Личные данные это что
Что такое персональные данные. Объясняем простыми словами
Персональные данные — информация, которая прямо или косвенно относится к конкретному физическому лицу.
Проще говоря, это Ф. И. О., паспортные данные, банковские данные, номера телефона, адрес проживания, фотография и так далее. Важно, чтобы данные относились к конкретному человеку. Абстрактный номер телефона не является персональными данными, потому что невозможно понять, кому он принадлежит. Но если напротив этого телефона стоит Ф. И. О., то это уже персональные данные, так как понятно, к какой персоне они относятся.
Субъект персональных данных — лицо, чьи данные собираются, обрабатываются и хранятся. Оператор персональных данных — это юридическое лицо или государственная организация, которые эти данные собирают, обрабатывают, хранят, передают и уничтожают.
Пример употребления на «Секрете»
«»Яндекс» указал, что некоторые возможности сервисов станут недоступны после удаления персональных данных. Например, «Яндекс.Музыка» советует новые треки, опираясь на историю прослушиваний, лайки и дизлайки, и без этой информации рекомендации будут неточными».
(Из новости о том, что «Яндекс» разрешил пользователям навсегда удалять персональные данные.)
Нюансы
Выделяют несколько видов персональных данных:
Критика
Главная проблема персональных данных — в их частых утечках. Скандалы вокруг таких инцидентов происходят в России нередко. Так, в мае 2020 года в интернете появились паспортные данные москвичей, оштрафованных за нарушение самоизоляции. В ноябре 2019 года в открытом доступе оказалась личная информация 500 000 пользователей сайта по поиску работы Job in Moscow. Хакерам стали доступны не только персональные данные соискателей, но и логины и пароли их учётных записей.
«Аксиома: любая база данных утечёт. Завтра или через три года, целиком или по кусочкам, но это обязательно случится. Вот чем опасен сбор персональных и необезличенных данных», — констатирует сооснователь и генеральный директор HFLabs Дмитрий Журавлёв.
Цифры
Чтобы решить эту проблему, в 2021 году Госдума в 10 раз подняла штрафы за разглашение персональных данных. Для граждан — с 500–1000 рублей до 5000–10 000 рублей, для должностных лиц — с 4000–5000 рублей до 40 000–50 000 рублей. Помимо этого, систематически вносимые в законодательство поправки довели ответственность юрлиц за мелкие нарушения до 200 000 рублей.
Более серьёзные нарушения, включая сбор персональных данных посредством информационно-телекоммуникационной сети «Интернет», могут повлечь наложение административного штрафа на юрлицо от 1 млн до 6 млн рублей. Повторное совершение такого нарушения может повлечь штраф от 6 млн до 18 млн рублей.
Персональные данные и всё, что о них нужно знать
Истоки правового регулирования персональных данных на западе и России;
Виды персональных данных и основные понятия ФЗ № 152;
Ответственность за нарушение персональных данных;
В последние десятилетия мы часто слышим в новостной ленте о том, как слили персональные данные, о так называемом «пробиве» информации о человеке. Роскомнадзор постоянно объясняет: как не стать жертвой мошенников, а эксперты дают нам рекомендации по цифровой гигиене.
Вроде как все понимают, что такое персональные данные и многие даже с уверенностью скажут, что к ним относятся паспортные данные, пароли, личная и семейная тайна. Однако, кто знает точные перечень персональных данных? Откуда вообще пошло правовое регулирование этих данных? Какую ответственность несут нарушители права на защиту персональных данных? Как воспринимают персональные данные суды?
Сегодня поговорим обо всём этом и попытаемся конкретизировать эту текучую субстанцию – персональные данные.
1. Истоки правового регулирования персональных данных на Западе и России.
Запад
На Западе персональные данные начали рассматриваться в контексте правового регулирования в 1890 году, когда два американских юриста, сокурсника по Гарварду: Сэмюэль Уоррен и Луи Брендайс – опубликовали статью, в которой говорили о праве privacy. По их мнению это право делилось на:
Физическую приватность – всё, что связано со здоровьем и телом;
Территориальную приватность – грубо говоря это неприкосновенность жилища;
Приватность коммуникации – всё, что связано с общением, например, тайна корреспонденции;
Информационную приватность – сюда как раз относятся персональные данные.
Кстати они трактовали privacy, как «право быть оставленным в покое». Весьма точная формулировка, когда номер твоего телефона разлетается по навязчивым банкам)
Это право было законодательно закреплено в 1948 году во Всеобщей декларации прав человека, а именно в ст. 12, которая гласила:
«Никто не может подвергаться произвольному вмешательству в его личную и семейную жизнь, произвольным посягательствам на неприкосновенность его жилища, тайну его корреспонденции или на его честь и репутацию. Каждый человек имеет право на защиту закона от такого вмешательства или таких посягательств»
ФЗ от 19.12.2005 N 160-ФЗ она была ратифицирована. В данном ФЗ также отмечено, что положения этой Конвенции не применятся в России в случаях, если персональные данные обрабатывались исключительно в личных или семейных нуждах, либо эти данные отнесены к государственной тайне.
Окончательное закрепление право privacy нашло своё отражение в ст. 8 Хартии об основных правах: «Каждый человек имеет право на защиту относящихся к нему данных личного характера». Также именно тут появилось положение об обязательном наличии согласия субъекта персональных данных на их обработку, сбор, систематизацию и тем более на распространение.
Россия
В России всё несколько проще и началось, на самом деле, раньше. В 1857 году (вступил в силу в 1876 году) был подготовлен Телеграфный устав, который устанавливал тайну корреспонденции. За нарушение этой тайны наступала уголовная ответственность.
В 1917 прошлась Революция и отменила все ранее принятые законы, в том числе и Устав.
В Сталинской Конституции 1936 года (понимаю звучит смешно, но всё же) была отдельная глава, посвященная правам человека и в ней помимо прочего устанавливались неприкосновенность жилища, личность и тайна переписки.
Последняя и ныне действующая Конституция 1993 года раз и навсегда закрепила запрет на сбор, хранение, использование, распространение данных о человеке без согласия субъекта персональных данных.
Помните Конвенцию 1981 года и то что она была ратифицирована в 2005 году? Так вот в следующем году вступил в силу Федеральный закон № 152 «О персональных данных», который буквально скопипастил эту Конвенцию с её принципами и понятиями. Единственное отличие между их и нашим вариантами правового регулирования заключается в том, что у европейской системы персональные данные неотделимы от защиты личности и её частной жизни, в России же, персональные данные – это самостоятельный объект права.
Итак, мы прошлись по истории и теперь разберём виды персональных данных, что же к ним относится, а что нет.
2. Виды персональных данных и основные понятия ФЗ № 152
Посмотрите на изображение ниже. На нём мы видим определение «Персональных данных», взятое из ФЗ № 152 и ряд данных. Как думаете, что из этого относится к персональным данным?
Ответ: все, но не всегда.
Уверен, что вы ответили правильно, но с лёгкими сомнениями и это понятно. Понятие, которое нам дал законодатель настолько расплывчатое, что через него можно плавать брасом. Понятие персональных данных можно толковать ну ооочень широко.
Однако, в других федеральных законах, разъяснениях Роскомнадзора и других ведомств можно всё-таки постараться систематизировать персональные данные, что мы с радостью сделали для Вас!
Данные делятся на 5 видов: Общие, Биометрические, Специальные, Обезличенные и Общедоступные.
Это базовые данные личности. Сюда входят паспортные данные, место регистрации, ФИО, информация о месте работы, телефон и Email (о последних двоих расскажу позже).
Это данные, связанные с Вашим телом, здоровьем, то есть это отпечатки пальцев, сведения о наличии татуировок (родинок, пирсинга, иных примет), ДНК, группа крови.
Это четко установленные статьёй 10 ФЗ № 152 данные. К ним относятся: расовая, национальная принадлежности, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь.
Это персональные данные, которые субъект сам распространил на неопределённый круг лиц. Здесь важно отметить Решение Арбитражного суда города Москвы от 05.05.2017 по делу №А40-5250/17. В нём АСГМ сказал, что данные которые публикуются в социальных сетях не являются общедоступными, а социальные сети не являются источником общедоступных сведений.
Он объяснил это так (и даже выделил красным цветом), что без письменного согласия субъекта персональных данных не представляется возможным установить, что именно этот субъект дал согласие.
Здесь можно порассуждать вот ещё о чем: можно ли считать источник общедоступным, если для получения доступа в этот источник необходима регистрация, получение аккаунта и т.д. По сути социальные сети – это закрытые системы для своих пользователей и, по-моему, их точно нельзя считать общедоступными. Если у Вас есть иное мнение буду рад подискутировать в комментариях!
К общедоступным можно отнести, например, так называемые «общедоступные правительственные данные», то есть данные в Минфина России, МВД России, Росстата и т.д.
Это данные из которых невозможно установить конкретное лицо. Парадоксально правда? Из определения следует, что персональные данные – это те, через которые можно установить конкретное лицо, а здесь всё, да наоборот.
Есть такие в правовых дебрях такие методические рекомендации по применению приказа Роскомнадзора от 05.09.2013 N 996 «Об утверждении требований и методов по обезличиванию персональных данных», которые показывают нам несколько методик обезличивания.
То есть у нас есть информация, что Джон Курт пережил инсульт 15 апреля 2021 года в г. Москва.
У нас стоит задача – собрать статистические данные об инсультах по г. Москва в 2021 году.
Мы не можем публиковать биометрические + специальные персональные данные Джона и поэтому мы их обезличиваем, например, по методике идентификаторов.
У нас получается АА48О; инсульт, 15.04.21, Москва. Как видите мы просто заменили «Джон Курт» на «АА48О». Это методика идентификаторов. Конечно же есть отдельная таблица со значениями идентификаторов, чтобы можно было установить лицо. Возможно именно поэтому они относятся к персональным данным.
Тезисно: 5 видов персональных данных: Общие – всё понятно из названия; биометрические – всё что о здоровье и теле; специальные – всё, что грубо говоря относится к духовной стороне личности и закреплены в ст. 10 ФЗ № 152; общедоступные – те, что сам субъект распространил на весь мир; обезличенные – данные, по которым невозможно установить человека не имея дополнительных данных (таблица со значениями идентификаторов).
Что касается определений тут я тоже буду максимально краток. Полные их формулировки можете прочитать в ст. 3 ФЗ № 152, но я постараюсь на пальцах объяснить:
Персональные данные – понятно, что ничего не понятно. Всё, что относится к человеку так или иначе персональные данные. Решение об отнесении данных к таковым рассматривается сугубо индивидуально.
Автоматизированная обработка ПД – обработка данных при помощи компьютеров или других средств автоматизации.
Распространение ПД – сделал данные доступными неопределенному кругу лиц.
Уничтожение ПД – действия, связанные с полным уничтожением данных без возможности восстановления, либо уничтожение материального носителя, на которых они хранились.
Обработка ПД – любые действия с персональными данными, как при помощи компьютера, так и без неё (сбор, запись, систематизация, хранение, обезличивание и т.д.).
Оператор – любое лицо (государственные, муниципальный орган, Юр. или Физ. лицо), которое осуществляет обработку ПД, определяет цель такой обработки, состав обрабатываемых данных и действия с ними.
В принципе по понятиям всё. Теперь обсудим какую ответственность несёт оператор в случае нарушения права на защиту персональных данных.
3. Ответственность за нарушение персональных данных
По общему правилу исковые заявления о нарушении права на защиту персональных данных подаются в районный суд. Процедура следующая, кто-то нарушил права субъекта персональных данных (физ. лица, кстати право о защите персональных данных распространяются только на них), это лицо обращается с заявлением в Роскомнадзор, а тот как уполномоченный гос. орган подает исковое заявление.
Основная статья – 13.11 КоАП РФ. Часть 1 говорит об обработке персональных данных, несовместимой с целями такой обработки.
Ч. 3 той же статьи говорит об ответственности за отсутствие публикации политики обработки персональных данных.
Помимо этих частей есть и другие части этой статьи, а также ст. 5.39 КоАП РФ – непредоставление информации адвокату по адвокатскому запросу или организации данных, предоставление которых предусмотрено федеральными законами.
Ст. 19.7 КоАП РФ примерно то же самое, но уже непредоставление информации государственным органам.
Ст. 137 УК РФ – распространение данных о частной жизни, личных и семейных тайнах без получения согласия или распространение этих сведений в публичном выступлении / СМИ.
Ст. 140 УК РФ – непредоставление должностным лицом документов и материалов, непосредственно затрагивающих права и свободы гражданина, если это причинило ему вред.
Ст. 272 УК РФ – неправомерный доступ к охраняемой законом компьютерной информации, если это повлекло её уничтожение, модификацию, копирование, блокирование. Это что называется хакерство.
Здесь всё по-классике:
Ст. 15 ГК РФ – возмещение лицу убытков, в случае нарушение правил обработки его персональных данных.
Ст. 151 ГК РФ и ст. 24 ФЗ № 152 – компенсация морального вреда вследствие нарушения правил обработки персональных данных.
Ст. 90 и ст. 192 ТК РФ – иные нарушения правил обработки персональных данных и дисциплинарные взыскания как мера ответственности.
Представим, что вы являетесь оператором персональных данных. Когда Вам нужно сообщать Роскомнадзору о том, что вы обрабатываете персональные данные?
Обрабатываете вручную – не нужно, через компьютер – нужно;
Собираете ПД сотрудников в рамках трудового договора – не нужно, в собираете ПД на уволенных сотрудников или вне трудовых отношений – нужно;
Оформили договор с Физ. лицом – не нужно, по договору данные передаются третьим лицам – нужно;
Вы – общественная или религиозная организация, которая собирает данные о своих членах – не нужно, эти данные будут передаваться третьим лицам – нужно;
Вы требуете только ФИО – не нужно;
Вы – транспортная компания и собираете данные, которые необходимы для нормальной транспортировки грузов и сохранению жизни и здоровья пассажиров – не нужно;
Субъект персональных данных сам сделал их общедоступными – не нужно.
В трудовых отношениях обработка персональных данных работника без получения его согласия на это возможно в следующих случаях:
Если опубликование и размещение ПД работников в Интернете закреплено законодательно;
В разрешенных законодательством случаях при обработке ПД близких родственников (при получении алиментов, оформлении социальных выплат);
При обработке сведений о состоянии здоровья работка, относящихся к вопросу возможности выполнения им трудовой функции;
При передаче ПД третьим лицам в случаях, когда необходимо предупредить угрозу жизни и здоровью, либо в случаях, предусмотренных законодательством.
При обработке биометрических персональных данных письменное согласие физического лица обязательно в силу ч.1 ст.11 Закона о персональных данных. Ч.2 той же статьи устанавливает исключения из этого правила.
Обработка персональных данных необходима для достижения целей, установленных международным договором РФ;
Обработка персональных данных гражданина проводится в связи с его участием в гражданском, уголовном, административном, конституционном судопроизводстве в арбитражных судах и др.
Мы рассмотрели историю, понятия, виды, ответственность. Остаются только позиции судов в вопросах правовых данных.
4. Судебная практика.
Первое дело касается подсудности дел о защите прав субъекта персональных данных.
Это дело № 33-3211/2019(в апелляции). Суть в том, что: некий Вознюк М. М. обнаружил, что фирма с Багамских островов публикует его персональные данные на своём сайте. Ему это не понравилось, и он подал заявление в Роскомнадзор. А тот, в свою очередь, подал исковое заявление в Центральный районный суд г. Хабаровска.
1 инстанция сказала, что дело административное и подлежит рассмотрению в административном порядке;
2 инстанция сказала указала на то, что что заявленные исковые требования связаны с административным регулированием правовой деятельности интернет-ресурса, как средства массовой информации, и подлежат рассмотрению в порядке административного судопроизводства;
Но РКН не отчаялся и подал кассационную жалобу в Верховный суд.
И вот Определением Судебной коллегии по гражданским делам ВС РФ от 14.07.2020 N 58-КГ20-2 решения нижестоящих инстанций были отменены, а дело направлено на новое рассмотрение.
ВС РФ в своём определении указал на следующее:
Ст. 46 ГПК органы гос. власти вправе обратиться в суд в защиту интересов граждан;
П. 5 ч. 3 ст. 23 ФЗ «О персональных данных» таким ОГВ в вопросе персональных данных является Роскомнадзор;
Ч. 6.1 ст. 29 ГПК иски о защите прав субъекта персональных данных, возмещении ущерба и компенсации морального вреда могут предъявляться по месту жительства истца.
И пришел к выводу, что данное дело должно быть рассмотрено по правилам гражданского судопроизводства. Центральный районный суд г. Хабаровска послушно удовлетворил исковое заявление РКН, признал деятельность сайта незаконной и обязал заблокировать его (Решение Центрального районного суда г. Хабаровска от 02.10.2020 по делу №2-4208/2020).
И ещё немного практики.
Определение Московского городского суда от 10.11.2016 по делу № 33-38783/2016
Файлы cookies были признаны ПД в деле социальной сети Linkedin персональными данными.
Однако, помимо файлов cookies, в социальной сети Linkedin осуществлялся сбор таких ПД, как фамилия, имя, адрес электронной почты и иное.
Постановление 13 ААС от 01.07.2016 по делу № А56-6698/2016
Решение Таганского районного суда г. Москвы от 19.12.2018 по делу № 02-4261/2018
Данные Гугл Аналитикс и Яндекс Метрики признаны ПД при рассмотрении неизвестных лиц на сайт Человека *фамилию, которого нельзя писать на сугробах* «Умное голосование».
Кстати о номере телефона и Email. Как видите судебная практика от дела к делу разнится. Как правило отдельные элементы не представляют собой персональные данные. Номер телефона не является персональными данными, потому что просто по набору цифр нельзя определить конкретное лицо, однако, если с номером будет идти ФИО – то эта комбинация станет персональными данными.
То же самое с электронной почтой. Если она содержит в себе просто рандомные слова – это не персональные данные, однако если они будут состоять из ФИО лица – это уже комбинация и персональные данные.
То есть общий принцип понимания что относится к персональным данным следующий: если из этих данных можно понять о каком конкретно человеке говорится – это персональные данные, если нет – то нет.
Спасибо за внимание! Для тех, кому важен визуал, как обычно, ссылка на папку с презентацией.
Что, собственно, такое персональные данные?
Новгородский мальчик Онфим из XIII века превратил кору в носитель персональных данных, собрав набор из изображения человека и его имени.
Представьте, что вы нашли трёх друзей, которые родились с вами в один и тот же день. У вас одинаковая дата рождения, одинаковый пол, и вы можете определёнными усилиями сменить имена в рамках закона. В итоге получится четверо одинаковых людей. Будет ли набор «Ф. И. О. + дата рождения + пол» персональными данными?
Ответ, как это ни странно, — да.
При этом под персональными данными понимается такой набор информации, который так или иначе позволяет идентифицировать физическое лицо — субъекта персональных данных. То есть однозначно указывает на конкретного человека.
Ранее в законодательном определении содержалось указание на конкретные примеры, которые каждый в отдельности или в совокупности с другой информацией составляли персональные данные. В текущей же редакции ст. 3 Федерального закона № 152-ФЗ примеров персональных данных не приводится, т. к. законодатель сделал упор на «духе закона», прямо оговорив, что к таким данным относится «любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу», отдав решение этого вопроса на откуп судебной практике.
Поэтому давайте разбирать на примерах, что есть ПДн, а что — нет.
Простые случаи
Для начала — есть категория «сырых» данных, которые позволяют однозначно определить личность конкретного человека. Например, это номер паспорта или набор из Ф. И. О., пола и даты рождения.
Персональные данные, например:
Правило номер один: если смешать ту информацию, которая сама по себе образует персональные данные, и ту, что их не образует, в одну базу данных, то получится база персональных данных. Например:
Уточнение про «голые» ПДн
Некоторые персональные данные не позволяют случайному человеку установить вашу личность, но позволяют установить вашу личность, например, правоохранительным органам. Так, номер мобильного телефона физического лица привязывается к его Ф.И.О. и номеру паспорта, то есть он является «чистыми» персональными данными. Использовать его отдельно и смешивать номер телефона с какой-либо другой информацией о его владельце — значит получать наборы персональных данных. То же самое может относиться к номеру кредитки, номеру страхового удостоверения, номеру медполиса и так далее.
В случае же если абонентский номер привязан к юридическому лицу, то он сам по себе не является персональными данными, т. к. не позволяет идентифицировать конкретного сотрудника юрлица, пользующегося данным номером.
Более сложные случаи
Не всегда в основе персональных данных лежит что-то, что делает весь набор сразу ПДн. Например, если в наборе есть номер паспорта — это точно ПДн, что бы ещё там ни лежало. Но иногда ни одна часть набора не является ПДн в изолированном виде, но всё вместе позволяет вам точно определить человека.
Например, медицинский диагноз, как правило, не является персональными данным в отрыве от Ф. И. О. (а вот результат анализа кода ДНК является персональными геномными данными, кстати). Расовая принадлежность сама по себе — не персональные данные. Место работы само по себе — не персональные данные.
Однако может так оказаться, что набор «место работы + раса + диагноз» — это персональные данные. Например, когда на автозаправке работает только один однорукий китаец.
Что самое интересное, если изначально на автозаправке работало два одноруких китайца, а потом один уволился, набор данных, по логике, не был персональным, а потом стал. Равно как когда вы были одним таким в наборе «Ф. И. О. + пол + дата рождения», а потом уговорили друзей поменять имена, по идее, набор перестал быть ПДн. На практике же это не так.
Чтобы понять, является ли ваш набор данных персональными, надо учесть следующее:
Интересные моменты
Копия паспорта — это ПДн. Потому что из изображения можно однозначно извлечь числа, которые точно являются ПДн сами по себе.
Что ещё забавнее, гражданин может прекратить обработку своих ПДн, то есть в теории можно вылавливать все свои фотографии в толпе и настаивать, что это хранение и обработка без вашего согласия. Исключениями из данной ситуации являются случаи, когда:
Изображение человека является ПДн. Обычно речь про фото, но не про портрет. Тем не менее по этому портрету можно установить человека, поэтому непонятно, как его хранить и обрабатывать.
Ещё один спорный случай — это почта. Однозначно понятно, что info@domain.ru в изолированном виде (без Ф. И. О., например) — это не ПДн, потому что там может оказаться кто угодно, включая робота. А вот если это ivanpetrov1990@mail.ru? Или billgates@microsoft.com? Скорее всего — не ПДн, нужны ещё наборы. Кроме того, по аналогии с телефонным номером всё зависит от того, на кого зарегистрирована почта: на юрлицо или гражданина.
Биометрические данные — индивидуальная форма черепа и ушей — однозначно являются персональными данными, как и отпечаток пальца. Это накладывает серьёзные ограничения на системы распознавания лиц — надо заручаться согласием даже на хранение хэша от биометрических замеров.
Чем регулируется
«Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой».
«Обработке подлежат только персональные данные, которые отвечают целям их обработки».
«Содержание и объём обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки».
Что это значит?
Когда вы строите ИТ-инфраструктуру, надо понимать, являются ли ваши данные персональными или нет. Классов персональных данных уже нет, есть таблица вот отсюда (в посте больше про сертификацию). Если ваши данные всё же персональные, то надо понять, что у вас за типы данных, какие угрозы для них возможны и сколько у вас будет записей. Дальше из таблицы вычисляется нужный уровень защищённости — и для этого уровня реализуются меры защиты в соответствии с требованиями законодательства.
Следуя духу закона и правоприменительной практике, почти во всех ситуациях можно определить, речь идёт про ПДн или нет. Крайне редкие случаи обычно рассматриваются отдельно юристами, которые выполняют оценку и делают запросы в контролирующие органы.
Это материал начальника отдела правового консалтинга Ильи Григорьева, а это — блог Техносерв Cloud.