Что такое персональные данные
Коротко
Персональные данные — это любая информация, которая относится к конкретному человеку или позволяет его узнать: имя, телефон, почта, адрес, фото, номер паспорта, запись голоса. Главный признак один: по сведениям можно понять, о ком речь. Обезличенные данные, по которым человека уже не определить, персональными не считаются.
Что именно считается персональными данными
Закон определяет персональные данные как любую информацию, относящуюся прямо или косвенно к определённому или определяемому физическому лицу (статья 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»). Формулировка широкая намеренно: список сведений закрыть нельзя, поэтому закон говорит не о видах информации, а о связи с человеком.
Отдельно закон выделяет специальные категории — расовая и национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь, судимость, — и биометрические данные: сведения, которые описывают физиологические и биологические особенности человека и по которым его можно опознать. С ними правил больше, а согласие нужно письменное.
Что чаще всего попадает под закон в обычном бизнесе
- Имя, фамилия, телефон, почта и адрес доставки из формы на сайте или из переписки с клиентом.
- Паспортные данные — при оформлении договора, заказа авиабилетов, выдаче пропуска.
- Фото и видео клиента или сотрудника, если по ним человека можно узнать.
- Запись телефонного разговора и голосовое сообщение: голос тоже позволяет опознать человека.
- Данные сотрудников: анкета при приёме, личная карточка, сведения о больничных и отпусках.
- Данные из CRM и рекламных кабинетов, если они привязаны к конкретному человеку, а не обезличены.
Кто такой оператор и что он обязан делать
Оператор — тот, кто организует обработку персональных данных и решает, зачем и как их использовать (статья 3 того же закона). Это не только крупная компания: оператором становится любая организация и любой ИП, у которых есть база клиентов, анкеты соискателей или личные карточки сотрудников.
Обработка — это почти всё, что можно сделать со сведениями: собрать, записать, хранить, уточнить, использовать, передать, обезличить, заблокировать, удалить. Поэтому «мы данные не собираем, они сами приходят» не работает: получили заявку с телефоном — уже обрабатываете.
Оператор обязан обрабатывать данные законно и только для заранее объявленных целей, не брать лишнего, хранить не дольше, чем нужно для цели, и защищать их. С 01.09.2022 оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки — это обязательно почти для всех, включая тех, кто обрабатывает данные только по договорам с клиентами и по трудовым отношениям. Перечень исключений после 01.09.2022 узкий — например, обработка в целях однократного пропуска субъекта на территорию оператора, данные членов общественного объединения или религиозной организации для уставных целей и т. п. Договор с самим человеком и трудовые отношения исключением больше не являются: уведомление подаётся до начала обработки.
Частые вопросы
Нужно ли согласие на обработку персональных данных?
По общему правилу да, и согласие должно быть конкретным: на что человек согласился, тому и можно удивляться. Согласие оформляют отдельно от других документов, а галочка на сайте должна быть не проставлена заранее. Есть и случаи, когда согласие не требуется — например, когда обработка нужна для исполнения договора, стороной которого является сам человек, или для выполнения обязанности, возложенной на оператора законом (статья 6).
Можно ли взять данные из открытых источников — соцсетей, сайтов, справочников?
Можно, но не любые и не бесконтрольно. Общедоступными персональные данные становятся, если человек сам сделал их такими или дал согласие на это; при этом он вправе в любой момент потребовать прекратить их распространение. Скачал базу номеров — это не значит, что можно звонить по ней с рекламой.
Обязательна ли политика обработки персональных данных на сайте?
Да, если сайт собирает данные хотя бы через форму обратной связи. Оператор публикует документ, в котором объясняет, какие данные собирает, зачем, как долго хранит, кому передаёт и как человек может отозвать согласие. Это не формальность: без опубликованной политики сайт нарушает закон, даже если данные никуда не утекали.
Что делать, если клиент просит удалить свои данные?
Отказать нельзя. Человек вправе потребовать уточнить, заблокировать или уничтожить свои данные, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели (статья 14). Оператор обязан прекратить обработку и уничтожить данные в срок, который установлен законом, и сообщить человеку, что сделал. Исключение — когда обработка продолжается по закону, например для бухгалтерских документов.
Что грозит за нарушение?
Ответственность административная, а в отдельных случаях уголовная. Штрафы за обработку данных без согласия или с нарушением правил установлены статьёй 13.11 Кодекса об административных правонарушениях, и для организаций они выше, чем для граждан. Точный размер зависит от состава нарушения, поэтому его смотрят по тексту статьи применительно к конкретному случаю.
Чем персональные данные отличаются от данных о компании?
Персональные данные — про живого человека, а не про организацию. Название и ИНН компании, её адрес и телефон — не персональные данные. Но если в договоре с компанией указан директор с паспортом и телефоном, эти сведения уже под закон попадают.
Когда данные клиентов лежат в CRM, кабинетах и таблицах
Чтобы видеть, какие данные вы собираете и куда они уходят
Заявки, звонки, переписка и выгрузки из рекламных кабинетов почти всегда содержат персональные данные, и часто никто в компании не знает, где они хранятся и кто к ним имеет доступ.
Я собираю цифры бизнеса в одно место и проверяю, откуда они берутся: какие данные попадают в CRM, какие остаются в кабинетах и таблицах, кто их видит. Так видно, что можно обезличить или удалить, а что нужно защищать.