Персональные данные

Персональные данные: смысл понятия

Главный признак — отношение информации к человеку, которого можно определить. Один и тот же технический идентификатор может оцениваться по-разному в зависимости от доступного контекста.

Фамилия вместе с контактами — очевидный пример, но перечень шире. Сведения о работе, обращениях, поведении или учётной записи тоже могут относиться к определяемому лицу.

Человек, сведения и возможность определения

Необязательно, чтобы каждый набор данных содержал полное имя. Если компания может связать запись с конкретным человеком через свою систему или другие доступные сведения, отсутствие имени само по себе вопрос не закрывает.

Условный пример: из выгрузки убрали имя, оставив номер клиента. Это само по себе не доказывает обезличивание. Нужно проверить, можно ли определить человека без привлечения дополнительной информации, и не подменять эту оценку одним названием столбца.

Персональные данные и обработка

Обработка — действия с персональными данными: например, сбор, хранение, использование, передача или удаление. Определив сведения как персональные, нужно установить реальные действия с ними, цель и участников процесса.

Удаление отдельных реквизитов и обезличивание — разные вещи. Нужно оценивать, сохраняется ли возможность установить принадлежность сведений человеку в рассматриваемом процессе.

Также не следует считать любые опубликованные сведения свободными для любого использования. Источник информации не заменяет проверку целей, оснований и условий её обработки.

Почему название файла не решает вопрос

После определения состава данных выясняют, кто определяет цели обработки, какие действия выполняются и кому предоставляется доступ. Эти вопросы связывают понятие с реальным процессом компании.

Начать удобно с карты: сведения → человек → цель → действие → получатель. Она помогает увидеть персональные данные за привычными названиями «CRM», «резюме» или «аналитика сайта».