Что такое обработка персональных данных: определение и принципы
Слово «обработка» вводит в заблуждение: кажется, что это что-то технически сложное. На самом деле по 152-ФЗ обработкой является любое действие с персональными данными — сбор контактов через форму на сайте, хранение в таблице Excel, передача данных в CRM. Если вы делаете хотя бы одно из одиннадцати действий, перечисленных в законе, — вы обрабатываете персональные данные.
Определение обработки по статье 3 152-ФЗ
Статья 3 Федерального закона № 152-ФЗ дает следующее определение:
«Обработка персональных данных — действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.»
Закон перечисляет 11 конкретных операций. При этом прямо указывает: неважно, используются ли средства автоматизации (компьютер, база данных) или нет (бумажный журнал). Запись в блокнот — тоже обработка.
Одиннадцать операций = обработка
Достаточно выполнять хотя бы одну операцию из списка, чтобы считаться оператором ПДн. Если вы просто храните таблицу с именами и телефонами клиентов — вы уже обрабатываете персональные данные и обязаны соблюдать 152-ФЗ.
Кто такой оператор персональных данных
Оператор — центральная фигура в системе 152-ФЗ. Это тот, кто самостоятельно или совместно с другими лицами организует и осуществляет обработку ПДн, а также определяет цели и способы обработки.
Оператором может быть:
- Индивидуальный предприниматель, принимающий заявки от клиентов
- Самозанятый, ведущий базу контактов
- ООО с интернет-магазином
- Физическое лицо, если оно ведет деятельность с ПДн (например, репетитор, ведущий запись учеников)
Именно оператор несет ответственность за соблюдение 152-ФЗ: публикует политику конфиденциальности, получает согласия, уведомляет РКН и принимает меры защиты данных.
Принципы обработки персональных данных (статья 5)
Статья 5 152-ФЗ устанавливает семь принципов, которым должна соответствовать любая обработка ПДн:
| Принцип | Что означает на практике |
|---|---|
| Законность и справедливость | Есть правовое основание: согласие, договор, закон (ч. 1) |
| Ограничение целями | Данные собираются для конкретных, заранее определенных целей и не используются для несовместимых с ними (ч. 2) |
| Запрет объединять базы | Нельзя сливать базы, собранные для несовместимых целей (ч. 3) |
| Соответствие целям | Обрабатываются только те данные, которые отвечают целям (ч. 4) |
| Минимизация | Объем данных не избыточен по отношению к цели (ч. 5) |
| Точность | Данные точные и актуальные, неточные уточняют или удаляют (ч. 6) |
| Ограничение хранения | Не дольше, чем нужно для цели, затем — уничтожение или обезличивание (ч. 7) |
Защиту данных закон выносит в отдельные статьи: конфиденциальность — ст. 7, меры защиты — ст. 18.1 и 19.
Когда нужно согласие субъекта
Согласие субъекта — основное, но не единственное правовое основание обработки. Статья 6 152-ФЗ допускает обработку без согласия в следующих случаях:
- Исполнение договора, стороной которого является субъект
- Осуществление полномочий государственных органов
- Осуществление правосудия
- Выполнение обязанности, предусмотренной законом (например, ведение бухгалтерии)
- Защита жизни или здоровья субъекта при невозможности получить согласие
- Журналистская деятельность в общественных интересах
- Защита прав и законных интересов оператора — если это не нарушает права субъекта
Для коммерческих целей — маркетинга, email-рассылок, аналитики поведения пользователей, ремаркетинга — согласие субъекта обязательно. С 1 сентября 2025 года (ФЗ-156) согласие оформляется отдельно от других документов — например, его нельзя спрятать в пользовательское соглашение.
Поручение обработки третьим лицам
Оператор вправе поручить обработку ПДн другому лицу — на основании договора или государственного задания. Типичные примеры: CRM-система, email-сервис для рассылок, облачное хранилище.
При этом важно понимать: ответственность остается у оператора. Если ваш подрядчик допустит утечку — претензии предъявят именно вам. Поэтому договор с обработчиком должен включать обязательства по защите данных и уведомлению об инцидентах.
Если вы передаете данные клиентов в любой сервис — CRM, аналитику, колл-центр — убедитесь, что в договоре с ним есть раздел об обработке ПДн. Без него вы нарушаете требования статьи 6 152-ФЗ.
Документы оператора ПДн за 10 минут
Политика конфиденциальности, согласие на обработку ПДн и уведомление в РКН — в редактируемом формате с вашими реквизитами.
Оформить документы — от 590 ₽Часто задаваемые вопросы
Любое действие с ПДн: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение. Полный список — статья 3 152-ФЗ. Неважно, автоматизирована обработка или нет: бумажный журнал — тоже обработка.
Оператор — тот, кто самостоятельно определяет цели и осуществляет обработку ПДн. Это может быть ИП, ООО, самозанятый, физическое лицо. Если вы собираете имена и контакты клиентов для своей деятельности — вы оператор.
Хранение — одна из операций обработки. Для него нужно правовое основание: согласие субъекта или иное законное основание из статьи 6 152-ФЗ (исполнение договора, соблюдение закона и т.д.). Хранение данных без основания — нарушение, даже если данные никуда не передаются.
Да, по общему правилу — до начала обработки. Исключений три (ч. 2 ст. 22): обработка без средств автоматизации, данные в государственных системах для защиты безопасности государства и обработка по законодательству о транспортной безопасности. Если данные ведутся в компьютере, телефоне или CRM, уведомление нужно. Подать уведомление можно через pd.rkn.gov.ru. Privadoc включает готовый документ уведомления во все тарифы 152-ФЗ.
Не дольше, чем необходимо для достижения целей обработки. После выполнения цели или отзыва согласия данные должны быть уничтожены или обезличены в течение 30 дней. Исключения — данные, которые по закону нужно хранить определенный срок (бухгалтерские документы, кадровые дела и т.д.).