Что такое распространение персональных данных?

Распространение персональных данных - это действия, которые делают личные данные человека доступными неопределённому кругу лиц: публикация на сайте, в соцсетях, передача в открытые каталоги или базы. С 1 марта 2021 года это отдельный вид обработки по 152-ФЗ, для которого нужно отдельное согласие - обычного согласия на обработку данных, которое обычно берут для рассылки или обратной связи, для публикации на сайте недостаточно.

Это требование ввёл Федеральный закон № 519-ФЗ от 30 декабря 2020 года, который добавил в 152-ФЗ статью 10.1. Согласие на распространение должно быть оформлено отдельно от общего согласия на обработку и явно перечислять, какие именно данные публикуются, где и с какой целью - общая формулировка "согласен на обработку персональных данных" под это требование не подходит, даже если человек её подписывал.

Для вашей ситуации с отзывами это значит: если публикуете имя, фотографию и текст отзыва клиента, нужно получить от него отдельное согласие именно на распространение - отдельный документ, форму или явный пункт с перечислением, что и где будет опубликовано. Подтверждение согласия стоит хранить у себя (переписку, подписанный бланк, чекбокс с логом времени), а не полагаться на устное "да, публикуйте".

Если оформлять согласие на каждого клиента ресурсно тяжело, есть более простой путь: публиковать отзывы обезличенно - имя и первая буква фамилии, без фотографии или с обобщённой аватаркой. Юридический риск это не убирает полностью, но заметно снижает, потому что обезличенные данные не позволяют однозначно идентифицировать человека. Для полной чистоты процесса лучше всё же собирать согласие - шаблон формы можно один раз подготовить с юристом и потом использовать для всех клиентов.