Что относится к персональным данным

Пункт 1 ст. 3 152-ФЗ определяет персональные данные через отношение информации к физическому лицу. Физическое лицо здесь означает человека, а субъект персональных данных — того, о ком собраны сведения. В определении нет закрытого перечня названий документов или полей анкеты. Искать ответ только в готовом списке недостаточно: сначала нужно установить, относится ли информация к человеку и можно ли его определить. Именно этот признак позволяет оценить содержание сведений, даже если их название кажется нейтральным.

Прямая связь означает, что сведения относятся к уже определенному человеку. Косвенная связь предполагает возможность определить его через сопоставление информации. Закон охватывает оба случая. Даже без имени сведения относятся к персональным данным, если по ним можно прямо или косвенно определить человека. Если по имеющейся связи можно установить человека, информация может соответствовать определению из п. 1 ст. 3 152-ФЗ. Оценивать нужно не только отдельную запись, но и то, с какими другими сведениями она связана.

Допустим, запись обозначена условным номером. Само слово «номер» еще не объясняет, является ли запись персональными данными. Существенно другое: позволяет ли связь этого номера с дополнительной информацией определить человека, к которому относится запись. Это пример применения критерия косвенной определимости, а не самостоятельная категория данных, перечисленная законом. По той же причине нельзя заранее объявить любые сведения без имени неперсональными: такое заключение пропускало бы прямо предусмотренную законом косвенную связь.

При этом определение касается информации о физическом лице. Сведения, которые описывают только организацию и не относятся к определенному или определяемому человеку, не подпадают под этот критерий лишь из-за самого факта их существования. Если же в записи об организации присутствует информация о человеке, ее связь с ним оценивается по тому же п. 1 ст. 3 152-ФЗ. Название раздела или файла не заменяет оценки содержания: в одном наборе могут находиться сведения разного характера.

Отдельный вопрос — что делают с такой информацией. Пункт 3 ст. 3 152-ФЗ называет обработкой действия с персональными данными. В это понятие входят не только использование или передача, но также сбор, запись и хранение. Признание информации персональной не связано исключительно с ее публикацией. Сведения могут храниться без раскрытия другим лицам, и хранение все равно относится к обработке. Для этого определения не обязательно использование программы: закон охватывает действия как со средствами автоматизации, так и без них.

Раскрытие сведений тоже имеет разные формы. По п. 5 ст. 3 152-ФЗ распространением являются действия по раскрытию персональных данных неопределенному кругу лиц. По п. 6 этой статьи предоставление означает раскрытие определенному лицу или определенному кругу лиц. Это различие описывает адресатов раскрытия. Оно не меняет исходный вопрос о том, относятся ли сведения к человеку: сначала оценивается сама информация, затем характер совершенного с ней действия. Нельзя сводить понятие персональных данных только к тому, что стало доступно всем.

В п. 1.1 ст. 3 152-ФЗ отдельно названы персональные данные, разрешенные субъектом для распространения. Определение связывает доступ неограниченного круга лиц с согласием самого субъекта на соответствующую обработку. Такие сведения продолжают называться персональными данными. Следовательно, доступность информации и ее принадлежность к персональным данным — разные вопросы. Из одного лишь факта доступности нельзя вывести, каким способом субъект предоставил доступ и соответствует ли ситуация этому определению.

Обезличивание также нельзя понимать просто как смену подписи у записи. Пункт 9 ст. 3 152-ФЗ описывает действия, после которых без дополнительной информации невозможно определить принадлежность данных конкретному субъекту. При оценке обезличивания существенна возможность восстановить связь с человеком через дополнительные сведения. Удаление одного обозначения еще не объясняет, достигнут ли описанный в законе результат. Смысл термина раскрывается через возможность определения принадлежности информации, а не через внешний вид записи.

Для ответа применительно к конкретному набору сведений полезно сформулировать два вопроса: о каком человеке сообщает информация и как его можно определить. Затем можно установить, какие действия с ней совершаются: хранение, использование, предоставление или распространение. Эти вопросы не следует смешивать. Первый раскрывает признак персональных данных по п. 1 ст. 3 152-ФЗ, второй помогает правильно назвать обработку по другим пунктам той же статьи. Такое последовательное чтение нормы объясняет, почему одинаково названные записи могут иметь разное содержание и разную связь с человеком.