Что считается персональными данными: имя, телефон, e-mail, cookie, IP

Чтобы соблюдать 152-ФЗ, нужно сначала понять, какие именно сведения он защищает. Многие думают, что персональные данные — это паспорт и прописка. Закон толкует их гораздо шире.

Определение из закона

152-ФЗ называет персональными данными любую информацию, относящуюся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПД). Ключевое слово — «определяемому»: данные не обязаны сами по себе называть человека, достаточно, чтобы по ним его можно было вычислить.

Что точно является ПД

• фамилия, имя, отчество;
• номер телефона;
• адрес электронной почты (особенно вида имя.фамилия@…);
• почтовый адрес;
• дата рождения;
• паспортные данные, СНИЛС, ИНН;
• фотография человека;
• сведения о заказах, привязанные к конкретному покупателю.

Даже один телефон без имени — это ПД, потому что по нему человек определяем.

Спорные случаи: cookie, IP, аналитика

Здесь у владельцев больше всего заблуждений.

• Cookie и идентификаторы — если они позволяют отслеживать конкретного посетителя между визитами, регуляторы и суды всё чаще относят их к ПД. Именно поэтому нужен cookie-баннер с согласием.
• IP-адрес — сам по себе спорный, но в связке с другими данными (временем визита, действиями) позволяет косвенно определить человека, поэтому его безопаснее считать ПД.
• Данные аналитических счётчиков — Яндекс.Метрика с вебвизором записывает действия посетителя, а это уже сбор ПД, требующий согласия.

Из-за этих «невидимых» данных сайт нарушает закон, даже если у него нет ни одной формы. Что именно собирается незаметно — в статье «Какие данные собирает ваш сайт на самом деле».

Специальные и биометрические категории

Отдельно закон выделяет специальные категории (здоровье, национальность, религиозные и политические взгляды, судимость) и биометрию (фото и отпечатки для идентификации). Для них режим строже: обычно нужно отдельное письменное согласие. Это важно для медицинских, юридических и образовательных сайтов.

Что с этим делать

Составьте список: какие из перечисленных данных реально проходят через ваш сайт. Он ляжет в основу политики обработки ПД и уведомления в Роскомнадзор. А чтобы не пропустить скрытые точки сбора, проверьте сайт автоматически — сканер найдёт формы, счётчики и передачу данных наружу.

С терминами закона поможет вводная статья «Что такое 152-ФЗ простыми словами».