К персональным данным относится любая информация о человеке, по которой его можно узнать прямо или в сочетании с другими сведениями. Это определение из пункта 1 статьи 3 закона 152-ФЗ, и закрытого списка за ним нет. ФИО, телефон, почта, адрес, фото, дата рождения, номер паспорта сами по себе ничего не решают. Решает, можно ли по ним, отдельно или вместе, понять, о ком речь.
Для владельца сайта вопрос решается не про одно поле, а про всю страницу. Верховный суд в 2023 году согласился, что телефон и почта без имени человека не определяют. Только в нашей выборке имя спрашивает 71 форма из 112, а счётчик Метрики с cookie стоит на 120 сайтах из 153. Ниже таблица на три десятка примеров, разбор спорных случаев, включая то самое дело, и короткая проверка своей формы.
Таблица: что персональные данные, а что нет
Строки отсортированы так, как их обычно ищут. Колонка "Когда да" важнее колонки "ПД или нет": почти всё в этой таблице становится персональными данными в паре с чем-то ещё.
| Сведения | ПД или нет | Когда да | Когда нет |
|---|---|---|---|
| ФИО полностью | Да | Почти всегда, особенно с местом работы, городом, фото | Однофамилец без других сведений человека не определяет, но на практике ФИО считают ПД |
| Только имя | Обычно нет | В паре с телефоном, почтой, текстом заявки | Одно имя без контекста |
| Фамилия | Зависит | С инициалами и местом работы, с адресом | Одна фамилия в списке без контекста |
| Номер телефона | Сам по себе нет | С именем, адресом, историей заказов или звонков | Номер без сведений о владельце (ВС РФ, 2023) |
| Электронная почта | Сама по себе нет | Адрес с именем и фамилией, почта рядом с ФИО | Безличный адрес, info@ компании (ВС РФ, 2023) |
| Адрес проживания | Да | С ФИО или с номером квартиры | Адрес дома без квартиры и жильцов |
| Номер квартиры | Зависит | Вместе с адресом дома и ФИО или фактом проживания | Номер без адреса |
| Дата рождения | Зависит | С ФИО или другими данными | Одна дата без привязки к человеку |
| Паспортные данные | Да | Всегда | - |
| СНИЛС | Да | Всегда, номер закреплён за одним человеком | - |
| ИНН физлица | Да | Номер закреплён за одним человеком | - |
| ИНН, ОГРН, название юрлица | Нет | - | Это сведения о компании |
| ФИО директора, контактного лица | Да | Всегда, это человек | - |
| Реквизиты ИП | Да, но общедоступны | ИНН и ОГРНИП относятся к человеку | Публикация как реквизитов на сайте законна |
| Должность | Зависит | С ФИО или в маленькой компании, где должность одна | Должность без имени |
| Место работы | Зависит | С ФИО | Название компании без сотрудников |
| Зарплата | Да | Если известно, чья | Средняя по отделу без имён |
| Фото человека | Да | Лицо узнаваемо | Нет лица или человек неузнаваем |
| Фото для пропуска по лицу | Биометрия | Используется для установления личности | - |
| Запись голоса | Да | Запись звонка, где человек называет себя или узнаваем | Голос как биометрия - только при идентификации |
| Подпись | Да | Скан подписи в документе с ФИО | - |
| IP-адрес | Спорно | С cookie, логином, историей действий | Один IP без других сведений указывает на сеть |
| Cookie с идентификатором | На практике да | Счётчик аналитики узнаёт посетителя между визитами | Технические cookie сессии и корзины |
| Номер заказа | Зависит | В базе вместе с ФИО и телефоном покупателя | Номер без базы |
| Сведения о здоровье | Специальная категория | Всегда, нужен письменный вид согласия | - |
| Национальность, религия, политические взгляды | Специальная категория | Всегда | - |
| Обезличенные данные | Нет | - | Если без дополнительной информации человека определить нельзя |
Из таблицы видно главное правило: персональными данные делает связка. Строк, где ответ однозначный во всех случаях, немного: паспорт, СНИЛС, ИНН физлица, ФИО директора, специальные категории. Остальное зависит от того, что лежит рядом. А на сайте рядом всегда что-то лежит.
Три категории и почему для сайта важна первая
Закон делит персональные данные на категории, и от категории зависят требования.
Общие - всё, что не попадает в остальные: ФИО, контакты, адрес, история заказов. С ними работает почти любой сайт.
Специальные перечислены в статье 10: расовая и национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь. Отдельно стоят сведения о судимости. Обрабатывать их можно только в случаях, которые перечислены в законе, обычно с согласием в письменной форме. Для сайта это клиника с формой "опишите симптомы", анкета на подбор диеты, запись к психологу. Форма с полем "жалобы" превращает обычную заявку в специальную категорию.
Биометрические - статья 11: физиологические и биологические особенности, по которым устанавливают личность, если оператор их для этого использует. Ключевое слово "используются". Фото сотрудника на странице "Команда" не биометрия. Фото, по которому турникет пускает человека в офис, - биометрия.
Есть ещё отдельный режим для данных, которые человек разрешил распространять, это статья 10.1. Он касается всего, что сайт публикует о людях: страницы команды, отзывов с фото, кейсов с именами. Для публикации нужно отдельное согласие на распространение, и обычное согласие на обработку его не заменяет.
Спорные случаи: телефон, почта, IP
Три строки таблицы помечены как спорные или зависящие от контекста, и по ним больше всего вопросов.
Телефон и почта. Здесь есть дело, на которое ссылаются все, кто хочет обойтись без согласия. Управление Роскомнадзора потребовало от страховой компании прекратить сбор данных через форму "Заявка на оформление полиса": в ней были обращение, почта и телефон, согласия не было. Компания оспорила требование, и суды трёх инстанций, а затем Верховный суд (определение от 21 июля 2023 года № 305-ЭС23-12160) встали на её сторону. Логика такая: форма служит обратной связью, её может заполнить и человек, и ИП, и организация, в ней нет полей, по которым можно определить конкретного человека, вроде ФИО, номера паспорта, ИНН, СНИЛС или даты рождения. Довод Роскомнадзора, что почта уникальна и неизменна, суд отклонил: адрес можно удалить, и его зарегистрирует другой.
Теперь честно о том, чего это дело не говорит. Оно не говорит, что любая форма с телефоном живёт вне закона о данных. Добавьте поле "Как к вам обращаться?" с именем, и вы уже в ситуации, которую суд описал как идентифицирующую. Добавьте счётчик, который связывает заявку с cookie и историей визитов, и спор переезжает в следующий пункт. И это решение по одному делу, а Роскомнадзор в проверках исходит из своей позиции. Строить на нём отказ от согласия у формы рискованно, тем более что флажок согласия стоит дешевле одного спора.
Если вы сохраняете заявки с именем в CRM или пересылаете их менеджеру в мессенджер, это обработка персональных данных при любом прочтении этого дела.
IP-адрес и cookie. Отдельно взятый IP указывает на сеть или устройство, за одним адресом могут сидеть сотни людей. Но аналитика не хранит IP отдельно: счётчик ставит посетителю cookie с идентификатором, по которому узнаёт его при следующем визите, и копит историю действий. Роскомнадзор на практике считает такой идентификатор персональными данными. Суда, который поставил бы в этом споре точку, нет, а практика проверок складывается не в пользу сайтов. Подробнее про Метрику, согласие и баннер мы разбирали отдельно.
Что собирают сайты на самом деле
Мы посмотрели главные страницы 153 русскоязычных сайтов из базы нашей бесплатной проверки: какие поля стоят в формах и какие счётчики загружаются. Это сайты, владельцы которых сами пришли проверить сайт, так что выборка не случайная, но картину она даёт.
| Что нашли | Сайтов | Из скольких |
|---|---|---|
| Форма на главной странице | 112 | 153 |
| Поле для телефона | 74 | 112 с формой |
| Поле для имени | 71 | 112 с формой |
| Поле для почты | 56 | 112 с формой |
| Телефон и имя в одной форме | 64 | 112 с формой |
| Загрузка файла | 16 | 112 с формой |
| Счётчик Яндекс Метрики | 120 | 153 |
| Метрика или форма с телефоном, почтой либо именем | 136 | 153 |
Почти девять сайтов из десяти обрабатывают персональные данные уже на главной странице: через форму, через счётчик или через то и другое. Форма "только телефон, без имени и почты" встретилась шесть раз из 112, и даже у неё рядом стоит Метрика.
Отдельно мы прочитали политики обработки данных на тех сайтах, где ссылка на политику открывается и ведёт на настоящий текст. Таких набралось 103. У 88 из этих сайтов стоит Метрика, и в 44 политиках из 88 она ни разу не названа по имени. Cookie упомянуты в 94 политиках из 103, но сервис, который их ставит, половина политик на сайтах с Метрикой не называет. Найти такие дыры помогает разбор одиннадцати точек, где сайт собирает данные.
Проверьте свою форму за пять минут
Откройте сайт и пройдите по каждой форме. Достаточно четырёх вопросов.
- Какие поля в форме? Имя, телефон, почта, город, текст сообщения, файл. Если есть хоть одно из первых трёх, это персональные данные.
- Есть ли поле, которое тянет за собой специальную категорию? "Опишите проблему" в клинике, "дата рождения ребёнка" в детском центре, "жалобы" у стоматолога.
- Куда уходит заявка? Почта, CRM, телеграм-бот, таблица. Каждый сервис по пути обрабатывает данные по вашему поручению, а если он зарубежный, это ещё и трансграничная передача.
- Что грузится на странице кроме формы? Метрика, Вебвизор, чат, коллтрекинг. Каждый пункт ставит свои cookie.
Если хотя бы на первый вопрос ответ "да", дальше идут обязанности оператора: политика в открытом доступе, согласие у формы, баннер о cookie до запуска счётчика, уведомление в Роскомнадзор. С какой минуты они наступают и в каком порядке всплывают, мы описали в истории про владельца сайта, который стал оператором.
Что видно снаружи за несколько секунд
Бесплатная проверка по 152-ФЗ смотрит главную страницу так же, как мы смотрели выборку выше. Находит формы и флажки согласия рядом с ними, проверяет ссылку на политику и баннер о cookie, ищет зарубежные сервисы и реквизиты. Итог - светофор по восьми пунктам, регистрироваться не нужно.
Чего она не делает: не решает за вас спор про телефон и не читает текст политики целиком. Она показывает, какие персональные данные сайт собирает и где снаружи видны пробелы. Этого достаточно, чтобы понять, с чего начинать.
вопросы
Частые вопросы
01Что относится к персональным данным по закону?
Любая информация, которая относится к прямо или косвенно определённому или определяемому человеку: так сказано в пункте 1 статьи 3 закона 152-ФЗ. Закрытого списка нет. ФИО, телефон, почта, адрес, дата рождения, фото, номер паспорта, ИНН физлица становятся персональными данными, когда по ним самим или вместе с другими сведениями можно понять, о ком речь.
02Является ли номер телефона персональными данными?
Сам по себе нет. В 2023 году суды трёх инстанций и Верховный суд (определение от 21.07.2023 № 305-ЭС23-12160) согласились со страховой компанией: форма с обращением, телефоном и почтой без имени человека не определяет. Но если в форме есть имя или к заявке привязаны cookie и IP, набор уже относится к конкретному человеку. В нашей выборке имя спрашивает 71 форма из 112.
03Является ли электронная почта персональными данными?
Сама по себе нет: в том же деле 2023 года суды отвергли довод Роскомнадзора, что почта уникальна и поэтому определяет человека. Адрес можно удалить, и его займёт другой. Но почта вида фамилия.имя@... с именем в адресе или почта рядом с именем в заявке уже относится к человеку, и обрабатывать её нужно по правилам 152-ФЗ.
04IP-адрес и cookie - это персональные данные?
Отдельно взятый IP указывает на устройство или сеть, а не на человека. Идентификатор в cookie вместе с IP и историей действий Роскомнадзор на практике относит к персональным данным, и именно поэтому на сайтах с Яндекс Метрикой нужен баннер согласия. Суда, который окончательно закрыл бы этот спор, нет.
05Фотография человека - это биометрические персональные данные?
Только если по ней оператор устанавливает личность: пропуск по лицу, сверка с паспортом. Фото сотрудника на странице Команда или аватар в отзыве биометрией не являются, это обычные персональные данные. Для публикации такого фото на сайте нужно отдельное согласие на распространение.
06Данные юрлица и ИП - персональные данные?
Название компании, её ИНН и ОГРН персональными данными не являются, это сведения о юридическом лице. ФИО директора и контактного лица - уже персональные данные. У ИП сложнее: его ИНН и ОГРНИП относятся к человеку, но сведения из ЕГРИП общедоступны, их публикация на сайте как реквизитов закон не нарушает.
Источники
- Статья 3 закона 152-ФЗ, основные понятия: consultant.ru.
- Определение Верховного суда от 21.07.2023 № 305-ЭС23-12160 (дело А40-139096/2022) о форме с телефоном и почтой, разбор: its.1c.ru.
- Наша выборка, 17.10.2026: главные страницы 153 русскоязычных сайтов из базы бесплатной проверки, поля форм и счётчики; тексты 103 политик обработки данных. Итоги без названий сайтов.