Краткая справка по основным понятиям 152-ФЗ

В любом разговоре об обработке данных упираются в одни и те же термины: персональные данные, оператор, согласия, трансграничная передача. Краткая справка по семи основным понятиям 152-ФЗ — с примерами, что они значат на практике.

Персональные данные

Любая информация, относящаяся к прямо или косвенно определённому физическому лицу — субъекту персональных данных. С 1 марта 2023 года критерий расширен: теперь достаточно, чтобы лицо можно было определить косвенно, через иные сведения.

Пример: ФИО, номер телефона, email, адрес, паспортные данные, фото, IP-адрес — всё это может быть персональными данными, если по ним можно идентифицировать конкретного человека.

Оператор персональных данных

Государственный или муниципальный орган, юридическое или физическое лицо, которые самостоятельно или совместно с другими организуют обработку персональных данных и определяют цели, состав действий и условия обработки.

Пример: Интернет-магазин «Озон» — оператор: он собирает данные покупателей (имя, адрес доставки, телефон), определяет, зачем они нужны и как их хранить.

Политика обработки персональных данных

Документ, который оператор обязан опубликовать и который описывает: цели обработки, категории данных, права субъекта, сроки хранения, меры защиты. Должна быть доступна на сайте оператора.

Пример: На сайте клиники есть страница «Политика обработки персональных данных», где написано, что клиника собирает ФИО и номер полиса ОМС для записи на приём, хранит их 5 лет, а пациент вправе потребовать их удаление.

Согласие на обработку персональных данных

Добровольное и информированное согласие субъекта на конкретные действия с его данными: сбор, запись, хранение, использование, передачу, удаление. Должно быть конкретным, сознательным и информированным — субъекту заранее разъяснены последствия.

Пример: При подаче заявления на кредит клиент ставит галочку «Согласен на обработку моих персональных данных банком в целях рассмотрения заявки» и подписывает отдельное согласие.

Согласие на распространение персональных данных

Отдельное согласие на предоставление персональных данных неопределённому кругу лиц — то есть на их публичное раскрытие. Это не то же самое, что согласие на обработку: с 1 марта 2023 года оно должно быть отдельным, самостоятельным документом.

Пример: Фотограф берёт у модели письменное согласие на размещение её портретных снимков в рекламном буклете, который разойдётся тиражом по тысяче адресов.

Согласие на рекламную рассылку

Отдельное согласие на получение рекламы по конкретному каналу: по телефону, SMS, email, мессенджеру. Регулируется одновременно 152-ФЗ (как обработка данных) и ФЗ-38 «О рекламе» (как рекламная коммуникация). Отписка должна быть доступна в каждом сообщении.

Пример: Пользователь ставит отдельную галочку «Согласен получать рекламу об акциях и скидках по SMS» при регистрации на сайте. Без этой галочки магазин не имеет права слать ему промо-сообщения, даже если номер был оставлен при заказе.

Трансграничная передача персональных данных

Передача персональных данных на территорию иностранного государства или иностранному лицу. С 1 марта 2023 года оператор обязан уведомить Роскомнадзор до начала такой передачи и обеспечить сопоставимый уровень защиты данных в стране-получателе (если страна не входит в список «адекватных»). Согласие субъекта на трансграничную передачу также требуется в ряде случаев.

Пример: Российская IT-компания использует американский сервис аналитики, который хранит логи с IP-адресами пользователей на серверах в США. Перед запуском компания уведомляет Роскомнадзор о трансграничной передаче и проверяет, что сервис обеспечивает достаточный уровень защиты данных.