инн это конфиденциальная информация или нет
ИНН не входит в состав персональных данных, его использование не нарушает прав граждан
ИНН, по существу, является номером записи о лице в ЕГРН и представляет собой цифровой код, состоящий из последовательности цифр, характеризующих слева направо код налогового органа, который присвоил ИНН, порядковый номер и контрольное число.
ИНН не заменяет имя человека и подлежит использованию налоговыми органами наряду с другими сведениями о налогоплательщиках исключительно в целях учета организаций и физлиц в налоговых органах и налогового контроля, а также для ускорения обработки значительного потока информации.
Указание ИНН налоговыми органами в направляемых ими документах налогоплательщику не предусматривает замену имени человека номером, так как фамилия, имя и отчество также указываются в этих документах.
На основании абзаца пятого пункта 7 статьи 84 НК физлица, не являющиеся ИП, вправе не указывать ИНН в представляемых в налоговые органы налоговых декларациях, заявлениях или иных документах, указывая при этом свои персональные данные.
Учитывая изложенное, полагаем, что учет физлиц в налоговых органах с использованием ИНН не нарушает права человека и гражданина.
Что такое персональные данные, является ли ими ИНН? Что еще относится к их числу?
В последнее время на слуху словосочетание «персональные данные»: в РФ ввели ряд законов, способствующих защите информации, и люди стали размышлять, как это отразится на их жизни. Ведомости персонального характера присущи каждому человеку, а их конфиденциальность напрямую связана с законным правом гражданина на частную жизнь и неразглашением личных данных.
Но начать знакомство с информационной сферой необходимо с изучения самого сегмента персональной информации. Хотите знать, конфиденциальность каких ведомостей охраняется законом, а какие данные не принадлежат к ПДн?
Мы подготовили материал, в котором обстоятельно и четко даются ответы на заданные вопросы.
Нюансы в отношении физических лиц
Субъект (носитель) персональных данных (ПДн) обладает рядом характеристик, относящихся к нему.
Одним словом, сведения о конкретном человеке, его работе или личной жизни.
Особенности для юридических лиц
Информация, принадлежащая юридическим лицам, распространяется иначе. Любой гражданин имеет возможность получить доступ к ведомостям, которые в случае с физическим лицом, считались бы конфиденциальными. Например, узнать адрес или телефон фирмы. Дело в том, что юридические лица не являются субъектами ПДн, к ним такой термин не применяется. Согласно закону «О персональных данных» №152 правительства РФ, подобные обязательства по конфиденциальности возникают только в отношении физических лиц.
В российском законодательстве нет четкого перечня персональных данных, поскольку такие ведомости должны обладать сразу двумя характеристиками – не только принадлежать субъекту информации (например, физическому лицу) но и позволять идентифицировать его. Второй параметр определяется в каждой ситуации отдельно, в зависимости от оператора, характера данных и их количества.
В юридической практике случаи по разглашению конфиденциальной информации рассматриваются по-разному, и решения принимаются в зависимости от степени обезличивания данных и потенциального или фактического ущерба в адрес субъекта данных.
Это приводит к тому, что одни и те же сведения в разных случаях могут как относиться к ПДн, так и не быть их частью.
Далее рассмотрим, являются ли персональными данными следующие примеры сведений о человеке.
О том, что считается персональными данными физических и юридических лиц, мы более подробно рассказывали тут.
Идентификационный номер налогоплательщика (ИНН) используется налоговыми органами для учета. Государственные службы не нуждаются в согласии субъекта, а сам ИНН не относится к ведомостям персонального характера и не попадает под действие закона «О персональных данных».
Несмотря на то, что граждане, обращаясь за справкой ИНН, предоставляют информацию о себе (ФИО, дату и место рождения, паспорт), сам документ не несет личной информации.
ИНН представляет собой технический цифровой код:
Его используют в ФНС, остальным же физическим лицам знание числового кода не позволит узнать о субъекте что-то еще.
Адрес электронной почты
Роскомнадзор сообщает, что некоторые персональные данные становится таковыми только после использования в паре с другими ведомостями личного характера. Адрес электронной почты относится к выше охарактеризованной группе. Емейл (email ) может позволить идентифицировать конкретного человека, если будет указан вместе, например, с фотографией или местом проживания.
В таком случае адрес почты станет ПДн (со всеми правовыми последствиями). Если же в общем доступе размещен только адрес электронной почты, информация считается обезличенной.
Фотография
Относится ли фотография к персональным данным? В ответе на этот вопрос есть свои нюансы. Фото, размещенное без какой-либо дополнительной информации о лице, не является частью персональных данных. Такое объяснение дает надзорный орган – Роскомнадзор.
Как сказано выше, ПДн должны отвечать сразу двум критериям, чтобы в их отношении регулирование осуществлялось на основе профильного закона ФЗ №152. Фотография относится к данным, принадлежащим лицу, но не дает возможности однозначно идентифицировать человека.
Другие механизмы включаются, если речь идет о распространении данных, очерняющих честь и достоинство человека. В этом случае гражданин имеет право обратиться в суд по поводу публикации только одного фотоснимка.
СНИЛС
СНИЛС – это страховой номер индивидуального лицевого счета. В Федеральном законе №27 сказано, что Пенсионный фонд и страхователи должны обеспечить защиту данных, которые входят в индивидуальный лицевой счет. Однако сам номер СНИЛС не позволяет идентифицировать физическое лицо, поэтому в перечень ПДн не входит.
СНИЛС становится общедоступной информации при создании электронной подписи. Квалифицированные центры, а их деятельность регламентируется законом ФЗ №63 «Об электронной подписи», используют номер СНИЛС или ИНН для проведения операций с сертификатами.
Как видите, СНИЛС по аналогии с ИНН не позволяет конкретизировать субъект информации, хотя и является кодом другой информации. Это привело к тому, что на правительственные органы наложили обязательства сохранять конфиденциальность данных, поданных для получения СНИЛС, при этом сам код остается общедоступным.
Дата рождения
Информация о дате рождения принадлежит субъекту информации и входит в группу обезличенных ПДн (не конкретизирующих гражданина, которому они принадлежат). На операторов, работающих с такими данными, не налагаются обязанности по защите. Даже если информация будет разглашена, третьи лица не смогут однозначно идентифицировать субъект.
ФИО и телефон
Имя, фамилия и отчество, опубликованные в паре с телефонным номером человека, являются персональными данными согласно утвержденного ФЗ №152 РФ. Они дают возможность с большой долей вероятности идентифицировать гражданина, что в последствии может обернуться для субъекта непредвиденными последствиями. Оператор ПДн имеет право распространять/передавать и обрабатывать данные, включающие в себя ФИО и телефон физического лица, только получив согласие держателя ведомостей.
О том, относится ли номер телефона к ПД, читайте в этом материале, а считается ли персональными данными ФИО, мы рассказывали тут.
ФИО и должность
ФИО и должность, обрабатываемые вместе, налагают на оператора обязанности сохранять ведомости в тайне и предотвращать к ним доступ третьим лицам.
Должность
Должность или перечень должностей, обрабатываемые отдельно, считаются обезличенными ПДн. Они принадлежат конкретным физическим лицам, но не позволяют узнать о них больше или конкретизировать.
По другому классифицируются групповые данные, например, должность и фотография, этой информации может быть достаточно на отдельно взятом предприятии, чтобы идентифицировать лицо, чего закон не позволяет.
Адрес проживания
Сам по себе адрес проживания не даст возможности установить какую-либо дополнительную информацию, поэтому входит в разряд обезличенных ведомостей.
Номер телефона
Несмотря на то, что в России услуги сотовой связи предоставляются по договору абонента и оператора (что дает теоретическую возможность третьему лицу установить, кому принадлежит номер), числовой идентификатор, опубликованный без сопровождающей информации, считается обезличенной ПДн. К нему не предъявляются требования по конфиденциальности.
Относится ли номер телефона к персональным данным узнаете тут.
Понятие ПДн в России, несмотря на наличие отдельного законодательного акта (ФЗ №152), остается расплывчатым. В законе нет четкого перечня и не описаны конкретные ситуации, когда одни и те же данные квалифицируются по-разному. К личным данным относится вся информация о физическом лице, при этом только на ее часть закон налагает ограничения по распространению и обработки (подробнее о том, какая информация считается ПД, читайте здесь).
Главным требованием является возможность идентификации лица, если ПДн дают возможность это сделать, их необходимо отнести к конфиденциальным личным данным. Сама формулировка остается актуальной только для физического лица, юридически зарегистрированные предприятия не являются субъекта ПДн в Российской Федерации.
Что относится к персональным данным?
Преподаватель-юрист «Что делать Консалт»
Консультация эксперта
Закон о персональных данных ужесточили. Штрафы увеличились. Обрабатывать персональные данные без согласия субъекта нельзя. Новостные ленты пестрят страшными заголовками. Но что на самом деле относится к персональным данным, помимо фамилии, имени и отчества? Ответ на этот вопрос вы найдёте в статье нашего эксперта Анастасии Чекмаревой.
Определение персональных данных
Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.
В редакции 2011 года закон содержал перечень:
В действующей редакции список не конкретизирован, в него входит вся информация, по которой можно определить субъекта прямо или косвенно.
Важно понимать, что не вся информация, которая относится к физическому лицу, будет считаться персональными данными, а только та, которая помогает идентифицировать субъекта. Например, адрес проживания сам по себе к таким данным не относится, но в связке с другой информацией, которая позволяет определить субъекта, его уже можно будет по определению к ним отнести.
Категории персональных данных
Среди всей информации, по которой можно определить субъекта, в законе выделено несколько особых категорий.
Специальные: раса, национальность и религия; политические и философские взгляд, здоровье, подробности личной жизни, судимости и др.
Биометрические: физиологические и биологические особенности человека. К ним относятся: отпечатки пальцев, генетическая информация, рисунок радужной оболочки глаз, образцы голоса, фотографии.
По таким категориям важна привязка к личности. Например, мужчина, рост 180 см, вес 75 кг – это неперсональные данные. Гражданина по такой информации идентифицировать невозможно. Но если добавить фамилию, имя, отчество – это биометрические персональные данные.
Ещё один пример, когда для прохода в офис сотрудники используют отпечаток пальца или радужную оболочку глаза. Для обработки такой информации необходимо согласие субъекта.
Вся остальная информация, по которой можно определить субъекта, также может быть отнесена к персональным данным. Отличие выделенных категорий в том, что к их обработке установлены особые требования. Например, согласие должно быть всегда в письменной форме или в форме электронного документа, подписанного электронной подписью. По сведениям, которые в эти категории не попадают, такая форма согласия не всегда обязательна.
В 2021 году была выделена ещё одна категория: персональные данные, разрешённые для распространения. Это информация, которую сам субъект разрешил распространять. Обратите внимание, это не та информация, которую граждане публикуют, например, в социальных сетях. На распространение должно быть получено отдельное согласие от субъекта.
Рассмотрим на примерах, какая информация является персональными данными, а что к ним отнести нельзя с точки зрения закона и судебной практики.
Паспортные данные
Информацию в паспорте можно поделить на две категории.
Сведения о владельце паспорта: фамилия, имя, отчество, дата и место рождения, адрес регистрации и др. Тут ответ однозначный. Информация прямо относится к гражданину и может его идентифицировать, соответственно, это персональные данные.
Данные паспорта как бланка: серия, номер, дата выдачи, наименование выдавшего органа, код подразделения.
По вопросу, являются ли серия и номер паспорта персональными данными, существуют две позиции судов
Из вышесказанного следует, что серию и номер паспорта отдельно суды не всегда признают персональными данными, но в совокупности с другой информацией, по которой можно определить субъекта, они всегда будут считаться таковыми.
На вопрос, является ли ИНН персональными данными, нет однозначного ответа.
С одной стороны, Минфин России неоднократно давал разъяснения, что ИНН к ним не относится, а используется исключительно для того, чтобы упорядочить учёт налогоплательщиков внутри системы налоговых органов.
Вывод прост: ИНН сам по себе, без дополнительной информации, персональными данными не является, но в совокупности с другими данными, например Ф.И.О. и ИНН, уже таковыми будет.
Ранее мы рассматривали судебную практику, при которой страхователь смог избежать или снизить штрафные санкции за непредставленный отчёт СЗВ-М или представленный не в срок.
Номер телефона
При рассмотрении вопроса, является ли номер телефона персональными данными, важно, на кого он зарегистрирован: на гражданина или на юридическое лицо.
Номер, который принадлежит юридическому лицу, к субъекту не относится, соответственно, персональными данными не является ( Письмо Минкомсвязи России от 07.07.2017 № П11-15054-ОГ ).
Даже если номер зарегистрирован на физическое лицо, то ответ неоднозначен.
Сам по себе номер телефона, без привязки к абоненту, представляет собой набор цифр и персональными данными не является. К примеру, операторы связи имеют право выставить на продажу сим-карту с номером, которым абонент не пользовался длительное время, и при этом нарушений законодательства в области персональных данных тут нет.
Номер телефона в связке с другой информацией, по которой можно идентифицировать субъекта, это персональные данные.
Электронная почта
В отличие от номера телефона, который содержит случайный порядок цифр, электронная почта сама по себе может быть отнесена к персональным данным. Например, электронная почта 123456@___.ru без дополнительной информации персональными данными быть не может, а электронную почту ivanovivan00.01.1900@___.ru по определению можно отнести к таким данным, так как она содержит конкретизирующую информацию.
Сетевые идентификаторы (IP-адрес, файлы cookie и др.)
В настоящее время мы все больше и больше связаны сетью Интернет. Из этого вытекает новая категория: сетевые идентификаторы (IP-адрес, файлы cookie и др.). С их помощью можно отследить поведение пользователя в Сети и настроить маркетинговые предложения.
Существует судебная практика, где оператора связи оштрафовали за продажу сетевых идентификаторов своих абонентов.
Но существует противоположная позиция. В Постановлении Восемнадцатого арбитражного апелляционного суда от 05.04.2017 № 18АП-2210/2017 по делу № А07-24090/2016 указано, что IP-адрес — это уникальный сетевой адрес узла в компьютерной сети, построенный по протоколу IP, и не относится к персональным данным.
Из этого следует, что IP-адрес будет отнесён к этой категории только при условии чёткой временной привязки к одному конкретному лицу.
Номер автомобиля
Государственный регистрационный номер присваивается автомобилю, а не собственнику.
Соответственно, сведения об автомобиле (марка, цвет, государственный номер) становятся персональными только в связке с информацией о его владельце.
Относительно VIN-номера автомобиля действуют те же правила. Он идентифицирует непосредственно автомобиль, а не владельца. Позиция подтверждена судебной практикой.
Исходя из этого, передача информации по автомобилю без связки с владельцем, например для оформления пропуска для проезда на закрытую территорию, не является передачей персональных данных.
Обратите внимание: здесь мы рассказывали о том, как самостоятельно продать автомобиль.
Фотография
С одной стороны, очевидно, что по изображению можно определить того, кто изображён. Но такая информация не всегда будет персональными данными, а только в том случае, когда фотография служит именно для идентификации субъекта. Рассмотрим несколько примеров.
Фото на пропуск. Такая фотография используется для того, чтобы можно было удостовериться, что предъявитель пропуска и его владелец — одно и то же лицо. Цель использования — определение личности. Соответственно, это персональные данные. Если вы фотографируете сотрудников или клиентов для оформления пропусков, то должны получить от них согласие. Позиция была озвучена Роскомнадзором.
Фото с мероприятия. Распространённая ситуация, когда на мероприятиях или в общественных местах ведётся фотосъёмка. Роскомнадзор разъяснил : если фотосъёмка была в публичном месте, открытом для общего посещения (в парке, театре, на концерте, на спортивном мероприятии) и фотографии не используются для определения личности, то в данную категорию они не входят. Если цель использования фотоизображения идентификация гражданина, то это персональные данные.
Фото на сайте. При размещении на сайте фото и контактов сотрудников, отзывов клиентов с фотографией и дополнительной информацией о них, а также в других случаях, когда публикуется ряд сведений, по которым можно идентифицировать субъекта необходимо согласие. Такая информация является персональными данными.
Вывод прост: если фото используется для идентификации субъекта – это персональные данные, в остальных случаях таковыми не является.
Состояние здоровья
Состояние здоровья – это специальная категория персональных данных.
Особая актуальность этой категории связана с тем, что в связи с ухудшением эпидемиологической обстановки многие организации не только используют средства дезинфекции, но и измеряют температуру работников и посетителей, чтобы выявить признаки заболевания. Эта информация в совокупности с другими сведениями, по которым можно определить субъекта, является специальными персональными данными. Но необходимо ли получать отдельное согласие? Роскомнадзор 10 марта 2021 года разъяснил этот вопрос на своём сайте. Согласие брать не надо. Температура работника связана с возможностью исполнения его трудовых обязанностей. Если это не работники, то они подтверждают согласие действиями, а именно намереньем посетить организацию. В этом же разъяснении указан рекомендованный срок хранения таких данных — 7 суток с момента получения.
Мы рассмотрели примеры персональных данных. Естественно, список неисчерпывающий.
Анастасия Чекмарева, преподаватель-юрист ООО «Что делать Консалт»
Минфин попросил не считать ИНН граждан персональными данными
Минфин предупредил налогоплательщиков, что ИНН не является информацией, входящей в перечень персональных данных.
В письме от 25.10.2018 № 03-01-11/76554 ведомство напоминает, что по требованиям статьи 84 НК РФ каждому налогоплательщику присваивается единый на всей территории России по всем видам налогов и сборов ИНН.
ИНН формируется как цифровой код, состоящий из последовательности цифр, характеризующих код налогового органа (4 знака), порядковый номер записи о лице в ЕГРН (6 знаков) и контрольное число (2 знака).
Фактически ИНН является номером записи о лице в Едином государственном реестре налогоплательщиков.
Этот номер применяется исключительно в целях упорядочения учета налогоплательщиков внутри системы налоговых органов, а также служит только для ускорения обработки огромного потока информации в интересах соблюдения прав налогоплательщиков.
По закону персональными данными признается любая информация, прямо или косвенно относящаяся к физическому лицу (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).
Причем обработка персональных данных физлиц разрешается только с их письменного согласия. Согласие должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных.
Закон допускает создание общедоступных источников персональных данных (в том числе справочников, реестров, адресных книг). Но персональные данные в такие общедоступные источники данных также включаются только с письменного согласия физлица.
Сведения о субъекте персональных данных должны быть в любое время исключены из общедоступных источников персональных данных по требованию физлица либо по решению суда.
Что относится к персональным данным. Кому их можно передавать, как хранить и уничтожать
В последние годы вопрос о персональных данных стал крайне острым ввиду активной цифровизации, а следовательно, и с ростом рисков по утечке и мошенническом использовании информации. При проведении проверок инспекторы обращают внимание на документы, относящиеся к персональным данным, их наличие, хранение, согласие работников на обработку и т.д.
Что такое персональные данные и что к ним относят
Персональные данные — это любая информация, прямо или косвенно относящаяся к физическому лицу, и позволяющая его определить. Это из статьи 3 ФЗ «О персональных данных», от 27.07.2006 № 152-ФЗ (далее — Закон).
К персональным данным, согласно данному закону, относят:
Но стоит учитывать, что некоторые из этих данных сами по себе, без связки с другими данными, персональными являться не могут. Если номер телефона сам по себе не является персональными данными, то в базе оператора, с указанием ФИО владельца — является. Адрес электронной почты в формате petrov_sergey_1987@mail.ru — тоже относится к персональным данным, как и ФИО, с привязкой к ИНН, номеру телефона или месту регистрации.
Также существует классификация персональных данных. Их подразделяют на:
Такая классификация дана в Постановлении Правительства от 1 ноября 2012 г. № 1119.
Немного подробнее по каждой категории.
Общедоступные — те, на доступ к которым дано согласие субъекта персональных данных, а не те, которые можно найти в общем доступе в интернете.
Специальные — информация о расе, национальности и религии; политических и философских взглядах, здоровье, подробностях личной жизни,
Биометрические — информация о физиологических и биологических особенностях человека. Это отпечатки пальцев, генетическая информация, рисунок радужной оболочки глаз, образцы голоса, фотографии.
Но здесь тоже важна определенная привязка к личности. Например, отпечаток пальца, используемый для идентификации сотрудника для входа в офис. Или скан радужной оболочки глаза.
К иным данным относится все остальное. Это как папка «разное» на большинстве компьютеров. Это электронная почта или геолокация,
информация о принадлежности к определенной социальной группе,
Обработка персональных данных
Любой договор с физлицом, содержащий его личные данные (а он и будет их содержать, если это не публичная оферта), должен в обязательном порядке содержать раздел о персональных данных. Без письменного согласия человека, обработка персональных данных оператором, а также их передача третьим лицам — запрещена.
Вообще, обработка персональных данных — это вообще любые действия, которые с ними делают. Сюда входит:
В свою очередь, обработка может осуществляться тремя путями:
После того, как персональные данные обработаны они отправляются на хранение в архив. Это может быть и отдельное специализированное помещение (если речь о бумажных документах) и электронное хранилище (например, облачное). В любом случае вам впоследствии нужно иметь возможность оперативно найти данные и уничтожить их (по требованию субъекта) или передать (в силу закона).
Что будет, если нарушить законодательство о персональных данных
Следит за соблюдением законодательства в этой сфере организация, которая у многих на слуху — Роскомнадзор. Применяемая статья — 13.11 КоАП.
Если собирать персональные данные о гражданах РФ на серверы, расположенные за пределами РФ — штраф до 6 миллионов.
Что делать, чтобы не попасть под штрафы
Чтобы собирать, хранить и обрабатывать ПД, нужно соблюдать требования Закона № 152-ФЗ. Краткий чек-лист:
Все нужна регистрация в Роскомнадзоре?
Может возникнуть ощущение, что уже давно всем работодателям нужно бежать в Роскомнадзор и регистрироваться как оператору персональных данных. Однако это не так. Вот исключения:
Во всех остальных случаях — регистрация обязательна!
Не забудьте, что в Делис Архив действует акция «Новогодняя» — дарим полезные подарки действующим и будущим клиентам!