Какие данные считаются общими персональными данными
Персональные данные — это любая информация, которая относится к конкретному человеку или позволяет его определить. Закон делит их на три категории: общие, специальные и биометрические. Общие персональные данные — самая широкая категория: сюда входят фамилия, имя, отчество, дата и место рождения, адрес, телефон, email, ИНН, СНИЛС, номер паспорта.
На практике к общим данным относится почти всё, что сайт собирает через веб-формы: контакты для связи, адрес доставки, реквизиты для выставления счёта. Сюда же попадают технические идентификаторы — IP-адрес, cookie-файлы, идентификаторы браузера и устройства, — если их можно связать с конкретным посетителем.
Общие данные не требуют специального письменного согласия, в отличие от специальных — расовой принадлежности, политических взглядов, состояния здоровья, биометрии. Но это не значит, что их можно собирать и обрабатывать без правил: для общих данных тоже нужны законные основания, прозрачность и согласие посетителя.
Чем общие данные отличаются от специальных и биометрических
Специальные категории персональных данных — это сведения о расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни. Их обработка запрещена, за исключением строго определённых случаев: например, если человек сам сделал эти данные общедоступными или дал письменное согласие.
Биометрические персональные данные — это физиологические и биологические характеристики, по которым можно установить личность: отпечатки пальцев, изображение лица, радужная оболочка глаза, голос, почерк. Их обработка также требует письменного согласия, если только это не предусмотрено законом — например, для оформления биометрического паспорта.
Общие данные обрабатываются на основании согласия или договора, специальные и биометрические — только с письменного разрешения или в случаях, прямо указанных в законе. Для владельца сайта это значит: если вы собираете имя и телефон — это общие данные, если просите указать группу здоровья или загружаете фото лица для верификации — это уже специальные или биометрические, и требования к согласию строже.
Как сайт собирает общие персональные данные и где возникают риски
Сайт собирает общие данные через веб-формы — заявка на обратный звонок, регистрация, оформление заказа, подписка на рассылку. Посетитель вводит имя, email, телефон, иногда адрес и реквизиты. Закон требует, чтобы до начала обработки человек понимал, кто, зачем и как долго будет использовать его данные — для этого нужна политика конфиденциальности и согласие на обработку.
Второй канал сбора — аналитика и cookie. Системы веб-аналитики фиксируют IP-адрес, идентификаторы браузера, данные о переходах и действиях на сайте. Если эти идентификаторы можно связать с конкретным посетителем, они становятся персональными данными. Риск возникает, когда трекеры стартуют до того, как посетитель дал согласие через cookie-баннер, или когда данные уходят на серверы за рубежом без уведомления Роскомнадзора.
Третий риск — авторизация через социальные сети и сторонние сервисы. Когда посетитель входит через аккаунт ВКонтакте или Google, сайт получает его профильные данные — имя, email, иногда аватар и дату рождения. Эти данные тоже подпадают под закон, и их передача третьим лицам должна быть прописана в политике.
Что проверить на сайте, чтобы работать с общими данными по закону
Первое — политика обработки персональных данных должна быть опубликована и доступна с любой страницы сайта, где собираются данные. В ней нужно указать, кто является оператором, какие данные собираются, для каких целей, кому передаются, сколько хранятся и как посетитель может отозвать согласие. Политика должна описывать реальные процессы, а не быть скопированным шаблоном.
Второе — согласие на обработку данных должно быть конкретным, информированным и добровольным. В тексте согласия нужно перечислить категории данных, цели обработки, срок хранения, указать, что согласие можно отозвать. Галочка «Я согласен с политикой конфиденциальности» без расшифровки не защитит от претензий регулятора.
Третье — cookie-баннер должен давать возможность отказаться от необязательных cookie до их установки. Если аналитические или рекламные трекеры запускаются до согласия посетителя, это создаёт риск. Четвёртое — если данные передаются за рубеж или обрабатываются иностранными сервисами, это нужно отразить в политике и, в большинстве случаев, уведомить Роскомнадзор.
Как проверить, что сайт на самом деле делает с общими данными
Прочитать политику конфиденциальности недостаточно — важно понять, что сайт делает на практике. Проверка начинается с чистой сессии: открываете сайт в режиме инкогнито, смотрите, какие скрипты и трекеры загружаются до любого согласия, какие сетевые запросы отправляются на внешние серверы.
Инструменты разработчика в браузере показывают cookie, которые устанавливаются сразу при загрузке страницы, и домены, на которые уходят запросы. Если среди них есть иностранные аналитические сервисы или рекламные сети, а в политике ничего об этом не сказано — это расхождение между документами и фактами.
Следующий шаг — проверить текст согласия в веб-формах: указаны ли цели обработки, перечислены ли конкретные данные, есть ли срок хранения и способ отзыва. Если форма собирает телефон и email, а согласие написано общими словами — это риск. Автоматизированная проверка фиксирует все эти моменты, сопоставляет их с требованиями закона и показывает, где нужно исправить текст или настройки.
Проверьте сайт: чек-лист по общим персональным данным
- 01Политика конфиденциальности опубликована и доступна. Ссылка на политику есть на каждой странице, где собираются данные — в форме, в футере, рядом с кнопкой отправки. В политике указаны оператор, цели, категории данных и срок хранения.
- 02Согласие на обработку данных конкретное и информированное. В тексте согласия перечислены данные, которые вы собираете, цели их использования и способ отзыва. Галочка не проставлена по умолчанию — посетитель даёт согласие осознанно.
- 03Трекеры и аналитика не запускаются до согласия. Откройте сайт в режиме инкогнито, посмотрите в инструментах разработчика вкладку Network: аналитические скрипты и сторонние сервисы загружаются только после действия посетителя.
- 04Cookie-баннер даёт возможность отказаться до установки. Посетитель может отклонить необязательные cookie или настроить категории до того, как они будут записаны. Кнопка отказа равнозначна кнопке согласия по видимости и доступности.
- 05В политике описана передача данных третьим лицам. Если данные передаются аналитическим сервисам, платёжным системам, CRM или другим подрядчикам — это указано в политике с перечислением получателей и целей передачи.
- 06Трансграничная передача данных отражена в документах. Если данные обрабатываются иностранными сервисами или уходят на серверы за пределами России, это прописано в политике. Уведомление Роскомнадзора о трансграничной передаче подано, если оно требуется.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Что такое общие персональные данные простыми словами?
Это любая информация, которая относится к конкретному человеку: имя, фамилия, телефон, email, адрес, дата рождения, номер паспорта, ИНН, СНИЛС. На сайте к ним относятся также IP-адрес и cookie-идентификаторы, если их можно связать с посетителем.
Чем общие персональные данные отличаются от специальных?
Общие данные — это контакты, реквизиты, адреса. Специальные — раса, национальность, политические взгляды, религия, здоровье, интимная жизнь. Для специальных данных нужно письменное согласие, для общих достаточно обычного согласия или договора.
Нужно ли согласие для сбора общих персональных данных на сайте?
Да, нужно. Посетитель должен понимать, кто, зачем и как долго будет обрабатывать его данные, и добровольно дать согласие. Исключение — когда обработка необходима для исполнения договора или предусмотрена законом.
Считаются ли IP-адрес и cookie общими персональными данными?
Да, если их можно связать с конкретным человеком. IP-адрес и уникальные идентификаторы cookie позволяют определить посетителя, поэтому подпадают под требования закона о персональных данных.
Что будет, если собирать общие данные без политики конфиденциальности?
Отсутствие опубликованной политики обработки персональных данных — самостоятельное нарушение. Кроме того, без политики невозможно доказать, что посетитель был информирован о целях и способах обработки его данных.
Как проверить, что сайт обрабатывает общие данные по закону?
Откройте сайт в режиме инкогнито и проверьте: есть ли политика конфиденциальности, конкретное ли согласие в формах, запускаются ли трекеры до вашего согласия, указана ли передача данных третьим лицам. Автоматизированная проверка фиксирует всё это снимками экрана и сетевыми запросами.
Нужно ли уведомлять Роскомнадзор, если я собираю общие данные?
Если вы обрабатываете персональные данные как оператор и не попадаете под исключения, уведомление обязательно. Исключения — обработка только для исполнения разовых договоров, ведение списков работников, публикация общедоступных данных без передачи третьим лицам.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.