Что такое персональные данные и как их распознать

Персональные данные — сведения, которые относятся к определённому или определяемому человеку. Это может быть паспортный номер, телефон, диагноз или история заказов с привязкой к покупателю. Чтобы распознать такие данные, выясняют, можно ли установить человека прямо или через другие сведения. Закрытого перечня всех возможных записей в законе нет. Разберём распространённые примеры, особые категории, действия с ними и штрафы за нарушения. Если у вас есть сайт, проверьте его ниже: вставьте адрес, и сканер покажет, что не так по 152-ФЗ.

С чего начинается определение?#

В России основное определение дано в Федеральном законе «О персональных данных» № 152-ФЗ. Согласно статье 3, речь идёт о любой информации, относящейся прямо или косвенно к определённому либо определяемому физическому лицу. Человек, к которому относится запись, называется субъектом персональных данных. Текст действующей редакции доступен в КонсультантПлюс.

Формы информации различаются. Это текст, числа, изображения, звук. У определения нет требования, чтобы сведения были секретными или сообщёнными на специальном бланке: деловая информация о сотруднике тоже может входить в эту область. Открытость контакта обсуждается отдельно от его принадлежности человеку.

Сведения исключительно о юридическом лице находятся за пределами этого определения: субъект здесь физическое лицо. Название общества и общий адрес его офиса описывают организацию. Фамилия директора и его личный контакт относятся уже к человеку. У индивидуального предпринимателя деловой статус также связан с физическим лицом.

Что относится к данным о человеке: разбор записей#

Что является персональными данными? Прямые ответы по привычным сведениям собраны в таблице. Закон таких строк не перечисляет, они показывают применение определения.

Условие у всех строк одно: запись должна вести к конкретному человеку, прямо или через другие сведения. Про счётчики на сайтах Роскомнадзор высказался в письме от 26.06.2024 № 08-242780. Программы, которые выделяют посетителя и собирают сведения о его поведении, означают обработку персональных данных и требуют согласия. Номер телефона без других сведений суды обычно к персональным данным не относят. Роскомнадзор считает иначе про адрес почты, но суды с ним не согласились. Верховный Суд в определении от 21.07.2023 № 305-ЭС23-12160 отказал ведомству в пересмотре дела.

Общий ящик отдела сам по себе описывает подразделение. Но подписи сотрудников, переписка и карточки обращений внутри него уже содержат сведения о людях.

Оценка касается и содержания, и доступа. Например, справочник контактов отдела может быть нужен кадровику, но его полный экспорт не требуется каждому коллеге. Распознать сведения недостаточно: дальше определяют круг получателей и основания работы с ними. Об этом пойдёт речь после категорий.

Категории сведений и режим раскрытия#

В обзорах часто встречаются четыре строки: общие, специальные, биометрические, общедоступные. Такая памятка удобна, но её легко прочитать неверно. У первых трёх обозначений обсуждается содержание или назначение сведений. У разрешения на распространение другой вопрос: кому и при каких условиях можно открыть доступ.

Согласно статье 10 закона, специальные категории включают расовую и национальную принадлежность, политические взгляды, религиозные или философские убеждения, здоровье и интимную жизнь. Это перечень конкретных признаков. Доход, адрес и паспортные реквизиты не попадают в него только из-за высокой чувствительности для владельца.

Название «общие» часто используют для остальных сведений, которые не выделены в специальные или биометрические. Оно помогает в разговоре, но не устанавливает облегчённого обращения с любой такой записью. Контактные и документные данные тоже защищают, а их объём связывают с целью обработки.

Сведения о судимости регулируются отдельно в части 3 статьи 10. Их не следует механически добавлять в перечень специальных категорий из части 1. Закон допускает их обработку государственными и муниципальными органами в пределах полномочий, а другими лицами в случаях и порядке, установленных федеральными законами.

Разберём норму о здоровье. Статья 10 предусматривает особые условия, включая обработку для медицинской диагностики и лечения лицом, обязанным сохранять врачебную тайну. Это пример законного основания внутри специального режима. Из него нельзя вывести разрешение любому работодателю собирать любые диагнозы сотрудников.

Другой пример: политические взгляды гражданина остаются специальной категорией и после размещения соответствующей записи в открытом профиле. Публичность относится к доступу, содержание относится к категории. Чтобы использовать такую запись в собственной базе, последующий обработчик устанавливает применимое правовое основание.

Название файла не меняет эту классификацию. Архив, подписанный «контакты», может содержать сведения о здоровье, а обычная таблица сотрудников может включать изображения для идентификации. Разбор начинают с фактического наполнения и назначения полей. Так легче заметить особый режим до передачи файла.

Когда фотография становится биометрией?#

Согласно статье 11 закона, биометрические персональные данные характеризуют физиологические и биологические особенности человека, позволяют установить личность и используются оператором для её установления. Для такой обработки предусмотрено письменное согласие, а в законе перечислены исключения. Решающее значение имеет функция сведений в конкретном процессе.

Фотография в системе распознавания лица помогает сопоставить изображение с человеком и открыть проход. В таком процессе она используется для установления личности. Фото автора рядом с текстом публикации выполняет другую задачу. Оно может оставаться персональными данными, но биометрический режим определяют по фактическому использованию.

Тот же вопрос возникает с голосом. Аудиозапись разговора и голосовой шаблон для подтверждения личности имеют разные назначения. Нельзя классифицировать все звуковые файлы одной отметкой «биометрия». Нужно знать, извлекают ли из голоса признаки для идентификации и как затем их применяют.

Это позволяет избежать двух противоположных ошибок. Первая: считать любую фотографию биометрией по одному расширению файла. Вторая: считать фотографию свободной от требований, если распознавание лиц не используется. Статья 152.1 Гражданского кодекса отдельно регулирует охрану изображения гражданина: условия его использования не стоит сводить к одной галочке в анкете.

При оценке рабочего процесса полезно попросить его владельца описать действие без технических названий. «Система сверяет посетителя с сохранённым образцом» объясняет больше, чем «у нас камера». И наоборот, архив записей для разбора обращений описывает другую задачу, даже если в нём слышны узнаваемые голоса.

Обработка начинается раньше рассылки#

Обработка персональных данных охватывает действия с ними, включая сбор, хранение, использование, изменение, передачу и уничтожение. Сотрудник открыл карточку клиента, исправил телефон или сохранил выгрузку: это уже работа с данными. Передача за пределы организации представляет лишь часть возможных операций.

Статья 1 распространяет закон на автоматизированную обработку и определённую обработку без автоматизации. В частности, речь идёт о систематизированных бумажных собраниях, где сведения ищут по заданному алгоритму. Картотека тоже может подпадать под закон.

Оператор, которым может быть организация, государственный орган или физическое лицо, определяет цели, состав данных и действия с ними. Технический подрядчик способен выполнять обработку по поручению оператора. Передача задачи подрядчику не снимает с оператора ответственности перед субъектом за действия этого исполнителя в рамках поручения.

Возьмём задачу доставки, без привязки к конкретной компании. Продавец определяет, какие сведения нужны для заказа и связи с покупателем. Исполнитель доставки получает предусмотренные для его задачи сведения. Способ оформления отношений и обязанности сторон зависят от реальной модели: одно название «партнёр» роли не объясняет.

Внутри компании роли также различаются. Доступ администратора к системе, работа менеджера с обращениями и использование кадровых документов требуют своего обоснованного объёма. Общий пароль на отдел мешает понять, кто именно обращался к сведениям. Раздельные учётные записи и права доступа помогают контролировать операции.

Если организация выбирает средства разграничения доступа и защиты рабочих баз, можно изучить сервисы для корпоративной защиты данных. Выбор начинается с перечня систем и ролей сотрудников: именно он задаёт требования к решению. Наличие продукта не освобождает от определения целей и правовых оснований.

Можно ли свободно использовать опубликованный контакт?#

Номер в открытом профиле остаётся сведением о человеке, и следующий пользователь этих сведений должен обосновать собственную обработку. Одна лишь доступность страницы не выдаёт неограниченного разрешения собирать, объединять и публиковать её содержание в других местах.

Здесь полезно различать предоставление и распространение. В первом случае сведения раскрывают определённому лицу или кругу лиц. Во втором доступ получает неопределённый круг. Отправка документа конкретному получателю и размещение его в открытом канале предполагают разные условия доступа.

Статья 10.1 регулирует данные, разрешённые субъектом для распространения. Соответствующее согласие оформляют отдельно от иных согласий на обработку. Человек получает возможность определить перечень разрешаемых сведений и установить предусмотренные законом условия. Молчание и бездействие согласием на распространение не признаются.

Та же статья прямо рассматривает ситуацию, когда человек раскрыл данные без такого согласия. Доказывать законность дальнейшего распространения или другой обработки должен каждый, кто её осуществляет. Это относится и к сведениям, оказавшимся открытыми после нарушения. Утечка не создаёт разрешения для новой базы контактов.

Публикация иногда предусмотрена законом. Это самостоятельное основание, которое оценивают по соответствующей норме и необходимому объёму раскрытия. Поэтому обещание удалить вообще все открытые сведения по одному обращению было бы неверным. Сначала выясняют источник, цель и правовое основание конкретного размещения.

Практический вывод для владельца информации: перед отправкой проверьте адресата и режим доступа. У облачной папки «все, у кого есть ссылка» возможен круг читателей шире, чем у письма одному сотруднику. Ссылка может уйти дальше вместе с пересланным сообщением, а доступ сохраняется в настройках самой папки.

Почему код вместо имени сохраняет связь?#

Закон определяет обезличивание через невозможность установить принадлежность данных конкретному субъекту без дополнительной информации. Поэтому процедура требует описания того, что изменили и где находится дополнительная связь. Удаление фамилии из видимой колонки ещё не рассказывает, как устроен весь набор.

Если вместо имени стоит код клиента, а рядом хранится таблица «код — владелец», связь доступна держателю этой таблицы. Такой подход может ограничить раскрытие при работе с отдельным файлом, однако обещать полное исчезновение обязанностей по защите сведений на этом основании нельзя.

Стоит различать отдельные записи и сводные показатели. Итог продаж за месяц может не содержать информации об отдельном покупателе. Однако таблица с редким сочетанием признаков иногда позволяет выделить участника даже без имени. Проверяют не только очевидные поля, но и сочетания времени, места, должности, события.

Обезличивание, блокирование и уничтожение имеют разные задачи. Блокирование временно прекращает обработку с предусмотренными законом особенностями. Уничтожение делает восстановление содержания невозможным либо уничтожает материальный носитель. Перемещение файла в другую папку не описывает ни одну из этих процедур полностью.

Всегда ли требуется согласие?#

Основания различаются. Статья 6 предусматривает, в частности, исполнение договора с субъектом и выполнение обязанностей, установленных законом. Для специальных категорий и биометрии учитывают также их собственные условия. Выбор основания привязывают к конкретной операции и цели.

У договора есть предел: сведения должны быть необходимы для его заключения по инициативе человека или исполнения. Наличие договора не разрешает собирать всё, что технически удобно сохранить. Например, для доставки объяснимы сведения о получателе и месте вручения, а запрос лишних личных подробностей требует другого обоснования.

По статье 5 содержание и объём данных должны соответствовать заявленным целям. Избыточность оценивают относительно задачи: один и тот же документ может быть необходим в одной процедуре и лишним в другой. Поэтому хороший вопрос к анкете звучит предметно: «Для какой операции требуется именно это поле?»

Когда обработка основана на согласии, оно должно быть конкретным, предметным, информированным, сознательным и однозначным. По статье 9 его оформляют отдельно от иных информации и документов, которые человек подтверждает или подписывает. Требование о письменной форме возникает в установленных законом случаях. Утверждать, что любое согласие всегда требует бумажного листа, неверно.

Отзыв согласия прекращает именно соответствующее разрешение. Если для части сведений сохраняется другое законное основание, оператор вправе продолжить обработку в предусмотренных законом пределах. Например, обязанность хранить определённые документы может действовать после завершения отношений. Оператору следует объяснить, какие записи остаются, почему и на какой срок.

Срок хранения связан с целью: закон требует хранить сведения в форме, позволяющей определить человека, не дольше необходимого, если иной срок не установлен законом или договором. Фраза «понадобится когда-нибудь» не описывает конкретной цели. Архив не должен становиться бесконтрольным продолжением любого завершённого процесса.

Права человека и запрос оператору#

Субъект вправе узнать, обрабатываются ли его сведения, получить информацию об основаниях, целях, источнике, сроках и предусмотренных получателях. По статье 14 можно требовать уточнения, блокирования или уничтожения данных при установленных законом обстоятельствах. Среди них неточность, незаконное получение и отсутствие необходимости для заявленной цели.

У запроса есть требования к составу. Для реализации права на доступ указывают сведения об удостоверяющем личность документе, дату выдачи и выдавший орган. Также нужны сведения об отношениях с оператором либо иное подтверждение обработки и подпись. Электронный запрос подписывают электронной подписью в соответствии с законодательством.

Не начинайте с рассылки скана паспорта по случайным адресам. Найдите официальный канал оператора и его порядок приёма обращений. Реквизиты запроса и копия всех страниц документа представляют разные объёмы информации. Способ идентификации и передачи выбирают так, чтобы обращение не создавало нового лишнего раскрытия.

1. Определите оператора
   Проверьте название организации в договоре, уведомлении или политике, затем найдите её официальный канал обращений.
2. Укажите предмет запроса
   Например, обработка данных по договору, учётной записи или обращению. Добавьте сведения, позволяющие найти соответствующую запись.
3. Сформулируйте требования
   Запросите подтверждение обработки, цели, основания, перечень сведений, источник и сроки. Для исправления назовите конкретную неточность.
4. Сохраните подтверждение
   Зафиксируйте дату отправки и получения, номер обращения и ответ. Они помогут при дальнейшем обжаловании.

Общий срок предоставления информации по надлежащему обращению или запросу составляет 10 рабочих дней. Его могут продлить не более чем на 5 рабочих дней с мотивированным уведомлением. Это срок ответа о доступе, а не единый срок на любое возможное действие с данными.

Если сведения выдаются представителю, подтверждают его полномочия. Информацию предоставляют в доступной форме, не раскрывая чужие персональные данные без законного основания. Поэтому требование выдать целиком базу клиентов под видом доступа к собственной записи не соответствует назначению этого права.

При нарушении прав можно обратиться в Роскомнадзор или суд. Для жалобы полезны конкретные материалы: содержание спорной публикации, ответ оператора, подтверждение обращения. Общего предположения «мои данные где-то используют» недостаточно, чтобы точно описать нарушение. Установленные факты помогают определить предмет проверки.

Какие штрафы грозят за нарушения?#

Ответственность установлена статьёй 13.11 КоАП РФ. За обработку без законного основания гражданин платит 10–15 тыс. ₽, должностное лицо — 50–100 тыс. ₽, организация — 150–300 тыс. ₽. Если не было письменного согласия там, где оно обязательно, организация платит 300–700 тыс. ₽.

За утечки суммы намного выше. Их ввёл Федеральный закон от 30.11.2024 № 420-ФЗ, они действуют с 30.05.2025. ИП за утечки отвечает как организация.

Последняя строка и есть оборотный штраф: он считается от выручки, а не задан твёрдой суммой. В этих частях строка организации относится к операторам, кроме госорганов и НКО. У граждан и должностных лиц госорганов и НКО суммы свои и меньше. Цифры приведены по редакции статьи на 02.11.2026.

Ошибки при передаче и хранении#

Знание определения помогает увидеть несколько типичных решений, которые увеличивают ненужное раскрытие. Здесь речь о повседневных действиях человека: анкете, облачной папке и рабочей переписке. Их можно проверить сразу, без составления полного комплекта документов для организации.

Вывод#

Персональные данные встречаются в документах, переписке, изображениях и цифровых системах. Понимание категорий, целей и условий доступа помогает задавать оператору предметные вопросы и внимательнее обращаться с чужими сведениями. Если у вас есть сайт, вставьте его адрес в сканер ниже. Он проверит cookie-баннер, политику конфиденциальности и чекбоксы согласия в формах, а в отчёте покажет вилку штрафа по КоАП.