Что можно собирать о людях без нарушения закона: личные данные и открытые источники

Каждый, наверное, хоть раз в жизни регистрировался в социальной сети, на платформах поиска работы, отправлял электронные письма, совершал покупки онлайн или просматривал видеоролики в YouTube. Вы удивитесь, но менее, чем за 5 минут OSINT-специалист сможет узнать номер вашего телефона, домашний адрес, email, школу, в который вы учились и даже пароли из взломанных БД.

Благодаря технологиям сбор данных о людях в наши дни стал более доступным. О человеке можно найти пугающее количество информации, когда он об этом и не подозревает. В то же время незнание того, что можно собирать о людях приводит к юридической ответственности. Детальнее об особенностях защиты персональных данных — в этой статье.

Что такое личные данные и как они защищаются законом

Персональные данные (ПД) относятся к конфиденциальной информации. Сбор и обработка регулируется законом и требует согласия на распространение.

ПД включают:

• ФИО;
• Геоданные;
• IP-адрес;
• Идентификационный номер;
• Данные паспортов;
• Номер телефона, кредитной карты;
• Биометрические, медицинские данные;
• Политические, религиозные убеждения;
• Аудио- и видеозаписи.

В зависимости от контекста использования, персональными являются личные мнения, суждения человека.

В каждой стране сбор личных данных регулируется регламентами и законами. В странах Евросоюза и ЕЭЗ — GDPR (Общеевропейский регламент по защите персональной информации), в России — Федеральный закон №152-ФЗ «О персональных данных». Обработка информации требует согласия человека.

Что можно собирать без согласия пользователя: публичные данные для достижения конкретной цели — проверки контрагента, противодействия преступности.

Какие данные можно собирать без нарушения закона

Общедоступная информация не всегда подлежит свободному использованию. Поэтому следует учитывать юридические и этические правила ее обработки.

1. Публичная информация

Законом разрешено собирать любую информацию, находящуюся в открытом доступе. Источниками могут быть платформы социальных сетей, поисковики, реестры доменов. Однако запрещается собирать, хранить и распространять информацию о частной жизни человека без его согласия, даже если она находится в публичном доступе.

Легальность и прозрачность — главные условия использования информации. Данные должны храниться определенное количество времени, тогда как лица, чья информация обрабатывается, должны иметь возможность распоряжаться ею по своему усмотрению. Об утечке информации уведомляют пользователей и регулирующие органы.

2. Собранные с согласия

Легальный сбор данных о людях осуществляется на основании стандартного или явного согласия. Отсутствие надлежащего использования может привести к крупным штрафам, потери доверия и ухудшению репутации. Поэтому важно знать, что предусмотрено законами по защите данных.

При трудоустройстве, оформлении заказов в интернет-магазине, заполнении формы обратной связи человек дает стандартное согласие на обработку его персональных данных. Указывает ФИО, дату рождения, домашний адрес, электронную почту, пр.

Явное согласие необходимо:

• При обработке биометрических, медицинских данных;
• Данных о политических и религиозных убеждениях;
• При автоматизированной обработке информации.

Сбор данных в социальных сетях, предложение заполнить форму (анкету), подписаться на маркетинговые рассылки также требуют явного согласия от пользователя.

3. Данные, доступные по законодательству

Правоохранительные, налоговые органы обрабатывают персональные данные для безопасности, без согласия человека. Это необходимо для обеспечения национального правопорядка и предупреждения правонарушений. Правоохранительные, налоговые органы имеют доступ к информации, которая позволяет идентифицировать человека — ФИО, адрес, паспортная информация, пр.

Государственным структурам запрещено распространять информацию третьим лицам без согласия человека, если это не предусмотрено законом. 

Законы, регулирующие сбор данных о людях

Общая цель GDPR и российского закона о защите данных (ФЗ-152) — защита прав и свобод физических лиц при обработке персональных данных. Законодательная база ЕС и РФ одинаково требует получать согласие на обработку персональных данных человека и уведомлять о нарушениях закона соответствующие органы.

Регламент GDPR отличается от ФЗ-152 более жесткими штрафными санкциями (до 20 млн евро или 4% от годового оборота компании). В России также предусмотрены штрафы за нарушение закона о защите данных, однако более низких размеров (до 1,5 млн рублей). GDPR предусматривает расширенный доступ пользователей к своим персональным данным, тогда как ФЗ-152 в этом плане предоставляет меньше прав гражданам РФ. Сроки уведомления о нарушениях при утечке данных также отличаются: в GDPR составляют 72 часа, в ФЗ-152 — 24 часа.

Важно знать: предприятие, обрабатывающее персональные данные граждан ЕС, подпадает под действие GDPR. Даже если зарегистрировано за пределами Евросоюза.

В странах ЕС и ЕЭЗ (Исландия, Норвегия, Лихтенштейн) сбор персональных данных регулируется общеевропейским регламентом GDPR. Официально был принят в 2016 году, а вступил в силу 25 мая 2018 года. Распространяется на любую организацию, которая собирает и обрабатывает персональные данные граждан ЕС, даже если компания не расположена в Евросоюзе.

Основные принципы GDPR по сбору данных в ЕС касаются:

• Типа данных;
• Допустимого объема собранных данных;
• Правил и сроков хранения ПД;
• Целей обработки персональных данных;
• Сроков хранения информации;
• Доступа владельцев к их данным.

Российская Федерация

В 2007 года вступил в силу Федеральный закон «О персональных данных» в России. Регулирует отношения, связанные с обработкой ПД, призван защищать права и свободы человека.

Принципы закона №152-Ф3 «О персональных данных»:

• Законности сбора ПД;
• Целей обработки данных;
• Допустимого объема обрабатываемых ПД;
• Достоверности персональных данных;
• Сроков хранения ПД;
• Конфиденциальности.

В 2025 году были внесены некоторые изменения в закон «О персональных данных». Обновилась форма согласия на размещение и обработку персональных данных в Единой биометрической системе; добавилось уведомлении об обработке персональных данных.

Примеры сбора данных в разных областях

В разных областях действуют определенные права сбора и обработки ПД. Но все они нацелены на защиту прав и свобод человека.

Маркетинг и реклама

Информацию, которую разрешено собирать в рекламных целях: ФИО, пол; интересы и предпочтения; семейное положение; мнения, отзывы; история действий пользователя на веб-площадке.

Для сбора данных с помощью файлов cookies, аналитики нужно явное согласие пользователя. Также касается опросов, подписок, рекламных рассылок. Это гарантирует их законное использование.

Исследования и опросы

Сбор ПД при проведении научных, социологических исследований возможен только при наличии явного согласия человека. Субъекты должны понимать, какие цели исследования, как информация будет использована, знать про риски и возможность отказаться от участия.

В рамках конфиденциальности важно придерживаться анонимизации участников. Личные данные человека, такие как имена, фамилия, адреса, номер телефона должны быть зашифрованы либо удалены. Это позволит гарантировать людям прозрачность проведения исследования.

Безопасность и правопорядок

Для обеспечения безопасности и защиты правопорядка могут использоваться общедоступные, специальные, биометрические и другие данные, касающиеся конкретного человека или определенных лиц. При необходимости разрешается использовать данные видеонаблюдений, действуя в соответственности с правовыми нормами.

Последствия незаконного сбора данных

Незаконный сбор данных, без согласия человека, грозит административной и уголовной ответственностью. Это касается специальных и биометрических данных, для использования которых берут согласие человека.

Административной ответственности в виде штрафов подвергаются лица, которые используют персональную информацию без согласия владельца. Сумма зависит от статуса нарушителя — гражданин, должностное лицо, компания или ИП. Размер штрафа варьируется от 10–15 до 300–700 тысяч рублей.

Уголовное наказание наступает, если обработка данных происходила без согласия человека и использовалась в незаконных целях. Тем более, если сведения касались личной жизни, семейной тайны, пр.

Отдельные штрафы предусмотрены за утечку персональных данных. Может варьироваться от 300–400 тысяч рублей до 10–15 миллиона рублей. Самые крупные суммы касаются утечки биометрических данных. Про инцидент в обязательном порядке информируют Роскомнадзор. За неуведомление об утечке персональной информации предусмотрены значительные штрафы. Перед тем, как начать обработку ПД также уведомляют Роскомнадзор.

Рекомендации для бизнеса и маркетологов по сбору данных

Советы, как собирать данные для маркетинга, бизнеса, чтобы не нарушать закон и регламенты по защите персональных данных:

1. Аудитория должна понимать, какие данные, с какой целью собирает платформа.
2. Запрашивайте согласие (стандартное/явное) на обработку ПД. При необходимости анонимизируйте данные клиентов.
3. Собирайте только ту информацию, которая действительна вам нужна. Это минимизирует риск утечки и незаконного использования данных, укрепит доверие клиентов.
4. Пользователи должны иметь доступ к своим персональным данным. Обеспечьте клиентам возможность контролировать, изменять, удалять личную информацию по своему желанию.
5. Соблюдайте законы №152-Ф3 «О персональных данных» и GDPR. Это позволит избежать штрафов и юридической ответственности.

Соблюдение конфиденциальности при работе с персональными данными крайне важно для маркетологов и владельцев бизнеса. Ведь только так они смогут завоевать доверие своих клиентов. Рекомендуется сокращать объем собираемой информации и принимать меры безопасности для соблюдения требований законодательства.

Выводы:

Для легального сбора ПД нужно придерживаться ряда условий. Следовать законодательным нормам, регламентам, оповещать и запрашивать согласие пользователей, обеспечивать конфиденциальность и минимизировать риски возможной утечки информации.

FAQ: Что можно собирать о людях: частые вопросы о законности сбора данных