Что считается персональными данными: имя, телефон, cookie и IP — простыми словами

Владельцы сайтов и малый бизнес часто уверены: «мы серьёзными данными не занимаемся, паспорта не собираем — значит, закон нас не касается». На практике под 152-ФЗ попадает почти любой сайт с формой заявки или счётчиком аналитики. Разберём простыми словами, что закон считает персональными данными, а что нет, и почему cookie и IP-адрес вызывают больше всего споров.

Что такое персональные данные по закону

Федеральный закон № 152-ФЗ даёт короткое, но ёмкое определение: персональные данные — это любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу. Ключевое слово здесь — «определяемому». Данные не обязаны сами по себе называть человека по имени. Достаточно, чтобы по ним можно было понять, о ком именно речь, — сразу или в сочетании с другой информацией.

Простой пример. Строка «менеджер из Иркутска» никого конкретно не выдаёт. Но «менеджер из Иркутска, телефон +7 900…, купил вчера в 14:30» — это уже вполне конкретный человек. Поэтому важно смотреть не на отдельное поле, а на всю совокупность данных, которые у вас есть.

Что да, а что нет

Проще всего понять принцип на примерах. В таблице ниже — типовые данные и ответ, считаются ли они персональными.

Отдельно про спорное. Cookie сами по себе — это технические строки в браузере. Но если cookie хранит уникальный идентификатор, по которому вы узнаёте вернувшегося посетителя и связываете его действия, — это уже данные, относящиеся к конкретному человеку. IP-адрес тоже: сам по себе он адрес устройства, но в паре с логами, временем визита и другими данными позволяет определить пользователя. Регуляторы и суды всё чаще трактуют такие идентификаторы как персональные данные, поэтому безопаснее относиться к ним именно так.

Какие ПД собирает ваш сайт

Даже простой сайт-визитка обычно собирает больше, чем кажется. Вот типичные источники персональных данных:

• Формы заявок и обратной связи — имя, телефон, email, иногда комментарий с личными деталями.
• Системы аналитики — счётчики ставят cookie и фиксируют IP, чтобы отличать посетителей.
• Онлайн-чат и виджеты обратного звонка — сохраняют контакты и переписку.
• Оплата и корзина — имя, контакты, иногда адрес доставки.
• Подписки и рассылки — email и поведение подписчика.

Если хоть один пункт про вас — вы оператор персональных данных, и на вас распространяются требования закона.

Что с этим делать

Полный порядок сводится к нескольким базовым шагам. Во-первых, получать согласие пользователя перед сбором данных — обычно это галочка у формы со ссылкой на политику. Во-вторых, разместить на сайте Политику обработки персональных данных — отдельный документ, доступный с любой страницы. В-третьих, показывать cookie-баннер, раз уж вы используете аналитику. В-четвёртых, обеспечить хранение данных россиян на серверах в России — это отдельное и строгое требование. И, наконец, подать уведомление в Роскомнадзор о том, что вы обрабатываете данные.

Понять, что из этого у вас уже есть, а чего не хватает, помогает аудит сайта на соответствие 152-ФЗ: он показывает конкретные пробелы и риски штрафов до того, как ими займётся проверка.

FAQ

Является ли IP-адрес персональными данными? Во многих случаях да. Сам по себе IP — адрес устройства, но в связке с другими данными (логи, время, действия) он позволяет определить конкретного человека, а значит трактуется как персональные данные.

Cookie — это персональные данные? Технические cookie без идентификации — нет. Но если cookie хранит уникальный идентификатор и позволяет узнавать пользователя, такие данные считаются персональными.

Считается ли email персональными данными? Личный email (например, с именем и фамилией) — да. Обезличенный адрес вроде info@ конкретного человека не выдаёт, но безопаснее защищать все контакты одинаково.

Нужно ли согласие, если я собираю только имя и телефон? Да. Имя и телефон — это персональные данные, поэтому нужны согласие, политика обработки и соблюдение остальных требований закона.

А если у меня простая визитка без форм? Если стоит счётчик аналитики, вы всё равно собираете cookie и IP. Формально это тоже обработка данных, так что политика и cookie-баннер желательны.

Коротко о главном

Персональные данные — это не только паспорта и номера карт, а любая информация, по которой можно узнать конкретного человека: имя, телефон, email, а во многих случаях и cookie с IP-адресом. Почти каждый сайт с формой или аналитикой попадает под 152-ФЗ, а значит требует согласия, политики и хранения данных в России. Чтобы точно понять, что нужно именно вашему сайту, и не собирать штрафы вслепую, начните с аудита на соответствие 152-ФЗ — он покажет реальную картину и приоритеты.