Формулировки в законе сухие, а путаница в одном термине оборачивается штрафом. Здесь — главные термины 152-ФЗ с переводом на человеческий язык и ссылками на разборы.
Любая информация, по которой можно прямо или косвенно узнать человека: ФИО, паспорт, ИНН, СНИЛС, телефон, email, IP-адрес, геолокация. Не только то, что в паспорте.
Тот, кто организует обработку и решает, зачем. Магазин с базой клиентов, сайт с формой заявки, работодатель с личными делами. Если вы работаете с данными людей — вы оператор, даже если себя так не называли.
Человек, о котором данные. У него права: требовать уточнения, блокировки, уничтожения, отзывать согласие.
Всё, что вы делаете с данными: сбор, запись, передача, использование, хранение, уничтожение. Копирование текста в ChatGPT — тоже обработка, и на неё нужны основания.
Действия, после которых без дополнительной информации нельзя понять, чьи это данные. Обратимо: если есть ключ соответствия, данные можно восстановить. Это не анонимизация.
Физиологические и биологические особенности, по которым устанавливают личность: фото для распознавания, голос, отпечаток пальца, ДНК. Обработка — только с письменного согласия (ст. 11).
Раса, национальность, политические и религиозные взгляды, здоровье, интимная жизнь (ст. 10). Обрабатывать по общему правилу нельзя — нужны отдельные основания.
Раскрытие данных неограниченному кругу лиц — например, публикация на сайте. Требует отдельного согласия, в котором человек сам отмечает, что разрешает.
Отправка данных на территорию другого государства (ст. 12). Загрузка в зарубежную нейросеть — это она. Отдельная процедура со своими требованиями.
Обязанность хранить запись, систематизацию, накопление и хранение данных россиян в базах на территории России (ст. 18).
Неправомерная передача, предоставление, распространение или доступ к данным. Случайное письмо не тому адресату — тоже утечка. Штраф — от 3 до 15 млн ₽ в зависимости от числа пострадавших.
Одно из правовых оснований обработки (ст. 9). Должно быть конкретным, предметным, информированным, сознательным и однозначным. Нужно не всегда, а когда нет договора или закона.
Реестр Роскомнадзора, куда попадают данные после уведомления об обработке. Исключений сейчас три, малый бизнес под них, как правило, не попадает.
Действия, после которых данные нельзя восстановить (ст. 21). Оператор обязан уничтожить данные при достижении цели обработки или отзыве согласия, если нет других оснований.
Временное прекращение обработки, кроме случаев, когда обработка нужна для уточнения данных. Применяется, пока оператор уточняет данные по требованию субъекта.
Лицо, которое обрабатывает персональные данные от имени оператора по договору или поручению. Ответственность перед субъектом всё равно несёт оператор.
Обработка с помощью вычислительной техники. Если оператор обрабатывает данные только вручную, уведомлять Роскомнадзор не нужно.
Данные, доступ к которым субъект сам предоставил неограниченному кругу лиц — например, публичный профиль. Обрабатывать их можно, но субъект вправе отозвать доступ.
Совокупность персональных данных в базах и технологий их обработки. Для неё определяют уровень защищённости по постановлению № 1119.
Сообщение в Роскомнадзор о намерении обрабатывать персональные данные. Подаётся до начала обработки; исключений сейчас три.
Оценка вреда, который может быть причинён субъектам при нарушении 152-ФЗ. Оператор определяет её и соотносит с принимаемыми мерами защиты.
Документ оператора, который описывает цели, категории данных, сроки и меры защиты. Публикуется в месте сбора данных — например, на сайте.
Документ, которым оператор передаёт обработку данных другому лицу. В нём фиксируют перечень данных, цели и обязанность соблюдать 152-ФЗ.