Что относится к общим персональным данным

Если вы определяете состав персональных данных в анкете, списке или базе, начните с вопроса: к какому человеку относится запись? Закон охватывает любую информацию, связанную с прямо или косвенно определённым либо определяемым физическим лицом. Физическое лицо здесь — человек, которого касается информация. Именно такая связь служит ориентиром для ответа на вопрос об общих персональных данных — п. 1 ст. 3 152-ФЗ.

Прямая связь означает, что человек определяется непосредственно по сведениям. Косвенная связь предполагает возможность установить его через сопоставление информации. Поэтому запись стоит оценивать в её окружении: какие сведения находятся рядом и позволяют ли они вместе определить человека. Отсутствие имени в отдельном поле ещё не даёт ответа о характере всей записи. Оба способа определения человека охвачены п. 1 ст. 3 152-ФЗ.

Нужно ли уже знать человека лично, чтобы считать сведения персональными? Нет: определение охватывает и определяемое лицо. Ориентир — возможность установить, к кому относятся сведения, а не личное знакомство с этим человеком. При оценке записи учитывайте как её содержание, так и связь с другой доступной информацией о лице. Такой подход опирается на п. 1 ст. 3 152-ФЗ.

Если вопрос возник из-за работы со списком людей, различайте сами сведения и действия с ними. Сбор, запись, хранение, использование и передача относятся к обработке персональных данных. Обработка возможна с применением автоматизации и без неё: выбор бумажного или электронного носителя не меняет этого определения. Даже хранение сведений входит в понятие обработки — п. 3 ст. 3 152-ФЗ.

Кто выступает оператором при такой работе? Это лицо или орган, которые организуют либо осуществляют обработку и определяют её цели, состав сведений и действия с ними. Поэтому при оценке работы с данными смотрите, кто решает, зачем их собирать, какие именно записи использовать и что с ними делать: эти признаки оператора закреплены в п. 2 ст. 3 152-ФЗ.

Если сведения передают другим, учитывайте круг получателей. Раскрытие определённому лицу или определённому кругу лиц является предоставлением. Действия, направленные на раскрытие неопределённому кругу лиц, являются распространением. Эти понятия позволяют точно назвать происходящее с информацией о человеке — п. 5 и п. 6 ст. 3 152-ФЗ.

Удаление имени из записи и обезличивание также нужно различать. При обезличивании без дополнительной информации становится невозможно определить, кому принадлежат данные. Для оценки результата задайте практический вопрос: удаётся ли по оставшимся сведениям установить конкретного человека без такой дополнительной информации? Это критерий обезличивания по п. 9 ст. 3 152-ФЗ. Он помогает оценить результат изменения записи, когда сведения продолжают храниться или использоваться.