Что относится к персональным данным по Закону № 152-ФЗ

Чтобы понять, является ли информация персональными данными, начните с человека, к которому она относится. Закон охватывает сведения о физическом лице, уже определенном либо таком, которое можно определить. Этот человек называется субъектом персональных данных. Проверять нужно связь информации с ним, а не только название поля в анкете или файла со сведениями — п. 1 ст. 3 152-ФЗ.

Прямое определение означает, что информация указывает на человека непосредственно. Косвенное предполагает возможность установить его через связь с другими сведениями. Например, если обозначение записи позволяет через дополнительную информацию установить конкретного человека, такую запись нужно оценивать с учетом этой связи. Отсутствие имени в самой записи не исключает ее отнесения к персональным данным: критерий закона включает и определяемое лицо — п. 1 ст. 3 152-ФЗ.

При работе со сведениями учитывайте и то, что именно с ними происходит. Обработкой является не только изменение информации: в это понятие входят сбор, запись, хранение, использование и передача. Если сведения о человеке просто хранятся, это тоже обработка. Использование компьютера для такой квалификации необязательно: определение охватывает действия со средствами автоматизации и без них — п. 3 ст. 3 152-ФЗ.

Для бизнеса следующий вопрос — кто определяет работу с этой информацией. Оператором называется лицо, которое организует или осуществляет обработку и определяет ее цели, состав сведений и действия с ними. К этому понятию относятся и организации, и физические лица, причем организовать обработку они могут совместно. Сопоставьте эти признаки с фактической организацией обработки — п. 2 ст. 3 152-ФЗ.

Когда информацию передают другим, различайте адресатов. Если круг получателей определен, раскрытие информации относится к предоставлению персональных данных. Если раскрытие направлено на неопределенный круг лиц, это распространение. Оба действия входят в обработку персональных данных, но описывают разные способы раскрытия информации. Для выбора термина установите, кому именно адресованы сведения — пп. 3, 5 и 6 ст. 3 152-ФЗ.

Сведения, разрешенные человеком для распространения, остаются персональными данными. Их особенность в том, что доступ неограниченному кругу лиц предоставлен субъектом через согласие на обработку данных, разрешенных для распространения. Это отдельное понятие, связанное со способом предоставления доступа, а не с утратой связи информации с человеком — п. 1.1 ст. 3 152-ФЗ.

Обезличивание также оценивают через возможность определить человека. Так называется действие, после которого без дополнительной информации нельзя установить принадлежность данных конкретному субъекту. Уничтожение имеет другой результат: содержание становится невозможно восстановить в информационной системе либо уничтожаются материальные носители. Поэтому при описании работы со сведениями различайте невозможность определить их принадлежность и невозможность восстановить их содержание — пп. 8 и 9 ст. 3 152-ФЗ.