Верховный суд в Определении от 21 июля 2023 г. по делу №305-ЭС23-12160 (http://vsrf.ru/stor_pdf_ec.php?id=2268164) согласился с судами нижестоящих инстанций (https://kad.arbitr.ru/Card/af8f7296-a2be-4346-a22b-153c71db0904) в том, что электронная почта без дополнительных идентификаторов не является персональными данными.
Суды не поддержали позицию Роскомнадзора, который требовал признать неправомерной обработку персональных данных на сайте с помощью формы обращения, собирающей email и телефон. Суд указал, что данная форма не подразумевает сбора персональных данных, поскольку форма не используется для идентификации пользователя.
Суды отметили, что персональные данные − это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Однако в рассмотренном случае форма обращения не содержит полей, предусматривающих указание данных, позволяющих определить (идентифицировать) конкретное физическое лицо. Совокупность данных, получаемых посредством формы обращения, не обеспечивает возможности доподлинно определить конкретное физическое лицо, которому принадлежит номер телефона и/или адрес электронной почты, поскольку форма не подразумевает предоставления имени и/или иных идентификаторов.
Утверждение Роскомнадзора о том, что адрес электронной почты является персональными данными лица его зарегистрировавшего, так как обладает неизменностью и уникальностью, признано судами несостоятельным, поскольку по аналогии с номером телефона, без наличия дополнительных идентификаторов, невозможно по одному лишь адресу электронной почты определить конкретное физическое лицо, которому он принадлежит.
Более того, адрес электронной почты фактически не обладает свойством неизменности, поскольку в случае расторжения пользовательского соглашения с сервисом электронной почты или удаления электронного почтового ящика, в том же домене может быть зарегистрирован идентичный адрес электронной почты за новым пользователем, также, как в случае расторжения договора с оператором телефонной связи телефонный номер может быть передан новому абоненту.
Данный прецедент значительно упрощает соблюдение ФЗ "О персональных данных", поскольку операторы вправе не считать персональными данные, которые не позволяют установить личность человека. В значительной степени такой подход касается обработки персональных данных при работе интернет-сайтов, в том числе с использованием cookies. Если данные cookies не позволяют доподлинно определить конкретное физическое лицо (пользователя сайта), то такие данные не являются персональными, и их обработка не регулируется ФЗ "О персональных данных".
Важно отметить, что данная позиция ухудшает защиту персональных данных и противоречит подходу, который используется в нормах и практике применения GDPR, согласно которому даже минимальный набор сведений о субъекте признается персональными данными, в том числе если данные сведения не позволяют установить конкретное физическое лицо.