Персональные данные

Что такое персональные данные: определение, примеры, что делать оператору

Редактор ФТИ 8 октября 2026 11 мин чтения

Коротко

Персональные данные — любая информация об определённом или определяемом человеке (п. 1 ст. 3 закона № 152-ФЗ). Разбираем определение, примеры, три режима данных, кого касается закон, что делать оператору по шагам и какие штрафы по ст. 13.11 КоАП.

Коротко: персональные данные — это любая информация, которая относится к определённому или определяемому человеку (п. 1 ст. 3 закона № 152-ФЗ). Списка в законе нет: решает не вид сведений, а возможность по ним, отдельно или вместе с другими данными, выйти на конкретного человека. Если вы собираете такие сведения для работы — клиенты, сотрудники, заявки с сайта, — вы оператор. У оператора есть понятный набор обязанностей: основание обработки, уведомление, политика, защита, порядок ответа на запросы.

Уведомление в Роскомнадзор, документы по 152-ФЗ и документы для сайта · правки включены до вашего «принимаю»

Не знаете, с чего начать? Пакет «Старт» — 14 900 ₽ вместо 18 700 ₽

Смотреть услуги ФТИ →

Главное о персональных данных

Определение — одна фраза: любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (п. 1 ст. 3).
Закон не даёт списка данных. Телефон, e-mail, фото, IP-адрес — вопрос в том, можно ли выйти на человека.
Три режима: общие данные, специальные категории (ст. 10) и биометрические (ст. 11). Чем чувствительнее данные, тем строже правила.
Размер бизнеса значения не имеет. В ст. 1 нет исключения для малого бизнеса, есть только личные и семейные нужды и несколько особых случаев.
Оператору нужны шесть вещей: понимание своей роли и данных, основание, уведомление, политика и документы, ответственный (для юрлица) и защита, порядок ответа на запросы.
Штрафы — по ст. 13.11 КоАП, срок давности один год (ст. 4.5).

Что такое персональные данные по закону

Определение содержится в п. 1 ст. 3 закона от 27.07.2006 № 152-ФЗ: персональные данные — «любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу». Лицо, о котором речь, закон называет субъектом персональных данных. В определении четыре опорных слова.

«Любая информация». Не только паспорт и адрес. Сведения о здоровье, должности, семье, привычках, переписка тоже подходят, если они о человеке.
«Относящаяся». Информация должна быть именно о человеке. Вес станка — не персональные данные, а запись «станок закреплён за наладчиком Ивановым» — уже да (пример наш).
«Прямо или косвенно». Человека можно назвать по имени, а можно вычислить по набору признаков: должность, отдел, город, график работы.
«Определённому или определяемому». Не обязательно знать имя. Достаточно, чтобы по сведениям человека можно было определить.

«Физическому лицу» значит человеку. Наименование и реквизиты организации персональными данными не являются, но данные её директора, бухгалтера или контактного лица — да (по нашему прочтению). Какие данные в каких случаях подходят под определение, разобрано в статье какие данные считаются персональными.

Примеры: да, нет, зависит

Закон списка не даёт, поэтому оценка в таблице — по нашему прочтению критерия из п. 1 ст. 3. В спорных случаях безопаснее считать, что данные персональные.

Данные	Персональные?	Почему
ФИО вместе с датой рождения или телефоном	Да	Прямо определяют человека
Номер телефона, e-mail вида ivan.petrov@…	Да	Привязаны к конкретному человеку
Паспорт, СНИЛС, ИНН физического лица	Да	Идентифицируют человека напрямую
Фото, видео, запись голоса	Зависит	Да, если по ним можно узнать человека. Биометрическими они становятся, только если оператор использует их для установления личности (ч. 1 ст. 11)
IP-адрес, cookie-идентификатор, ID устройства	Зависит	Слова «cookie» в законе нет. Важно, можно ли связать идентификатор с человеком
Номер автомобиля	Зависит	Сам по себе — сведения о машине; рядом с данными владельца — о человеке
Наименование, ОГРН, расчётный счёт организации	Нет	Это не физическое лицо
Общий адрес info@компания.рф	Обычно нет	Если ящик ведёт один человек и это видно, вопрос открытый
Статистика без привязки к людям	Нет	Если по ней нельзя определить человека, даже сопоставив с другими сведениями

Про cookie и счётчики — в статье о согласии на cookies, про камеры — в материале о видеонаблюдении.

Три режима: общие, специальные и биометрические данные

Строгость правил зависит от того, о чём данные. Закон выделяет три группы и ещё один особый случай — данные, которые человек разрешил распространять.

Группа	Что входит	Норма	Режим	Где разбор
Общие	ФИО, контакты, адрес, должность	п. 1 ст. 3	Обработка допускается по одному из оснований ч. 1 ст. 6. Согласие — только одно из них	Обработка без согласия
Специальные категории	Расовая и национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь	ст. 10	Обработка не допускается, кроме случаев, названных в ч. 2 и 2.1: например, письменное согласие, трудовое и пенсионное законодательство, медицинская деятельность. Судимость — отдельно, ч. 3	Медицинское согласие
Биометрические	Сведения о физиологических и биологических особенностях, по которым можно установить личность и которые оператор использует для её установления	ст. 11	Письменное согласие, исключения только по ч. 2. Предоставление таких данных не может быть обязательным, кроме случаев ч. 2 (ч. 3)	Согласие на биометрию
Разрешённые для распространения	Данные, доступ к которым неограниченного круга лиц открыт согласием субъекта	п. 1.1 ст. 3, ст. 10.1	Отдельное согласие, молчание согласием не считается (ч. 8 ст. 10.1)	Согласие на распространение

Кого касается закон: статьи 1 и 2

Закон регулирует обработку персональных данных государственными органами, муниципальными органами, юридическими лицами и физическими лицами (ч. 1 ст. 1). Закон охватывает и обработку без средств автоматизации, если она позволяет по заданному алгоритму искать данные в картотеках и других систематизированных собраниях (так сказано в той же части).

Закон применяется и к иностранным лицам, когда они обрабатывают данные граждан России на основании договора с ними, иных соглашений или согласия гражданина (ч. 1.1 ст. 1). Не применяется он (ч. 2 ст. 1) при:

обработке данных физическими лицами исключительно для личных и семейных нужд, если не нарушаются права субъектов;
хранении и использовании документов Архивного фонда и других архивных документов по законодательству об архивном деле;
обработке данных, отнесённых к государственной тайне.

Информация о деятельности судов регулируется отдельным законом № 262-ФЗ (ч. 3 ст. 1). Цель закона — защита прав и свобод человека, включая неприкосновенность частной жизни, личную и семейную тайну (ст. 2). Что это значит на практике (по нашему прочтению): записная книжка в вашем телефоне — личные нужды, а клиентская база предпринимателя в таблице или CRM — уже нет. Подробнее — в статьях про оператора и про самозанятых.

Что делать оператору: шесть шагов

Оператор — тот, кто организует или осуществляет обработку и определяет её цели и состав (п. 2 ст. 3). Вот последовательность, которая закрывает основные обязанности. Каждый шаг ведёт на свой раздел.

Шаг	Что нужно	Норма	Где разобрано
1. Понять роль и данные	Определить, какие данные вы собираете, у кого и зачем. Для юрлица среди мер названы локальные акты, где по каждой цели определены категории и перечень данных	п. 2 ст. 3; п. 2 ч. 1 ст. 18.1	Оператор, перечень данных
2. Найти основание	Согласие — одно из оснований ч. 1 ст. 6 (п. 10 утратил силу). С 01.09.2025 согласие оформляется отдельно от других документов	ст. 6, 9	Согласие, обработка
3. Уведомить Роскомнадзор	До начала обработки (ч. 1 ст. 22). Подача бесплатна, в реестр вносят в течение 30 дней. Не нужно при обработке исключительно без средств автоматизации (п. 8 ч. 2) и в двух особых случаях (пп. 7 и 9 ч. 2)	ст. 22	Уведомление, штраф за неуведомление
4. Политика и документы	Опубликовать политику; при сборе через интернет — на страницах сайта. Юрлицу — ещё и локальные акты	ч. 1, 2 ст. 18.1	Политика, документы
5. Ответственный и работники	Юрлицо назначает ответственного за организацию обработки. Работников знакомят с законом и (или) обучают	ст. 22.1; п. 1, 6 ч. 1 ст. 18.1	Ответственный, обучение
6. Защита и ответы	Меры безопасности; ответ субъекту за 10 рабочих дней (можно продлить на 5); сообщение Роскомнадзору об инциденте за 24 часа и итоги за 72 часа	ст. 19; ч. 3 ст. 14; ч. 3.1 ст. 21	Защита, утечка за 24 часа

Для индивидуального предпринимателя часть шагов проще: ответственного назначать закон не требует, он адресован юридическому лицу (ст. 22.1). Публиковать политику должен любой оператор (ч. 2 ст. 18.1).

Карта материалов кластера

Эта статья — главная в кластере. Дальше — по темам.

Закон и термины: закон № 152-ФЗ по статьям, глоссарий терминов, изменения в 2026 году, политика в 2026 году.
Операции с данными: обработка, конфиденциальность, распространение, передача, поручение обработки.
Обязанности: обязанности оператора, уведомление, согласие, политика.
Субъекты и отрасли: работники, клиенты, дети, школа, интернет-магазин, медицина.
Защита: защита персональных данных, уровни защищённости, ИСПДн.
Проверки и ответственность: проверка Роскомнадзора, предписание, профилактический визит, внеплановая проверка, жалоба на оператора, реестр нарушителей прав субъектов.

Санкции кратко

Ответственность за нарушения — ст. 13.11 КоАП, а также общее правило ст. 24 закона: виновные несут ответственность по законодательству, а моральный вред субъекту возмещается отдельно (ч. 2 ст. 24). Вот основные составы. Это границы диапазонов, а не фиксированные суммы.

Нарушение	Часть ст. 13.11	Коммерческая организация	ИП
Обработка в случаях, не предусмотренных законом, либо несовместимая с целями сбора	ч. 1	150–300 тыс. ₽	50–100 тыс. ₽ (как должностное лицо, ст. 2.4)
Обработка без письменного согласия там, где закон требует письменной формы, либо нарушение состава сведений согласия	ч. 2	300–700 тыс. ₽	100–300 тыс. ₽ (как должностное лицо)
Не опубликована политика или сведения о защите	ч. 3	30–60 тыс. ₽	10–20 тыс. ₽
Не подано или подано несвоевременно уведомление об обработке	ч. 10	100–300 тыс. ₽	100–300 тыс. ₽ (как юрлицо, прим. 1)
Не направлено или направлено несвоевременно уведомление Роскомнадзору об инциденте	ч. 11	1–3 млн ₽	1–3 млн ₽ (как юрлицо, прим. 1)

Срок давности — один год (ч. 1 ст. 4.5), по длящемуся нарушению он считается со дня обнаружения (ч. 2 ст. 4.5). Для некоммерческих организаций и госорганов в частях 10–18 «должностное лицо» — их должностное лицо, а «юридическое лицо» — только коммерческая организация (прим. 2 и 3). Отдельные составы есть за утечки больших массивов данных, утечки специальных категорий и биометрии при любом объёме и повторные нарушения (ч. 12–18): о них — в статье об оборотных штрафах. Разборы по темам: штрафы за персональные данные и штрафы для ИП и малого бизнеса.

Как мы помогаем

ФТИ — действующий учебный центр, услуги по персональным данным ведёт юрист Максим Ромазанов. Работаем по всей России, дистанционно. Подать уведомление можно и самому: подача бесплатна (ч. 5 ст. 22), расходы на оператора закон не возлагает. Если нет времени разбираться, помогаем с каждым шагом:

Уведомление в Роскомнадзор под ключ — 4 900 ₽: заполняем по каждой цели обработки и подаём. Вход на портал делает руководитель, пароли и ключи нам не передаются.
Документы по 152-ФЗ — 9 900 ₽: юрист разбирает ваш бизнес и пишет документы под него, а не по общему образцу. Правки включены до вашего «принимаю».
Аудит сайта на 152-ФЗ — 4 900 ₽: отчёт за 3 рабочих дня с нормой и планом правок. Документы для сайта — 3 900 ₽, устранение — от 9 900 ₽.
Сопровождение по персональным данным — 1 990 ₽ в месяц или 19 900 ₽ в год: изменения в реестре, обновление документов, консультации.
Пакет «Старт» (уведомление, документы и документы для сайта) — 14 900 ₽ вместо 18 700 ₽, на странице услуг ФТИ.

Если нужен человек, который разбирается в теме внутри компании, есть курс «Защита персональных данных»: повышение квалификации, 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО. На программу принимают с образованием не ниже среднего профессионального или получающих его (ч. 3 ст. 76 закона № 273-ФЗ). Курс даёт знания, но не готовые документы и не подаёт уведомление за вас.

Не уверены, оператор ли вы и что из шести шагов вам нужно? Разберём бесплатно, без «рассчитаем после звонка»

Скажем честно, даже если услуга вам не нужна

Подобрать услугу →

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Что такое персональные данные простыми словами?

Любые сведения о человеке, по которым его можно определить: прямо, по имени, или косвенно, по набору признаков. Это формулировка п. 1 ст. 3 закона № 152-ФЗ: «любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу». Списка конкретных данных в законе нет.

Номер телефона и e-mail — это персональные данные?

Как правило, да, когда они привязаны к конкретному человеку: частный номер, ящик вида ivan.petrov@. Закон не перечисляет данные, поэтому это наше прочтение критерия из п. 1 ст. 3. Общий адрес организации вроде info@ обычно не относится к человеку.

ФИО без других данных — это персональные данные?

Закон оценку не расписывает. Распространённое имя само по себе может не позволять определить человека, но в карточке клиента рядом с телефоном или местом работы оно уже определяет. Мы советуем исходить из того, что ФИО в рабочих базах — персональные данные.

Чем специальные категории отличаются от биометрических?

Специальные категории (ст. 10) — сведения о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни. Биометрические (ст. 11) — физиологические и биологические особенности, по которым можно установить личность и которые оператор использует для её установления. Для обеих групп правила строже, чем для обычных данных.

Нужно ли согласие на обработку персональных данных всегда?

Нет. Согласие — одно из оснований в ч. 1 ст. 6; есть ещё закон, договор, судопроизводство и другие. Если основание иное, согласие не нужно, но письменное согласие обязательно там, где его требует федеральный закон (ч. 4 ст. 9). Оператор должен уметь доказать наличие основания (ч. 3 ст. 9).

Закон о персональных данных касается ИП и малого бизнеса?

Да. В ст. 1 нет исключения по размеру бизнеса. Оператором может быть физическое лицо, в том числе предприниматель (п. 2 ст. 3). Из-под закона выведены только личные и семейные нужды и ещё несколько случаев, перечисленных в ч. 2 ст. 1.

Кто такой оператор и нужно ли ему уведомлять Роскомнадзор?

Оператор — тот, кто организует или осуществляет обработку и определяет её цели и состав (п. 2 ст. 3). Уведомить Роскомнадзор нужно до начала обработки (ч. 1 ст. 22). Исключение осталось, в частности, для оператора, который обрабатывает данные исключительно без средств автоматизации (п. 8 ч. 2 ст. 22). CRM, 1С, таблица и сайт с формой считаются автоматизацией.

Какие штрафы грозят за нарушения?

Зависит от нарушения, ст. 13.11 КоАП. Для коммерческой организации: обработка вне случаев, предусмотренных законом, — 150–300 тыс. ₽ (ч. 1); без письменного согласия, где оно обязательно, — 300–700 тыс. ₽ (ч. 2); не опубликована политика — 30–60 тыс. ₽ (ч. 3); нет уведомления — 100–300 тыс. ₽ (ч. 10). Это границы диапазонов. Срок давности — один год.

С чего начать, если данные уже собираются, а документов нет?

По нашему прочтению, в таком порядке: составить перечень данных и целей, проверить основание, подать уведомление, опубликовать политику, оформить согласия там, где они нужны, назначить ответственного (юрлицу). Начать можно с любого шага, но уведомление закон требует до начала обработки.

Сколько стоит привести обработку персональных данных в порядок в ФТИ?

Уведомление в Роскомнадзор — 4 900 ₽, документы по 152-ФЗ — 9 900 ₽, аудит сайта — 4 900 ₽ (документы для сайта 3 900 ₽). Пакет «Старт» из уведомления, документов и документов для сайта стоит 14 900 ₽ вместо 18 700 ₽. Подача в Роскомнадзор бесплатна, вы платите только за работу юриста; состав называем до оплаты.