Какие сведения о человеке закон считает персональными данными

Персональные данные — любые сведения, по которым можно прямо или косвенно определить человека. К ним относятся имя, телефон, адрес, сведения о работе и покупках. Данные посетителя сайта тоже могут попасть под закон: например, когда форма заявки связывает телефон с историей посещений. Значение имеет весь набор сведений, доступный вашему бизнесу.

Что такое персональные данные по 152-ФЗ

По Федеральному закону № 152-ФЗ персональные данные — информация, которая прямо или косвенно относится к определённому либо определяемому человеку. Проверьте, можете ли вы по собранным сведениям узнать, о ком идёт речь. Человек, к которому относятся сведения, называется субъектом персональных данных.

Имя вместе с номером телефона обычно позволяет определить клиента прямо. Косвенная связь возникает, когда в одном отчёте указан номер заявки, а в другой системе по этому номеру открывается карточка клиента. Без имени в первом отчёте связь с человеком никуда не исчезает.

Для маркетолога важен доступный ему набор данных. Отдельная строка «посетитель открыл страницу» ничего не говорит о личности. Если система соединяет посещение с формой заявки и контактом, история посещений относится к тому же человеку.

Факт. Закон относит к персональным данным информацию, связанную с человеком прямо или косвенно. Поэтому при проверке смотрят и на возможность соединить сведения между системами.

Что относится к персональным данным: перечень по закону

Закрытого перечня персональных данных нет. Закон задаёт критерий связи с человеком, поэтому к персональным данным могут относиться документы, контакты, сведения о работе и цифровые следы. Один и тот же признак оценивают в контексте: адрес электронной почты в заявке связан с клиентом, а обезличенная сводка по заявкам не раскрывает отдельных людей.

IP-адрес также требует проверки контекста. В журнале посещений он может соседствовать с другими признаками, которые помогают определить человека. Поэтому решение по цифровым данным принимайте после просмотра всей цепочки: сайт, форма, система учёта заявок, рекламный отчёт.

Категории персональных данных

Для работы с данными важно различать обычные сведения, специальные категории и биометрию: требования к их обработке могут различаться. Публичная доступность сведений тоже имеет значение, но сама по себе не разрешает использовать их для любой цели. Название категории зависит от содержания данных и от того, как бизнес их применяет.

Обычные сведения — например, имя и телефон в заявке на обратный звонок. К специальным категориям относятся сведения о здоровье, убеждениях, национальности и других чувствительных сторонах жизни. Для их обработки закон устанавливает особые условия. Данные о судимости тоже требуют отдельной проверки основания.

Биометрия — физиологические или биологические особенности, которые используют для установления личности. Фотография в карточке сотрудника и распознавание лица на входе решают разные задачи; одного слова «фото» для выбора правил недостаточно.

Сведения, которые человек опубликовал сам, тоже могут оставаться персональными данными. Если вы переносите публичный контакт в рекламную базу, проверьте основание и цель такого использования. Публичная страница не даёт общего разрешения на рассылку.

Чувствительность данных зависит не только от поля в анкете. Посмотрите, зачем вы собираете сведения и что делаете с ними после получения.

Что не относится к персональным данным

Сведения не относятся к персональным данным, когда по ним нельзя определить конкретного человека ни прямо, ни через доступную дополнительную информацию. Например, суммарное число заявок из рекламы не раскрывает личности клиентов. Название и реквизиты организации описывают юридическое лицо, хотя сведения о её конкретном сотруднике требуют отдельной оценки.

Представьте запись: «посетитель из Москвы открыл страницу». Если у вас нет связанных с ней идентификаторов и других способов установить посетителя, запись не указывает на человека. Но добавление номера заявки, телефона или истории входа меняет вывод. Проверять нужно всю связку, а не одну строку отчёта.

Обезличивание помогает отделить показатели от людей, если без дополнительной информации восстановить связь нельзя. Передавая подрядчику отчёт, проверьте, не сохранились ли в нём скрытые идентификаторы и ключи для соединения строк с клиентской базой.

С IP-адресом без других сведений нет простого правила на все случаи. Для сайта и аналитики практичнее проверить, какие данные собираются рядом с ним и кто может их соединить.

Субъект и оператор: кто есть кто

Субъект — человек, к которому относятся персональные данные. Оператор определяет, зачем и какие данные собирать, и организует их обработку. Интернет-магазин, который запрашивает телефон для заказа, выступает оператором по этой задаче, даже если форму и базу технически обслуживают другие компании.

Один человек может быть субъектом в разных отношениях: как покупатель, работник или посетитель сайта. Соответственно меняются цели сбора. Телефон покупателя нужен для связи по заказу; его использование для другой цели требует самостоятельной проверки основания.

Подрядчик, который хранит базу по заданию магазина, участвует в обработке данных. Чтобы разобраться в ролях, выясните, кто выбирает цель, состав сведений и действия с ними. Само место хранения ответа не даёт: одна компания может обрабатывать данные по поручению другой, а в собственных задачах выступать оператором.

Если заявки из лид-формы в Директе попадают в систему учёта клиентов, проследите путь контакта до отчёта. Это покажет, кому доступны сведения и для какой задачи.

Обработка персональных данных: что это и когда законна

Обработка начинается, когда бизнес собирает или записывает персональные данные, и продолжается при хранении, использовании, передаче, изменении или удалении. Даже если менеджер просто переносит телефон из формы заявки в таблицу, он выполняет действие с данными. Для каждого действия нужны понятная цель и подходящее правовое основание.

Согласие — одно из возможных оснований. В отдельных ситуациях обработка нужна для исполнения договора или требования закона. Выбирайте основание под конкретную цель: получение заявки, связь по заказу и рекламная рассылка решают разные задачи. Одна отметка в форме не объясняет автоматически все будущие способы использования контакта.

Собирайте сведения, которые нужны для заявленной цели. Если человеку достаточно оставить телефон для обратного звонка, запрос семейного положения требует отдельного объяснения. Проверьте также, куда отправляется заявка, кто видит её в отчёте и остаётся ли контакт после завершения задачи.

Маркетологу полезно разделять отчётные показатели и клиентские записи. Доля посетителей, оставивших заявку может рассчитываться по сводным числам, тогда как разбор пути конкретного клиента затрагивает связанные с ним сведения.

Ответственность за нарушения при работе с персональными данными

Нарушения правил обработки персональных данных могут повлечь административную ответственность. Среди поводов для неё — обработка без подходящего основания, использование сведений не по заявленной цели и несоблюдение обязанностей оператора. Конкретные последствия зависят от обстоятельств нарушения; оценивать риск по одной общей сумме штрафа нельзя.

Отдельная проблема — утечка. Если клиентская база уходит посторонним, важны состав сведений, масштаб события и действия оператора. Сведения о частной жизни требуют особой осторожности: незаконный сбор или распространение таких данных может повлечь более серьёзную ответственность.

Для небольшой рекламной команды самая полезная профилактика — понимать, где лежат контакты. Заявка может одновременно сохраниться в форме, почте менеджера, таблице, системе учёта и выгрузке подрядчика. Каждая копия расширяет круг доступа и усложняет удаление данных, когда оно потребуется.

Мнение. Если отчёт нужен только для сравнения рекламных каналов, начните со сводных показателей без контактов клиентов. Когда задача требует разобрать путь отдельной заявки, ограничьте доступ к записи теми, кто с ней работает.

Что проверить в своём бизнесе

Проверку начните с пути заявки: от поля, которое заполняет посетитель, до последнего отчёта, где появляется его контакт. Такой маршрут помогает увидеть персональные данные, которые команда не замечает в привычной работе. Для каждого места хранения запишите цель использования и людей с доступом.

• Поля форм. Уберите сведения, без которых нельзя решить заявленную задачу.
• Связи между системами. Проверьте, соединяют ли номер заявки, телефон и историю посещений.
• Основания обработки. Определите основание для каждой цели, включая связь по заявке и дальнейшие сообщения.
• Получателей данных. Выясните, какие сведения видят сотрудники, подрядчики и подключённые сервисы.
• Выгрузки и копии. Найдите таблицы и письма, в которых остаются клиентские контакты.
• Отчёты. Проверьте, где достаточно суммарных цифр без записей об отдельных людях.

Когда маршрут готов, сверьте передачу сведений о рекламе как отдельную задачу: у неё свои правила и состав передаваемой информации. Для оценки стоимости заявок можно использовать показатель цены лида, не добавляя телефоны клиентов в сводный отчёт.

Источники

• Федеральный закон «О персональных данных» — Российская Федерация.
• Кодекс Российской Федерации об административных правонарушениях — Российская Федерация.
• Уголовный кодекс Российской Федерации — Российская Федерация.

Если хотите понять, какие сведения проходят через ваши рекламные формы и отчёты, оставьте заявку на разбор этой цепочки.