Какие данные считаются персональными: разбор с примерами

Коротко. Закон № 152-ФЗ определяет персональные данные предельно широко: это любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу. Ключевое слово — «косвенно»: персональными данными становится не только имя, но и любой набор сведений, по которому человека можно установить. Поэтому спор «является ли IP-адрес персональными данными» решается не в общем виде, а в контексте: сам по себе — сомнительно, вместе с временем и учётной записью — да. Практический вывод для компании: считать нужно не по списку полей, а по возможности идентификации, причём с учётом всех данных, которыми вы располагаете.

Материал носит справочный характер и не является юридической консультацией. Нормы приводятся по состоянию на 2026 год.

Персональные данные определяются не списком полей, а возможностью установить человека

Содержание

• Определение из закона
• Что точно является персональными данными
• Спорные случаи
• Особые и биометрические категории
• Когда данные считаются обезличенными
• Данные о работе сотрудника
• Практический тест из трёх вопросов
• Чек-лист
• FAQ

Определение из закона

Статья 3 Федерального закона № 152-ФЗ определяет персональные данные как любую информацию, относящуюся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).

Из этого определения следуют три важных вещи:

1. Перечня полей в законе нет. Нельзя сказать «эти пять полей — персональные данные, остальные нет».
2. Достаточно косвенного отношения. Данные, которые сами по себе никого не идентифицируют, становятся персональными в сочетании с другими.
3. Определяемость оценивается практически. Вопрос не «можно ли теоретически установить человека», а «можно ли это сделать вам с теми данными и возможностями, которые у вас есть».

Что точно является персональными данными

• фамилия, имя, отчество;
• дата и место рождения;
• адрес регистрации и фактического проживания;
• паспортные данные, СНИЛС, ИНН физического лица;
• номер телефона и адрес электронной почты, если по ним можно определить человека;
• фотография, по которой человек узнаваем;
• сведения о семейном положении, образовании, доходах;
• данные о трудовой деятельности: должность, стаж, место работы;
• сведения о здоровье (это ещё и особая категория, см. ниже);
• данные о геолокации, привязанные к конкретному лицу.

Отдельно стоит сказать про комбинации: должность плюс отдел плюс город в небольшой компании однозначно указывают на конкретного человека, даже без имени.

Спорные случаи

Здесь чаще всего возникают вопросы, и ответ почти всегда «зависит от контекста».

Практичный принцип: если у вас есть ключ, данные персональные. Наличие где-то в системе таблицы соответствия «идентификатор → сотрудник» делает персональными все связанные записи.

Особые и биометрические категории

Закон выделяет две группы с более строгим режимом.

Особые категории: сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни. Их обработка допускается в ограниченных случаях, предусмотренных законом. Для работодателя это означает, что интерес к таким сведениям почти всегда избыточен — и статья 86 ТК РФ прямо ограничивает сбор данных о убеждениях и частной жизни работника: статьи 86–90 ТК РФ.

Биометрические персональные данные: сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность, — например отпечатки пальцев, изображение лица, используемое для идентификации. Их обработка требует особого порядка, обычно письменного согласия.

Важное практическое следствие: фотография в пропускной системе, используемая для распознавания, и фотография в кадровом деле имеют разный правовой режим, хотя это «просто фото».

Когда данные считаются обезличенными

Обезличивание — действия, в результате которых становится невозможно без дополнительной информации определить принадлежность данных конкретному лицу.

Признаки настоящего обезличивания:

• нет ключа, позволяющего вернуться к человеку, ни у вас, ни у обработчика;
• нет уникальных комбинаций. Если в наборе есть строка «руководитель отдела из трёх человек, город N», это не обезличенные данные;
• достаточный размер группы. Агрегат по двум сотрудникам фактически указывает на них обоих.

Практичная мера — минимальный размер группы для любых агрегатов. Как это устроено в подходе с командной аналитикой без персонального контроля — обезличенная аналитика сотрудников и агрегаты вместо событий.

Данные о работе сотрудника

Отдельно разберём то, что чаще всего вызывает вопросы при внедрении систем учёта:

• имя процесса или приложения само по себе не персональные данные, но в привязке к учётной записи сотрудника — да;
• время активности — то же самое: привязка к человеку делает данные персональными;
• заголовки окон и содержимое экрана — почти всегда содержат больше, чем нужно, включая личное; поэтому такой сбор трудно обосновать целью учёта рабочего времени: 152-ФЗ и мониторинг сотрудников;
• нажатия клавиш — сбор избыточен практически всегда: кейлоггинг сотрудников;
• посещённые сайты — чувствительны: в перерывах человек заходит на личные ресурсы, и это уже частная жизнь.

Отсюда общий принцип, который экономит и юридические, и человеческие ресурсы: собирать минимум, необходимый для заявленной цели. Что именно лучше не собирать — что нельзя измерять в работе. Ответственность за избыточный сбор — штрафы за нарушение 152-ФЗ.

Практический тест из трёх вопросов

Чтобы понять, персональные ли данные перед вами:

1. Можно ли по этим данным назвать человека? Если да — персональные, вопрос закрыт.
2. Есть ли у вас или у кого-то ещё возможность связать их с человеком через другую таблицу, журнал или ключ? Если да — персональные.
3. Достаточно ли уникальна комбинация, чтобы указать на одного человека в вашей группе? Если да — персональные, даже без имени.

Если на все три вопроса ответ «нет», данные, скорее всего, обезличены — но проверку стоит зафиксировать письменно, вместе с обоснованием.

Чек-лист

• Составлен реальный перечень категорий собираемых данных, а не формальный.
• По каждой категории проверена возможность идентификации, включая косвенную.
• Выявлены и отдельно помечены особые и биометрические категории.
• Проверено, нет ли где-то ключа, связывающего «обезличенные» данные с людьми.
• Для агрегатов задан минимальный размер группы.
• Из сбора исключено всё, что не нужно для заявленной цели.
• Обоснование обезличивания зафиксировано письменно.

FAQ

Какие данные считаются персональными по 152-ФЗ? Любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу. Закрытого перечня полей в законе нет — важна возможность идентификации.

Является ли IP-адрес персональными данными? Сам по себе — вопрос спорный. В сочетании с журналами входов и учётной записью, то есть когда по нему можно установить человека, — да.

Считается ли корпоративная почта персональными данными? Как правило да: адрес вида фамилия@компания.ru содержит и фамилию, и место работы, то есть позволяет определить человека.

Что такое особые категории персональных данных? Сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, здоровье, интимной жизни. Их обработка допускается только в случаях, предусмотренных законом.

Когда данные считаются обезличенными? Когда без дополнительной информации нельзя определить, к какому человеку они относятся: нет ключа, нет уникальных комбинаций и группа достаточно велика.

Является ли имя приложения, в котором работал сотрудник, персональными данными? Само по себе нет, но в привязке к учётной записи конкретного сотрудника — да, потому что позволяет отнести информацию к определённому лицу.

Можно ли считать агрегированную статистику по отделу обезличенной? Только если по ней нельзя выделить конкретного человека. В маленьком отделе агрегат фактически описывает отдельных сотрудников, и обезличенным он не является.

Опубликовано: 12 августа 2026 г.