Какие персональные данные считаются специальной категорией

Данные о здоровье, национальности, религии и биометрии обрабатывают по особым правилам 152-ФЗ. Разбираем, что закон относит к специальным категориям, когда нужно письменное согласие и с чего начать проверку.

Отдел кадров хранит результаты медосмотра сотрудников в одной папке с копиями паспортов и анкетами. Кадровик уверен, что это обычные персональные данные и правила для них те же, что для телефона или адреса. На деле сведения о здоровье закон выделяет в отдельную группу с особым режимом обработки, и общие правила 152-ФЗ для них не работают.

Что закон относит к специальным категориям

Статья 10 152-ФЗ «О персональных данных» называет шесть видов сведений, которые обрабатывают по особым правилам. Это раса, национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья и интимная жизнь. Для оператора это значит одно. Если среди собранных данных встречается хотя бы один пункт из списка, применять к ним обычный порядок обработки уже нельзя.

На практике специальные категории чаще всего всплывают там, где их не ждут. Анкета для ДМС с вопросом о хронических заболеваниях, графа «вероисповедание» в анкете при приёме на работу в религиозную организацию, отметка о национальности в старом кадровом шаблоне. Всё это данные особого режима, даже если оператор считает их формальностью.

Биометрию к специальным категориям строго формально не причисляют. Для неё в законе своя статья 11. Но требования к биометрическим данным не мягче, а по некоторым пунктам строже. Письменное согласие обязательно почти всегда, а список исключений короче, чем в статье 10.

Почему для этих данных нужен отдельный порядок

Часть 1 статьи 10 152-ФЗ формулирует жёстко. Обработка специальных категорий персональных данных не допускается, кроме случаев из части 2 той же статьи. Прочитать эту норму стоит буквально. Запрет действует по умолчанию, а разрешение нужно доказывать конкретным основанием.

Из оснований на практике встречаются четыре.

• Субъект дал письменное согласие.
• Субъект сам сделал эти данные общедоступными, например указал диагноз в открытом обращении.
• Обработка нужна для правосудия или исполнения судебного акта.
• Данные нужны для защиты жизни или здоровья субъекта либо другого человека, а получить согласие невозможно.

Отдельно закон разрешает обработку медицинскими и социальными организациями, если на них лежит обязанность хранить врачебную тайну.

Для биометрических данных по статье 11 логика похожая, но исключений меньше. Без письменного согласия обработка законна в основном для целей обороны, безопасности, борьбы с терроризмом и в рамках уголовного судопроизводства.

Что нужно для законной обработки

Письменное согласие на обработку специальных категорий — это не галочка в форме на сайте. Часть 4 статьи 9 152-ФЗ требует, чтобы такое согласие содержало полные данные субъекта и оператора, точную цель обработки, конкретный перечень данных, срок действия согласия и порядок его отзыва. Расплывчатая формулировка вроде «согласен на обработку персональных данных» для специальных категорий не подойдёт. Нужен отдельный документ под конкретный случай.

Технической защите таких данных тоже уделяют больше внимания. Тип обрабатываемых данных входит в число факторов, которые определяют уровень защищённости информационной системы персональных данных и, соответственно, набор обязательных мер. Прежде чем спорить о конкретных средствах защиты, для начала стоит свериться с

Авто-аудит сайта — проверка на нарушения 152-ФЗ

Что делать оператору

Начать стоит с инвентаризации. Соберите перечень всех процессов, где могут появиться специальные категории данных. Это кадровый учёт, медосмотры, пропускная система с биометрией, анкеты для клиентов, программы лояльности с вопросами о здоровье. По каждому процессу отметьте, какие данные из статьи 10 и статьи 11 там встречаются.

Дальше по каждому найденному случаю выбирайте одно из двух. Получите письменное согласие по форме из части 4 статьи 9 или зафиксируйте, на каком основании из части 2 статьи 10 обработка идёт без согласия. Если основания нет, обработку таких данных нужно прекратить или изменить процесс так, чтобы эти сведения вообще не собирались.

Полный порядок действий с формами и чек-листом в

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд

Частые вопросы

Входит ли биометрия в специальные категории персональных данных?

Формально нет. Биометрические данные регулирует отдельная статья 11 152-ФЗ, а не статья 10. Но требования к ним не мягче. Письменное согласие нужно почти всегда, а исключений из этого правила меньше, чем для данных из статьи 10.

Нужно ли письменное согласие всегда, без исключений?

Нет. Закон разрешает обработку специальных категорий без письменного согласия в отдельных случаях. Например, если субъект сам сделал данные общедоступными или согласие получить невозможно, а речь о защите жизни и здоровья.

Что грозит оператору за обработку таких данных без оснований?

Ответственность наступает по статье 13.11 КоАП РФ, которая охватывает нарушения при обработке персональных данных. Конкретный размер штрафа зависит от состава нарушения и от того, кто нарушитель: организация, ИП или должностное лицо.

С чего начать, если непонятно, есть ли в компании такие данные?

С аудита. Пройдите по всем процессам, где собираются персональные данные, включая кадры, клиентов, медосмотры и пропускную систему, и сверьте перечень собираемых сведений со статьями 10 и 11 152-ФЗ.