Персональные данные: самые популярные вопросы и ответы

Персональные данные — это любая информация, которая прямо или косвенно относится к определенному физическому лицу (статья 3 ФЗ от 27.07.2006 №152-ФЗ). Важно, чтобы по этим сведениям можно установить конкретного человека, даже если для этого требуется сопоставление нескольких факторов.

Закон делит персональные данные на несколько категорий:

1. Обычные ПДн: фамилия, имя, отчество, дата и место рождения, паспортные данные, адрес, номер телефона, ИНН, СНИЛС и т.д.

2. Специальные категории персональных данных: сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни. Обработка таких данных допускается только в случаях, прямо указанных в статье 10 ФЗ №152-ФЗ. Например, если есть согласие субъекта или ПДн нужны для исполнения трудового законодательства. 

3. Биометрические ПДн. Это данные, которые характеризуют физиологические и биологические особенности человека и используются для идентификации: изображение лица, отпечатки пальцев, голос, радужка глаза (статья 11 ФЗ №152-ФЗ).

4. Иные ПДн: служебные идентификаторы, логины, IP-адреса, данные о действиях пользователя на сайте, если их можно связать с конкретным лицом.

Например, имя физлица, номер телефона и адрес электронной почты, указанные при оформлении заказа в интернет-магазине — это ПДн, а просто имя или фамилия — нет. 

Не вся информация о человеке является персональными данными. ФЗ № 152-ФЗ защищает только те сведения, по которым можно точно идентифицировать конкретное лицо.

Например, отдельно взятые имя или фамилия без дополнительной информации (должности, телефона, адреса) — это не ПДн. Данные становятся персональными, когда их объединяют. Комбинация ФИО, а также связка имени с номером телефона, email-адресом или аккаунтом в сервисе уже позволяют установить личность.

Персональными данными также не считаются полностью обезличенные или агрегированные сведения, которые невозможно отнести к конкретному человеку даже косвенным путем. Например, не считается ПДн статистика посещаемости сайта (общее число визитов, просмотров страниц) или обезличенные итоги опроса или исследования. 

Оператором признается государственный или муниципальный орган, юридическое либо физическое лицо, которое самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку персональных данных (статья 3 закона «О персональных данных» №152-ФЗ). Оператор не только работает с ПДн, но и определяет цели обработки, состав персональных данных и конкретные действия с ними.

Примеры операторов:

1. Интернет-магазин, принимающий заказы и доставку.

2. Стоматологическая клиника, ведущая медицинские карты пациентов.

3. Работодатель, обрабатывающий данные сотрудников.

4. Образовательная платформа с регистрацией пользователей.

5. Индивидуальный предприниматель, оказывающий услуги по договору.

Да, самозанятый считается оператором ПДн, если он осуществляет обработку персональных данных физических лиц. То же самое касается и ИП на НПД. Даже если бизнес небольшой — например, фриланс, онлайн-услуги или консультации — при обработке ФИО, телефонных номеров, адресов электронной почты или других ПДн вы считаетесь оператором. 

Субъектом персональных данных является любое физическое лицо, чьи сведения собираются, хранятся или иным образом обрабатываются оператором. Проще говоря, это человек, к которому относятся конкретные данные, и чьи права защищает ФЗ №152-ФЗ. Субъект не зависит от возраста, профессии или гражданства — достаточно, чтобы его личность могла быть прямо или косвенно установлена по информации, которой владеет оператор.

На практике субъектами персональных данных выступают самые разные люди, взаимодействующие с бизнесом, государственными органами или сервисами. Примеры:

1. Клиент медицинской клиники, оставивший контактные данные и медицинскую карту.

2. Человек, обратившийся за муниципальной услугой, например, оформлением паспорта.

3. Заказчик по договору оказания услуг, передавший ФИО, паспортные данные и контактную информацию.

4. Пользователь онлайн-платформы, зарегистрировавшийся на сайте и указавший ФИО и email.

5. Сотрудник компании, чьи данные хранятся в кадровой системе.

Субъекты ПДн по закону ряд ключевых прав: например, могут запросить информацию об обработке своих данных, потребовать их исправить или удалить, а также запретить обработку, для которой нужно согласие. Ваша задача как оператора — эти права соблюдать и обеспечивать их реализацию.

Обработка персональных данных — это любые действия или совокупность действий, которые совершаются с данными как с помощью автоматизированных систем, так и без них. Закон включает в это понятие широкий спектр операций: сбор, запись, систематизацию, накопление, хранение, уточнение или обновление, извлечение, использование, передачу другим лицам, обезличивание, блокирование, удаление и уничтожение.

Главное правило для оператора — каждая операция должна быть законной и безопасной, а права субъектов персональных данных — соблюдены.

Документ нужен в большинстве случаев, но иногда ПДн можно обрабатывать и без него (ст.6 ФЗ №152-ФЗ):

1. Выполнение обязательств по договору, стороной которого является субъект.

2. Исполнение судебного акта или решения другого органа.

3. Предоставление государственных или муниципальных услуг.

4. Защита жизни, здоровья или жизненно важных интересов субъекта, если согласие получить невозможно.

5. Осуществление профессиональной деятельности журналиста, законной деятельности СМИ, научной, литературной или иной творческой деятельности без нарушения прав субъекта.

6. Статистические или исследовательские цели при обязательном обезличивании данных.

7. Обработка данных, подлежащих обязательному раскрытию по закону.

При работе с персональными данными работников и клиентов важно:

• четко объяснять цели обработки;

• обеспечивать точность и актуальность данных;

• принимать меры по защите персональных данных физлиц;

• документировать процессы обработки и соблюдать все правила ФЗ №152-ФЗ.

Например, для регистрации на большинстве сайтов нужно вводить ПДн, и в таком случае согласие обязательно. Если же клиент оформляет заказ товара онлайн, оно не понадобится. 

Нет, использовать одно согласие на все цели обработки персональных данных нельзя. По закону важно, чтобы согласие было конкретным и информированным: субъект должен понимать, какие именно данные обрабатываются и с какой целью. Универсальное согласие не дает человеку возможности контролировать, каким образом его сведения будут использоваться, и нарушает принцип прозрачности, закрепленный в ст.5 ФЗ №152-ФЗ.

Важно помнить два ключевых правила:

1. Одна цель — одно согласие. Например, согласие соискателя на обработку ПДн не дает право на использование его данных для маркетинговых рассылок, к тому же для них нужно другое согласие.

2. Обработка — не передача. Согласие на работу с данными внутри вашей компании не означает автоматического разрешения передавать их партнерам или другим третьим лицам. На передачу нужно получать отдельное согласие.

Отзыв согласия на обработку оформляется письменно или в электронной форме тем же способом, которым оно было дано. Например, если документ подписан на бумаге — отзыв оформляется письменно, если через сайт или email — в электронном виде.

После получения отзыва оператор обязан прекратить обработку в течение 30 дней. 

Перед сбором ПДн у первого субъекта оператор обязан направить уведомление в уполномоченный орган — Роскомнадзор — о своем намерении осуществлять обработку. Это необходимо для внесения оператора в реестр и контроля соблюдения требований законодательства. Уведомление подается независимо от формы деятельности, если используются любые средства автоматизации персональных данных.

Направлять уведомление не нужно в исключительных случаях (ст.22 ФЗ №152-ФЗ):

1. Если данные включены в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка.

2. Если обработка проводится исключительно без использования средств автоматизации.

3. Если обработка связана с обеспечением транспортной безопасности, защиты интересов личности, общества и государства в транспортной сфере.

Это можно сделать за несколько минут: Для этого используется открытый реестр операторов персональных данных на официальном сайте ведомства.

1. Перейдите на официальный сайт Роскомнадзора и откройте раздел «Реестр операторов ПДн».

2. Введите в форму поиска ИНН организации или ИП — это самый точный способ проверки.

3. При отсутствии ИНН можно указать ОГРН или полное наименование компании, но в этом случае важно учитывать регистр и возможные совпадения.

4. Нажмите кнопку «Найти» и проверьте результат.

Если сведения найдены, значит, оператор подал уведомление и включен в реестр. 

Да, может это делать, но только при наличии законного основания: например, согласия субъекта. Если речь идет о ПДн сотрудников, действуют дополнительные требования трудового законодательства. При передаче персональных данных работника работодатель обязан (ст. 88 ТК):

• не сообщать данные третьей стороне без письменного согласия работника, за исключением случаев, связанных с угрозой жизни и здоровью или прямо установленных законом;

• не использовать ПДн работника в коммерческих целях без его письменного согласия;

• предупреждать получателей данных о целевом использовании и требовать соблюдения конфиденциальности;

• осуществлять передачу данных внутри организации или у одного ИП только на основании локального нормативного акта, с которым работник ознакомлен под роспись;

• предоставлять доступ к данным только уполномоченным лицам и в объеме, необходимом для выполнения их функций;

• не запрашивать сведения о состоянии здоровья, кроме случаев, связанных с возможностью выполнения трудовой функции.

Важно! Если ПДн передаются по запросу государственных или правоохранительных органов, в ФНС, СФР или военкомат, согласие не нужно. 

Подготовка документов для работы с персональными данными 2026 для организаций

Консультация

Распространение ПДн — это действия, в результате которых сведения становятся доступными неограниченному кругу лиц. Распространение принципиально отличается от передачи данных конкретному получателю, так как в этом случае оператор не контролирует, кто именно получит доступ к информации.

Для распространения ПДн нужно отдельное согласие субъекта. Без него распространять ПДн нельзя, даже если субъект ранее давал согласие на обычную обработку. Например, согласие на распространение обязательно понадобится для публикации списка сотрудников с указанием персданных на сайте компании. 

Основная задача оператора — обеспечение безопасности персональных данных и соблюдение требований ФЗ №152-ФЗ на всех этапах работы с информацией.

Чтобы выстроить все процессы, необходимо:

1. Назначить ответственное лицо за организацию обработки персональных данных. Он взаимодействует с Роскомнадзором, организует обучение сотрудников, участвует в разработке документов и в других процессах, связанных с ПДн. 

2. Подготовить пакет документов по персональным данным: Политику обработки ПДн, локальные нормативные акты, формы согласий, регламенты доступа и хранения данных. Документы должны отражать реальные процессы.

3. Подать уведомление о начале обработки, если это обязательно по ст.22 ФЗ №152-ФЗ.

4. Оформить шаблоны согласий: на обработку, распространение, передачу. 

5. Проводить регулярный аудит процессов обработки — не реже одного раза в год, чтобы вовремя выявлять риски. 

6. Вносить изменения в документы по ПДн при любом изменении процессов обработки: например, внедрении новой CRM-системы.

Хранение персональных данных возможно как с использованием средств автоматизации, так и без них. Формат зависит от того, в каком виде получены данные и какие процессы используются у оператора. При любом варианте ключевое требование закона — ограничить доступ к персональным данным только уполномоченным лицам.

• Автоматизированное хранение включает компьютеры, программное обеспечение, корпоративные серверы и облачные сервисы. Оператор обязан обеспечить защиту таких систем: использовать пароли, двухфакторную аутентификацию и ролевую модель доступа. Например, бухгалтеру предоставляется доступ к зарплатным данным, а менеджеры по продажам и HR не видят эти разделы.

• Неавтоматизированное хранение — это бумажные носители. Документы с персональными данными хранятся в закрытых сейфах или специально оборудованных помещениях. Доступ к ним имеют только сотрудники, чьи функции напрямую связаны с обработкой данных, например, кадровые специалисты.

Здесь подразумевается передача ПДн на территорию иностранного государства иностранному органу власти, физлицу или организации. Если персональные данные в организации передаются за пределы России, оператор обязан заранее подать в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу. Без этого отправлять ПДн нельзя.

Дальнейший порядок зависит от страны получателя:

1. Если государство входит в перечень стран с адекватной защитой ПДн, оператор может сразу передавать данные после подачи уведомления. 

2. Если страна не признана «адекватной», нужно выждать 10 рабочих дней — Роскомнадзор может запретить передачу или установить ограничения.

Важно! Перечень стран, обеспечивающих адекватную защиту, утвержден приказом Роскомнадзора от 05.08.2022 г. № 128. В него входят, например, Грузия, Австрия, Ирландия, КНР и другие, а вот США — нет. 

При сборе персональных данных граждан РФ их первичная запись, систематизация, накопление и хранение должны происходить на территории России. Это правило закреплено в части 5 статьи 18 ФЗ №152-ФЗ и действует независимо от способа сбора данных, в том числе через интернет.

Проще говоря, если вы собираете данные клиентов или сотрудников из России, использовать иностранные базы данных для первичного сбора и хранения нельзя. Сначала данные должны попасть в российскую базу, и только после этого возможна их дальнейшая обработка, включая трансграничная передача, если соблюдены требования закона.

Исключения есть, но они ограничены и прямо перечислены в статье 6 ФЗ №152-ФЗ. На практике бизнесу важно заранее проверить, где физически находятся серверы сайтов, CRM и облачных сервисов, чтобы не нарушить требование о локализации.

Работа с персональными данными невозможна без правильно оформленных документов. Они подтверждают, что оператор соблюдает требования ФЗ №152-ФЗ и правильно выстроил процессы обработки. Состав документов зависит от масштаба бизнеса и способов обработки данных, но базовый набор нужен любой организации:

1. Политика обработки персональных данных — публичный документ, который описывает цели обработки, категории данных и права субъектов. Его размещают на сайте, если данные собираются через интернет.

2. Положение о защите персональных данных — внутренний документ, с которым нужно ознакомить всех сотрудников, допущенных к ПДн. 

3. Приказ о назначении ответственного за организацию обработки персональных данных.

4. Перечень обрабатываемых персональных данных и категорий субъектов.

5. Формы согласий на обработку, передачу и распространение персональных данных.

6. Регламенты доступа к ПДн и правила разграничения прав сотрудников.

7. Инструкции по обеспечению безопасности ПДн при автоматизированной и неавтоматизированной обработке.

8. Акты, журналы учета и т.д.

Если способы хранения, состав данных или цели меняются, документы нужно обновлять, иначе при проверке выяснится, что они не соответствуют реальным процессам, и компания получит предписание.

Да, это обязательное требование. Сотрудник (или сторонняя компания), ответственный за защиту персональных данных, выполняет ключевые задачи:

• контролирует соблюдение закона № 152-ФЗ;

• выстраивает внутренние процессы для хранения, обработки и защиты информации;

• взаимодействует с Роскомнадзором.

Хотя состав мер защиты компания определяет самостоятельно, назначить ответственного обязано каждое юридическое лицо. Это необходимо даже при небольшом объеме данных для обеспечения законности и безопасности всей работы с ними.

Если произошла утечка, оператору необходимо действовать быстро. В течение 24 часов с момента выявления утечки нужно направить уведомление в Роскомнадзор. В течение 72 часов необходимо отчитаться о результатах расследования причин инцидента и о принятых мерах.

Также важно оповестить пострадавших — сотрудников, клиентов или контрагентов, чтобы сохранить доверие и минимизировать репутационные риски.

Мы подготовили таблицу со штрафами за самые распространенные нарушения ФЗ №152-ФЗ операторами:

Подготовка документов для работы с персональными данными 2026 для организаций

Консультация

Передавая данные подрядчику, оператор не снимает с себя ответственность. Он отвечает перед субъектами за соблюдение их прав, законность целей обработки и правомерность самой передачи. Подрядчик обязан обеспечить безопасность ПДн, но основная ответственность все равно возлагается на первоначального оператора. 

При передаче персональных данных третьим лицам, включая банки или IT-подрядчиков, оператор должен:

• заключить договор с подрядчиком, где прописаны обязанности по защите ПДн;

• проверить, что подрядчик применяет меры безопасности, соответствующие законодательству;

• контролировать использование данных только для целей, указанных в договоре;

• при необходимости взять согласие субъекта на передачу.

Пример: банк передает персональные данные клиентов колл-центру для проведения обзвона. Даже если колл-центр соблюдает все правила, ответственность за законность передачи и защиту данных несет банк.

Важно! Мы разработали сервис «Мобиз» для бесплатной проверки контрагентов!

• Выгружайте отчеты.

• Добавляйте списки контрагентов.

• Проявляйте должную осмотрительность.

• Эти и другие возможности Мобиз доступны бесплатно!

Попробовать бесплатно

Реклама: АО «КОНСАЛТИНГ ОНЛАЙН», ИНН: 2310203967, erid: 2W5zFGamgQ1