Метрика и персональные данные: разъясняем правовую неопределенность

Вопрос о том, можно ли считать данные, собираемые системами аналитики, персональными, остается актуальным для НКО, бизнеса и всех, кто использует веб-аналитику. Разберемся в этом подробнее.

Яндекс.Метрика и другие сервисы собирают информацию о посетителях сайта: IP-адреса, типы устройств, поведенческие метрики и многое другое. Эти данные агрегируются, а пользователям присваиваются уникальные идентификаторы (ID), позволяющие анализировать поведение аудитории без привязки к конкретному физическому лицу. Однако здесь возникает правовая сложность: возможно ли на основе этих данных восстановить личность пользователя?

Согласно российскому законодательству (ФЗ «О персональных данных»), персональные данные – это любая информация, относящаяся к прямо или косвенно к определенному или определяемому физическому лицу. Даже если данные не содержат имени или контактов, но позволяют установить личность в совокупности с другими сведениями, они могут считаться персональными.

Суды и регуляторы в ряде случаев признавали идентификаторы пользователей персональными данными, если их можно связать с конкретным человеком. Например:
📎 IP-адрес в ряде случаев может быть признан персональными данными, особенно если он статический и привязан к конкретному абоненту.
📎 Cookie-файлы и идентификаторы устройств могут использоваться для профилирования пользователей, что также может подпадать под определение персональных данных.

Роскомнадзор и суды подтверждает такую позицию в своих актах. Например:
🖊️ С помощью IP-адреса можно определить субъекта данных, если он является физическим лицом, поэтому статический IP-адрес наиболее вероятно относится к персональным данным (решение Октябрьского районного суда г. Самары от 24.09.2015 № 2-5354/2015, постановление Девятого арбитражного апелляционного суда от 23.05.2016 № 09АП-17574/2016);
🖊️ Данные cookies относятся к персональным данным, что подтвердил Московский городской суд в деле социальной сети «LinkedIn Corporation». Сайт компании LinkedIn был внесен в Реестр нарушителей прав субъектов персональных данных, а деятельность – в том числе по обработке cookies – была признана нарушающей права граждан на неприкосновенность частной жизни, личную и семейную тайну. Аналогичная позиция по cookies была затем изложена в постановлении Второго кассационного суда общей юрисдикции.

Условия использования сервисов (в частности, Яндекс.Метрики) это подтверждают - в п. 18 указано, что все данные собираемые и хранимые сервисом, Яндекс рассматривает как персональные данные и конфиденциальную информацию пользователей.

Некоммерческие организации, использующие аналитику, должны учитывать следующие риски:
1⃣ Необходимость информирования пользователей. Если НКО использует Метрику или другие сервисы, рекомендуется указывать это в Политике оператора в области обработки персональных данных.
2⃣ Риски передачи данных за границу. Google Analytics передает данные на сервера в США, что может повлечь дополнительные требования по соблюдению законодательства РФ - информирование РКН об осуществлении трансграничной передачи персональных данных.

Хотя данные, собираемые аналитическими системами, по умолчанию считаются обезличенными, их совокупность может позволить идентифицировать пользователя. НКО, работающие с такими инструментами, должны оценивать риски, информировать пользователей о сборе данных и при необходимости внедрять меры по анонимизации информации.

#ПерсональныеДанные