Может ли организация узнать личность анонимного жалобщика по IP-адресу, если жалоба подана через сайт без регистрации?

Являются ли IP-адрес и время обращения персональными данными и кто вправе их «привязывать» к человеку

персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 1 1 ) персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом; (Дополнение пунктом - Федеральный закон от 30.12.2020 № 519-ФЗ) 2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
— п. 1 ст. 3 ФЗ «О персональных данных»

IP-адрес и время обращения — это информация, которая косвенно позволяет определить конкретное физическое лицо (через провайдера), то есть по буквальному смыслу закона это персональные данные. Значит, любое обращение с ними — сбор, хранение, использование, передача — подчиняется правилам ФЗ-152.

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. (Статья в редакции Федерального закона от 25.07.2011 № 261-ФЗ)
— ст. 7 ФЗ «О персональных данных»

Эта норма прямо запрещает оператору и любым лицам, получившим доступ к персональным данным, раскрывать их третьим лицам без согласия субъекта. Организация, получившая жалобу с указанной вами почтой, является оператором в части этих данных и не вправе передавать их кому-либо (в том числе «пробивать» по ним вас) при отсутствии вашего согласия либо прямого указания федерального закона.

Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
— п. 1 ст. 6 ФЗ «О персональных данных»

Обработка допускается лишь при наличии одного из законных оснований, и предоставление данных о вас третьим лицам под такое основание не подпадает. Это означает: даже если IP и время объективно сохранены сервером, режим их использования ограничен целями рассмотрения жалобы, а не установлением вашей личности.

Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни. Не являются нарушением правил, установленных абзацем первым настоящего пункта, сбор, хранение, распространение и использование информации о частной жизни гражданина в государственных, общественных или иных публичных интересах, а также в случаях, если информация о частной жизни гражданина ранее стала общедоступной либо была раскрыта самим гражданином или по его воле. 2. Стороны обязательства не вправе разглашать ставшую известной им при возникновении и (или) исполнении обязательства информацию о частной жизни гражданина, являющегося стороной или третьим лицом в данном обязательстве, если соглашением не предусмотрена возможность такого разглашения информации о сторонах. 3. Неправомерным распространением полученной с нарушением закона информации о частной жизни гражданина считается, в частности, ее использование при создании произведений науки, литературы и искусства, если такое использование нарушает интересы гражданина. 4.
— п. 1 ст. 152.2 ГК РФ

Дополнительно действует гражданско-правовой запрет: без согласия гражданина не допускаются сбор, хранение, распространение и использование любой информации о его частной жизни. Попытка вычислить и раскрыть автора обращения — это именно такое неправомерное использование, влекущее возможность требовать компенсации.

Вывод. IP-адрес и время обращения квалифицируются как персональные данные; их обработка допускается только в целях, для которых они собраны (рассмотрение жалобы), а распространение и использование для «вычисления» автора без вашего согласия прямо запрещены (ст. 3, 6, 7 ФЗ-152; ст. 152.2 ГК РФ).

Может ли частная организация сама «пробить» личность по IP — граница технической возможности

На территории Российской Федерации гарантируется тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных и иных сообщений, передаваемых по сетям электросвязи и сетям почтовой связи. Ограничение права на тайну переписки, телефонных переговоров, почтовых отправлений, телеграфных и иных сообщений, передаваемых по сетям электросвязи и сетям почтовой связи, допускается только в случаях, предусмотренных федеральными законами.
— п. 1 ст. 63 ФЗ «О связи»

Закон гарантирует тайну сообщений, передаваемых по сетям электросвязи, и допускает её ограничение только в случаях, прямо предусмотренных федеральными законами. Сам по себе IP-адрес не содержит имени — «связку» с абонентом хранит только оператор связи (провайдер), а не владелец сайта.

Сведения о передаваемых по сетям электросвязи и сетям почтовой связи сообщениях, о почтовых отправлениях и почтовых переводах денежных средств, а также сами эти сообщения, почтовые отправления и переводимые денежные средства могут выдаваться только отправителям и получателям или их уполномоченным представителям, если иное не предусмотрено федеральными законами.
— п. 4 ст. 63 ФЗ «О связи»

Ключевая норма: сведения о передаваемых сообщениях могут выдаваться только отправителям и получателям либо их уполномоченным представителям, если иное не предусмотрено федеральным законом. Организация, на которую подана жалоба, отправителем или получателем сообщения не является и потому законного доступа к данным провайдера о вашей личности не имеет.

Операторы связи обязаны предоставлять уполномоченным государственным органам, осуществляющим оперативно-розыскную деятельность или обеспечение безопасности Российской Федерации, указанную информацию, информацию о пользователях услугами связи и об оказанных им услугах связи и иную информацию, необходимую для выполнения возложенных на эти органы задач, в случаях, установленных федеральными законами.
— п. 1.1 ст. 64 ФЗ «О связи»

Сведения о пользователях услугами связи и оказанных услугах предоставляются оператором связи исключительно уполномоченным государственным органам, осуществляющим ОРД или обеспечение безопасности, и только в случаях, установленных федеральными законами. Частной организации такой доступ не открыт.

Проведение оперативно-розыскных мероприятий (включая получение компьютерной информации), которые ограничивают конституционные права человека и гражданина на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, передаваемых по сетям электрической и почтовой связи, а также право на неприкосновенность жилища, допускается на основании судебного решения и при наличии информации:
— ч. 2 ст. 8 ФЗ «Об оперативно-розыскной деятельности»

Даже уполномоченные органы получают доступ к сведениям о соединениях, ограничивающим конституционные права на тайну связи, только по судебному решению. Следовательно, никакого «внесудебного» пути от IP к вашей личности у контрагента не существует.

Организатором распространения информации в сети "Интернет" является лицо, осуществляющее деятельность по обеспечению функционирования информационных систем и (или) программ для электронных вычислительных машин, которые предназначены и (или) используются для приема, передачи, доставки и (или) обработки электронных сообщений пользователей сети "Интернет". 2. Организатор распространения информации в сети "Интернет" обязан в установленном Правительством Российской Федерации порядке уведомить федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере средств массовой информации, массовых коммуникаций, информационных технологий и связи, о начале осуществления деятельности, указанной в части 1 настоящей статьи. 3. Организатор распространения информации в сети "Интернет" обязан хранить на территории Российской Федерации: 1) информацию о фактах приема, передачи, доставки и (или) обработки голосовой информации, письменного текста, изображений, звуков, видео- или иных электронных сообщений пользователей сети "Интернет" и информацию об этих пользователях в течение трех лет с момента окончания осуществления таких действий; (В редакции Федерального закона от 01.04.2025 № 41-ФЗ ) 2) текстовые сообщения пользователей сети "Интернет", голосовую информацию, изображения, звуки, видео-, иные электронные сообщения пользователей сети "Интернет" до шести месяцев с момента окончания их приема, передачи, доставки и (или) обработки.
— ч. 1 ст. 10.1 ФЗ «Об информации, информационных технологиях и о защите информации»

Роль владельца сайта ограничена хранением: если он признаётся организатором распространения информации, он обязан хранить сведения о фактах передачи сообщений и о пользователях. Однако это обязанность хранения «для себя» и для уполномоченных органов, а не право передавать данные третьим лицам или самому «расшифровывать» пользователя.

Организатор распространения информации в сети "Интернет" обязан предоставлять указанную в части 3 настоящей статьи информацию уполномоченным государственным органам, осуществляющим оперативно-разыскную деятельность или обеспечение безопасности Российской Федерации, в случаях, установленных федеральными законами. (Дополнение частью - Федеральный закон от 06.07.2016 № 374-ФЗ) (В редакции Федерального закона от 29.07.2017 № 241-ФЗ ) 4. Организатор распространения информации в сети "Интернет" обязан обеспечивать реализацию установленных федеральным органом исполнительной власти в области связи по согласованию с уполномоченными государственными органами, осуществляющими оперативно-разыскную деятельность или обеспечение безопасности Российской Федерации, требований к оборудованию и программно-техническим средствам, используемым указанным организатором в эксплуатируемых им информационных системах, для проведения этими органами в случаях, установленных федеральными законами, мероприятий в целях реализации возложенных на них задач, а также принимать меры по недопущению раскрытия организационных и тактических приемов проведения данных мероприятий. Порядок взаимодействия организаторов распространения информации в сети "Интернет" с уполномоченными государственными органами, осуществляющими оперативно-разыскную деятельность или обеспечение безопасности Российской Федерации, устанавливается Правительством Российской Федерации. 4 1 .
— ч. 3.1 ст. 10.1 ФЗ «Об информации, информационных технологиях и о защите информации»

Предоставление этих сведений организатором распространения информации допускается только уполномоченным государственным органам в установленных законом случаях. Передача таких данных частному лицу, на которое подана жалоба, законом не предусмотрена.

Вывод. Из «голого» IP-адреса без обращения к оператору связи личность установить нельзя, а оператор связи раскрывает данные о пользователе только уполномоченным госорганам и (по общему правилу) по судебному решению. Организация, на которую подана жалоба, ни как получатель обращения, ни как владелец сайта не вправе получить у провайдера сведения о вас (ст. 63, 64 ФЗ «О связи»; ч. 2 ст. 8 ФЗ «Об ОРД»; ст. 10.1 ФЗ-149).

Судьба самой жалобы без ФИО и адреса: будет ли она рассмотрена

Обращение, поступившее в государственный орган, орган местного самоуправления или должностному лицу в форме электронного документа, подлежит рассмотрению в порядке, установленном настоящим Федеральным законом. В обращении гражданин в обязательном порядке указывает свои фамилию, имя, отчество (последнее - при наличии), а также указывает адрес электронной почты либо использует адрес (уникальный идентификатор) личного кабинета на Едином портале или в иной информационной системе государственного органа или органа местного самоуправления, обеспечивающей идентификацию и (или) аутентификацию гражданина , по которым должны быть направлены ответ, уведомление о переадресации обращения.
— ч. 3 ст. 7 ФЗ «О порядке рассмотрения обращений граждан Российской Федерации»

Для обращения в форме электронного документа в госорган закон требует указать ФИО и адрес электронной почты (или личный кабинет) для направления ответа. Почтовая форма для этого не обязательна — e-mail достаточно. Заметьте: этот порядок установлен для обращений в государственные органы, органы местного самоуправления и должностным лицам, а не для жалоб в адрес частной организации, которые регулируются уже отношениями сторон и правилами самого сервиса.

В случае, если в письменном обращении не указаны фамилия гражданина, направившего обращение, или почтовый адрес, по которому должен быть направлен ответ, ответ на обращение не дается.
— ч. 1 ст. 11 ФЗ «О порядке рассмотрения обращений граждан Российской Федерации»

Если же обращение адресовано в государственный орган и в нём не указаны фамилия или почтовый адрес, ответ не даётся — такое обращение фактически остаётся без рассмотрения по существу. Это и есть правовое последствие «анонимности»: заявитель защищён сильнее, но и результат жалобы не получает.

Развилка.

• Если ваша жалоба адресована контролирующему госоргану (Роспотребнадзор, прокуратура и т. п.) и в ней нет ФИО — ответ вам не направят, обращение могут не рассматривать по существу; при этом указанный только e-mail без ФИО не выполняет требования ч. 3 ст. 7 ФЗ-59.
• Если жалоба адресована самой организации (продавцу, исполнителю, владельцу сайта-отзовика) — режим ФЗ-59 на неё не распространяется, организация рассматривает её по своим правилам; но именно поэтому у неё нет и публично-правового механизма «установить заявителя», доступного госоргану.

Вывод. Анонимность (отсутствие ФИО) защищает вас от ответных действий, но лишает жалобу юридической силы обращения в госорган: ответ по ч. 1 ст. 11 ФЗ-59 не даётся. Если цель — не быть идентифицированным, вы фактически выбираете между «рассмотрят и ответят» и «не идентифицируют, но и не ответят». Для сохранения и анонимности, и результата жалобу в госорган целесообразно подавать от имени представителя по доверенности либо через общественную организацию.

Ответственность за попытку «вычислить» жалобщика: что грозит нарушителю

Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, -
— ч. 1 ст. 13.11 КоАП РФ

Обработка персональных данных в случаях, не предусмотренных законом, либо несовместимая с целями их сбора, если это не содержит уголовно наказуемого деяния, — административное правонарушение. Попытка «пробить» вас по IP вне целей рассмотрения жалобы подпадает под эту норму, что даёт основание для жалобы в Роскомнадзор.

Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации , за исключением случаев, предусмотренных статьей 272 1 настоящего Кодекса, - (В редакции федеральных законов от 08.12.2003 № 162-ФЗ , от 30.11.2024 № 421-ФЗ ) наказываются штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо принудительными работами на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового, либо арестом на срок до четырех месяцев, либо лишением свободы на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет. (В редакции Федерального закона от 07.12.2011 № 420-ФЗ ) 2.
— ч. 1 ст. 137 УК РФ

Если сбор сведений о вашей частной жизни ведётся без согласия и составляет личную тайну, это уже уголовно наказуемое деяние — вплоть до лишения свободы. Это красноречиво показывает, что закон оценивает такие действия как серьёзное посягательство, а не как «мелкую техническую шалость».

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда. (В редакции Федерального закона от 02.07.2013 № 142-ФЗ) При определении размеров компенсации морального вреда суд принимает во внимание степень вины нарушителя и иные заслуживающие внимания обстоятельства. Суд должен также учитывать степень физических и нравственных страданий, связанных с индивидуальными особенностями гражданина, которому причинен вред. (В редакции Федерального закона от 02.07.2013 № 142-ФЗ)
— ст. 151 ГК РФ

Как потерпевший вы вправе требовать денежной компенсации морального вреда за нарушение личных неимущественных прав. Размер определяется судом с учётом степени вины нарушителя и ваших страданий.

Вывод. Неправомерный сбор или использование данных жалобщика влечёт административную ответственность по ч. 1 ст. 13.11 КоАП РФ, а при посягательстве на частную жизнь — уголовную по ч. 1 ст. 137 УК РФ, а также право на компенсацию морального вреда по ст. 151 ГК РФ. Это дополнительный «сдерживающий» аргумент: организация рискует сама, пытаясь установить автора жалобы.

Какие данные о вас реально сохраняются и как это проверить

Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей: 1) подтверждение факта обработки персональных данных оператором; 2) правовые основания и цели обработки персональных данных; 3) цели и применяемые оператором способы обработки персональных данных; 4) наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона; 5) обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения
— п. 5 ч. 7 ст. 14 ФЗ «О персональных данных»

Это ответ на ваш практический вопрос «в форме наверняка IP и время сохраняются». Закон даёт вам инструмент узнать точно: вы вправе получить у оператора информацию о том, какие именно персональные данные о вас обрабатываются (в том числе IP-адрес, время, e-mail, cookie), их источник, цели и сроки хранения, а также перечень лиц, которым они могут раскрываться.

Субъект персональных данных имеет право на получение сведений, указанных в части 7 настоящей статьи, за исключением случаев, предусмотренных частью 8 настоящей статьи. Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
— ч. 1 ст. 14 ФЗ «О персональных данных»

Более того, если выяснится, что данные (например, IP-лог) собираются не для заявленной цели или незаконно, вы вправе требовать их уточнения, блокирования или уничтожения. То есть хранящиеся логи не «бесхозны»: вы можете их проверить и при необходимости добиться удаления.

Вывод. Состав реально фиксируемых данных (IP, время, e-mail и т. д.) вы вправе проверить, направив оператору сайта запрос в порядке ст. 14 ФЗ «О персональных данных»; оператор обязан в течение 10 рабочих дней раскрыть перечень обрабатываемых данных, их источник и цели, а при незаконности их сбора — удалить их по вашему требованию.