Что закон называет персональными данными

152-ФЗ оперирует широкой формулировкой: персональные данные — это любая информация, относящаяся к прямо или косвенно определённому физическому лицу. На практике это означает, что под закон попадают далеко не только очевидные сведения вроде ФИО, паспортных данных и номера телефона.

К персональным данным относят и менее очевидные категории, которые цифровой бизнес собирает повседневно — часто даже не замечая этого:

  • email и логин, если по ним можно идентифицировать конкретного человека;
  • IP-адрес и идентификаторы устройств в связке с учётной записью;
  • cookie, рекламные и аналитические идентификаторы, если они связаны с профилем пользователя;
  • данные о поведении на сайте, привязанные к конкретному пользователю;
  • фотографии, голосовые сообщения, биометрические признаки.

Ключевой критерий — возможность идентификации. Если по набору данных можно понять, о каком именно человеке идёт речь, эти данные считаются персональными — даже если каждое поле по отдельности кажется безобидным.

Когда бизнес становится оператором

Оператор персональных данных — это любое лицо, которое организует и (или) осуществляет обработку персональных данных. Закон не делает скидок на размер бизнеса: оператором может быть как крупная платформа, так и небольшой интернет-магазин или одностраничный лендинг с формой обратной связи.

Бизнес обычно становится оператором в тот момент, когда впервые получает данные пользователя — через форму на сайте, регистрацию в личном кабинете, оформление заказа, подписку на рассылку или обращение в поддержку. При этом обработкой считается не только сбор, но и хранение, систематизация, передача подрядчикам, уточнение и удаление данных.

Что обычно упускают команды

В цифровых продуктах статус оператора возникает гораздо раньше, чем команда успевает об этом задуматься. Типичные ситуации, в которых компания уже является оператором, но ещё не оформила процессы:

  • на сайте стоит форма заявки, но нет политики обработки персональных данных и согласия пользователя;
  • аналитика и рекламные пиксели передают данные внешним сервисам без отдельного основания;
  • CRM, рассылочный сервис или облачное хранилище работают на стороне подрядчика, но договор не закрывает вопрос обработки;
  • данные клиентов используются в маркетинге шире, чем это предусмотрено первоначальной целью сбора.

Почему 152-ФЗ касается почти каждого сайта

Любой сайт, на котором есть форма обратной связи, регистрация, оформление заказа или подписка на рассылку, уже обрабатывает персональные данные. Даже сайт-визитка с единственной формой напишите нам формально подпадает под 152-ФЗ — с момента, когда первый пользователь оставляет имя и контакт.

К этому добавляются веб-аналитика, рекламные кабинеты, чат-боты и сторонние сервисы рассылок — каждый из них так или иначе обрабатывает данные пользователей. Чем сложнее цифровой продукт, тем больше точек, в которых компания должна аккуратно оформить роли, основания обработки и потоки данных между подрядчиками.