Узнайте, что закон 152-ФЗ считает персональными данными, какие данные обрабатывает ваш бизнес, где проходят границы между ПДн и другой информацией, какие требования нужно выполнить.
К персональным данным относится любая информация, которая прямо или косвенно связана с определённым или определяемым человеком: ФИО, телефон, email, фото, голос, адрес, данные платежей, а в ряде случаев и cookie с IP-адресом. Решает не тип сведений, а вопрос: можно ли по ним выделить конкретного человека. Если вы собираете такие данные на сайте или в CRM, начните с проверки сайта по 152-ФЗ: формы, аналитика и виджеты чаще всего собирают больше, чем кажется.
Ниже — разбор без юридической воды: что говорит закон, какие данные считаются персональными на практике, где проходят границы и что с этим делать бизнесу.
По статье 3 закона № 152-ФЗ персональные данные — это «любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)» (Консультант Плюс, ст. 3 152-ФЗ). Закон не даёт закрытого перечня, и это сделано намеренно: список устарел бы через год. Роскомнадзор в своих разъяснениях называет примеры — фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное и имущественное положение, образование, профессия, доход (разъяснения Роскомнадзора) — но подчёркивает: перечень открытый. Ключевое слово здесь «косвенно». Одна запись «клиент из Казани» человека не определяет. А связка «клиент из Казани, купил в среду, оплатил картой, живёт в доме с конкретным номером подъезда» — уже вполне.
Тот же Роскомнадзор приводит и обратный пример: по его разъяснению, номер квартиры и сумма долга сами по себе не позволяют определить конкретного человека. Вывод простой: оценивать нужно не поле в базе, а всю совокупность сведений, которые лежат рядом.
Ответ на вопрос, какие данные считаются персональными, на практике сводится к трём группам. Первая — прямые идентификаторы: ФИО, паспортные данные, СНИЛС, ИНН физлица, адрес регистрации, номер телефона, email с фамилией в адресе. Вторая — косвенные: должность в небольшой компании, история заказов, номер клиентской карты, логин, ID в CRM. Третья — материалы, где человека видно или слышно: фото, видео, аудиозвонок. Всё, что вы собираете в формах заявок, чатах, при найме и доставке, — потенциальные персональные данные. Если пользователь вводит имя и номер телефона в форму обратного звонка, вы уже оператор: определяете цели обработки и состав данных. Что важно — статус не зависит от формы бизнеса. ИП, ООО и самозанятый, собирающие заявки, находятся в одинаковом положении.
Как это выглядит в привычных процессах (примеры условные, для иллюстрации):
Сведём в таблицу, чтобы было удобно сверяться:
| Категория | Примеры | Когда это ПДн | Что учесть |
|---|---|---|---|
| Прямые идентификаторы | ФИО, паспорт, СНИЛС, телефон, email | Почти всегда | Нужны цель, основание и документы |
| Данные платежей | Номер карты, банковский счёт, история оплат | Если привязаны к человеку | Хранение карт — отдельная зона риска |
| Фото, видео, аудио | Снимок сотрудника, запись звонка | Если человека можно узнать | Для публикации нужно отдельное согласие |
| Биометрия | Отпечаток, образец голоса, радужка, шаблон лица | Если используется для идентификации | Особый режим, письменное согласие |
| Технические данные | Cookie, IP-адрес, ID устройства | Если можно связать с человеком | Зависит от того, что ещё у вас есть |
Биометрические данные персональные безусловно, но только если подпадают под определение из статьи 11 закона № 152-ФЗ: это сведения о физиологических и биологических особенностях человека, на основании которых можно установить его личность, и которые оператор использует именно для этого. Отпечаток пальца в турникете, шаблон лица в системе распознавания, образец голоса для голосовой авторизации — биометрия. Обычная фотография на сайте компании или в личном деле — нет, пока её не обрабатывают для установления личности. Разница принципиальная: обычные данные можно обрабатывать на нескольких основаниях (договор, закон, согласие), а для биометрии, как правило, требуется письменное согласие субъекта, и исключения прямо перечислены в законе. К тому же утечка пароля лечится заменой, а утечка отпечатка пальца — нет. Поэтому внедрять «умный» вход по лицу ради удобства без юридической проработки — плохая идея.
Отдельно существует категория специальных данных (статья 10 закона): сведения о состоянии здоровья, расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, интимной жизни. Их сбор по умолчанию ограничен. Сюда попадают, например, медицинские справки сотрудников и анкеты клиник. Если ваш процесс затрагивает здоровье, разберитесь с основанием обработки до запуска, а не после.
Не уверены, что у вас считается персональными данными? Мы проверим формы, согласия, политику, cookie и сторонние сервисы на сайте, покажем расхождения с 152-ФЗ и дадим рекомендации. Заказать анализ сайта по 152-ФЗ
Проверим формы, согласия, политику, cookie и сторонние сервисы, покажем расхождения с законом и дадим рекомендации по приведению в порядок.
Вокруг этого вопроса больше всего споров, и честный ответ звучит так: зависит от контекста. Cookie и персональные данные пересекаются тогда, когда по идентификатору в браузере вы можете выйти на конкретного человека: например, связали его с аккаунтом, заказом или email в CRM. Аналогично с вопросом «IP-адрес — персональные данные или нет»: сам по себе адрес указывает на подключение, а не на личность, но вместе с другой информацией (данными учётной записи, логами, cookies) он, как правило, рассматривается как персональные данные, если позволяет прямо или косвенно определить конкретного человека. Единой официальной формулы «cookie всегда ПДн» в источниках, на которые мы опираемся, нет, поэтому универсальных утверждений лучше избегать. Практичная позиция такая: если аналитика, рекламные пиксели и CRM связаны между собой и позволяют «узнать» посетителя при повторном визите, относитесь к этим данным как к персональным и закладывайте для них основание обработки, уведомление пользователя и корректный баннер.
Подводный камень — сторонние скрипты. Виджет чата, карта, метрика, форма от конструктора: каждый может отправлять данные посетителя на чужой сервер, а иногда и за границу. Об этом вспоминают, когда приходит запрос. О том, как обстоит дело с иностранными сервисами, можно прочитать на странице про трансграничную передачу данных.
Используйте чек-лист для самостоятельной проверки: сопоставьте сайт, сведения в реестре Роскомнадзора, документы и фактические процессы работы с персональными данными.
Не относится к персональным данным информация, которая не позволяет прямо или косвенно выделить конкретного человека, а также, как правило, сведения о самой организации как таковой. Обезличенная статистика («тридцать процентов посетителей — мобильные»), агрегированные отчёты, данные о компании (название, ИНН, юридический адрес организации) к ПДн, как правило, не относятся, но данные физических лиц, связанных с юрлицом (директор, сотрудники, представители, контактные лица), остаются персональными. Но есть тонкость: сведения об ИП, включая ОГРНИП и ИНН, содержатся в открытом ЕГРИП; по распространённой позиции сами ОГРНИП и ИНН как технические идентификаторы персональными данными не считаются, а ФИО, паспортные данные, адрес проживания, дата и место рождения, контактные данные — считаются. Вопрос о статусе ИНН на практике спорный. Другая ловушка — «обезличивание» на бумаге. Если вы убрали из таблицы ФИО, но оставили дату рождения, город и должность в небольшом коллективе, человека всё равно можно вычислить. Это уже не обезличенные данные, а псевдонимизированные, и закон к ним относится как к обычным ПДн. Проверяйте себя вопросом: сможет ли человек из вашей же компании, увидев строку, понять, о ком речь?
И ещё о границах. Контактные данные сотрудника компании-контрагента (имя менеджера, рабочая почта) тоже остаются ПДн. Рабочий email вида info@company.ru — уже нет, если не привязан к человеку.
После того как вы определили, что в ваших процессах есть персональные данные, нужно выстроить минимальный набор действий: понять цели, состав и места хранения, определить основание обработки, оформить документы и разобраться с уведомлением Роскомнадзора. Пошаговая логика выглядит так. Сначала составьте карту данных: где собираются (формы, звонки, найм), где хранятся (CRM, облако, бумага), кому передаются (подрядчики, курьеры, рекламные сети). Затем для каждой цели определите основание: договор, закон или согласие. Потом оформите политику, согласия, приказы и локальные акты. И последнее — проверьте, обязаны ли вы подавать уведомление об обработке: подробно про это написано в материале о том, кто должен подать уведомление в Роскомнадзор. Документы при этом должны отражать фактическую работу: универсальный комплект «для всех» не защищает, если на сайте стоит аналитика, о которой в политике ни слова. Что грозит за нарушения, разобрано в статье про штрафы по 152-ФЗ.
Приведите обработку данных в порядок без догадок. Подготовим документы под ваши реальные цели и процессы и поможем зарегистрироваться в Роскомнадзоре. Подобрать документы по персональным данным
Если после этого разбора появились сомнения, где у вас персональные данные, а где нет, не гадайте. Для ИП и компаний мы готовим уведомление и документы, а при необходимости проверяем сайт и процессы. Выберите подходящий формат на странице «Роском 24» или посмотрите тарифы: итоговый состав и стоимость согласуются по вашей задаче.
Подробнее по теме: Регистрация в Роскомнадзоре оператора персональных данных | Роском 24.
Да, если по ней можно узнать человека: это информация, относящаяся к определяемому физическому лицу. Но биометрией снимок становится только тогда, когда его обрабатывают для установления личности, например в системе распознавания лиц. Для публикации фото сотрудника или клиента на сайте нужно отдельное согласие, а не только запись в трудовом договоре.
Да. Номер телефона и личная электронная почта позволяют связаться с конкретным человеком и, как правило, идентифицировать его в вашей базе, особенно рядом с именем или историей заказов. Достаточно одной формы с полями «имя» и «телефон», чтобы вы стали оператором и должны были выполнять требования 152-ФЗ.
Зависит от контекста. Сам по себе адрес указывает на подключение, но если вместе с другой информацией (данными учётной записи, логами, cookies) он позволяет прямо или косвенно определить человека, его, как правило, рассматривают как персональные данные; связь с аккаунтом — лишь один из таких случаев. Безопасная позиция для сайта: считать IP вместе с авторизацией и аналитикой персональными данными и предупреждать пользователя о сборе.
Если cookie позволяют выделить конкретного посетителя и связать его с другими сведениями, они рассматриваются как персональные данные, а для обработки нужно основание. Для аналитики и рекламных идентификаторов на практике используют уведомление о cookie и согласие. Решение зависит от того, какие сервисы подключены, поэтому начните с инвентаризации скриптов.
Номер карты, привязанный к человеку, относится к информации о физическом лице и обрабатывается как ПДн. Дополнительно действуют правила платёжных систем и банков. Если оплата проходит на стороне банка или эквайринга и вы не храните реквизиты, ваш объём обработки заметно меньше — но историю платежей клиента вы всё равно храните.
По статье 10 закона № 152-ФЗ это сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья и интимной жизни. Их обработка ограничена и допускается только в прямо предусмотренных законом случаях, например с письменным согласием. Биометрия выделена в отдельный режим по статье 11.
Да. Закон не делит операторов по форме бизнеса: если вы собираете имена, телефоны или email клиентов через форму, мессенджер или CRM, вы обрабатываете персональные данные. Какие именно обязанности возникают, зависит от целей и способов обработки. Это лучше определить заранее, а не после запроса от клиента.
Подготовим документы под ваши реальные цели и процессы, поможем разобраться с уведомлением в Роскомнадзор и сделаем работу с ПДн безопасной для компании.
