Что относится к персональным данным: определение, категории и примеры

Что такое персональные данные

По 152-ФЗ персональные данные — это любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных). Определение намеренно широкое: закон не перечисляет конкретные поля, а задаёт признак — относимость к человеку.

Практический смысл прост: если по набору сведений можно понять, о каком именно человеке идёт речь, или связаться с ним — это персональные данные. Причём определить лицо можно как прямо (паспорт, ФИО), так и косвенно — собрав несколько на первый взгляд безобидных признаков в один портрет. Именно поэтому спорить, «данные это или нет», нужно не по названию поля, а по тому, ведёт ли оно к конкретному человеку.

Что относится к персональным данным

Ниже — ориентир по самым частым видам сведений. Первый столбец почти всегда персональные данные, второй — зависит от контекста и связки с другими данными:

Правый столбец коварен: сам по себе IP-адрес или cookie кажется техническим, но в связке с другими данными он позволяет выделить человека — и тогда тоже относится к персональным данным. Практика и позиция Роскомнадзора здесь развиваются в сторону расширения, поэтому спорные поля безопаснее считать персональными данными и защищать их так же.

Категории персональных данных

152-ФЗ делит персональные данные на несколько категорий — и от категории зависит, насколько строгие требования предъявляются к обработке:

Чем чувствительнее категория, тем строже требования. Особенно важно не спутать обычное фото с биометрией: снимок в личном деле — общие данные, а тот же снимок в системе распознавания лиц — уже биометрические персональные данные с отдельными правилами. Про режим общедоступных данных подробно — в материале о согласии на распространение персональных данных.

Что не является персональными данными

Симметричный вопрос не менее важен: за персональные данные часто ошибочно принимают то, что ими не является — и наоборот. Как правило, не относятся к персональным данным:

• Обезличенные данные — из которых нельзя восстановить, о ком речь, без дополнительной информации.
• Агрегированная статистика — «средний чек по региону», «доля клиентов старше 30»; конкретного человека за цифрой нет.
• Сведения о юридическом лице как таковом — название, ОГРН, ИНН и реквизиты организации.
• Полностью анонимные данные — которые в принципе не привязать к личности.

Почему это важно: если вы обрабатываете ПДн — вы оператор

Определение персональных данных — не теория ради теории. Как только вы признали, что собираете и используете сведения, относящиеся к людям, вы становитесь оператором персональных данных — и этот статус влечёт обязанности:

• Определить законное основание обработки — чаще всего согласие на обработку.
• Составить и опубликовать политику обработки персональных данных.
• Обеспечить меры защиты и соблюдать сроки хранения, а затем уничтожение данных.
• Соблюдать права субъекта — отвечать на запросы об уточнении и удалении.
• Как правило — подать уведомление в Роскомнадзор и попасть в реестр операторов.

Полный перечень того, что закон требует от оператора, — в материале об обязанностях оператора персональных данных и в общем гайде по Роскомнадзору и персональным данным. За невыполнение этих обязанностей предусмотрены штрафы за персональные данные — и начинаются они как раз с «мелочей» вроде отсутствия согласия или неподанного уведомления.

Как понять, обрабатываете ли вы персональные данные: 5 шагов

Чтобы не гадать, пройдите короткую проверку. Она же помогает понять, какие обязанности у вас возникают — и что закрыть в первую очередь:

1. Выпишите, какие сведения о людях вы вообще собираете. Пройдитесь по всем точкам, где к вам попадают данные о людях: формы на сайте, CRM, бухгалтерия, кадры, чаты, заявки, файлы с контактами. Выпишите конкретные поля — ФИО, телефон, e-mail, адрес, ИНН, паспорт, фото. Если хотя бы одно поле позволяет понять, о каком человеке речь, — это уже персональные данные, и вы их обрабатываете.
2. Проверьте, можно ли по этим данным определить конкретного человека. Ключевой признак персональных данных — относимость к определённому или определяемому физлицу. Один телефон или один e-mail сам по себе уже позволяет связаться с человеком и выделить его, а в связке с именем — тем более. Если по набору сведений реально «дотянуться» до конкретного лица прямо или косвенно, эти сведения относятся к персональным данным.
3. Отделите специальные и биометрические категории. Среди собранного отметьте особо чувствительное: сведения о здоровье, национальности, религии, судимости — это специальные категории; фотографии для распознавания, отпечатки, запись голоса для идентификации — биометрические персональные данные. Их закон защищает строже: для обработки нужны отдельные основания и повышенные меры защиты.
4. Определите, есть ли законное основание на обработку. Для каждой цели обработки должно быть основание из 152-ФЗ: чаще всего это согласие субъекта, но бывают и договор, требование закона, защита жизни и другие. Нет основания — обработка неправомерна, даже если данные «всего лишь» телефон в базе рассылки. С этого пункта начинаются самые частые штрафы.
5. Признайте себя оператором и закройте базовые обязанности. Если вы собираете и используете персональные данные хотя бы одного человека и определяете, зачем и как, — вы оператор персональных данных. Из этого следует набор обязанностей: политика обработки, согласия, меры защиты и, как правило, уведомление Роскомнадзора об обработке. Проверьте по ИНН, что базовые пункты закрыты, — это дешевле любого штрафа.

Частые ошибки

• Считают, что «всего лишь телефон» или e-mail — не персональные данные, и собирают базу без согласия.
• Уверены, что раз данные «в открытом доступе», их можно свободно использовать, — общедоступность имеет свой режим.
• Путают обычное фото с биометрией — и наоборот, обрабатывают биометрию без отдельного согласия.
• Называют данные «обезличенными», хотя личность легко восстановить по связке полей.
• Думают, что ИП и мелкий бизнес персональные данные «не обрабатывают» — и пропускают уведомление.
• Определяют «данные или нет» по названию поля, а не по тому, ведёт ли оно к конкретному человеку.

Общий знаменатель ошибок — недооценка того, насколько широко закон трактует персональные данные. Практичнее исходить из обратного: если сведения хоть как-то указывают на человека, считайте их персональными данными и выполняйте обязанности оператора — это дешевле, чем спорить постфактум.

Читайте также

• Биометрические персональные данные — особый режим для самой чувствительной категории.
• Обработка персональных данных без согласия — на каком основании их можно обрабатывать.
• Роскомнадзор и персональные данные: гайд для бизнеса — обзор всех обязанностей оператора.
• Обязанности оператора персональных данных — что закон требует от того, кто обрабатывает ПДн.
• Согласие на обработку персональных данных — базовое основание обработки.
• Права субъекта персональных данных — что человек вправе требовать от оператора.
• Срок хранения и уничтожение ПДн — сколько и как долго можно хранить данные.
• Как подать уведомление в Роскомнадзор — следующий шаг после того, как вы признали себя оператором.

Частые вопросы