Термины 152-ФЗ: глоссарий основных понятий закона о персональных данных
Глоссарий закона о персональных данных: двенадцать определений статьи 3, термины из статей 8-11, 22.1 и 23, а также слова, которых в законе нет: утечка, обработчик, cookie. Таблицы с определениями и ссылками на разборы.
Коротко: основные определения закона № 152-ФЗ собраны в ст. 3 — это одиннадцать пунктов и п. 1.1, всего двенадцать терминов. Остальные термины определены в других статьях: специальные категории данных — в ст. 10, биометрические — в ст. 11, уполномоченный орган — в ст. 23. Слов «утечка», «обработчик», «cookie» и «локализация» в тексте закона нет: он описывает эти явления другими словами, и ниже показано, какими.
Главное о терминах
- Ст. 3 закона содержит двенадцать определений: п. 1-11 и п. 1.1.
- Предоставление и распространение — разные термины: определённому лицу или кругу лиц против неопределённого круга (п. 5 и 6).
- Оператор определяется по тому, что он делает: организует или осуществляет обработку, определяет цели и состав данных (п. 2).
- Удаление и уничтожение закон различает; определение есть только у уничтожения (п. 8).
- Специальные и биометрические данные определены вне ст. 3: в ст. 10 и 11.
- «Утечка», «обработчик», «cookie» в тексте закона не встречаются.
Определения статьи 3
Ниже определения из ст. 3 близко к тексту закона, с пометкой, где мы разбираем тему подробнее. Общую картину закона даёт хаб что такое персональные данные, структуру закона по главам — статья о законе № 152-ФЗ.
| Термин | Определение по закону | Где разобрано |
|---|---|---|
| Персональные данные (п. 1) | Любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных) | какие данные считаются персональными |
| Данные, разрешённые для распространения (п. 1.1) | Данные, доступ неограниченного круга лиц к которым предоставлен субъектом путём дачи согласия на их обработку в порядке, предусмотренном законом | согласие на распространение |
| Оператор (п. 2) | Государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими организующие и (или) осуществляющие обработку, а также определяющие цели обработки, состав данных и действия с ними | оператор персональных данных |
| Обработка (п. 3) | Любое действие (операция) или совокупность действий с данными с использованием средств автоматизации или без них: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение | обработка персональных данных |
| Автоматизированная обработка (п. 4) | Обработка с помощью средств вычислительной техники | уведомление об обработке |
| Распространение (п. 5) | Действия, направленные на раскрытие данных неопределённому кругу лиц | распространение данных |
| Предоставление (п. 6) | Действия, направленные на раскрытие данных определённому лицу или определённому кругу лиц | передача данных |
| Блокирование (п. 7) | Временное прекращение обработки, кроме случаев, когда обработка нужна для уточнения данных | прекращение обработки |
| Уничтожение (п. 8) | Действия, в результате которых становится невозможным восстановить содержание данных в информационной системе и (или) уничтожаются материальные носители | акт уничтожения |
| Обезличивание (п. 9) | Действия, в результате которых без использования дополнительной информации невозможно определить принадлежность данных конкретному субъекту | обезличенные данные |
| Информационная система персональных данных (п. 10) | Совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств | ИСПДн и классификация |
| Трансграничная передача (п. 11) | Передача данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу | трансграничная передача |
В определении обработки «передача» стоит в скобках с тремя видами: распространение, предоставление, доступ. Отдельного определения самой передачи в ст. 3 нет. Как это читать, объяснено в статье о передаче персональных данных.
Термины вне статьи 3
| Термин | Что говорит закон | Где разобрано |
|---|---|---|
| Специальные категории (ч. 1 ст. 10) | Данные о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни. Обработка не допускается, кроме случаев, названных в законе. Судимость — отдельное правило (ч. 3 ст. 10) | медицинское согласие |
| Биометрические данные (ч. 1 ст. 11) | Сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности. Обрабатываются с согласием в письменной форме, кроме случаев ч. 2 | биометрические данные |
| Общедоступные источники (ст. 8) | Справочники, адресные книги и подобные источники для информационного обеспечения; данные включают с письменного согласия, исключают по требованию человека в любое время | общедоступные данные |
| Согласие (ст. 9) | Отдельного определения нет; ч. 1 требует, чтобы оно было конкретным, предметным, информированным, сознательным и однозначным | согласие на обработку |
| Уполномоченный орган (ч. 1 ст. 23) | Федеральный орган исполнительной власти, осуществляющий самостоятельно функции по контролю и надзору за соответствием обработки данных требованиям закона. В практике это Роскомнадзор: он издал приказ № 128 на основании ч. 2 ст. 12 | проверка Роскомнадзора |
| Ответственный за организацию обработки (ст. 22.1) | Назначается оператором-юридическим лицом, получает указания от исполнительного органа организации и подотчётен ему | ответственный за обработку |
| Реестр операторов (ч. 4 ст. 22) | Уполномоченный орган вносит сведения из уведомления в реестр в течение тридцати дней; сведения общедоступны, кроме средств обеспечения безопасности | реестр операторов |
| Поручение оператора (ч. 3 ст. 6) | Поручение обработки другому лицу на основании договора; это лицо — «осуществляющее обработку по поручению оператора» | поручение обработки |
| Инцидент (ч. 3.1 ст. 21) | Неправомерная или случайная передача (предоставление, распространение, доступ) данных, повлёкшая нарушение прав субъектов | инцидент и срок в 24 часа |
Слова, которых нет в законе
В привычной речи есть слова, которые закон не использует. В текстах ст. 1-25, которые мы проверили, слов «утечка», «обработчик», «cookie» и «локализация» нет. Что вместо них:
| Привычное слово | Как это называет закон | Где разобрано |
|---|---|---|
| Утечка | Неправомерная или случайная передача (предоставление, распространение, доступ) данных (ч. 3.1 ст. 21); в КоАП — действия (бездействие) оператора, повлёкшие неправомерную передачу (ч. 12-14 ст. 13.11) | утечка за 24 часа |
| Обработчик | Лицо, осуществляющее обработку персональных данных по поручению оператора (ч. 3 ст. 6) | поручение обработки |
| Cookie | Слова нет. Критерий — п. 1 ст. 3: можно ли по информации определить человека | согласие на cookie |
| Локализация данных | Запрет записи, хранения и других действий с данными граждан России в базах за пределами России, с исключениями (ч. 5 ст. 18) | данные на сайте |
| Политика конфиденциальности | Документ, определяющий политику оператора в отношении обработки данных (ч. 2 ст. 18.1) | в чём различие политик |
| Регистрация в Роскомнадзоре | Уведомление об обработке персональных данных и внесение сведений в реестр операторов (ст. 22) | уведомление об обработке |
Где термины чаще всего путают
- Предоставление и распространение. Первое адресовано определённому лицу или кругу, второе — неопределённому. От этого зависит согласие: для распространения оно отдельное (ст. 10.1).
- Удаление и уничтожение. В перечне действий обработки они названы отдельно (п. 3). Определение дано только для уничтожения: содержание данных нельзя восстановить, либо уничтожены носители (п. 8). Для информационных систем в ч. 2 ст. 19 есть и меры по уничтожению. См. статью об изменениях закона.
- Оператор и тот, кто «в реестре». П. 2 ст. 3 определяет оператора по функциям. Запись в реестре появляется после уведомления (ст. 22). По нашему прочтению, статус оператора от записи не зависит, зависит от того, что организация делает с данными.
- Обезличенные данные. Определение (п. 9) говорит о невозможности определить человека без дополнительной информации. Обезличивание не всегда выводит данные из-под закона: ст. 6 и 13.1 содержат отдельные правила для таких данных.
Как мы помогаем
ФТИ — учебный центр с образовательной лицензией. Услуги по персональным данным ведёт юрист, работаем дистанционно по всей России. Цены открыты.
- Документы. Документы по 152-ФЗ — 9 900 ₽: политика, согласия, положение об обработке, перечни, инструкции, правки до вашего «принимаю».
- Сайт. Аудит сайта на 152-ФЗ — 4 900 ₽, отчёт за 3 рабочих дня; документы для сайта — 3 900 ₽.
- Уведомление. Уведомление в Роскомнадзор под ключ — 4 900 ₽. Подача в Роскомнадзор бесплатна, вы платите за подготовку.
- Пакет. «Старт» (уведомление, документы и документы для сайта) — 14 900 ₽ вместо 18 700 ₽: услуги ФТИ.
Если вы ответственный за обработку и хотите разобраться в законе системно, подойдёт курс выше. Если нужны готовые документы и подача уведомления, это услуги из списка. Курс документов не выдаёт и уведомление не подаёт.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Статья 3 закона № 152-ФЗ — основные понятия
- 152-ФЗ, ст. 6 — условия обработки, поручение оператора
- Закон о персональных данных, ст. 8 — общедоступные источники
- Согласие субъекта: ст. 9 закона № 152-ФЗ
- Специальные категории данных: ст. 10 закона № 152-ФЗ
- Биометрические данные: ст. 11 закона № 152-ФЗ
- Обязанности оператора при сборе данных: ст. 18 закона № 152-ФЗ
- 152-ФЗ, ст. 18.1 — меры оператора, часть 2 о политике
- Инциденты и устранение нарушений: ст. 21 закона № 152-ФЗ, часть 3.1
- Уведомление об обработке и реестр операторов: ст. 22 закона № 152-ФЗ
- 152-ФЗ, ст. 22.1 — лица, ответственные за организацию обработки
- Уполномоченный орган по защите прав субъектов: ст. 23 закона № 152-ФЗ
- КоАП РФ, статья 13.11 — нарушение законодательства в области персональных данных
Частые вопросы
Сколько определений в статье 3 закона о персональных данных?
Двенадцать: пункты 1-11 и пункт 1.1 о данных, разрешённых для распространения. Пункта 12 в ст. 3 нет.
Что такое персональные данные по закону?
Любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (п. 1 ст. 3). Закон не даёт списка таких данных: критерий в том, можно ли по информации определить человека.
Кто такой оператор персональных данных?
Государственный орган, муниципальный орган, юридическое или физическое лицо, которые организуют и (или) осуществляют обработку, а также определяют цели обработки, состав данных и действия с ними (п. 2 ст. 3). Статус определяется функциями, а не записью в реестре.
Чем распространение отличается от предоставления?
Распространение - раскрытие данных неопределённому кругу лиц (п. 5 ст. 3), предоставление - определённому лицу или определённому кругу лиц (п. 6 ст. 3). Для распространения нужно отдельное согласие (ст. 10.1).
Что такое уничтожение персональных данных по закону?
Действия, в результате которых становится невозможным восстановить содержание данных в информационной системе и (или) уничтожаются материальные носители (п. 8 ст. 3). Удаление закон называет отдельным действием обработки, но не определяет.
Есть ли в законе слово «утечка»?
В проверенных нами статьях нет. Закон говорит о неправомерной или случайной передаче (предоставлении, распространении, доступе) данных, повлёкшей нарушение прав субъектов (ч. 3.1 ст. 21). Оператор уведомляет Роскомнадзор в 24 часа и 72 часа с момента выявления.
Что такое обработчик персональных данных?
Слова «обработчик» в законе нет. Закон говорит о лице, осуществляющем обработку по поручению оператора (ч. 3 ст. 6). Поручение оформляют договором, оператор остаётся ответственным перед человеком.
Что такое уполномоченный орган по защите прав субъектов персональных данных?
Федеральный орган исполнительной власти, который самостоятельно контролирует и надзирает за соответствием обработки требованиям закона (ч. 1 ст. 23). В практике это Роскомнадзор: он ведёт реестр операторов и утверждает перечень стран по ч. 2 ст. 12.
Как проверить, что документы используют термины закона правильно?
Сверить их с определениями ст. 3 и ст. 9-11. Документы под вашу компанию мы пишем в рамках пакета по 152-ФЗ за 9 900 ₽: политика, согласия, положение, перечни и инструкции под вашу компанию, правки до вашего «принимаю».