Психолог-ИП ведёт приём онлайн. На сайте форма из двух полей: «Как к вам обращаться» и «Телефон или почта». Однажды в профессиональном чате ей присылают скриншот поста: суд решил, что почта и телефон не персональные данные, значит, политика, согласие и уведомление в Роскомнадзор не нужны. Звучит как хорошая новость. Посмотрим, что на самом деле стоит за этим постом и можно ли на него опереться.
Что было в деле
Речь о деле № А40-139096/2022. Компания «Арсенал» принимала обращения через сайт. Форма содержала одно контактное поле, почту или телефон на выбор, плюс произвольное имя. Ни фамилии, ни других сведений о человеке.
Роскомнадзор посчитал это обработкой персональных данных с нарушениями. Компания не согласилась и оспорила его позицию в суде.
| Инстанция | Дата | Итог |
|---|---|---|
| Арбитражный суд Москвы | 20.10.2022 | в пользу компании |
| Апелляция | 11.01.2023 | решение устояло |
| Кассация | 30.03.2023 | снова в пользу компании |
| Верховный суд | 21.07.2023 | отказ передать жалобу РКН на рассмотрение, определение № 305-ЭС23-12160 |
Полтора года и четыре инстанции. Это первое, что стоит запомнить, прежде чем строить на деле свою стратегию.
Почему суды так решили
Всё держится на определении из ст. 3 152-ФЗ. Персональные данные там описаны как информация, относящаяся к прямо или косвенно определённому или определяемому физлицу. Ключевое слово «определяемому».
Адрес вроде sunny_cat@mail.ru сам по себе не говорит, кто за ним стоит. Чтобы связать его с конкретным человеком, нужны дополнительные сведения. У «Арсенала» их, по материалам дела, не было: ни фамилии, ни истории, ни других данных, к которым можно было бы привязать контакт. Суды сочли, что определить человека по такой форме компания не могла.
Логика понятная. Но она про конкретный набор данных у конкретной компании, а не про почту и телефон вообще.
Три вещи, которые теряются в пересказах
Это решение по одному спору. У нас нет прецедентного права. Другие суды не обязаны смотреть на это дело как на образец, а Роскомнадзор свою позицию после него не поменял. Значит, при проверке инспектор будет исходить из своей трактовки, а не из выводов судов по «Арсеналу».
Отказ Верховного суда не равен разъяснению. ВС не стал пересматривать дело. Это процессуальное решение, а не постановление пленума и не обзор практики, на который ссылаются как на общее правило.
Вывод хрупкий. Он работает, пока к контакту ничего не добавляется. Одна фамилия в форме, одна заметка менеджера, одна связка с заказом, и человек становится определяемым.
Примерим на реальные сайты
Мы взяли несколько типичных ситуаций малого бизнеса и прикинули, держится ли в них логика «Арсенала».
| Бизнес и что на сайте | Логика дела держится? | Почему |
|---|---|---|
| Пекарня с доставкой: форма «телефон», заказ потом уточняют по звонку, курьеру передают адрес и имя | Нет | Адрес и имя привязаны к номеру |
| Барбершоп: онлайн-запись с именем и номером, история визитов в программе записи | Нет | Есть история клиента, человек определяем |
| Юрист-ИП: форма «почта», в ответном письме клиент подписывается полным именем, письмо хранится | Скорее нет | Данные связались в переписке |
| Студия йоги: поле «почта» для подписки на расписание, больше ничего, счётчиков нет | Похоже на «Арсенал» | Но рассылка требует отдельного согласия на рекламу, если там есть предложения |
| Любой сайт с Метрикой или другим счётчиком | Спорно | РКН считает IP и cookie персональными данными |
| Личный кабинет, оплата, доставка | Нет | Здесь вопрос даже не обсуждается |
Наш психолог из первого абзаца тоже не проходит. После первой консультации у неё появляется имя клиента, время сессий, переписка. С этого момента у неё в руках персональные данные, причём весьма чувствительные. То, что форма на сайте была минималистичной, ничего не меняет.
Пять вопросов, прежде чем ссылаться на дело
Если на все пять вы честно отвечаете «да», ваша ситуация близка к «Арсеналу». Если хоть один ответ «нет», считайте себя оператором.
- В форме только один контакт, без фамилии, адреса, даты рождения?
- Заявки не попадают в CRM, где к ним дописывают имя, компанию, историю?
- На сайте нет Метрики, пикселей и других счётчиков?
- Вы не связываете контакт с заказами, оплатами, записями?
- Вы готовы, если что, отстаивать эту позицию в суде, а не на одной встрече с инспектором?
Последний вопрос самый неудобный, и он про деньги и время.
Цена ошибки
Предположим, вы решили, что вы не оператор, а РКН решил иначе. С 30.05.2025 действует новая редакция ст. 13.11 КоАП. За неподанное уведомление о намерении обрабатывать данные юрлицу грозит от 100 до 300 тыс. руб. Если нет согласия или оно оформлено с нарушениями, от 300 до 700 тыс. Если не опубликована политика, от 30 до 60 тыс. Повторные нарушения стоят заметно дороже, полная раскладка в материале о штрафах.
Сравните это с набором документов, который закрывает вопрос заранее. Политика, отдельное согласие у формы и уведомление обходятся дешевле одного похода в арбитраж, не говоря уже о четырёх.
Наша позиция
Дело «Арсенала» полезно знать. Оно показывает, что суды готовы разбираться в том, можно ли реально определить человека по данным, а не принимать трактовку РКН автоматически. Аргумент из него можно использовать в споре.
Строить на нём комплаенс мы не советуем. Сайтов, где после заявки контакт так и остаётся анонимным, в малом бизнесе почти нет. Обычно уже через час менеджер знает имя, а через неделю у клиента в карточке три заказа.
Если сомневаетесь, к какому случаю относится ваш сайт, посмотрите, что у вас реально стоит: формы, счётчики, виджеты. Разбор по типам сайтов есть в статье о документах для сайта по формам, а быстрее всего это показывает бесплатный сканер ниже.