Персональные данные
в продукте

Закон о персональных данных начинает действовать на проект с первой формы, в которую человек вводит имя, телефон или почту. В главе разобрано, что закон считает персональными данными, кто такой оператор и чем он отличается от того, кто обрабатывает данные по поручению, и где персональные данные скрыты в обычном SaaS-сервисе.

Закон: 152-ФЗ ст. 3, 5, 6, 10, 11 · КоАП РФ ст. 13.11, примечание 4
Уровень: Базовый
Связанные главы: 3.2 Основания · 3.4 Локализация · 3.5 Утечка
Зачем это знать: Чтобы увидеть все места, где проект обрабатывает персональные данные

§1Определение

152-ФЗ «О персональных данных»ст. 3, п. 1–3ред. от 26.07.2026
1) персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
[…]
2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

Определение широкое: в нём сказано «прямо или косвенно» и «определяемому». Прямо определяет человека паспорт или ФИО с датой рождения. Косвенно — набор сведений, по которым человека можно найти: телефон, адрес почты вида ivan.petrov@…, номер заказа, связанный с аккаунтом, IP-адрес вместе с временем входа в личный кабинет.

Обработка — тоже любое действие. Записать телефон в базу, показать его менеджеру, отправить в сервис рассылок, сделать резервную копию, удалить — всё это обработка. Поэтому формулировка «мы только храним данные» от закона не освобождает.

§2Оператор и обработчик по поручению

Оператор — тот, кто решает, зачем и какие данные собирать. Если он передаёт работу с данными другой компании — облаку, сервису рассылок, колл-центру, — та действует по поручению оператора. Поручение оформляется договором, и в нём перечисляются цели, действия и меры защиты (ч. 3 ст. 6 закона 152-ФЗ).

ОператорОнлайн-школа — клиент «КурсБлиновской»

Решает, что собирать в форме записи на курс
Получает согласия своих учеников
Отвечает перед Роскомнадзором и гражданами

Обработчик по поручению«КурсБлиновской»

Хранит и показывает заявки учеников по договору со школой
Не использует данные в своих целях
Отвечает перед оператором, соблюдает конфиденциальность и меры защиты

Оператор по своим данным«КурсБлиновской»

Данные своих клиентов — школ и авторов: кто зарегистрировался, кто платит
Данные своих работников
Здесь «КурсБлиновской» — самостоятельный оператор

Одна компания бывает и оператором, и обработчиком — для разных наборов данных. SaaS-сервис почти всегда оператор данных своих пользователей и обработчик данных, которые пользователи загружают в сервис. Эту двойственность фиксируют в документах: в политике обработки — роль оператора, в оферте для клиентов — условия поручения.

Если обработчик использует данные для себя

Сервис, который берёт телефоны из заявок клиентов для своей рекламы, перестаёт быть обработчиком по поручению и становится оператором без законного основания. Это обработка, несовместимая с целями сбора (ч. 1 ст. 13.11 КоАП).

§3Идентификаторы

С 30 мая 2025 года КоАП при утечках считает и людей, и идентификаторы. Штрафы по частям 12–14 ст. 13.11 зависят от того, сколько субъектов или идентификаторов утекло.

КоАП РФст. 13.11, примечание 4ред. от 26.07.2026
4. В целях настоящей статьи под идентификатором понимается уникальное обозначение сведений о физическом лице, содержащееся в информационной системе персональных данных оператора и относящееся к такому лицу.

Идентификатор — любое уникальное обозначение, связанное с человеком в системе: номер телефона, адрес почты, логин, номер карты лояльности, идентификатор пользователя в базе. У одного клиента их может быть несколько, поэтому при утечке их число обычно больше числа людей. В «КурсБлиновской» у каждого ученика, оставившего заявку на курс, минимум три идентификатора: телефон, почта и номер заявки.

§4Особые виды данных

Вид	Что входит	Особое правило
Специальные категории (ст. 10)	Расовая и национальная принадлежность, политические взгляды, религиозные убеждения, состояние здоровья, интимная жизнь	Только с согласия в письменной форме или по основаниям ст. 10; утечка — ч. 16 ст. 13.11, до 15 млн ₽
Биометрические (ст. 11)	Сведения о физиологических особенностях, по которым устанавливают личность: изображение лица, голос, отпечаток	Только с согласия в письменной форме; утечка — ч. 17 ст. 13.11, до 20 млн ₽
Данные несовершеннолетних	Любые данные детей	Согласие даёт законный представитель; незаконный оборот — квалифицированный состав ст. 272.1 УК
Разрешённые для распространения (ст. 10.1)	Данные, которые человек согласился сделать общедоступными: публичный профиль, отзыв с именем	Отдельное согласие, человек сам определяет перечень и условия

Фотография в профиле становится биометрическими данными, когда её используют для установления личности — например, для входа по лицу. Фото на аватаре, которое никто не сравнивает с другими, по разъяснениям Роскомнадзора, биометрией не считается. Сервис для клиник, где в заявке пишут жалобы на здоровье, обрабатывает специальную категорию, и требования к нему строже.

§5Принципы обработки

Статья 5 закона задаёт семь принципов. Для разработчика из них следуют конкретные решения в коде и базе.

Конкретная цельКаждое поле собирается для названной цели. Поле «дата рождения» в форме заявки на звонок цели не имеет.ч. 2

Без объединения базНельзя склеивать базы, собранные для несовместимых целей: например, базу заявок с базой для рекламы.ч. 3

Не избыточноОбъём данных соответствует цели. Паспорт для подписки на рассылку — избыточен.ч. 5

ТочностьПользователь может исправить свои данные; оператор удаляет неточные.ч. 6

Срок храненияДанные хранятся не дольше, чем нужно для цели, затем уничтожаются или обезличиваются.ч. 7

В схеме базы данных у каждой таблицы с персональными данными должны быть ответы на три вопроса: для какой цели, на каком основании и сколько хранить.

§6Карта данных «КурсБлиновской»

Где в сервисе персональные данные

Форма регистрацииИмя, почта, телефон владельца аккаунта школы. «КурсБлиновской» — оператор.

ОплатаФИО плательщика, последние цифры карты, чеки. Оператор; платёжный сервис — отдельный оператор.

Заявки учениковИмена и телефоны учеников, записавшихся на курсы школ. «КурсБлиновской» — обработчик по поручению.

Журналы сервераIP-адреса, идентификаторы сессий, время действий. Персональные данные в связке с аккаунтом.

Аналитика и счётчикиИдентификаторы cookie и устройств. Если счётчик иностранный — трансграничная передача (глава 3.4).

ПоддержкаПереписка, вложения, записи звонков. Голос в записи — не биометрия, пока по нему не устанавливают личность.

Запросы к языковой моделиТекст заявок, отправленный на обработку в ИИ-сервис. Передача третьему лицу, для иностранного API — трансграничная.

Резервные копииВсё перечисленное. Сроки хранения и удаление распространяются и на копии.

§7Частые ошибки

«Мы не собираем паспорта — у нас нет персональных данных»Телефон, почта, имя в заявке — персональные данные.

Не учитывать журналы и резервные копииОни содержат те же данные, и сроки удаления на них распространяются.

Обработчик использует данные клиентов для своей рекламыЭто обработка без основания и несовместимая с целью сбора.

Собирать «на всякий случай»Избыточные поля нарушают ч. 5 ст. 5 и увеличивают ущерб при утечке.

§8Проверьте себя

Приведите определение персональных данных. Что значит «косвенно определяемое» лицо?
Чем оператор отличается от лица, обрабатывающего данные по поручению? Кем является SaaS-сервис по отношению к данным пользователей и к данным, которые пользователи загружают?
Что такое идентификатор в смысле ст. 13.11 КоАП и почему их число при утечке больше числа людей?
Когда фотография становится биометрическими данными?
Какие три вопроса нужно задать к каждой таблице с персональными данными?

ПонятияПДн — любая информация о лицеоператор — определяет целиобработчик — по поручениюобработка — любое действие

Особые видыспециальные — здоровье, взглядыбиометрия — установление личностинесовершеннолетниедля распространения — ст. 10.1

Принципыцельминимум полейсрок хранениябез склейки баз

Справочник «Вайбкодинг в России» · модуль 3 · глава 3.1Макаров Максим Николаевич