Есть ли у юридического лица персональные данные

Если вы хотите понять, что относится к персональным данным юридического лица, начните с того, о ком сообщают сведения. У организации как самостоятельного юридического лица таких данных нет. Персональными закон называет сведения о физическом лице — человеке, которого можно определить прямо или косвенно. Это человек является субъектом персональных данных. Поэтому информацию исключительно об организации и информацию о людях, связанную с её деятельностью, нужно различать по содержанию — п. 1 ст. 3 152-ФЗ.

При оценке конкретной записи ориентируйтесь не на название документа, а на возможность установить человека. Информация может относиться к нему прямо, когда понятно, о ком идёт речь. Возможна и косвенная связь: человек определяется через другие сведения. Определение персональных данных охватывает оба случая. Если запись касается деятельности компании, но одновременно позволяет определить физическое лицо, связь с компанией не устраняет её отношения к этому человеку. Такой подход следует из п. 1 ст. 3 152-ФЗ.

Почему тогда персональные данные обсуждают применительно к юридическим лицам? Компания может быть оператором, то есть организовывать или осуществлять обработку сведений о людях и определять её цели, состав данных и действия с ними. Здесь различаются две роли: человек, к которому относится информация, и организация, которая решает, для чего и как её обрабатывать. Юридическое лицо прямо включено в определение оператора, а субъектом остаётся физическое лицо — п. 1 и 2 ст. 3 152-ФЗ.

Если сведения находятся у компании, это ещё не ответ на вопрос, кому они посвящены. Хранение информации характеризует действие организации, а принадлежность сведений к персональным данным определяется их связью с человеком. Разделите эти вопросы: позволяет ли информация определить физическое лицо и какие действия компания с ней выполняет. Такое разделение помогает понять, почему у юридического лица могут храниться персональные данные людей, хотя говорить о собственных персональных данных организации неверно — п. 1–3 ст. 3 152-ФЗ.

Обработка начинается не только тогда, когда компания передаёт сведения кому-либо. Сбор, запись и хранение информации о человеке тоже входят в это понятие. К обработке относятся также уточнение, использование, извлечение и удаление данных. Поэтому при оценке работы организации учитывайте весь путь сведений: какие из них собираются, где сохраняются и как используются. Каждое из этих действий может быть обработкой персональных данных, если информация относится к определённому или определяемому человеку, — п. 3 ст. 3 152-ФЗ.

Способ работы с информацией не меняет того, кто является её субъектом. Закон охватывает обработку как с использованием средств автоматизации, так и без них. Автоматизированной считается обработка с помощью средств вычислительной техники. Следовательно, вопрос о персональных данных нельзя решать только по тому, ведёт ли компания электронную базу. Сначала установите связь сведений с человеком, затем определите выполняемые действия и используемые средства. Эти признаки разграничены в п. 1, 3 и 4 ст. 3 152-ФЗ.

При передаче информации имеет значение круг получателей. Если действия направлены на раскрытие персональных данных неопределённому кругу лиц, это распространение. Если сведения раскрываются конкретному лицу или определённому кругу лиц, это предоставление. В обоих случаях речь идёт о действиях с информацией о человеке, а не о появлении персональных данных у самой организации. Для описания операции компании выбирайте термин по тому, кому открывается информация, — п. 5 и 6 ст. 3 152-ФЗ.

Отдельный вопрос — можно ли после изменения записи установить, какому человеку она принадлежит. Закон называет обезличиванием действия, после которых определить эту принадлежность без дополнительной информации невозможно. Ориентир здесь — именно возможность соотнести данные с конкретным субъектом. Поэтому простое обозначение информации как относящейся к компании не объясняет, обезличена ли она: нужно оценить возможность определить человека и роль дополнительных сведений. Критерий обезличивания закреплён в п. 9 ст. 3 152-ФЗ.

Для ответа применительно к вашей организации последовательно сопоставьте содержание сведений и роль компании. Информация исключительно о юридическом лице не становится персональными данными человека. Информация, позволяющая определить физическое лицо, оценивается как относящаяся к этому человеку. Если компания организует или осуществляет её обработку и определяет цели, состав данных и операции, речь идёт о роли оператора. Именно различие между субъектом и оператором позволяет правильно понимать выражение «персональные данные юридического лица» — п. 1 и 2 ст. 3 152-ФЗ.