# Определение сведений в качестве персональных данных
## Что есть ПД: пять стадий принятия неизбежного
1. ПД — это только паспортные данные!
2. ПД точно определяют конкретного человека
3. Какой @#&$ придумал определение ПД?!
4. Всё что угодно может быть ПД…
5. Ну, хорошо, давайте разбираться
—
## Дефиниция ПД и идентификатора
Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
п. 1 ст. 3 152-ФЗ «О персональных данных»
Идентификатор — уникальное обозначение сведений о физическом лице, содержащееся в информационной системе персональных данных оператора и относящееся к такому лицу.
п. 4 примечания к ст. 13.11 КоАП РФ
Идентификатор — уникальное обозначение сведений о лице, необходимое для определения такого лица.
п. 6 ст. 2 572-ФЗ «Об… идентификации и (или) аутентификации… с биометрическими ПД…»
—
## Проблематика определения ПД в РФ
При буквальном толковании (применяемом в правоприменительной практике «по умолчанию») к понятию «персональные данные» можно отнести широкий круг информации, в том числе выходящей за рамки разумно ожидаемого в данном контексте.
В определении ПД отсутствует указание на связь между указанной в нем информацией и прямой или косвенной определенностью или «определяемостью» физического лица. Соответственно, отсутствует однозначное понимание того, в каких случаях данные будут относиться к персональным, а в каких — нет.
*Примеры сведений, статус которых вызывает вопросы:* ФИО, ИНН, Cookies, IP-адрес, Табельный номер, E-mail, Телефон.
—
## Проблематика определения ПД в ЕС
Механизм вероятностного определения сведений как ПД: дело Брайера — это судебное разбирательство между Патриком Брейером и властями ФРГ по поводу регистрации и хранения последней интернет-адреса («IP-адреса»), присвоенного г-ну Брейеру при доступе к нескольким интернет-сайтам, принадлежащим федеральным учреждениям Германии. В определении ПД отсутствует указание на связь между указанной в нем информацией и прямой или косвенной определенности или «определяемости» физического лица. Соответственно, отсутствует однозначное понимание того, в каких случаях данные будут относиться к персональным, а в каких — нет. Суд подтвердил, что должны существовать средства, которые «с разумной вероятностью могут быть использованы» для объединения элементов. В деле «Брейера» это был правовой механизм, с помощью которого правительство могло обязать интернет-провайдеров раскрывать информацию.
Механизм предположительного определения сведений как ПД: дело Главной комиссии по служебной этике в Литве — по мнению суда, обработка данных, которые косвенно могут раскрыть чувствительную информацию («специальные категории персональных данных») о физическом лице, не исключается из режима усиленной защиты, т.к. необходимо принять во внимание обработку не только изначально чувствительных данных, но и данных, раскрывающих информацию такого характера косвенно, после интеллектуальной операции, включающей дедукцию (аналитику) или перекрестные ссылки. Например, публикация имени супруга или партнера будет равнозначна обработке специальной категории данных, поскольку она может раскрыть сексуальную ориентацию.
—
## Роскомнадзор [2014]: матрица ПД
Роскомнадзором в 2014 году в рамках Консультативного совета было предложено создать рабочую группу по определению «матрицы персональных данных». Некоторые ее выводы представлены ниже.
К числу идентификаторов (данных, позволяющих однозначно идентифицировать физическое лицо), которые сами по себе однозначно определяют физическое лицо, могут быть отнесены: номер и серия паспорта; СНИЛС; ИНН; биометрические данные; банковский счет, номер банковской карты. Приоритет при этом следует отдавать идентификаторам, присваиваемым государством.
Следующие данные также можно рассматривать как ПД, несмотря на то, что в их отношении остается некоторый аспект вероятного совпадения:
- фамилия, имя, отчество, дата рождения + иная информация о субъекте (например: место рождения; адрес проживания; наименование должности; сведения о семейном, социальном, имущественном положении; сведения об образовании, квалификации, профессии; контактные сведения и т.д.);
- фамилия, имя, отчество (возможно, фамилия и инициалы) + любая информация, выделяющая субъекта из уже ограниченного круга лиц (например: житель дома Иванов А.А. имеет такие-то долги — скорее всего, такое объявление в подъезде однозначно идентифицирует субъекта по меньшей мере для жителей этого дома).
При этом к числу данных, которые не могут рассматриваться, по крайней мере, по отдельности друг от друга, в качестве персональных, могут быть отнесены: фамилия, имя, отчество; адрес проживания; адрес электронной почты; номер контактного телефона; дата рождения.
Другие идентификаторы (например, табельный номер) сами по себе не определяют однозначно конкретное физическое лицо. Такие данные должны быть отнесены к персональным данным только в том случае, если они хранятся и обрабатываются совместно с идентификаторами, которые сами по себе определяют физическое лицо.
—
## Роскомнадзор [2021]: QR-код не является ПД
Комментарий должностного лица Роскомнадзора: «…по представленным данным (QR-код) невозможно установить личность субъекта персональных данных, следовательно, данные персональными не являются» [^1].
—
## Роскомнадзор [2023]: уникальность и неизменность ПД
Два свойства ПД, совокупность которых позволяет отнести данные к конкретному физическому лицу:
- неизменность [при присвоении];
- уникальность.
PROS
Решение Второго КСОЮ от 2022 г. по делу Ookla:
Для регистрации учетной записи достаточно лишь предоставления электронной почты. Вместе с тем, принимая во внимание порядок и условия получения адреса электронной почты, которые предполагают невозможность получения адреса электронной почты идентичного ранее полученному другим пользователем, адрес электронной почты необходимо рассматривать как уникальный идентификатор физического лица. Если для регистрации учетной записи на сайте достаточно лишь предоставления пользователем только адреса электронной почты, который в дальнейшем нельзя будет использовать для повторной регистрации, то такой адрес электронной почты является уникальным идентификатором пользователя и его ПД.
CONS
Решение АС МО от 2023 г. по делу СК «Арсеналъ»:
Утверждение Роскомнадзора, что адрес электронной почты является ПД лица его зарегистрировавшего, так как обладает «неизменностью при присвоении и уникальностью», несостоятельно, поскольку по аналогии с номером телефона, без наличия дополнительных идентификаторов, невозможно по одному лишь адресу электронной почты определить конкретное физическое лицо, которому он принадлежит.
Адрес электронной почты фактически не обладает свойством «абсолютной неизменности», так как в случае расторжения пользовательского соглашения с почтовым сервисом, удаления электронного почтового ящика с сервера (по любым причинам), в том же домене может быть зарегистрирован точно такой же адрес электронной почты за новым пользователем, также, как в случае расторжения договора с оператором телефонной связи телефонный номер может быть передан новому абоненту.
—
## Уникальность и неизменность ПД как философско-логическая категория
Философско-логическое обоснование определения свойств ПД как уникальных и неизменных через совокупность тождеств Idem и Ipse:
- Idem — идентичность структурного порядка [неизменность];
- Ipse — идентичность качественного порядка [уникальность].
Тождество Idem является логической структурой, в рамках которой можно утверждать, что данный человек или предмет — тот же самый, что был год назад, вчера, тот, кто совершил некое действие и т.п. Этот тип идентичности (Дерек Парфит называет его numerical identity, нумерической идентичностью) подразумевает неизменность во времени, пространственную идентификацию и, как следствие, количественную идентичность в смысле «тот же самый, а не другой» в рамках пары «тождественный — различный». Данного типа тождественность, описанная логическим языком с учетом временного оператора, выглядит следующим образом: предмет Р1 в момент времени t1 является тем же самым, что и предмет Р2 в момент времени t2 если и только если К(P1(t1),P2(t2)), где К — некоторый критерий диахронического тождества предметов Р1 и Р2 во времени.
Другой тип тождества — это Ipse (самость, в терминологии Парфита qualitative identity, качественная идентичность). В этом аспекте два предмета являются тождественными, если все свойства и отношения, характеризующие один из них, характеризуют и другой, и наоборот. В ракурсе времени Ipse подразумевает, что у предмета или человека есть набор неизменных качеств, по которым можно его идентифицировать. Для образования этой идентичности принципиально, что в нее диалектически включается иное, то есть тождественность возникает относительно инаковости.
—
## Роскомнадзор [2024]: нет исключительного права определять ПД
«Действующим законодательством Роскомнадзор… не наделен исключительным правом давать заключение о наличии или отсутствии в той или иной информации сведений, позволяющих по косвенным признакам определить субъекта персональных данных, то есть идентифицировать конкретное физическое лицо».
*Постановление мирового судьи судебного участка № 44 района Орехово-Борисово Южное г. Москвы от 13.02.2024 по делу №5-0010/2024*
—
## Правоприменительная практика по определению ПД
| Категория сведений | Квалификация в качестве ПД | Ссылки |
| — | — | — |
| Фамилия и инициалы | Фамилия и инициалы гражданина относятся к персональным данным субъекта, но без использования дополнительной информации определить принадлежность ПД конкретному субъекту ПД невозможно. ФИО — это идентификатор, не идентифицирующий человека однозначно, а лишь сильно сокращающий выборку из тех, кому они могут принадлежать. | Решение Нагатинского районного суда г. Москвы от 03.04.2024 по делу № 12-1747/2024 |
| Адрес электронной почты | Адрес электронной почты может быть признан ПД в случае, когда такая информация относится к прямо или косвенно определенному или определяемому физическому лицу. Если совокупность данных необходима и достаточна для идентификации лица, такие данные следует считать ПД, позволяющими определить конкретное физическое лицо. Адрес электронной почты сам по себе, без дополнительных сведений, не может однозначно являться ПД. | Письмо Минцифры России от 17.03.2022 № П25-5623-ОГ; Решение Арбитражного суда Смоленской области от 03.02.2023 по делу № А62-7498/2022; Решение Арбитражного суда г. Москвы от 20.10.2022 по делу № А56-7989/2022 |
| Данные о работнике из трудового договора | Данные о работнике, внесенные в трудовой договор, являются ПД. | Апелляционное определение Верховного суда Республики Саха (Якутия) от 23.10.2013 по делу № 33-4172/13 |
| IP-адрес | Имеется судебная практика, которая не относит IP-адрес к ПД, поскольку он позволяет идентифицировать устройство, с помощью которого был произведен выход в интернет, но не конкретного пользователя. Но поскольку IP-адрес может быть использован для идентификации пользователей, которые использовали одно устройство, или с помощью ограничения круга пользователей с помощью сопоставления с иными данными, IP-адрес следует относить к ПД. | Постановление Тринадцатого арбитражного апелляционного суда от 05.07.2017 № 13АП-5614/2017; Постановление Восьмого арбитражного апелляционного суда от 05.09.2017 № 08АП-7948/2017 по делу № А75-16756/2016 |
| Табельный номер работника | Табельный номер работника относится к его ПД, поскольку табельный номер работника может быть использован для идентификации работника во взаимосвязи с другой информацией, которая относится к конкретному работнику. | Ответ Роскомнадзора о рассмотрении обращения от 05.04.2024 №08-93449 |
| Заработная плата работника | Заработная плата относится к ПД работника. | Ответ Роструда на обращение (Вопрос №96270 от 29.03.2018) |
| Температура тела работника | Температура тела относится к ПД работника, например, при проверке охранником на предприятии. | Ответ Роструда на обращение (Вопрос №173408 от 16.12.2022) |
| Сведения о категории годности конкретного лица к военной службе | Сведения о категории годности конкретного лица к военной службе в совокупности с иной информацией, позволяющей идентифицировать конкретное лицо, относятся к специальной категории ПД. | Ответ Минцифры на обращение (Вопрос №196072392 от 13.02.2024) |
| Информация о зарегистрированных на работников/физических лиц транспортных средствах | Информация о транспортных средствах, зарегистрированных на работников/физических лиц, относится к ПД. | Постановление Четвертого арбитражного апелляционного суда от 02.08.2017 № 04АП-3856/17 по делу № А19-342/2017 |
| Номер квартиры и размер долга за ЖКУ | Номер квартиры будет ПД исключительно в совокупности с дополнительной информацией, позволяющей отнести его к конкретному физическому лицу. | Постановление ВС РФ от 06.08.2025 №46-АД25-13-К6 |
—
## «Мерцающие» ПД
ВЕРХОВНЫЙ СУД РФ — 07.2023
Дело: Роскомнадзор vs СК «Арсеналъ»
Адрес электронной почты или номер телефона, без иных сведений о человеке, сами по себе не являются ПД.
ВЕРХОВНЫЙ СУД РФ — 12.2023
Дело: ФАС vs 2gis.ru
Адрес электронной почты, сам по себе, является ПД.
—
## «Квантовые» ПД
Квантовый «эффект наблюдателя» в эксперименте Юнга: если наблюдателя нет, то электроны, проходя сразу через две щели, ведут себя как волны. Когда наблюдатель возникает и пытается определить, через какую именно из щелей пролетели электроны, то они начинают вести себя как частицы.
Аналогично (хотя любая аналогия априори ложна) информация определяется в качестве персональных данных не абсолютно, а относительно наличия наблюдателя/оператора — как заинтересованного в таком определении лица.
—
## Любые сведения о человеке — это ПД?
*(Тема слайда, требующая дополнительного рассмотрения в рамках обсуждения.)*
—
## Источники ПД
| Тип данных | Описание | Пример |
| — | — | — |
| Принятые данные | Получены не от субъектов или их представителей, а от других лиц | Рекомендация от бывшего работодателя соискателя |
| Предоставленные данные | Получены от субъектов или их представителей | Заполнение веб-форм на сайте, предоставление резюме |
| Наблюдаемые данные | Зафиксированы путем отслеживания поведения субъектов | Онлайн-трекинг, геолокация, видеонаблюдение |
| Распространенные данные | Взяты из общедоступных или открытых источников | Исследование учетных записей в социальных сетях |
| Предполагаемые данные | Спрогнозированы после продвинутого анализа наборов данных | Расчет кредитного рейтинга или прогнозирование состояния здоровья |
| Инициированные данные | Образованы путем взаимодействия или совершения действий в отношении субъектов | Заключение трудового договора, предъявление иска о выплате алиментов |
| Производные данные | Синтезированы после простого анализа других данных | Расчет прибыльности клиента по количеству посещений и купленных товаров |
| Назначенные данные | Временно или постоянно присвоены субъектам | Номер социального страхования, наименование должности |
—
## Идентификация
*(Раздел сопровождается схемой идентификации.)*
—
## Аутентификация и авторизация
*(Раздел сопровождается схемой аутентификации и авторизации.)*
—
## Алгоритм определения ПД: взгляд «прайвасиста»
*(Раздел сопровождается авторской схемой.)*
—
## Алгоритм определения ПД: принципы
I. Любые сведения о человеке — это ПД, пока прямо не доказано обратное.
II. Принимаем во внимание, но не абсолютизируем правоприменительную практику.
III. Используем аналогию определения биометрических ПД в ст. 11 152-ФЗ.
—
## Алгоритм определения ПД: механика
1. Выявляем полный состав данных в контексте реализуемого, планируемого или возможного сценария обработки, в т.ч. наличие атрибутов — сведений, которые можно связать (ассоциировать) с человеком.
2. Диагностируем возможность легального определения* человека оператором или иным заинтересованным лицом исходя из состава, характера, источников, структуры, композиции, сочетания, взаимосвязей обрабатываемых атрибутов.
3. Убеждаемся, что необходимым (или допустимым) условием достижения цели обработки данных является определение человека, то есть наличие признаков целенаправленной обработки данных, регулируемой 152-ФЗ о ПД.
*\* Способность конкретного набора данных уменьшить степень неизвестности в отношении человека и отличить этого человека от всех остальных.*
—
## Примеры отсутствия признаков обработки ПД, регулируемой 152-ФЗ
К случаям, при которых 152-ФЗ не применяется, относятся:
- Обеспечение телеком-операторами передачи сведений по каналам связи.
- Хранение сведений в ЦОДе в рамках предоставления услуг колокейшн или облачных услуг по модели IaaS.
- Формирование оператором поисковой системы в сети «Интернет» поискового индекса и предоставление пользователям доступа к нему.
- Хостинг (хранение) систем ИИ на базе больших языковых моделей (LLM), обученных или обучаемых работе с ПД.
- Осуществление защиты информации (в т.ч. ПД) с помощью специализированных программных и (или) аппаратных средств.
## Примечания
[^1]: Комментарий должностного лица Роскомнадзора о QR-коде. Источник: http://www.legalpress.ru/view/3195
