152ФЗ тест

Персональные данные

Определение по закону. Пункт 1 статьи 3 152-ФЗ: персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

Определение намеренно широкое. В законе нет закрытого перечня — нет строки «персональными данными считаются ФИО, паспорт и телефон». Есть критерий: если по набору сведений можно понять, о каком конкретно человеке речь, — это персональные данные.

Ключевое слово — «косвенно»

Именно из-за него под 152-ФЗ попадает гораздо больше, чем ожидает бизнес. Один только номер заказа — не персональные данные. Номер заказа в вашей CRM, где он связан с телефоном покупателя, — уже да, потому что путь к конкретному человеку существует.

Поэтому оценивать нужно не отдельное поле, а всю базу целиком.

Что практически всегда персональные данные

  • ФИО, дата рождения, адрес, телефон, e-mail
  • паспортные данные, СНИЛС, ИНН физлица
  • фотография человека, аудио- и видеозапись с ним
  • данные о заказах, платежах, обращениях в поддержку, привязанные к клиенту
  • cookie-идентификаторы, IP-адрес и ID устройства в связке с профилем пользователя — подробнее в статье Cookie — это персональные данные?

Что персональными данными не является

  • полностью обезличенные данные, по которым человека нельзя восстановить без дополнительной информации
  • агрегированная статистика: «из Москвы 4 200 визитов»
  • данные юридического лица — ИНН, ОГРН, юридический адрес компании. Но ФИО и телефон директора или контактного лица внутри реквизитов — снова персональные данные

Пограничный случай — ИП. Формально это физическое лицо, поэтому его данные подпадают под 152-ФЗ, даже когда используются в предпринимательском обороте.

Почему определение важно на практике

От ответа «это персональные данные или нет» зависит вся цепочка обязанностей: нужно ли согласие, нужна ли политика конфиденциальности, надо ли подавать уведомление в Роскомнадзор и попадёт ли компания под штрафы за утечку.

Типичная ошибка небольшой компании — считать, что «у нас всего лишь форма обратной связи, персональных данных мы не собираем». Форма с полями «Имя» и «Телефон» — это сбор персональных данных, а сбор — уже обработка со всеми вытекающими требованиями.

Проверить, какие персональные данные собирает ваш сайт и чего не хватает по 152-ФЗ, можно бесплатно — запустить проверку.

Связанные термины