В последние годы произошли большие утечки персональных данных, в связи с чем государство всерьез задумалось вопросом обработки и защиты персональных данных граждан России. Настоящее законодательство ужесточила требования и ввела оборотные штрафы. Люди стали более сознательными и трепетными к своим данным. Учитывая вышесказанное разберемся с основными деталями.
1. Что такое персональные данные?
Персональные данные - это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). Это определение закреплено в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных».
2. Какие бывают персональные данные?
2.1. Общие
Общие персональные данные — это базовые сведения о человеке, которые могут быть известны ограниченному кругу лиц или опубликованы в общедоступных источниках с согласия субъекта. К таким данным можно отнести:
- ФИО, дата и место рождения;
- Адрес проживания и контактные данные (номер телефона, email);
- Паспортные данные (серия, номер, дата выдачи);
- СНИЛС, ИНН, банковские реквизиты;
- Информация о семейном положении, образовании, профессии, трудовом стаже, зарплатах;
- Дополнительные сведения: ссылки на личные страницы в соцсетях, данные о владении имуществом, геолокация (координаты местоположения).
Всегда необходимо учитывать контекст, к примеру email «ivan999@mail.ru» сам по себе не является ПДн, но в сочетании с ФИО становится персональными данными.
2.2. Биометрические данные
Биометрические данные — это уникальные физиологические и биологические характеристики человека, которые используются для установления его личности.
Такие данные классифицируются на:
- Морфологические (внешние признаки): отпечатки пальцев, геометрия лица, радужка глаза, форма уха.
- Поведенческие (манеры): голос, скорость печати, динамика движения курсора, походка.
- Биологические (генетические): ДНК, группа крови.
Биометрические данные не включают обезличенные параметры, такие как рост или вес, если они не используются для идентификации. Например, фотография в личном деле не считается биометрией, если не применяется для аутентификации.
Основная проблема биометрических данных в том, что их невозможно «сбросить» или заменить, это делает её уязвимой для киберпреступников.
2.3. Специальные персональные данные
Специальные персональные данные — это категория информации, которая раскрывает конфиденциальные аспекты жизни человека и требует повышенной защиты. К таким данным можно отнести:
- Раса и национальность: данные о принадлежности к этнической группе в переписи населения.
- Политические взгляды: членство в партии или участие в митингах.
- Религиозные/философские убеждения: информация о вероисповедании в анкете при трудоустройстве в религиозную организацию.
- Состояние здоровья: диагнозы, история болезни, инвалидность.
- Интимная жизнь: данные о сексуальной ориентации или ВИЧ-статусе.
- Судимости: сведения о привлечении к уголовной ответственности.
Нельзя требовать предоставления специальных данных для доступа к базовым услугам (например, при оформлении заказа в интернет-магазине).
Обработка данных о здоровье без согласия разрешена для эпидемиологического контроля (например, при пандемии).
2.4. Общедоступные персональные данные
Общедоступные персональные данные — это информация, включённая в открытые источники с согласия субъекта, например, справочники, адресные книги или официальные реестры. К таким данным можно отнести:
- ФИО, дата и место рождения;
- Адрес, контактные данные (телефон, email);
- Сведения о профессии, образовании, трудовой деятельности;
- Фотографии в открытых профилях соцсетей (при согласии субъекта).
Данные включаются в открытые источники только с письменного согласия субъекта.
Даже общедоступные данные требуют согласия на обработку, если используются для коммерческих целей или передаются третьим лицам.
2.5. Обезличенные персональные данные
Обезличенные персональные данные - это данные, с которыми становится невозможным определить принадлежность информации конкретному лицу без дополнительной информации. Существуют следующие способы обезличивания:
- Введение идентификаторов (замена персональных данных кодами с сохранением таблицы соответствий).
- Изменение состава или семантики (агрегация, обобщение, удаление части сведений).
- Декомпозиция (разделение данных на независимые подмножества).
- Перемешивание (случайная перестановка записей).
С 1 сентября 2025 года разрешено использовать обезличенные данные для исследований, аналитики и обучения искусственного интеллекта (ИИ) без предварительного согласия гражданина.
3. Как обрабатываются персональные данные?
С согласием субъекта персональных данных - основной механизм. Оформляется в письменной или электронной форме с указанием:
- Цели обработки;
- Перечня данных;
- Сроков хранения;
- Контактов оператора.
Без согласия субъекта персональных данных - допускается в случаях:
- Исполнения договора с субъектом (например, доставка товара);
- Защиты жизни/здоровья;
- Судебных разбирательств;
- Публичных интересов (например, антитеррористические меры).
4. Какая предусмотрена ответственность за нарушение?
4.1 Административная ответственность (ст. 13.11 КоАП РФ)
Размер штрафа зависит от количества пострадавших:
- 1 000 - 10 000 человек → до 5 млн ₽ для юрлиц.
- 10 000 - 100 000 человек → до 15 млн ₽ для юрлиц.
4.2. Уголовная ответственность:
- Незаконный сбор/распространение данных (ст. 137 УК РФ):
— Штраф до 300 тыс. ₽;
— Принудительные работы до 4 лет;
— Лишение свободы до 5 лет (если данные переданы за границу или использованы для шантажа). - Неправомерный доступ к информации (ст. 272 УК РФ):
— Штраф до 500 тыс. ₽;
— Лишение свободы до 7 лет (при тяжких последствиях). - Создание ресурсов для оборота украденных данных (ст. 272.1 УК РФ):
— Лишение свободы до 10 лет + штраф до 1 млн ₽.
5. Интересные факты.
Россия подписала конвенцию о защите данных ещё в 2001 году
Закон №152-ФЗ (2006) появился под влиянием Конвенции Совета Европы 1981 года, которую РФ ратифицировала для вступления в ВТО. Однако полноценно конвенция начала действовать только после принятия 152-ФЗ.
Госуслуги внедрили двухфакторную аутентификацию
Для входа на портал требуется не только пароль, но и SMS-код. Это снизило число взломов на 40% в 2023 году.
Уголовная ответственность за утечку — до 10 лет
Если утечка данных привела к смерти или тяжкому вреду здоровью, виновным грозит до 10 лет лишения свободы. В 2024 году зафиксирован первый такой приговор в отношении сотрудника банка.
В России более 5 млн операторов персональных данных
К ним относятся не только крупные компании, но и ИП, магазины, школы. Каждый второй малый бизнес не знает, что является оператором.
Чёрный рынок данных оценивается в 20 млрд ₽ в год
Самые востребованные данные: номера телефонов (стоимость — 50–100 ₽ за штуку), паспорта (500–1000 ₽), медицинские записи (до 3000 ₽).