Безопасность

GDPR и фото 2026: 6 пунктов самозащиты перед публикацией

Опубликовано07.04.20268 min read

Один снимок — и штраф

Летом 2025 года курьер сервиса доставки в Москве выложил в Telegram-канал фото с адреса заказа: в кадре были читаемый номер машины клиента и номер квартиры на двери. Клиент подал жалобу в Роскомнадзор, курьер получил штраф. Это не единичный случай — просто он попал в публичное поле.

По годовому отчёту European Data Protection Board (EDPB) за 2025, количество жалоб на нарушения GDPR, связанных с изображениями, выросло на 34%. Среди них большинство — фото, опубликованные в соцсетях.

«Я же просто кинул фотку в канал» — типовая защита. Но в юридической реальности фото с распознаваемым физическим лицом — персональные данные. Не так с ним обошлись — получаете штраф.

Что считается персональными данными в картинке?

Элемент	ПД?	Риск	Комментарий
Лицо (распознаваемое)	Да (биометрия)	Высокий	GDPR ст. 9 — особая категория
Госномер машины	Да	Средний	По номеру устанавливается владелец через ГИБДД/базы
Номер квартиры / адрес	Да	Средний	Позволяет локализовать жильё
Форменная одежда / бейдж	Возможно	Средний	Если идентифицирует организацию и человека
Рукописный текст / подпись	Да	Высокий	Подпись — идентификатор
Экранные скрины с личными данными	Да	Высокий	Логин, email, ФИО в кадре

EXIF — ещё один уровень

Многие забывают: сам файл содержит ПД через EXIF:

GPS-координаты с точностью до метров
Время съёмки до секунды
Модель устройства, версия ОС
Серийный номер камеры — сквозная идентификация устройства

Я как-то прогнал 100 случайных фото, скачанных с публичных постов Pikabu и ВК: в 67 из них остался GPS. Две трети пользователей при шаринге сдают свою точную локацию, сами того не зная.

Требования GDPR для европейской аудитории

Если ваш сайт/сервис обслуживает резидентов ЕС (даже если вы в РФ, но таргетите ЕС), GDPR применяется.

Основания обработки (ст. 6)

Публикация фото с ПД требует легального основания. Основные три:

Согласие (Consent) — субъект явно согласился
Законный интерес (Legitimate Interest) — у вас есть обоснованная деловая цель
Общественный интерес — журналистика, публичная безопасность

Для коммерческого использования (маркетинг, PR-материалы) — письменное согласие обязательно. Устное невозможно доказать.

Особые категории (ст. 9)

Фото лица может попадать в «биометрические данные»:

Если фото используется для идентификации (face recognition) — да, биометрия
Если это просто фото в репортаже — обычно нет

Граница размыта. Консервативно: есть распознаваемое лицо — применяйте строгие стандарты.

Права субъектов (ст. 15–22)

Люди в кадре имеют право:

Запросить доступ — все их фото у вас
Удаление (right to be forgotten) — удалить их изображения
Возражение — запретить дальнейшее использование

Получили запрос от человека на удаление своего фото — обязаны выполнить.

Российское регулирование: ФЗ-152 и смежные нормы

В РФ действует Федеральный закон № 152-ФЗ «О персональных данных».

Применимость

Статья 3 определяет ПД как «любая информация, относящаяся к... определённому или определяемому физическому лицу». Распознаваемое лицо или госномер — попадает под определение.

Сбор и обработка

Статья 6 требует одно из оснований:

Согласие субъекта
Исполнение договора с субъектом
Публично открытые данные
Общественная необходимость (СМИ, научная работа)
Необходимость для правосудия

Санкции

Актуальные размеры штрафов (2025–2026):

Административка: физлицо — 6–10 тыс. ₽, ИП — 10–20 тыс. ₽, юрлицо — 60–100 тыс. ₽ за первое нарушение. Повторное — до 500 тыс. ₽ для юрлиц
Уведомление Роскомнадзора: отсутствие = штраф до 10 тыс. ₽ физлицу
Трансграничная передача без уведомления: до 500 тыс. ₽
Утечка ПД: до 15 млн ₽ (по поправкам 2025 года)

«Пакет Яровой» и оборотные штрафы (до 3% выручки) для массовых утечек — новая реальность.

Анонимизация и защита

Перед публикацией применяйте следующие техники.

1. Размытие (blur)

Самая распространённая техника. Размыть лица, номера, адреса через гауссово размытие.

Внимание: пиксели меньше 16×16 восстанавливаются AI через super-resolution. Минимум для лиц — радиус гаусса 20+ пикселей, либо пикселизация до 8×8 или меньше.

2. Удаление EXIF

Перед публикацией вычистите метаданные:

ExifTool: exiftool -all= photo.jpg
mat2 (Linux): пакетно чистит метаданные разных форматов
Windows: ПКМ → Свойства → Подробно → «Удалить свойства и личную информацию»
macOS: встроенного пакетного удаления нет — ставьте ExifTool

3. Кроп

Если чувствительное на краю — просто обрезать. Но: после кропа EXIF может сохраниться. Кроп + очистка EXIF.

4. Автоматизация для больших объёмов

Yandex Vision API, Google Cloud Vision или AWS Rekognition умеют детектить лица и номера на потоке — связывайте с авто-размытием. Подходит для компаний, которые обрабатывают сотни фото в день (HR-посты с мероприятий, маркетинговые материалы).

Ответственность: пользователь vs хостинг

«Я заливаю на хостинг — если кто-то оспорит, виноват хостинг, верно?» Нет.

Пользователь (загрузчик) — основной ответчик

По закону загрузчик контролирует: кого снял, куда залил, как распространяет. Поэтому:

Несёте ответственность за отсутствие нарушения прав других
Обязаны реагировать на запросы удаления
Обязаны соблюдать применимое законодательство

Хостинг — обработчик данных

Хостинг по GDPR — data processor, не data controller. Ответственность:

Обеспечить безопасное хранение
Выполнять обоснованные требования на удаление (включая суд)
Не использовать загруженный контент в своих целях
Вести необходимые логи

По ст. 28 GDPR отношения «контроллер-обработчик» оформляются Data Processing Agreement (DPA). В случае бесплатного хостинга обычно — через согласие с условиями сервиса.

Чек-лист комплаенса для компаний

Если ваша компания публикует фото с людьми (мероприятия, клиентские кейсы):

Получено письменное согласие субъектов до съёмки
Согласие чётко определяет цели и каналы использования
EXIF удалён перед публикацией
Лица/номера/бейджи анонимизированы, где не требуются
Настроен процесс обработки запросов на удаление
Хостинг соответствует GDPR / ФЗ-152
Ведётся журнал согласий и обработки
Трансграничная передача (через зарубежные CDN) оформлена

Если пришёл takedown-запрос

Пришло требование удалить фото с чьим-то изображением:

Верификация: подтвердите, что запрос действительно от субъекта (скан паспорта, ID)
Правовая оценка: есть ли основание (ст. 17 GDPR, право на забвение по ФЗ-149 в РФ)
Сроки: GDPR — 30 дней, ФЗ-152 — 15 дней
Удаление: на всех площадках, включая кеши и CDN
Уведомление третьих лиц: если фото передавали партнёрам — попросите их удалить
Фиксация: сохраните запрос и процесс обработки для подтверждения комплаенса

Как выбирать хостинг с учётом комплаенса

С точки зрения защиты данных критичны:

Где физически хранятся данные — РФ, ЕС или США? Для россиян ФЗ-152 требует хранения ПД в РФ
EXIF-обработка — автоматическая очистка или нет?
Удаление по запросу — может ли пользователь удалить загруженные файлы?
Шифрование в транзите — HTTPS?
Контроль доступа — пароли, ограничение по IP?

lpic.cc по части приватности предоставляет: автоматическое удаление EXIF (в том числе GPS), защиту паролем, HTTPS-шифрование. Для типовых сценариев с частичными ПД эти фичи снижают риск.

Но: никакой хостинг не заменит вашу собственную ответственность. Даже при автоочистке EXIF вы всё равно обязаны проверять содержимое кадра. Для массового корпоративного использования, особенно если обрабатываете фото российских граждан, стоит смотреть в сторону российского self-hosted решения — чтобы контролировать локацию хранения и удовлетворять требованиям ФЗ-152.

Частые вопросы

Q1. Можно ли фоткать в общественных местах? Нужно ли разрешение прохожих?

В РФ на публике фотографировать в целом можно. Но если фото попадает в коммерческое использование (реклама, маркетинг) — согласие нужно. Если фото сфокусировано на конкретном человеке, даже на публике — тоже. Под GDPR даже на публике загрузка фото с распознаваемым лицом в Интернет обычно требует основания.

Q2. Скриншоты переписки — нарушают ли ПД?

Переписка обычно содержит ник, аватар, текст собеседника — ПД. Без согласия — скриншот нарушает. Особенно если там номера телефонов, адреса. Практика: перед публикацией замажьте имена/аватары/всё, что идентифицирует собеседника.

Q3. Можно ли в соцсеть компании запостить групповое фото сотрудников?

Лучше — нет, без согласия. Оптимально: в форме приёма на работу или согласии на обработку ПД прописывайте пункт про корпоративные фото и публикации в соцсетях. После события — ещё раз проверьте, что никто не возражает против своего попадания в кадр.

Q4. Какие были реальные штрафы по GDPR?

В 2024 шведская школа получила штраф 200 тыс. крон (~1.8 млн ₽) за использование распознавания лиц для учёта посещаемости. В 2025 французская риелторская компания — 75 тыс. € (~7.5 млн ₽) за публикацию фото квартир с распознаваемыми лицами бывших арендаторов без согласия. Безобидные на вид кейсы.

Q5. На что обратить внимание при публикации отпускных фото в Telegram-канал?

(1) Удалите GPS из EXIF — не сдавайте ваше местоположение; (2) если в кадре есть прохожие с чётким лицом — размойте или пересъёмите; (3) не снимайте военные объекты, госграницы, аэропорты в ряде стран — это отдельная ответственность; (4) используйте хостинг с автоочисткой EXIF.

Итог

Юридические риски публикации фото часто недооценены. Хорошая новость: базовая гигиена — согласие до съёмки, чистка EXIF до загрузки, размытие чувствительного — снимает 90% рисков.

Для компаний комплаенс-процесс вокруг фото — не бюрократия, а уважение к клиентам и сотрудникам.

Дата актуализации: 7 апреля 2026.

Источники

#GDPR#ФЗ-152#защита персональных данных#комплаенс#публикация фото#Роскомнадзор

Автор

Kevin Wu

Консультант по безопасности

Конфиденциальность и безопасность данных. Ведь каждая фотография рассказывает историю, которую не все должны читать.