Персональные данные: за что теперь штрафуют по-крупному

Привет! Вы в блоге “Коммерческая тайна”. Подписывайтесь на нас здесь и переходите в наш Телеграм-канал, где можно скачать инструкции и гайды (и много закрытой информации). И поддержите нас комментарием и подпиской!

30 мая штрафы за неуведомление о начале обработки персональных данных вырастут. И бизнес массово стал спрашивать:
– А я вообще оператор персональных данных?
– А что именно считается ПД?
– И надо ли мне подавать уведомления?

Разбираемся. По закону оператором персональных данных может быть и юрлицо, и физлицо, и госорган. А вот само определение персональных данных звучит как ловушка:

«Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физлицу».

Звучит просто, но на практике — совсем наоборот. Поясним.

Согласно разъяснениям с сайта мойбизнес.рф, к ПД относятся:

• ФИО;

• место и дата рождения, адрес регистрации;

• фото и видео, позволяющие идентифицировать человека;

• информация о семье, детях, родственниках;

• зарплата, доходы, имущественное положение;

• политические, религиозные взгляды, здоровье;

• сведения о судимостях;

• телефон, e-mail, аккаунты в соцсетях и мессенджерах;

• паспорт, СНИЛС, ИНН;

• биометрия.

Важно: некоторые данные вне контекста не считаются ПД.
Например:

• Номер телефона сам по себе — не ПД.

• Но если рядом ФИО — уже ПД.

• E-mail вроде vasiliev_vasya_1999@mail.ru — тоже ПД (по нему можно определить человека).

• А вот просто hello123@mail.ru — ещё надо доказывать, что это ПД.

Формируют понятие «ПД» гораздо яснее, чем закон. Вот примеры из судебной практики:

фамилия, имя, отчество, дата и место рождения, адрес, имущественное и семейное положение, доходы — всё это суды признают персональными данными (дела №33-2984/2017 и №33-3815/13).

Увы, на сайте РКН ясности нет. Вопросы заданы, ответы размыты. Перечня ПД — как такового — не найти. Да, есть консультативный совет. Но читать их материалы — не легче, чем налоговый кодекс на китайском.

Штраф за неуведомление об обработке ПД — до 300 000 рублей. Причем — вне зависимости от того, осознавали вы риски или нет.

Если вы:
— собираете e-mail, телефоны или ФИО клиентов;
— используете CRM, принимаете заявки, ведёте лист заказов;
— работаете с фото или видео, где можно опознать людей;
— храните или анализируете анкеты, резюме, отзывы, адреса доставки —

…то с вероятностью 99% вы оператор ПД. А значит — вам нужно уведомление. И порядок обращения с данными.

❗️Отсутствие умысла не спасает от штрафа.

Система работает так: сначала факт, потом наказание. Если вы не уведомили Роскомнадзор, ответственность наступает — независимо от последствий.

📌 Сохраните этот разбор — и пересылайте коллегам. Такой текст заменит десятки консультаций. И — да: лучше один раз разобраться, чем потом платить 300 000.