Email и телефон не персональные данные? Что на самом деле решил суд по делу «Арсенала»

Это дело часто вспоминают в постах в соцсетях и в СМИ. Обычно из него делают вывод: почта и телефон не персональные данные, значит, уведомлять Роскомнадзор и готовить документы не нужно. Вопрос нам задают регулярно, поэтому мы решили дать свой комментарий. Дело настоящее, и суд действительно решил именно так. Но вывод из него намного уже, чем его обычно пересказывают.

Что за дело

Номер дела А40-139096/2022. Страховая компания «Арсенал» собирала на сайте обращения через форму обратной связи. В форме было два поля: email или номер телефона и произвольное имя, как к вам обращаться. Фамилии, паспорта и адреса там не было.

Роскомнадзор решил, что компания обрабатывает персональные данные с нарушениями. Компания пошла в суд и выиграла:

• Арбитражный суд Москвы, решение от 20.10.2022;
• апелляция, 11.01.2023, решение оставлено в силе;
• кассация, 30.03.2023, тоже в пользу компании;
• Верховный суд 21.07.2023 отказал Роскомнадзору в передаче жалобы (определение № 305-ЭС23-12160).

Логика судов простая. Персональные данные по статье 3 закона 152-ФЗ это информация, которая относится к определённому или определяемому человеку. Сам по себе адрес почты или номер телефона не говорит, кто его владелец. Чтобы узнать, нужны другие сведения, а у компании их не было. Значит, по этой конкретной форме персональных данных компания не обрабатывала.

Где пересказы перегибают

Это одно дело, а не правило для всех. В России нет прецедентного права. Решение по «Арсеналу» не обязывает другие суды, и практика в обратную сторону тоже есть. Роскомнадзор свою позицию после этого дела не поменял.

Верховный суд по существу ничего не постановил. Отказ в передаче жалобы означает, что судья не увидел оснований пересматривать дело. Это не то же самое, что разъяснение Верховного суда для всех.

Решение касается формы, где кроме контакта ничего нет. Стоит добавить к почте фамилию, и человек становится определяемым. Дальше это обычные персональные данные со всеми обязанностями.

Подходит ли это вашему сайту

Проверьте честно. Вывод из дела «Арсенала» работает, только если на сайте выполняются сразу все условия:

У большинства коммерческих сайтов есть хотя бы одна строка из нижней части таблицы. Чаще всего это Метрика и CRM: менеджер перезванивает по заявке, узнаёт имя и записывает его. С этого момента в базе лежат персональные данные, даже если сама форма на сайте была как у «Арсенала».

Что грозит, если ошибиться

С 30 мая 2025 года штрафы по статье 13.11 КоАП выросли. За то, что вы не подали уведомление в Роскомнадзор, юрлицу грозит от 100 до 300 тысяч рублей. За нарушения с согласием на обработку уже до 700 тысяч. Суд по делу «Арсенала» компания выиграла, но шла до Верховного суда больше года. Если опираться на это дело, будьте готовы так же доказывать свою позицию в суде.

Что мы советуем

1. Если на сайте только почта или телефон, нет CRM и счётчиков, позиция «Арсенала» вам подходит. Но учитывайте, что Роскомнадзор с ней не согласен и спорить придётся в суде.
2. Если есть имя, CRM, рассылка или Метрика, считайте, что вы оператор персональных данных. Нужны политика обработки, согласие и уведомление в Роскомнадзор.
3. Не стройте защиту на одном решении суда. Политика и согласие стоят дешевле, чем спор с Роскомнадзором до Верховного суда.