Персональные данные: что это, что к ним относится по закону

Клиент оставляет много информации о себе: имя, почту, номер телефона. Список персональных данных обширный, и задача бизнеса — правильно обращаться с этой информацией, иначе можно получить штраф.

🎁 В статье делимся шаблонами согласия на обработку персональных данных клиента и приказа о назначении ответственного сотрудника по работе с такими данными. Документы можно скачать и использовать в работе.

Что такое персональные данные

Персональные данные — это любая информация, которая относится к человеку и помогает хотя бы косвенно его идентифицировать. Например, СНИЛС, ИНН, электронная почта относятся к персональным данным, потому что принадлежат конкретному человеку. А госномер автомобиля — нет, потому что идентифицирует транспортное средство.

Когда бизнес собирает информацию о клиентах, он становится оператором персональных данных и обязуется правильно их собирать, обрабатывать и вовремя уничтожать.

Новости

Что относится к персональным данным, а что нет

В законе 152‑ФЗ нет закрытого списка — все зависит от контекста. Одно и то же поле может быть персональными данными в одной ситуации и не быть — в другой. Например, номер телефона сам по себе иногда не позволяет идентифицировать человека, но в связке с Ф. И. О. — уже да.

Что относится к персональным данным. Сюда попадает информация, которая в одиночку или в связке с другими сведениями помогает узнать человека. Вот частые примеры:

Идентификационные сведения: Ф. И. О., дата и место рождения, пол, возраст.
Контактная информация: адрес — регистрации или фактического проживания, номер телефона, адрес электронной почты — если он привязан к конкретному человеку, корпоративная почта вида info@company.ru обычно не считается, а личный e‑mail — да.
Реквизиты и идентификаторы: паспортные данные, СНИЛС, ИНН, данные военного билета.
Сведения о деятельности и статусе: место работы и должность, уровень образования, сведения о семейном положении, имуществе, доходах, трудовой стаж.
Чувствительные сведения: национальность, вероисповедание, политические или философские взгляды, состояние здоровья — диагнозы, инвалидность, информация об интимной жизни, о судимости.
Биометрические данные: отпечатки пальцев, рисунок радужной оболочки глаза, образец голоса, профиль ДНК — если их используют для установления личности.
Цифровые следы: IP‑адрес, cookie‑файлы, если они в связке с другими данными позволяют идентифицировать пользователя.

Что не относится к персональным данным. Это сведения, которые сами по себе не позволяют идентифицировать человека, например запись «пользователь из Москвы» или «мужчина, 25 лет». Другие примеры:

Общедоступные сведения, которые не привязаны к конкретному человеку: исторические факты, научные теории, литературные идеи, общие статистические сводки. Но если факт привязан к личности, например «Иванов И. И. опубликовал теорию о…», то связку уже можно считать персональными данными автора.
Обезличенные данные. Если из набора удалили все сведения, которые позволяют восстановить связь с конкретным человеком, например заменили ID на случайный код, то такие данные перестают быть персональными.

Сведения о компании — название, ИНН, вид деятельности — под действие закона о персональных данных не подпадают. Это информация о юридическом лице, а не о физическом.

Какие есть виды персональных данных

В законе 152‑ФЗ выделяют четыре основные категории персональных данных: общие, специальные, биометрические и иные.

От категории зависит уровень защиты, который требуется обеспечить, и правила обработки, например какое согласие нужно получить, в каких случаях допустимо обрабатывать сведения без согласия. Поэтому при работе с данными первым делом стоит определить их категорию.

Общие персональные данные. Это базовая информация, которая нужна для идентификации человека или его описания. Сюда относят: Ф. И. О.; дату и место рождения; пол; гражданство; адрес регистрации и фактического проживания; номер телефона, адрес электронной почты; серию и номер паспорта, СНИЛС, ИНН; сведения о семейном положении, образовании, месте работы или учебы, доходах.

Сама по себе должность без привязки к человеку часто не считается персональными данными, но связка «Ф. И. О. + должность + место работы» уже ими становится.

Специальные персональные данные. Это наиболее чувствительная информация, которая раскрывает суть личности человека. К ней относят сведения:

о расовой и национальной принадлежности;
политических взглядах;
религиозных и философских убеждениях;
состоянии здоровья — диагнозы, группу крови, сведения об инвалидности;
интимной жизни, например сексуальную ориентацию;
наличии или отсутствии судимости.

По общему правилу закон запрещает сбор и обработку таких данных, но есть исключения: письменное согласие субъекта, защита жизни и здоровья, медицинские цели — при условии соблюдения врачебной тайны, осуществление правосудия, исполнение международных договоров и другие случаи, прямо предусмотренные законом.

Биометрические персональные данные. Это сведения о физиологических и биологических особенностях человека, которые позволяют установить его личность. Примеры:

отпечатки пальцев;
рисунок радужной оболочки глаза;
генетическая информация — ДНК;
изображение лица — фотография, видео, 3D‑модель, — если оно используется именно для идентификации;
образец голоса.

Не всякая фотография или видеозапись — биометрия. Они становятся биометрическими данными, только если их применяют для установления личности, например в системе распознавания лиц. Обработка таких данных по общему правилу требует письменного согласия субъекта, но в законе есть исключения, например для правосудия, государственной дактилоскопической регистрации, реализации международных договоров.

Иные персональные данные. Сюда попадает вся информация, которая не вошла в первые три группы, но при этом позволяет идентифицировать человека. Часто это цифровые следы: IP‑адрес, файлы cookie — особенно постоянные и уникальные, информация о местоположении. Также к иным данным могут относиться сведения, которые меняются со временем: социальный статус, трудовой стаж, размер заработной платы, даты и длительность отпуска.

Когда нужно собирать персональные данные и как это делать

Персональные данные защищены законом, поэтому бизнес должен собирать с клиентов согласие на их обработку. Но есть ситуации, когда это не нужно. Собрали в таблице самые частые случаи, когда надо и не надо собирать согласия на обработку персональных данных. По всем спорным вопросам лучше проконсультироваться с юристом.

Когда надо и не надо получать согласие на обработку персональных данных
✅ Когда согласие нужно	❌ Когда согласие не требуется
Сбор cookie‑файлов Подписка на рассылку Подключение к программе лояльности	Исполнение договоров Хранение данных в отчетных документах Если данные требует официальное лицо, например прокурор

Если согласие на обработку данных потребуется, нужно уведомить Роскомнадзор и собрать необходимые документы. О том, как это сделать, подробно писали в отдельной статье.

Каждая компания или ИП сами составляют согласие на обработку персональных данных. Мы подготовили шаблон, который можно брать за основу.

Согласие на обработку персональных данных клиента

Согласие на обработку персональных данных клиента нужно собирать компаниям и ИП, когда покупатель‑физлицо делится с ними информацией о себе. Например, заполняет заявку на оказание услуги или оформляет заказ на сайте.

Как хранить и защищать персональные данные

За нарушения в работе с персональными данными можно получить серьезные штрафы и потерять доверие клиентов.

Как хранить. Закон 152‑ФЗ требует хранить их не дольше, чем нужно для целей обработки. Например, если вы собирали телефоны клиентов для доставки заказов, после выполнения задачи данные уже не требуются — их надо удалить или обезличить. Исключение — если срок прямо прописан в законе или договоре.

Как организовать хранение в зависимости от формата:

Бумажные носители храните в запираемых шкафах — металлических или несгораемых. Определите список сотрудников, которым разрешен доступ, и систематизируйте документы по алфавиту или по номерам.
Электронные системы. Размещайте базы на защищенных серверах. Используйте средства защиты: антивирус, системы контроля доступа и аутентификации — логины, пароли, многофакторную аутентификацию, шифрование данных и каналов связи — VPN, SSL. Если используете облачные сервисы, проверьте, соответствуют ли они требованиям закона.

Персональные данные граждан РФ разрешено хранить только на территории России с использованием отечественных баз данных.

Как защищать. Составили план действий:

Назначьте сотрудника или целое подразделение, которое будет отвечать за безопасность персональных данных в компании.
Разработайте локальные акты — политику обработки данных, инструкции для сотрудников. В них пропишите правила доступа, сроки хранения, порядок передачи третьим лицам, ответственность за нарушения.
Ограничьте круг лиц, имеющих доступ к данным. Он должен быть только у тех, кому это необходимо по работе. С таких сотрудников возьмите обязательство о неразглашении.
Проводите обучение: знакомьте команду с законами, внутренними правилами и типичными угрозами — фишинг, утечки через USB.
Внедрите внутренний контроль или аудит: проверяйте, как соблюдаются правила, отслеживайте инциденты.

Приказ о назначении ответственного по работе с персональными данными

Приказ о назначении ответственного за персональные данные заполняют в свободной форме. За отсутствие документа бизнесу грозит штраф.

Когда нужно уничтожать персональные данные

Когда клиент отзывает свое согласие, бизнес должен уничтожить данные одним из двух способов:

если данные собирались вручную — составить акт об уничтожении персональных данных;
если данные обрабатывались с помощью сервисов — оформить акт об уничтожении персональных данных и сделать выгрузку из журнала регистрации событий в информационной системе персональных данных.

После этого клиенту нельзя будет присылать акционные предложения и использовать его данные другими способами. Оповещать его об уничтожении данных не нужно, но документы об этом надо хранить еще три года после окончания срока действия согласия.

Актуальные статьи и свежие тренды

Кто такой оператор персональных данных и что считается обработкой

Разберемся в этих двух понятиях.

Оператор персональных данных — это тот, кто работает с личными сведениями людей, а еще определяет, зачем это нужно, какие именно данные собирать и что с ними делать. По закону оператором может быть:

государственный или муниципальный орган;
юридическое лицо;
физическое лицо, в том числе ИП.

По сути, почти каждый бизнес — оператор персональных данных, если он собирает персональные данные сотрудников, клиентов или контрагентов.

При этом оператор не обязательно делает все сам. Он может поручить часть работы другому лицу, например аутсорсинговому центру для ведения клиентской базы, но при этом все равно остается ответственным за то, как с данными работают.

Обработка персональных данных — это любые действия с такими сведениями, причем неважно, вручную или с помощью компьютера. Примеры таких действий:

сбор и запись;
систематизация и накопление;
хранение;
уточнение — обновление, изменение;
извлечение;
использование;
передача — распространение, предоставление, доступ;
обезличивание;
блокирование;
удаление;
уничтожение.

Отдельно выделяют распространение — раскрытие данных неопределенному кругу лиц и предоставление — раскрытие определенному кругу лиц.

Какие есть штрафы за нарушения и как их избежать

Штрафы за нарушения при работе с персональными данными зависят от сути нарушения и вида бизнеса. Например, для средних и крупных компаний штраф за первое нарушение может достигать 300 000 ₽. Вот список самых частых проступков, которые совершает бизнес:

не подал уведомление в Роскомнадзор;
использовал данные без согласия клиентов;
форма согласия на обработку персональных данных не содержит обязательные сведения;
цели обработки персональных данных в согласии не совпадают с реальными;
не уничтожил данные, когда клиент отозвал их;
случилась утечка персональных данных из‑за неправильного хранения;
политика персональных данных доступна не на всех страницах сайта.

Собрали основные штрафы в таблицу.

Штрафы за нарушение законодательства в области персональных данных
Нарушение	Сумма штрафа
Неуведомление или несвоевременное уведомление Роскомнадзора о намерении обрабатывать ПД	Для ИП и всех компаний — 100 000—300 000 ₽
Нарушение целей обработки ПД	Для ИП — 50 000—100 000 ₽; для малых предприятий — 75 000—150 000 ₽; для остальных компаний — 150 000—300 000 ₽
Неуведомление или несвоевременное уведомление Роскомнадзора об утечке ПД	1 000 000—3 000 000 ₽ для всех компаний и ИП
Утечка ПД	Сумма зависит от масштаба — от 3 000 000 до 15 000 000 ₽

Часть из этих нарушений можно предотвратить самостоятельно, но иногда консультация юриста все равно потребуется. Законодательство в этой сфере периодически обновляется, поэтому рекомендуем следить за этим. Например, в 2025 году кратно увеличили штрафы для операторов за утечку данных независимо от формы, в которой это произошло.

Что важно запомнить

Персональные данные — это любая информация, которая относится к человеку и помогает его идентифицировать.
Есть случаи, когда согласие на обработку персональных данных клиента не нужно. Понять, стоит ли бизнесу разрабатывать документы, поможет юрист.
Перед началом обработки персональных данных нужно уведомить об этом Роскомнадзор и разработать необходимые документы.
Если клиент отзывает согласие на обработку персональных данных, нужно удалить данные и хранить документы об этом в течение трех лет после окончания срока действия согласия.
Если неправильно обрабатывать персональные данные, можно получить штраф.