Что такое персональные данные: разбор по 152-ФЗ с примерами
Формулировка в законе сухая, поэтому начну с примера. Иван Петров, паспорт 4510 123456, телефон +7 916 123-45-67, email ivan@example.ru — всё это персональные данные. Но не только это. IP-адрес, с которого Иван зашёл на сайт, тоже считается. И геолокация с его телефона. И фото, по которому можно узнать Ивана.
Разберу, что именно закон относит к персональным данным, чтобы вы не гадали и не выдумывали.
Что считается персональными данными
Ст. 3 152-ФЗ определяет персональные данные как любую информацию, относящуюся к прямо или косвенно определённому или определяемому физическому лицу.
Проще: если по информации можно узнать человека, это персональные данные. Имя в строке — не обязательное условие.
Прямо определённый — данные указывают на конкретного человека: ФИО, паспорт, СНИЛС, номер телефона.
Косвенно определяемый — тоньше. Один IP-адрес сам по себе не называет человека. Но вместе с данными провайдера и временем входа — называет. Поэтому IP-адрес тоже персональные данные.
Что обычно относят к персональным данным:
- ФИО, дата и место рождения;
- паспорт, ИНН, СНИЛС, номер полиса;
- телефон, email, адрес;
- фото и видео, по которым можно узнать человека;
- IP-адрес, геолокация, идентификаторы cookies (чаще да, чем нет);
- сведения о работе, зарплате, здоровье.
Категории: общие, специальные, биометрические
Закон делит персональные данные на три группы, и от группы зависит жёсткость правил.
Общие. Всё перечисленное выше. Обрабатывать можно при наличии основания — согласия, договора, закона.
Специальные категории. Раса, национальность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь, судимость. Их обработка по общему правилу запрещена, разрешена только в случаях, прямо указанных в законе.
Биометрические. Физиологические и биологические особенности, по которым можно установить личность: фото, голос, отпечаток пальца, ДНК. Обработка — только с письменного согласия.
Что НЕ относится к персональным данным
Важное, о чём часто путают. Не всякая информация о человеке — персональные данные.
- Обезличенные данные. Если связь с человеком восстановить нельзя, данные перестают быть персональными. Подробнее писал в статье про обезличивание.
- Данные о компании. ООО — не физическое лицо, данные юрлица под 152-ФЗ не подпадают. Контакт сотрудника компании — уже да.
- Статистика без привязки. «В среднем клиенты тратят 5 000 рублей» — не персональные данные, если из цифры нельзя вытащить конкретного человека.
Субъект и оператор — кто есть кто
Субъект персональных данных — сам человек, о котором данные. У него есть права: требовать уточнения, блокировки, уничтожения, отзывать согласие.
Оператор — тот, кто обрабатывает данные и определяет, зачем. Магазин с базой клиентов, сайт с формой заявки, работодатель с личными делами. Подробно про обязанности оператора — отдельная статья.
Зачем это бизнесу
Понимание границы «персональные / не персональные» — не теория. От неё зависят два практических вопроса.
Первый — штрафы. Утечка персональных данных с 30 мая 2025 года стоит от 3 до 15 миллионов рублей в зависимости от числа пострадавших. Ошиблись в классификации, решили «это не ПДн», а оказалось — ПДн. И заплатили.
Второй — объём работы по защите. Чем больше у вас данных, которые считаются персональными, тем больше требований: согласия, уведомление в Роскомнадзор, меры защиты. Лишний сбор данных — лишние обязательства.
Отсюда простое правило: собирайте минимум. Если данные не нужны для дела — не собирайте. Меньше персональных данных — меньше рисков.
Проверьте свой текст перед отправкой в нейросеть — это бесплатно и без регистрации на maskgate.ru.
Частые вопросы
Является ли номер телефона персональными данными? Да. По номеру можно идентифицировать человека, особенно вместе с именем в контактах.
ФИО без паспорта — персональные данные? Да. Одно ФИО уже относится к конкретному человеку.
Email с корпоративным доменом — ПДн? Да, если по адресу можно определить человека (ivan.petrov@company.ru). Общий info@company.ru — спорно, но безопаснее считать ПДн.
Данные умершего человека — персональные данные? 152-ФЗ защищает живых. Но наследники и близкие имеют отдельные права, этот случай регулируется иначе.
Что делать, если я не уверен, что это ПДн? Действовать как с ПДн. Цена ошибки — штраф, а перестраховка бесплатна.
Не является юридической консультацией. Проверяйте актуальную редакцию 152-ФЗ.
Связанные статьи
- Кто такой оператор ПДн и его обязанности
- Защита персональных данных
- Согласие на обработку ПДн
- Биометрические ПДн
- Утечка ПДн: что делать
Не является юридической консультацией. Проверяйте актуальную редакцию 152-ФЗ.