Вопрос о том, являются ли номер телефона и адрес электронной почты персональными данными в понимании Федерального закона от № 152-ФЗ «О персональных данных», долгое время вызывал дискуссии в правоприменительной практике. Ключевым этапом в формировании единого подхода стало Определение Верховного Суда РФ от 21 июля 2023 г. № 305-ЭС23-12160 по делу № А40-139096/2022. Данное решение внело существенную ясность, однако требует правильного понимания контекста его применения.
Суть решения Верховного Суда РФ от № 305-ЭС23-12160
Дело рассматривалось по иску Роскомнадзора к страховой компании; Ведомство привлекало оператора к ответственности за размещение на сайте формы заявки на оформление полиса, в которую пользователи вводили номер телефона и e-mail, считая это обработкой персональных данных без соблюдения требований закона (отсутствие политики конфиденциальности, согласия и т.д.).
Ключевые правовые позиции Верховного Суда:
- Сами по себе номер телефона и адрес электронной почты не являются персональными данными. Они не обладают признаком неизменности и не позволяют доподлинно идентифицировать конкретное физическое лицо без привлечения дополнительной информации.
- Критерий идентифицируемости. Согласно ст. 3 Закона № 152-ФЗ, персональные данные, это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Суд подчеркнул: если из совокупности данных, полученных через форму (только телефон и e-mail), невозможно определить конкретного гражданина, то закон о персональных данных не применяется.
- Отказ Роскомнадзору. Верховый суд поддержал позиции нижестоящих инстанций и отказал ведомству в пересмотре дела, подтвердив: сбор контактов для обратной связи без привязки к ФИО, паспорту или иным идентификаторам не составляет обработку ПДн.
Разбор понятия «Идентификация» в контексте контактных данных
Позиция Суда основана на различении контактной информации и идентифицирующей информации.
Когда телефон и e-mail — НЕ персональные данные:
- Они существуют изолированно (в базе рассылок, в логах сервера, в форме обратной связи без полей ФИО);
- Оператор не имеет доступа к базам данных операторов связи или почтовых сервисов, позволяющим по номеру/адресу выявить ФИО абонента.
- Данные используются исключительно для технической связи (отправка кода подтверждения, уведомление о статусе заказа) без накопления досье на лицо.
Когда телефон и e-mail СТАНОВЯТСЯ персональными данными:
- Привязка к идентификаторам: Если к номеру/почте в информационной системе оператора привязаны ФИО, паспортные данные, ИНН, профиль пользователя, история заказов — вся эта совокупность (включая контакты) становится персональными данными.
- Наличие доступа к референсным базам: Если оператор — это сам оператор связи, банк или госорган, имеющий законный доступ к реестрам абонентов, то для него номер телефона идентифицирует личность.
- Обогащение данных: Если компания использует сервисы обогащения данных (enrichment), подтягивающие ФИО по номеру телефона из открытых или коммерческих источников, с момента такого сопоставления обработка подпадает под Закон № 152-ФЗ.
Другие судебные прецеденты и нюансы практики
Несмотря на авторитетность Определения № 305-ЭС23-12160, в практике встречаются иные подходы, зависящие от конкретных обстоятельств дела:
Дело ФАС против оператора связи (упомянутое в источнике)
В данном случае ФАС запрашивала у оператора мобильной связи информацию о владельце номера, с которого шли спам-рассылки. Суд взыскал штраф за отказ в предоставлении данных. Важно: здесь речь шла не о качестве номера как ПДн на сайте получателя спама, а об обязанности оператора связи (как хранителя данных абонентов) предоставить сведения о собственнике номера уполномоченному органу. Для оператора связи номер телефона — это ключ к карточке абонента (ПДн), а для стороннего сайта — просто строка цифр.
Позиция «Большинства судов» (ссылка на источник 2025 г.)
Некоторые обзоры практики (например, датированные 2025 годом) указывают, что «российские суды в большинстве случаев придерживаются позиции, что такая контактная информация физического лица является ПДн». Это может связано с тем, что в конкретных спорах (защита прав потребителей, трудовые споры, утечки баз клиентов) контакты уже были частью персонализированной записи. Верховный Суд в своем Определении 2023 года не запретил признавать контакты ПДн — он установил, что автоматически, по умолчанию, они таковыми не являются.
Практический вывод для бизнеса и операторов данных
Решение Верховного Суда не дает «карт-бланш» на игнорирование защиты контактов. Оно требует контекстного анализа.
Чек-лист для оценки рисков (нужно ли соблюдать 152-ФЗ для контактов?):
| Ситуация | Являются ли ПДн? | Основание |
|---|---|---|
| Форма «Заказать звонок»: только поле «Телефон» | Нет (по позиции ВС РФ) | Нет возможности идентифицировать лицо без доп. данных |
| Форма регистрации/заказа: Телефон + ФИО + Email | Да | Совокупность позволяет идентифицировать субъекта |
| База рассылок: только Email/Телефон (без ФИО) | Нет (формально) | Но риск: если рассылка персонализирована (имя в тексте), значит данные есть |
| CRM-система: Контакт привязан к карточке клиента | Да | Контакт — атрибут персонализированной записи |
| Логи веб-сервера (IP, User-Agent, телефон в URL) | Спорно | Требуется анализ: позволяет ли IP/телефон идентифицировать лицо для вас? |
Рекомендации по соблюдению законодательства
Даже если формально контакты не являются ПДн в конкретном сценарии, рекомендуется придерживаться гигиены данных:
- Политика конфиденциальности: Опишите в ней, какие данные собираете, даже если считаете их не ПДн. Это повышает доверие и защищает от претензий пользователей.
- Согласие на рассылки: Закон «О рекламе» (№ 38-ФЗ) требует согласия на рекламные рассылки независимо от статуса контактов по 152-ФЗ.
- Минимизация: Не просите лишнее. Если для услуги нужен только телефон — не просите ФИО без необходимости.
- Технические меры: Защищайте базы с контактами от утечек (шифрование, контроль доступа). Утечка базы телефонов — репутационный и правовой риск (ст. 13.11 КоАП РФ за нарушение режима защиты ПДн, если суд все же признает их таковыми в совокупности).
- Актуализация: Следите за изменениями в законодательстве и разъяснениях Пленума ВС РФ. Позиция может эволюционировать в сторону расширения понятия ПДн (например, с учетом развития биометрии и цифровых профилей).
Определение Верховного Суда РФ от № 305-ЭС23-12160 закрепило важный принцип: персональные данные — это не набор полей в базе, а возможность идентификации человека. Номер телефона и e-mail — это атрибуты связи. Они становятся персональными данными только в момент объединения с иной информацией, позволяющей сказать: «Этот номер принадлежит Ивану Иванову».
Для бизнеса это означает: если вы собираете только контакт для обратного звонка — вы не оператор ПДн по 152-ФЗ в отношении этой конкретной операции. Но как только вы создаете «карточку клиента» — режим 152-ФЗ включается полностью и распространяется на все поля карточки, включая телефон и почту.
Материал подготовлен на основе открытых судебных актов (Определение ВС РФ № 305-ЭС23-12160), комментариев правовых систем (ГАРАНТ, КонсультантПлюс) и обзоров судебной практики на 2023–2026 гг. Не является правовой консультацией. Для решения конкретных вопросов обратитесь к юристу по защите персональных данных.