Паспорт и ФИО, и всё? Что персональными данными считать
Амина Хасамбековна
Тезис знакомый: мол, персональные данные — это паспорт, ФИО и ну ещё телефон… иногда. Остальное можно назвать «техническими сведениями» и спокойно собирать. Компания Ookla, владелец Speedtest с вами согласится, а вот суд … штраф в 1 млн рублей устоял в кассации.
Как «технические сведения» оказались персональными
Роскомнадзор установил, что Ookla собирала ПД граждан РФ без выполнения требований к локализации. Мировой судья назначил штраф 14 июля 2022 года. Районный суд оставил постановление без изменения, а 26 декабря Второй кассационный суд общей юрисдикции отклонил жалобу компании. Дело № 16-9987/2022.xn--90afdbaav0bd1afy6eub5d
Возражение компании можно описать как: сервис обрабатывает только технические сведения об интернет-подключениях. Суд пошёл путём юридическим и обратился к её политике конфиденциальности. А там написано, что для регистрации пользователи предоставляли имя и фамилию, телефон и эл. почту. При использовании сервиса обрабатывались также платёжная информация, местоположение и сетевая активность, идентификаторы устройств и cookie. Суд признал ВЕСЬ рассматриваемый перечень персональными данными.
Дело правда хоть касалось локализации по ч. 8 ст. 13.11 КоАП РФ, но ОЧЕНЬ важно взять на заметку что суд оценивал конкретный состав сведений и деятельность сервиса, иными словами – контекст наше всё и аргумент «у нас всё техническое» поможет не так часто как хотелось бы.
Закон проверяет связь с человеком
По п. 1 ст. 3 152-ФЗ персональными данными считается любая информация, относящаяся к прямо или косвенно определённому или определяемому физлицу. Закрытого списка нет. Решает связь сведений с человеком, в том числе через другие данные.consultant
Поэтому запись «Иван Иванов» без контекста ещё не гарантирует идентификацию. В кадровой системе рядом с трудовым договором вопрос обычно снимается. Игровой ник, связанный с аккаунтом пользователя, тоже нужно оценивать вместе с содержимым аккаунта.
А вот сведения об организации как таковой относятся к юрлицу и юр. лицо, лицо не физическое так что персональных данных у него нет. НО данные директора или контактного лица это вполне себе ПД.
Что значит для бизнеса
Каждая конкретная ситуация может быть достаточно уникальной. По этому важно учитывать а что вы делаете в принципе, кто бизнесу приносит деньги, как общаемся с тем кто приносит и как влияем на него. Если становится неизбежно очевидным что данные персональные появляются придётся иметь в виду несколько важных требований закона:
- определить цели и основание обработки (ст. 5, 6);
- получить согласие, где оно нужно (ст. 9);
- опубликовать политику (ст. 18.1);
- принять меры защиты (ст. 19);
- уведомить РКН (ст. 22);
- соблюдать локализацию баз (ч. 5 ст. 18) и правила трансграничной передачи.
Всё конечно индивидуально и в контексте но все эти правила значимые и с различными нюансами.
Если не знаете с чего начать – ни на что не намекаю, но РКН проще всего проверить то что у компании на сайте и уведомление.
Если вам интересно послушать про какую-то из обязанностей по подробнее, пишите, принимаю в комментарии заявки на разборы интересных тем)!
Удачи всем кто обрабатывает ПД!