По закону персональные данные — это любая информация, которая относится к определённому человеку или позволяет его определить. Определение дано в статье 3 закона 152-ФЗ, и оно намеренно широкое: закон защищает не отдельный перечень полей, а саму возможность связать информацию с конкретным лицом.
Что точно считается персональными данными
- Фамилия, имя, отчество;
- Номер телефона;
- Адрес электронной почты;
- Почтовый адрес;
- Паспортные и банковские данные;
- Фотография (если по ней можно узнать человека).
Для типичного сайта через форму обратной связи вы собираете как раз общие данные — имя и телефон. Казалось бы, ничего особенного, но закон применяется к ним в полном объёме: нужны Политика, согласие и безопасное хранение.
Спорные случаи
IP-адрес и cookie. Роскомнадзор относит их к персональным данным, если по ним можно идентифицировать пользователя. Именно поэтому счётчики вроде Яндекс.Метрики и Google Analytics попадают в зону регулирования — и именно поэтому на сайт часто вешают уведомление о cookie.
Никнеймы и аккаунты в соцсетях. Если по нику можно понять, кто именно скрывается за ним, — это данные. Анонимный ник без связи с реальным человеком — нет.
Обезличенные данные. Если информацию нельзя соотнести с конкретным человеком (например, «на сайте 1000 посетителей в месяц»), то персональными данными она не является.
Категории данных по закону
152-ФЗ выделяет несколько категорий с разными правилами обработки:
- Общие — ФИО, контакты. Стандартный набор для сайта, обрабатываются на общих основаниях.
- Специальные — расовая и национальная принадлежность, религия, здоровье, судимость (статья 10). Обрабатываются только с отдельного письменного согласия.
- Биометрические — отпечатки пальцев, лицо, голос (статья 11). Самая жёсткая категория: нужна защита и, как правило, согласие в письменной форме.
- Общедоступные — данные, которые человек сам сделал доступными неопределённому кругу лиц.
Почему важно различать категории
Чем чувствительнее данные, тем строже требования. Если вы случайно начнёте собирать специальные или биометрические данные без нужных согласований, штрафы будут заметно выше. Поэтому ещё на этапе проектирования формы полезно понимать, что именно вы просите у пользователя.
Проверить, нет ли на вашем сайте рискованных сценариев сбора и всё ли в порядке с документами, можно автоматически за пару минут.