Сегодня столкнулся с интересной ситуацией: собственник бизнеса, на сайте которого используются куки-файлы, установлена система аналитики и имеются формы сбора заявок, полагает, что они не собирают персональные данные. Его аргумент: «Ну мы же не получаем паспортные данные».
Меня зовут Дмитрий, я юрист с IT-знаниями, и сегодня я расскажу простыми словами, что такое персональные данные (ПДн) на самом деле.
Что такое ПДн с точки зрения закона
Согласно п. 1 ст. 3 152-ФЗ, персональные данные — это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Да, после прочтения определения легче не стало. Давайте разберем его подробнее, по составным частям. Персональные данные — это:
- Информация о физическом лице — человеке. Сведения о компаниях не относятся к персональным данным, а вот информация о сотрудниках компании — уже ПДн.
- Любая информация. Законодатель не стал вводить строгий перечень, а дал максимально возможный простор. Сейчас к ПДн относятся данные о личности, контакты, личная и семейная информация, сведения об образовании и трудовой деятельности, техническая информация об устройствах и многое другое.
- Относящаяся прямо или косвенно. Вам не обязательно знать полный пакет документов. Достаточно информации, которая может указывать на конкретное лицо. Так отчасти работает таргетированная реклама: вы, наверное, замечали, что после посещения сайта вас часто «догоняют» объявления со схожими предложениями. Система вас опознала.
- Относящаяся к определённому (уже известному вам) или определяемому (новому) лицу.
Что такое персональные данные простыми словами
На самом деле, это любая информация, с помощью которой можно установить человека, к которому она относится, либо повлиять на него.
Давайте разберем на примере:
- Имя «Дмитрий» — это еще не ПДн, таких людей много.
- Добавляем фамилию «Карташов» — круг сузился, но мы всё еще можем не знать конкретного человека.
- Но если мы добавим номер телефона или адрес электронной почты, то мы получим данные о конкретном человеке.
Важно: информация может быть и косвенной, то есть прямо не указывать ФИО. Например, у вас есть только номер телефона или e-mail. Вы можете не знать имени, но уже можете повлиять на человека: позвонить ему или написать. С точки зрения закона — это обработка его данных.
Виды персональных данных
Закон разделяет ПДн на три категории:
- Специальные: расовая и национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья (диагнозы), информация об интимной жизни, судимость.
- Биометрические: сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность (фото, видео, запись голоса и т.п.).
- Общие: всё, что не отнесено к предыдущим категориям (ФИО, дата и место рождения, адрес и т.д.).
То, про что все забывают
Многие компании «светят» персональные данные там, где даже не подозревают об их наличии:
- Цифровой след. IP-адрес пользователя, Cookies-файлы, геолокация, сведения об устройстве. РКН давно приравнял это к ПДн.
- Телефонные разговоры. Если у вас есть колл-центр, который записывает звонки, и в ходе общения вы получаете информацию о звонящем — вы обрабатываете ПДн (включая голос).
- ID в мессенджерах и соцсетях. Уникальный идентификатор профиля косвенно указывает на конкретное лицо.
- Фотографии сотрудников на сайте. Разделы «Наша команда», «Врачи клиники» и т.п. содержат фото и ФИО. Помните: для публикации таких данных на сайте нужно отдельное согласие на распространение.
- Резюме и «кадровый резерв». Если вы сохранили резюме соискателя, который вам не подошел, «на будущее», но не взяли у него согласие на хранение данных — это нарушение. По закону резюме после отказа должно быть уничтожено.
Заключение
Персональные данные — это не просто строчка в паспорте, а любые сведения (прямые или косвенные) о конкретном человеке. В неумелых руках эта информация может стать оружием как против самого человека, так и против компании-оператора в виде миллионных штрафов.
P.S. Я подготовил чек-лист для проверки сайта на соответствие 152-ФЗ. Присылайте на почту kartashovdmitriyi@yandex.ru адрес своего сайта — проведу экспресс-аудит и бесплатно подсвечу «красные флаги».