Персональные данные это любая информация, по которой можно понять, о каком человеке идет речь. Имя с телефоном, адрес доставки, фотография, запись голоса, номер паспорта и даже номер заказа, если он связан с покупателем, все это персональные данные.
Закон делит их на несколько категорий: общие, специальные, биометрические и разрешенные для распространения. От категории зависит, на каком основании с данными можно работать, нужно ли письменное согласие и сколько стоит ошибка. Разберем все на примерах из обычного бизнеса.
Материал актуален на 22 октября 2026 года. Нормы сверены с Законом № 152-ФЗ в редакции от 26.07.2026 и КоАП РФ в редакции от 04.08.2026.
Главный тест: можно ли понять, о ком речь
В статье 3 Закона № 152-ФЗ персональные данные определены так: любая информация, относящаяся к прямо или косвенно определенному или определяемому человеку. Звучит сложно, но смысл простой.
Прямо значит, что человек назван: «Иван Петров, телефон такой-то». Косвенно значит, что имени нет, но человека можно вычислить, если сложить эти сведения с другими. Например, номер заказа сам по себе ничего не говорит. Но в вашей CRM рядом с ним стоят имя и адрес покупателя.
- В сведениях есть имя, фото, телефон, email, адрес или номер документа человека? Заявка с сайта, анкета, договор, скан паспорта, фото сотрудникаДа Да, это персональные данные Человек определен прямоНет переходите к вопросу 2
- Человека можно вычислить, если сопоставить сведения с другими данными у вас или у ваших сервисов? Номер заказа в CRM, client ID рядом с заявкой, номер машины в журнале охраныДа Да, это тоже персональные данные Человек определяется косвенно, хотя имени в сведениях нет
Что относится к персональным данным, а что нет
Вот таблица на каждый день. Найдите в ней сведения, с которыми работает ваш бизнес.
| Сведения | Персональные данные? | Категория | Пояснение |
|---|---|---|---|
| Имя и телефон из заявки на сайте | Да | Общие | Самый частый пример |
| Email вида ivanov@company.ru | Да | Общие | Адрес указывает на конкретного сотрудника |
| Общий адрес info@company.ru | Обычно нет | Не применяется | Если за ним не стоит конкретный человек |
| ИНН, ОГРН и юридический адрес ООО | Нет | Не применяется | Это сведения о компании |
| ФИО и ИНН индивидуального предпринимателя | Да | Общие | Предприниматель это человек |
| ФИО директора и менеджера компании-партнера | Да | Общие | Данные представителей тоже персональные |
| Фото сотрудника на странице «Команда» | Да | Общие | Для публикации нужно согласие на распространение |
| Фото для пропуска, по которому система узнает человека | Да | Биометрические | Изображение используют, чтобы установить личность |
| Отпечаток пальца для входа в офис | Да | Биометрические | То же самое |
| Запись звонка в колл-центре | Да | Обычно общие | Биометрией голос становится, если по нему устанавливают личность |
| Диагноз, справка о болезни, жалобы пациента | Да | Специальные | Сведения о здоровье |
| Вероисповедание или национальность в анкете | Да | Специальные | Закон прямо относит их к особым |
| Сведения о судимости | Да | Особый режим | Обрабатывают только в случаях, предусмотренных законом |
| Зарплата, доходы, долги | Да | Общие | Чувствительные, но в специальные категории закон их не включает |
| IP-адрес и cookie | Зависит от ситуации | Общие | Персональными становятся, когда связаны с заявкой, аккаунтом или профилем |
| Номер автомобиля в журнале охраны | Обычно да | Общие | Связан с владельцем или водителем |
| Сводная статистика посещений сайта | Нет | Не применяется | Если в ней нет идентификаторов конкретных людей |
Про IP-адреса, cookie и Яндекс Метрику подробно написано в статье когда cookie и аналитика становятся персональными данными.
Какие бывают категории персональных данных
Категорий четыре. Три из них отличаются тем, насколько данные чувствительны. Четвертая отвечает на другой вопрос: разрешил ли человек показывать свои данные всем.
- ФИО, телефон, email
- Адрес, дата рождения
- Должность, номер заказа
- История покупок
- Здоровье
- Национальность и раса
- Политические взгляды
- Религиозные и философские убеждения
- Интимная жизнь
- Изображение лица
- Отпечатки пальцев
- Голос, радужка глаза
- Фото и имя на сайте
- Отзыв клиента с именем
- Данные в открытом каталоге специалистов
Общие данные
Это все, что не попало в особые категории: ФИО, телефон, email, адрес, дата рождения, должность, история заказов. С ними работает почти любой бизнес. Основанием может быть договор с человеком, требование закона или согласие.
Специальные категории
Статья 10 называет их прямо: расовая и национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь. Обрабатывать такие данные по общему правилу запрещено. Исключения перечислены в законе: письменное согласие человека, медицинская помощь силами медиков, которые хранят врачебную тайну, трудовое и пенсионное законодательство и некоторые другие.
Сведения о судимости стоят в той же статье, но отдельно. Обычный бизнес обрабатывает их только тогда, когда это прямо разрешает федеральный закон.
Биометрические данные
По статье 11 это сведения о физиологических и биологических особенностях человека, по которым можно установить личность, и которые оператор для этого использует. Главное слово здесь «использует». Фото на сайте или запись звонка для контроля качества биометрией не становятся. Фото для системы распознавания лиц на проходной становится.
Биометрию обрабатывают только с письменного согласия, за небольшим числом исключений. Отказать человеку в обслуживании, если он не хочет сдавать биометрию, нельзя, когда закон не требует ее обязательно.
Данные, разрешенные для распространения
Эта категория говорит о том, открыты ли данные для всех. Если человек хочет, чтобы его данные увидели все, например его фото и имя на странице «Наша команда», он дает отдельное согласие на распространение (статья 10.1). В нем он может указать, какие данные показывать, и запретить, например, копировать их.
Подробно о таком согласии мы рассказываем в статье о распространении персональных данных. Там же есть образец.
Почему категория важна: чем чувствительнее данные, тем дороже ошибка
От категории зависит основание, форма согласия и меры защиты. И еще размер штрафа, если данные утекут. Для обычных данных штраф растет с числом людей, чьи данные утекли. Для специальных и биометрических данных порог не установлен: высокий штраф наступает при утечке данных любого числа людей.
Статья 13.11 КоАП РФ, суммы для юридических лиц в миллионах рублей
- Общие данные от 1 до 10 тысяч человек ч. 12 3–5 млн ₽ 3–5 млн ₽
- Общие данные более 100 тысяч человек ч. 14 10–15 млн ₽ 10–15 млн ₽
- Специальные категории, любое число людей ч. 16 10–15 млн ₽ 10–15 млн ₽
- Биометрия, любое число людей ч. 17 15–20 млн ₽ 15–20 млн ₽
Категории субъектов: чьи это данные
Есть еще одно слово, которое часто путают с категориями данных: категории субъектов. Это ответ на вопрос «чьи данные». Их указывают в политике и в уведомлении Роскомнадзора для каждой цели отдельно (часть 3.1 статьи 22).
| Категория субъектов | Кто это | Примеры данных |
|---|---|---|
| Клиенты и покупатели | Те, кто заказывает товары и услуги | ФИО, телефон, адрес доставки, история заказов |
| Посетители сайта | Те, кто оставляет заявки или просто заходит на сайт | Имя и телефон из формы, cookie, IP-адрес |
| Работники | Сотрудники по трудовому договору | Паспорт, СНИЛС, ИНН, банковские реквизиты, больничные |
| Соискатели | Кандидаты на вакансии | Резюме, контакты, опыт работы |
| Родственники работников | Дети и супруги, если они нужны для вычетов или льгот | ФИО, даты рождения, свидетельства |
| Представители контрагентов | Директора и менеджеры компаний-партнеров | ФИО, должность, рабочий телефон и email |
| Исполнители по договорам | Самозанятые и физические лица по договорам подряда | ФИО, ИНН, реквизиты для оплаты |
Почти у каждого бизнеса таких категорий больше, чем кажется на первый взгляд. Даже ИП без сотрудников работает с клиентами, посетителями сайта и представителями поставщиков.
Что сложно сделать самому
Определение простое, но на практике легко пропустить данные, которые лежат на виду.
- Самое трудное найти все данные. Владельцы бизнеса обычно вспоминают о заявках и клиентской базе и забывают про записи звонков, видеонаблюдение, переписку в мессенджерах, таблицы на ноутбуке менеджера и резервные копии.
- Специальные категории появляются там, где их не ждут. Форма записи к стоматологу с полем «что беспокоит» собирает сведения о здоровье. Отзыв, где клиент рассказывает о своей болезни, тоже.
- Фото, видео и голос могут оказаться и общими, и биометрическими данными. Ответ зависит от того, как вы их используете.
- Каждая категория данных и каждая категория людей должны быть описаны одинаково в политике, согласиях и уведомлении Роскомнадзора.
На бесплатном аудите обработки персональных данных мы составляем полный список данных, которые проходят через ваш бизнес, и показываем, где нужны дополнительные согласия и меры защиты.