Является ли ИНН персональными данными

Если вы передаёте свой ИНН или собираете номера других людей, исходите из связи номера с человеком. Персональные данные — это информация о физическом лице, которое уже определено либо может быть определено. Закон охватывает и прямую, и косвенную связь. Поэтому цифровая запись может быть персональными данными так же, как сведения, записанные словами: решает возможность установить человека, а не внешний вид записи — п. 1 ст. 3 152-ФЗ.

Наличие фамилии рядом с ИНН облегчает понимание того, кому он принадлежит. Но отсутствие фамилии не исключает такую связь: человека можно определить и с помощью других сведений. Например, номер в карточке конкретного клиента относится к этому клиенту, даже если имя хранится в другом связанном разделе. Оценивать нужно сведения в их связи, поскольку п. 1 ст. 3 152-ФЗ прямо учитывает косвенное определение физического лица.

С ИНН организации вопрос решается через тот же критерий: сведения должны относиться к физическому лицу. Когда номер обозначает юридическое лицо, предмет записи — организация. Если же вместе с ним обрабатываются сведения о конкретном человеке, их принадлежность к персональным данным оценивается по связи с этим человеком. Смешивать эти две ситуации при работе с карточками контрагентов не стоит — п. 1 ст. 3 152-ФЗ.

Работа с номером начинается раньше его отправки кому-либо. Если вы собираете ИНН людей, вносите их в таблицу, храните или исправляете, это уже обработка. Использование номера для поиска записи тоже относится к действиям с данными. Бумажная форма не меняет подход: определение обработки охватывает операции как со средствами автоматизации, так и без них — п. 3 ст. 3 152-ФЗ.

Если ИНН направлен конкретному получателю, речь идёт о предоставлении персональных данных. Когда действия направлены на раскрытие номера неопределённому кругу лиц, это распространение. Различие связано с кругом получателей: определён ли он или доступ адресован неопределённому кругу. Эти понятия закреплены соответственно в п. 6 и п. 5 ст. 3 152-ФЗ; оба действия входят в обработку по п. 3 той же статьи.

Удаление имени из таблицы с ИНН не всегда превращает её в обезличенную. Обезличивание предполагает, что без дополнительной информации невозможно определить принадлежность данных конкретному человеку. Если оставшиеся сведения позволяют определить владельца номера, ориентироваться только на отсутствие имени ошибочно. Для оценки результата удаления отдельных полей применяют именно критерий из п. 9 ст. 3 152-ФЗ.

Для бизнеса имеет значение и то, кто организует работу с ИНН людей. Оператором является лицо, которое организует или осуществляет обработку и определяет её цели, состав данных и действия с ними. Например, при ведении клиентской базы нужно учитывать, кто принимает эти решения, а не только кто технически вводит номера. Определение оператора содержится в п. 2 ст. 3 152-ФЗ.