Если у вас есть сайт — даже простой лендинг или блог — вы, скорее всего, уже обрабатываете персональные данные. И не всегда это очевидно. В этой статье разбираемся, что такое персональные данные по 152-ФЗ, что к ним относится (включая IP-адрес и cookies), а что не относится — и почему это критически важно для владельца сайта.
Персональные данные — любая информация, по которой можно идентифицировать человека. Это ФИО, телефон, email, адрес, дата рождения, паспортные данные, а также IP-адрес, cookies и данные браузера — да, их Роскомнадзор тоже относит к ПД. За неправильную работу с ПД штрафы до 300 000 ₽ для ООО.
Определение персональных данных по закону
Федеральный закон № 152-ФЗ «О персональных данных» даёт такое определение:
Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
Ключевое словосочетание здесь — «прямо или косвенно определяемому». Это означает: если по набору информации теоретически можно вычислить конкретного человека — это персональные данные. Даже если сама по себе одна запись кажется обезличенной.
Что точно относится к персональным данным
Это «классические» ПД, которые очевидны большинству:
- Фамилия, имя, отчество
- Дата и место рождения
- Адрес регистрации и фактический адрес
- Паспортные данные, ИНН, СНИЛС
- Номер телефона
- Адрес электронной почты
- Должность, место работы, зарплата
- Семейное положение, данные о родственниках
- Фото и видео с узнаваемым человеком
- Биометрия: отпечатки пальцев, голос, изображение лица
Что ещё относится к ПД: неочевидные случаи
Здесь владельцы сайтов чаще всего ошибаются. По позиции Роскомнадзора к персональным данным относится и следующая информация, даже если её собирают автоматически:
IP-адрес
IP-адрес в комбинации с любыми другими данными (время визита, страницы, регистрация) позволяет идентифицировать пользователя, поэтому считается персональными данными. Если у вас подключена Яндекс.Метрика или Google Analytics — вы уже обрабатываете ПД.
Cookies и идентификаторы устройств
Cookie-файлы, Advertising ID, Device ID, MAC-адрес — всё это тоже ПД, потому что позволяет отслеживать пользователя между визитами. Именно поэтому на сайтах появились cookie-баннеры.
User-Agent и данные браузера
Связка из User-Agent, разрешения экрана, списка шрифтов и плагинов формирует «цифровой отпечаток» браузера — это тоже персональные данные.
Ник в соцсетях
Если ник в соцсети публично связан с реальным человеком (через фото, друзей, переписку) — это тоже персональные данные. Поэтому собирать ники через форму обратной связи нужно с согласием.
Проверьте свой сайт бесплатно
Введите адрес — за 30 секунд покажем все нарушения и суммы штрафов.
Что НЕ относится к персональным данным
- Обезличенные агрегированные данные. Например, «80% посетителей заходят с мобильных» — это статистика, а не ПД.
- Данные юридических лиц. Название ООО, его ИНН, ОГРН, юридический адрес — это не персональные данные, это открытая информация о юрлице.
- Полностью обезличенные данные, по которым невозможно восстановить личность.
«Обезличенные» данные — скользкая грань. Если вы храните IP+время визита+страницы, Роскомнадзор считает это ПД, даже если вы не знаете ФИО. Лучше перестраховаться и относиться ко всему как к ПД.
Категории персональных данных
Закон делит ПД на 4 категории по степени защиты:
- Общие ПД — ФИО, контакты, дата рождения. Самая распространённая категория.
- Специальные ПД — раса, национальность, политические взгляды, религия, здоровье, интимная жизнь. Строго ограниченный список оснований для обработки.
- Биометрические ПД — физиологические данные, по которым устанавливается личность. Нужно отдельное письменное согласие.
- Иные ПД — всё, что не попало в первые три категории.
Что это значит для владельца сайта
Если у вас есть хоть одно из следующего — вы обрабатываете ПД и обязаны соблюдать 152-ФЗ:
- Форма обратной связи, заявки, подписки
- Яндекс.Метрика, Google Analytics или другая аналитика
- Корзина интернет-магазина
- Авторизация пользователей
- Cookie для хранения настроек
- Чат-виджет (JivoSite, Bitrix24, Tilda Chat)
- Пиксель ретаргетинга (VK, myTarget, Яндекс)
Обработка ПД без выполнения требований закона — это штрафы от 60 000 ₽ для ООО и от 10 000 ₽ для ИП по ч. 3 ст. 13.11 КоАП РФ. По совокупности нарушений можно получить до 1 миллиона рублей.
Что делать дальше
Минимальный набор, чтобы не получить штраф:
- Разместить политику конфиденциальности на сайте
- Добавить ссылку на неё у каждой формы
- Поставить чекбокс согласия рядом с каждой формой (не предустановленный)
- Подключить cookie-баннер
- Указать реквизиты компании в футере
- Подать уведомление оператора в Роскомнадзор (для юрлиц и большинства ИП)
Проверить, всё ли правильно сделано на вашем сайте, можно за 30 секунд в форме ниже — наш сервис пройдётся по всем чек-пойнтам и покажет конкретные нарушения с суммами штрафов.