Является ли IP-адрес персональными данными: что говорит закон

Что такое IP-адрес и почему возникает вопрос о его статусе?

За одним IP-адресом может работать весь офис, кафе или многоквартирный дом, если они выходят в интернет через один роутер. Большинство домашних IP-адресов динамические: они меняются при каждой перезагрузке роутера или смене сессии у провайдера. Вычислить, кто именно находился под конкретным IP в конкретную минуту, может только интернет-провайдер, и только по официальному запросу суда или следственных органов.

Именно поэтому статус IP-адреса как ПДн неоднозначен: он технически идентифицирует устройство, но не человека. И все же при определенных условиях граница стирается.

Является ли IP-адрес персональными данными по 152-ФЗ?

Сам по себе IP-адрес не является ПДн. Но в совокупности с другими идентификаторами (логин, ФИО, cookie) он может ими стать.

Статья 3 закона 152-ФЗ определяет персональные данные как «любую информацию, относящуюся к прямо или косвенно определенному или определяемому физическому лицу». Ключевое слово — «определяемому». IP-адрес сам по себе определяет устройство, но не субъекта. Если дополнительных данных нет, то это не ПДн.

Все меняется, когда IP-адрес попадает в базу вместе с другими данными, позволяющими установить личность. Три типичных сценария:

Что говорят Роскомнадзор и суды: есть ли противоречие?

РКН склонен считать связку IP+cookie персональными данными и выносит предписания. Суды в большинстве случаев эти предписания отменяют. Но судиться дороже, чем выполнить требования.

Роскомнадзор в своих разъяснениях и при проверках сайтов исходит из расширительного толкования: IP-адрес в сочетании с cookie-файлами или данными браузера позволяет отслеживать поведение конкретного пользователя, а значит, такая связка попадает под определение ПДн. На этом основании регулятор требует наличия cookie-баннера и указания IP в политике конфиденциальности, где также могут быть указаны контактные данные оператора, включая e-mail для обращений пользователей.

Суды общей юрисдикции и арбитраж в подавляющем большинстве дел придерживаются другой позиции: IP-адрес идентифицирует устройство, а не человека, и без дополнительных данных не позволяет установить личность субъекта. Штрафы, выписанные РКН на этом основании, регулярно оспариваются и отменяются.

Практический вывод для владельцев сайтов: несмотря на то что суды чаще встают на сторону операторов, спорить с региональным инспектором РКН — долго и дорого. Проще указать сбор IP-адресов в политике конфиденциальности и установить cookie-баннер: это снимает претензии регулятора и не создает реальной дополнительной нагрузки на бизнес.

Является ли MAC-адрес персональными данными?

MAC-адрес — это уникальный идентификатор сетевого адаптера устройства. Он не меняется при перезагрузке, что делает его более надежным идентификатором, чем динамический IP.

По той же логике 152-ФЗ: MAC-адрес сам по себе указывает на конкретное физическое устройство, но не на человека. Однако в отличие от динамического IP, MAC-адрес постоянен: он «прошит» в железо производителем и не меняется при смене сессии. Если MAC-адрес зафиксирован в базе вместе с именем пользователя или его учетной записью, вся совокупность образует персональные данные.

На практике MAC-адреса чаще фигурируют в корпоративных сетях, системах контроля доступа и журналах Wi-Fi-точек, например внутри организации, где устройства регистрируются по учетным данным сотрудников. В этом контексте связка «MAC + сотрудник» уже однозначно является персональными данными.

IP-адрес: можно ли давать его другим людям?

По IP-адресу постороннее лицо узнает только примерный город и название провайдера. ФИО, адрес квартиры и паспортные данные из него не извлечь. Но делиться IP в чатах все же не стоит.

Деанонимизация по IP — частый страх пользователей, который сильно преувеличен. Без запроса к провайдеру и судебного акта установить личность человека по его IP-адресу невозможно даже для опытного хакера. Максимум доступной публично информации: страна, регион, город и наименование интернет-провайдера.

Реальный риск при раскрытии IP представляет не кража личных данных, а DDoS-атака: злоумышленник может направить на ваш адрес поток запросов и перегрузить соединение. Это приведет к временному отключению интернета, но не к утечке ПДн. Поэтому не рекомендуется публиковать IP в открытых чатах и на игровых форумах, т.к. именно там DDoS-атаки встречаются чаще всего.

IP-адрес по 152-ФЗ и по GDPR: в чем разница?

В России статус IP-адреса — серая зона с противоречивой практикой. В Европе по GDPR IP-адреса прямо признаны персональными данными без каких-либо оговорок.

Если сайт работает с европейской аудиторией и собирает данные жителей стран ЕС, то GDPR распространяется на него автоматически, независимо от того, где физически находится сервер. По европейскому регламенту любой онлайн-идентификатор, включая IP-адрес, cookie и данные геолокации, является ПДн. Обработка без явного согласия пользователя — это нарушение со штрафами до 20 миллионов евро или 4% от годового оборота компании.

Подробнее о требованиях при работе с зарубежными сервисами можно прочитать в статье о трансграничной передаче персональных данных.

Заключение

IP-адрес не является ПДн по умолчанию, но становится ими в контексте. Одиночный адрес не позволяет установить личность пользователя, тогда как связка IP с логином, именем или cookie в базе сайта — уже позволяет.

Для владельца сайта важно не только учитывать позицию РКН, но и обеспечить защиту персональных данных: добавить сведения о собираемых данных в политику конфиденциальности, проверить формы на сайте и порядок работы с cookie. Для обычного пользователя важно помнить, что IP раскрывает город и провайдера, но не личность, и не публиковать его в открытых чатах.

Поделиться в социальных сетях:

Наталия Рагулина

Руководитель юридического отдела

8 лет опыта

более 300 выигранных дел

Автор статьи

127 публикаций на сайте

Подробнее о специалисте