратиться с требованием прекратить передачу (распространение, предоставление, доступ) своих персональных данных, ранее разрешенных субъектом персональных данных для распространения, к любому лицу, обрабатывающему его персональные данные, в случае несоблюдения положений настоящей статьи или обратиться с таким требованием в суд. Данное лицо обязано прекратить передачу (распространение, предоставление, доступ) персональных данных в течение трех рабочих дней с момента
   — ч. 14 ст. 10.1 ФЗ от 27.07.2006 № 152-ФЗ

Если фото были размещены вообще без согласия на распространение (а у вас до сих пор согласий нет), это уже неправомерная обработка с самостоятельными последствиями:

1. В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган. 3 1 .
   — ч. 3 ст. 21 ФЗ от 27.07.2006 № 152-ФЗ

Вывод: требование родителя убрать фото — обязательный к исполнению сигнал: согласие на распространение прекращается с момента его получения, распространение подлежит прекращению (ст. 10.1 № 152-ФЗ), а по общему правилу обработка прекращается и данные уничтожаются в срок до 30 дней (ч. 5 ст. 21); при неправомерной обработке — прекратить в 3 рабочих дня, уничтожить в 10 рабочих дней (ч. 3 ст. 21). Срок давности публикации значения не имеет. Удаляйте фото, фиксируйте удаление, уведомляйте родителя; при репостах третьих лиц — требуйте прекращения от них (3 рабочих дня).

Чьё согласие нужно: одного родителя или обоих

Для ребёнка 7–12 лет согласие даёт законный представитель. Оба родителя являются законными представителями по закону, без специальных полномочий.

1. Защита прав и интересов детей возлагается на их родителей. Родители являются законными представителями своих детей и выступают в защиту их прав и интересов в отношениях с любыми физическими и юридическими лицами, в том числе в судах, без специальных полномочий.
   — ст. 64 СК РФ, п. 1

Отсюда две ветки, и обе надо держать в голове.

Ветка 1 (обычная): согласие подписал один родитель, второй не возражает. Закон не требует подписи обоих родителей: полномочие родителя действует в силу закона, и ваша задача — проверить его (ч. 1 ст. 9 № 152-ФЗ: «полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором»). Проверка = документ о родстве (свидетельство о рождении ребёнка), паспорт родителя. Этого достаточно, чтобы обработка была законной, и претензия второго родителя «я не давал согласия» сама по себе не превращает обработку в незаконную: полномочие первого основано на законе, а не на воле второго.

Ветка 2 (риск): второй родитель прямо заявил возражение. Согласие — это не договор между родителями, но при прямом конфликте и споре о правах ребёнка безопаснее исходить из того, что воля второго законного представителя тоже значима; при этом законным механизмом разрешения разногласий между родителями является не претензия к вам, а обращение в орган опеки и попечительства или суд (п. 2 ст. 64 СК РФ). Для вас практический выход — разделить предметы: фото и необязательные данные (адрес, здоровье) обрабатывать только при согласии обоих либо при отсутствии возражения второго родителя, а обязательные для занятия данные — по договору (п. 5 ч. 1 ст. 6), который заключает тот родитель, который приводит ребёнка. Так возражение отца не блокирует занятия и не создаёт нарушения.

Ветка 3 (если ребёнку уже 14+): с 14 лет согласие на обработку своих данных даёт сам ребёнок (п. 1 ст. 26 ГК РФ), и родительская подпись на согласие уже не заменяет его волю — проверьте возраст детей в группах.

Вывод: по общему правилу достаточно письменного согласия одного родителя с проверкой документа о родстве; отдельного согласия второго родителя закон не требует. Но при прямом возражении второго родителя по фото и «лишним» данным (адрес, здоровье) безопасная схема — согласие обоих или отказ от этих данных, тогда как данные, необходимые для исполнения договора, обрабатываются по п. 5 ч. 1 ст. 6 независимо от спора родителей. Разногласия между родителями разрешают орган опеки и суд, а не вы.

Публикация фото: гражданско-правовой пласт (изображение и частная жизнь)

Помимо № 152-ФЗ, фото ребёнка защищено нормами ГК РФ об изображении — и это отдельное, самостоятельное основание требований родителя.

1. Обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с согласия этого гражданина. После смерти гражданина его изображение может использоваться только с согласия детей и пережившего супруга, а при их отсутствии - с согласия родителей. Такое согласие не требуется в случаях, когда:
   — п. 1 ст. 152.1 ГК РФ

Для вас: обнародование и дальнейшее использование фотографии ребёнка (в том числе в соцсети студии) допускается только с согласия — за ребёнка 7–12 лет его даёт законный представитель. Исключения из этого правила (государственные, общественные или иные публичные интересы, съёмка на публичных мероприятиях) для рекламной/имиджевой страницы студии не работают, тем более если фото используются для продвижения услуг.

Если фото размещены без согласия, родитель вправе требовать не только удаления, но и денежной компенсации:

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда.
— ст. 151 ГК РФ

Обратите внимание: это требование не о возмещении имущественного ущерба, а о компенсации морального вреда за нарушение личного неимущественного права — то есть «убытки» здесь не нужно доказывать; достаточно факта нарушения. Это делает претензию родителя реально опасной даже без «вреда». Спор рассматривает районный (городской) суд по месту вашего жительства (ст. 28 ГПК РФ) либо по месту жительства истца при наличии оснований для подсудности по выбору истца (ст. 29 ГПК РФ); до суда — досудебная претензия и (при желании родителя) жалоба в Роскомнадзор.

Вывод: фото ребёнка в соцсети студии — это и распространение ПД по № 152-ФЗ, и использование изображения по ст. 152.1 ГК РФ; основание легальности одно — согласие законного представителя. Без согласия родитель может требовать удаления и компенсации морального вреда (ст. 151 ГК РФ) в суде. Поэтому до появления подписанных согласий безопаснее снять спорные публикации (либо закрыть доступ родителей, у которых согласия нет).

Ответственность оператора-ИП: административные штрафы и обязанность опубликовать политику

Риск не абстрактный — штрафы по КоАП РФ привязаны именно к письменной форме согласия и к составу его сведений.

1. Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, - (В редакции федеральных законов от 11.06.2021 № 206-ФЗ, от 30.11.2024 № 420-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей. (В редакции федеральных законов от 24.02.2021 № 19-ФЗ, от 30.11.2024 № 420-ФЗ) 1 1 . Повторное совершение административного правонарушения, предусмотренного частью 1 настоящей статьи, - влечет наложение административного штрафа на граждан в размере от пятнадцати тысяч до тридцати тысяч рублей; на должностных лиц - от ста тысяч до двухсот тысяч рублей; на юридических лиц - от трехсот тысяч до пятисот тысяч рублей. (В редакции Федерального закона от 30.11.2024 № 420-ФЗ) (Дополнение частью - Федеральный закон от 24.02.2021 № 19-ФЗ) 2. Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, - (В редакции Федерального закона от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от ста тысяч до трехсот тысяч рублей; на юридических лиц - от трехсот тысяч до семисот тысяч рублей.
   — ч. 1 и ч. 2 ст. 13.11 КоАП РФ

Для ИП на практике штраф применяется как к должностному лицу (в размере, указанном для должностных лиц), а по ч. 2 ст. 13.11 при повторе — специально для индивидуальных предпринимателей (от 500 тыс. до 1 млн руб.). Ошибки, которые прямо «ловятся» по ч. 2: (а) публикация фото без согласия на распространение; (б) согласие, в котором нет обязательных реквизитов (например, не указан срок или способ отзыва, нет адреса страницы в соцсети) — «нарушение требований к составу сведений, включаемых в согласие».

Помимо согласий, у оператора-ИП есть обязанности по локальным документам:

1. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам , в частности, относятся : (В редакции Федерального закона от 14.07.2022 № 266-ФЗ ) 1) назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных; 2) издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений. Такие документы и локальные акты не могут содержать положения, ограничивающие права субъектов персональных данных, а также возлагающие на операторов не предусмотренные законодательством Российской Федерации полномочия и обязанности;
   — ч. 1 ст. 18.1 ФЗ от 27.07.2006 № 152-ФЗ

1. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети , в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети "Интернет", с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети.
   — ч. 2 ст. 18.1 ФЗ от 27.07.2006 № 152-ФЗ

Поскольку вы собираете данные и ведёте страницу студии в интернете, документ (политика) обязан быть опубликован — это отдельный состав по ч. 3 ст. 13.11 (штраф на ИП от 10 до 20 тыс. руб.). Для оператора-ИП назначение «ответственного за организацию обработки» и издание локальных актов, как видно из текста, сформулированы для юридических лиц, но политику и приказ об обработке ПД всё равно рекомендуется иметь: локальные акты позволяют доказать принятие мер по ч. 4 ст. 18.1.

Если по какой-то категории данных согласие обязательно (например, по здоровью или по фото в соцсети), вы обязаны заранее разъяснить последствия отказа:

1. Если в соответствии с федеральным законом предоставление персональных данных и (или) получение оператором согласия на обработку персональных данных являются обязательными, оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку.
   — ч. 2 ст. 18 ФЗ от 27.07.2006 № 152-ФЗ

Вывод: за обработку без письменного согласия и за дефект содержания согласия — ч. 2 ст. 13.11 КоАП РФ (для ИП — до 300 тыс. руб., повторно до 1 млн руб.); за неопубликованную политику обработки ПД — ч. 3 ст. 13.11 (для ИП 10–20 тыс. руб.). Уведомление в Роскомнадзор вы уже подали (ч. 1 ст. 22 № 152-ФЗ), теперь дополните пакет: политика обработки ПД на сайте/странице, приказ об обработке ПД, два отдельных согласия, форма отзыва согласия, акты об уничтожении данных.

Что делать, если родитель отказывается подписывать согласие; реклама и соцсеть

Ветка 1: родитель подписал согласие на обработку, но отказался от фото. Это законно и не мешает занятиям: фото не являются необходимыми для исполнения договора, поэтому отказ от согласия на распространение не может быть основанием для отказа в приёме/продолжении обучения (п. 5 ч. 1 ст. 6 № 152-ФЗ запрещает ставить договор в зависимость от «бездействия» и от обработки несовершеннолетних; ст. 11 № 152-ФЗ — предоставление биометрических данных не может быть обязательным). Практика: в анкете делайте графу «фото и видео не публиковать», а на концертах — либо не снимайте этого ребёнка, либо снимайте так, чтобы он не был идентифицируем, либо рассаживайте группы на фото.

Ветка 2: родитель не подписал даже согласие на обработку обязательных данных. Тогда договор на обучение не заключается либо данные обрабатываются только по договорному основанию — но без адреса и данных о здоровье (эти данные вы просто не собираете). Отказ от предоставления данных о здоровье не блокирует занятия, если вы не оказываете медицинских услуг: достаточно письменного заявления родителя «ограничений по здоровью не заявлено, ответственность за допуск к занятиям подтверждаю».

Ветка 3: фото уже опубликованы и родитель требует удалить. См. блок 5: требование исполняется, согласие прекращается с момента его получения, фото снимаются; это не отменяет обязанности обрабатывать данные по договору.

Про рекламу: фото с занятий/концертов на открытой странице студии, продвигающей услуги, — это использование изображения в целях рекламы, где согласие обязательно и не может подменяться «общим согласием на обработку ПД». Поэтому в согласии на распространение указывайте и рекламно-имиджевую цель отдельно от «внутреннего учёта».

Вывод: отказ от подписи на фото/видео не является основанием отказать в занятиях — фото не нужны для исполнения договора, и это надо прямо написать в анкете (галочка «не публиковать»). Отказ от обязательных данных означает либо незаключение договора, либо обработку в минимальном объёме по п. 5 ч. 1 ст. 6. Уже опубликованные фото по требованию родителя снимаются; рекламное использование фото требует отдельно выраженной цели в согласии на распространение.

Доказательства получения согласия: бремя лежит на операторе

Обязанность доказать наличие согласия лежит именно на вас, а не на родителе.

1. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
   — ч. 3 ст. 9 ФЗ от 27.07.2006 № 152-ФЗ

Практический смысл для вашего документооборота: храните оригиналы подписанных согласий (на обработку и на распространение) в течение всего срока обработки плюс минимум срок применимых сроков (3 года по общим требованиям + период, в который сведения доступны в реестре/соцсети). При подписании согласия одним родителем фиксируйте проверку полномочий: в согласии или приложении к нему укажите, что «оператором проверены полномочия законного представителя — документ, удостоверяющий личность (серия, номер, кем и когда выдан), и документ, подтверждающий статус законного представителя (свидетельство о рождении, серия/номер/дата)». Это снимает с вас риск претензии «согласие взял неуполномоченный». При возражении второго родителя (блок 6) значения имеют те же доказательства: вы вправе опереться на согласие первого родителя, полномочия которого основаны на законе (ст. 64 СК РФ), а спор между родителями — не ваша зона ответственности, а предмет органа опеки/суда.

Вывод: бремя доказывания получения согласия возложено на оператора (ч. 3 ст. 9 № 152-ФЗ), поэтому храните подписанные оригиналы согласий и фиксируйте проверку полномочий законного представителя; согласие одного родителя с проверкой документа о родстве достаточно для законности обработки, даже если второй родитель впоследствии возражает.