Определение персональных данных согласно ФЗ 152

Определение короткое: «персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных)». Ключевых слов здесь два — «любая» и «определяемому». Закон не даёт закрытого перечня полей: важно не то, что записано в анкете, а то, можно ли по этим сведениям узнать конкретного человека.

Второе слово работает на опережение. Прямо определённое лицо — это когда по данным сразу понятно, о ком речь: фамилия, паспорт, номер телефона. Косвенно определяемое — когда данных по отдельности мало, но в связке с другой информацией человек вычисляется. Поэтому адрес электронной почты, IP-адрес или cookie сами по себе не всегда называют человека, но вместе с другими сведениями могут.

Закон о персональных данных — основной документ, который регулирует их обработку. Рядом стоят подзаконные акты: постановления Правительства о требованиях к защите данных и приказы Роскомнадзора. Когда спрашивают, какой основной закон регулирует обработку персональных данных, ответ один — 152-ФЗ.

Закон делит данные на группы, и от группы зависит строгость правил. Обычные данные — анкетные сведения: фамилия, имя, дата и место рождения, паспорт, адрес, телефон, электронная почта, образование, профессия, доходы.

Специальные категории перечислены в статье 10: расовая и национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь. Их обработка запрещена, кроме узких исключений — например, при письменном согласии субъекта или для медицинских целей.

Биометрические данные — статья 11: физиологические и биологические особенности, по которым устанавливают личность. Отпечаток пальца, рисунок сетчатки, ДНК; фотография и видеозапись становятся биометрией, только если их используют именно для установления личности.

Отдельная группа — данные, разрешённые субъектом для распространения. Доступ к ним открыт неограниченному кругу лиц, но только по согласию, оформленному в порядке закона.

Закон не называет документ «приказ о персональных данных» и не требует его дословно. Но оператор обязан организовать обработку так, чтобы выполнялись принципы и правила закона, а это оформляют внутренними документами. Приказ — самый удобный способ назначить ответственного за обработку и утвердить правила.

Обычно приказом утверждают политику обработки персональных данных, перечень должностей, которым данные нужны по работе, порядок доступа и хранения, формы согласий и порядок уничтожения данных по истечении сроков. Конкретный состав документов зависит от того, какие данные и для каких целей собирает компания, — универсального шаблона закон не даёт.

Проверять, что именно обязательно для вашего случая, стоит по тексту 152-ФЗ и разъяснениям Роскомнадзора: ведомство публикует требования к политике и к составу документов оператора.