Что входит в персональные данные

В п. 1 ст. 3 152-ФЗ персональные данные определены через их отношение к физическому лицу. Физическое лицо здесь — человек, а субъект персональных данных — тот человек, к которому относятся сведения. Формулировка закона охватывает любую информацию при наличии этой связи. Ответ на вопрос о составе персональных данных нельзя свести к отдельному списку названий. Сначала нужно установить, о ком сообщают сведения и можно ли определить этого человека по ним.

Определение охватывает как уже определённого человека, так и того, кого ещё можно определить. Это две ситуации, прямо названные в п. 1 ст. 3 152-ФЗ. В первой принадлежность информации человеку уже установлена. Во второй возможность установить её сохраняется, хотя человек пока не определён. Отсутствие готового указания на конкретного человека ещё не позволяет считать сведения неперсональными. Существенно, существует ли возможность связать их с определяемым физическим лицом.

Связь может быть прямой или косвенной. Слово «косвенно» в п. 1 ст. 3 152-ФЗ означает, что определение не ограничивается сведениями, которые сами непосредственно указывают на человека. При оценке информации нельзя просто отбросить всё, где такая прямая связь не видна. Нужно учитывать возможность определить принадлежность сведений человеку через их связь с другой информацией. Иначе из определения исчезла бы прямо предусмотренная законом возможность косвенного определения физического лица.

Состав сведений и действия с ними — разные вопросы. Пункт 1 ст. 3 152-ФЗ объясняет, какая информация является персональной, а п. 3 той же статьи определяет её обработку. Обработка включает сбор, запись, хранение, использование и другие перечисленные в норме действия. Информация не становится персональной лишь из-за того, что её записали или сохранили. Сначала устанавливается её отношение к человеку, затем определяется, какие действия с такими сведениями совершаются.

При этом обработка по п. 3 ст. 3 152-ФЗ возможна с использованием средств автоматизации и без них. Отдельное понятие автоматизированной обработки раскрыто в п. 4: это обработка с помощью средств вычислительной техники. Следовательно, вопрос о том, что входит в персональные данные, нельзя решать только по наличию технических средств. Способ работы с информацией характеризует обработку, а её принадлежность к персональным данным определяется связью с физическим лицом. Эти признаки отвечают на разные вопросы.

Не следует смешивать состав персональных данных и круг людей, которым они раскрываются. В п. 5 ст. 3 152-ФЗ распространением названы действия по раскрытию сведений неопределённому кругу лиц. В п. 6 предоставление связано с раскрытием определённому лицу либо определённому кругу лиц. Такое разграничение описывает направление передачи информации. Оно не заменяет исходный критерий: сведения должны относиться к человеку, который определён или может быть определён. Само название действия не объясняет содержание передаваемых сведений.

Особо в п. 1.1 ст. 3 152-ФЗ выделены персональные данные, разрешённые человеком для распространения. Их особенность связана с тем, что субъект через согласие на соответствующую обработку предоставляет доступ неограниченному кругу лиц в предусмотренном законом порядке. Такая информация остаётся персональными данными, пока относится к прямо или косвенно определённому или определяемому человеку, даже если доступна неопределённому кругу людей. В определении этой категории речь идёт об условиях доступа, а не об отсутствии субъекта.

Для понимания косвенной связи полезно и определение обезличивания из п. 9 ст. 3 152-ФЗ. Это действия, после которых без дополнительной информации невозможно определить принадлежность персональных данных конкретному человеку. Здесь существенна оговорка о дополнительной информации. Обезличивание описано через невозможность установить принадлежность без неё; это не то же самое, что уничтожение. По п. 8 уничтожение связано с невозможностью восстановить содержание в информационной системе либо с уничтожением материальных носителей. Смешивать эти понятия нельзя.

При оценке конкретного набора сведений я начинаю с вопроса о его отношении к человеку, а не с названия набора. Затем имеет значение, определён ли этот человек или может быть определён, в том числе косвенно. Именно эти признаки содержит п. 1 ст. 3 152-ФЗ. Уже после этого можно различать хранение, передачу, обезличивание и остальные действия. Такое чтение нормы позволяет отделить вопрос о составе информации от вопроса о способах работы с ней.