Какие данные считаются персональными: критерий, таблица, примеры
Закон не даёт списка персональных данных, а решает возможность определить человека (п. 1 ст. 3 закона № 152-ФЗ). Таблица типичных данных, специальные категории, биометрия, общедоступные и обезличенные данные.
Коротко: персональными считаются любые сведения, которые относятся к определённому или определяемому человеку (п. 1 ст. 3 закона № 152-ФЗ). Закон списка не даёт, поэтому ФИО, телефон, e-mail, адрес, паспорт, фото — как правило, да, а IP-адрес, cookie-идентификатор, номер автомобиля — зависит от того, можно ли связать их с человеком. Данные организации персональными не являются. Отдельно закон выделяет специальные категории (ст. 10) и биометрию (ст. 11): там правила строже.
Главное
- Критерий один: можно ли по информации, отдельно или вместе с другой, определить конкретного человека (п. 1 ст. 3).
- Закон не перечисляет данные. Любая таблица с «да» и «нет» — чьё-то прочтение критерия, в том числе наша ниже.
- Организация — не человек. Её реквизиты не персональные данные, а данные директора и контактного лица — да.
- Общедоступность не отменяет закон: основание об «общедоступных данных» утратило силу с 01.03.2021 (п. 10 ч. 1 ст. 6).
- Обезличивание, по нашему прочтению, — действие над данными, а не способ выйти из-под закона (п. 3 и 9 ст. 3).
Критерий закона: можно ли определить человека
Определение в п. 1 ст. 3: персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Список из «ФИО, адрес, паспорт» закон приводит только как пример (например, в ч. 1 ст. 8), но не как закрытый перечень. Общую картину и роль оператора см. в главной статье кластера: что такое персональные данные.
Чтобы оценить конкретные сведения, мы предлагаем тест из трёх вопросов. Это наша рекомендация, а не норма.
- Это о человеке? Сведения о машине, станке, организации или процессе сами по себе — нет.
- Можно ли по ним понять, о каком человеке речь? Сами по себе или в сочетании с другими данными, которые у вас есть.
- Есть ли у вас или у ваших партнёров доступ к сведениям, которые позволят связать данные с человеком? Закон не уточняет, чьими силами человека определяют, поэтому в сомнении безопаснее считать данные персональными.
Таблица типичных данных
Оценки ниже — по нашему прочтению п. 1 ст. 3. Закон их не раздаёт.
| Данные | Персональные? | Пояснение |
|---|---|---|
| ФИО полностью | Да | В рабочих базах ФИО определяет человека. Совсем распространённое имя без контекста — пограничный случай |
| Дата и место рождения | Да | Особенно вместе с ФИО |
| Адрес проживания или регистрации | Да | Относится к конкретному человеку |
| Личный телефон | Да | Привязан к человеку. Рабочий номер конкретного сотрудника — зависит от ситуации |
| Личный e-mail (ivan.petrov@…) | Да | Содержит имя или привязан к одному человеку. Общий info@ обычно нет |
| Паспорт, СНИЛС, ИНН физического лица | Да | Идентифицируют человека напрямую |
| Должность и место работы | Зависит | С ФИО — да. Должность, которую занимает один человек («директор ООО «Ромашка»»), сама указывает на него |
| Фотография | Зависит | Да, если человека можно узнать. Биометрией фото становится, только когда оператор использует его для установления личности (ч. 1 ст. 11) |
| Запись с камеры, запись звонка | Зависит | Если видно или слышно человека и его можно узнать. См. видеонаблюдение |
| IP-адрес, ID устройства | Зависит | Сам по себе — сведения об устройстве. Вместе с аккаунтом или заказом — о человеке |
| Cookie-идентификатор, ID в аналитике | Зависит | Слова «cookie» в законе нет. Критерий тот же: можно ли связать идентификатор с человеком. См. согласие на cookies |
| Номер автомобиля | Зависит | Сам по себе — о машине. В базе парковки рядом с ФИО владельца — о человеке |
| Наименование, ОГРН, счёт организации | Нет | Организация не физическое лицо |
| ФИО, ИНН, адрес индивидуального предпринимателя | Да | Предприниматель — физическое лицо, данные относятся к нему |
| ФИО директора, бухгалтера, контактного лица организации | Да | Это люди, а не организация |
| Статистика без привязки к людям | Нет | Если по ней нельзя определить человека даже с другими сведениями |
Что делать с этими данными дальше: основание обработки, согласие, уведомление. Начать удобно с перечня: как составить перечень персональных данных.
Специальные категории и биометрия
Часть сведений закон считает особо чувствительными. Правила для них строже.
- Специальные категории (ст. 10): расовая и национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь. Обработка не допускается, за исключением случаев ч. 2 и 2.1: например, письменное согласие, обработка по трудовому законодательству, в медико-профилактических целях лицом, занимающимся медицинской деятельностью и обязанным хранить врачебную тайну. Данные о судимости вынесены в отдельную ч. 3.
- Биометрические данные (ст. 11): сведения о физиологических и биологических особенностях, по которым можно установить личность и которые оператор использует для её установления. Нужно письменное согласие, исключения только по ч. 2. Предоставление биометрии не может быть обязательным, и в обслуживании отказывать нельзя, если согласие по закону не обязательно (ч. 3).
Примеры (по нашему прочтению): диагноз и больничный лист — состояние здоровья; отпечаток пальца в системе допуска, которая по нему опознаёт сотрудника, — биометрия; фото в личном деле, которое не используется для опознавания, обычно не биометрия. Разборы: согласие на биометрические данные, медицинское согласие, врачебная тайна и персональные данные. Собирайте такие сведения только если цель этого требует: закон не допускает избыточных данных (ч. 5 ст. 5).
«Общедоступные» данные и данные из интернета
Частая ошибка: считать, что данные, которые человек выложил сам, можно обрабатывать без ограничений. В законе это устроено иначе.
- Общедоступные источники (справочники, адресные книги) могут создаваться в целях информационного обеспечения; данные включаются в них с письменного согласия, а по требованию субъекта, по решению суда или иных уполномоченных государственных органов исключаются в любое время (ч. 1 и ч. 2 ст. 8).
- Основание «общедоступные данные» в ч. 1 ст. 6 (п. 10) утратило силу с 1 марта 2021 года. Старые разъяснения «согласие не нужно, если человек сам разместил данные» устарели.
- Данные, разрешённые для распространения (п. 1.1 ст. 3), обрабатываются по ст. 10.1: отдельное согласие, молчание согласием не считается (ч. 8). Если человек раскрыл данные сам и согласия оператору не давал, доказывать законность последующей обработки должен каждый, кто их обрабатывает (ч. 2 ст. 10.1).
Подробнее: распространение персональных данных и согласие на распространение. Какие ещё основания обработки существуют, объясняет статья об обработке без согласия.
Обезличенные данные
Обезличивание — действия, после которых без дополнительной информации невозможно определить принадлежность данных конкретному человеку (п. 9 ст. 3). Но оно же входит в перечень действий, составляющих обработку (п. 3 ст. 3), а в ст. 1 нет исключения для обезличенных сведений. Закон использует обезличивание как условие для отдельных видов обработки: статистических и иных исследовательских целей (п. 9 ч. 1 ст. 6) и работы с составами данных (ст. 13.1).
Вывод по нашему прочтению: пока у вас или у кого-то из партнёров есть дополнительная информация, которая позволяет восстановить, чьи это данные, считайте их персональными. Это осторожная позиция, прямого правила на этот счёт мы в законе не нашли. Термины закона собраны в глоссарии.
Что делать, когда вы определили свои данные
- Выпишите данные и цели. Для уведомления Роскомнадзора по каждой цели нужны категории данных и категории субъектов (ч. 3.1 ст. 22).
- Найдите основание обработки из ч. 1 ст. 6; не для каждой цели нужно согласие.
- Оформите согласие там, где оно нужно, отдельно от других документов (ч. 1 ст. 9).
- Проверьте сайт: формы, счётчики, чаты. Они собирают данные, даже если вы о них не думаете. См. персональные данные на сайте.
- Определите свою роль. Тот, кто определяет цели и состав данных, — оператор: кто такой оператор.
Как мы помогаем
ФТИ — учебный центр, услуги по персональным данным ведёт юрист Максим Ромазанов. Работаем дистанционно по всей России.
- Аудит сайта на 152-ФЗ — 4 900 ₽: что собирают формы и сервисы, какие нарушения и по какой норме, план правок. Если нарушений нет, так и напишем, цена та же. Документы для сайта — 3 900 ₽, устранение — от 9 900 ₽.
- Документы по 152-ФЗ — 9 900 ₽: юрист разбирает, какие данные вы собираете, и пишет документы под ваш бизнес, в том числе перечни. Правки включены до вашего «принимаю».
- Уведомление в Роскомнадзор под ключ — 4 900 ₽: заполняем по каждой цели с категориями данных и субъектов.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Статья 3 закона № 152-ФЗ — основные понятия: персональные данные, обработка, обезличивание
- Статья 6 закона № 152-ФЗ — условия обработки, пункт 10 части 1 утратил силу
- Статья 8 закона № 152-ФЗ — общедоступные источники персональных данных
- Статья 10 закона № 152-ФЗ — специальные категории персональных данных
- Статья 10.1 закона № 152-ФЗ — данные, разрешённые субъектом для распространения
- Статья 11 закона № 152-ФЗ — биометрические персональные данные
- Статья 22 закона № 152-ФЗ — уведомление об обработке персональных данных
Частые вопросы
Какие данные считаются персональными?
Любые сведения, которые относятся к определённому или определяемому человеку (п. 1 ст. 3 закона № 152-ФЗ). Закон списка не даёт: ФИО, телефон, e-mail, адрес, паспорт, фото обычно подходят, а подходит ли IP-адрес или номер автомобиля, зависит от того, можно ли связать их с человеком.
IP-адрес — это персональные данные?
Закон IP-адрес не упоминает. По нашему прочтению критерия из п. 1 ст. 3, адрес сам по себе описывает устройство, а вместе с аккаунтом, заказом или логином он указывает на человека. Если вы можете такую связь установить, считайте IP-адрес персональными данными.
Cookie — это персональные данные?
Слова «cookie» в законе нет. Если по идентификатору можно выйти на человека или связать его с аккаунтом, это персональные данные; если идентификатор обезличен и связать его не с чем, вопрос спорный. Мы советуем исходить из осторожной позиции и уведомлять посетителей об использовании cookie.
Номер телефона без ФИО — это персональные данные?
Как правило, да. Телефон привязан к человеку, и по нему можно выйти на владельца. Закон оценки не раздаёт, это наше прочтение критерия п. 1 ст. 3.
Данные организации — персональные данные?
Нет: организация не физическое лицо. Наименование, ОГРН, расчётный счёт персональными данными не являются. Но ФИО директора, бухгалтера, контактного лица и данные индивидуального предпринимателя относятся к физическим лицам.
Чем специальные категории отличаются от обычных данных?
Это сведения о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни (ч. 1 ст. 10). Их обработка не допускается, кроме случаев, названных в ч. 2 и 2.1 ст. 10, например при письменном согласии. Судимость вынесена в ч. 3.
Обезличенные данные — это уже не персональные данные?
Обезличивание — действие, после которого без дополнительной информации невозможно определить принадлежность данных человеку (п. 9 ст. 3). Но оно само входит в обработку (п. 3 ст. 3), а общего исключения для обезличенных данных в ст. 1 нет. По нашему прочтению, пока можно восстановить, чьи это данные, их лучше считать персональными.
Нужно ли согласие, если человек сам разместил данные в интернете?
Основание «общедоступные данные» (п. 10 ч. 1 ст. 6) утратило силу с 1 марта 2021 года, поэтому старые разъяснения устарели. По ст. 10.1 доказывать законность обработки раскрытых данных должен тот, кто их обрабатывает. На распространение нужно отдельное согласие.
Сколько стоит проверить, какие персональные данные собирает мой сайт?
Аудит сайта на 152-ФЗ в ФТИ — 4 900 ₽, отчёт готовим за 3 рабочих дня: что собирают формы и сервисы, какие нарушения и по какой норме, план правок. Если нарушений нет, так и напишем, цена та же. Документы для сайта — 3 900 ₽, устранение нарушений — от 9 900 ₽.