- Спецкатегории — данные о здоровье, расе, политических и религиозных взглядах, судимости и др. (ст. 10 ФЗ-152)
- По умолчанию обработка запрещена, разрешена только по исчерпывающему перечню оснований
- Спецкатегорию можно раскрыть и косвенно — через покупки, фитнес-трекеры, пожертвования
- Согласие должно явно называть конкретную спецкатегорию, а не быть общей фразой «согласен на всё»
- Нарушение режима — штраф для юрлица до 500 000 ₽, при повторном — до 18 000 000 ₽
Имя и номер телефона — это персональные данные. Диагноз, вероисповедание или политические взгляды — данные совершенно другого уровня риска. Закон выделяет такую информацию в специальную категорию и устанавливает для неё отдельный, гораздо более строгий режим обработки. Разберём, что туда входит, когда обработку можно проводить и как не получить штраф из-за невнимательности.
Что такое специальные категории персональных данных
По статье 10 ФЗ-152 специальные категории ПД — это сведения, обработка которых по умолчанию запрещена из-за высокого риска дискриминации и вмешательства в частную жизнь субъекта.
| Категория | Примеры |
|---|---|
| Здоровье | Диагнозы, история болезни, инвалидность, прививки |
| Расовое и национальное происхождение | Этническая, расовая принадлежность |
| Политические взгляды | Партийность, политическая активность |
| Религиозные и философские убеждения | Вероисповедание, мировоззренческая позиция |
| Интимная жизнь | Сведения о личной жизни субъекта |
| Судимость и уголовное преследование | Наличие или отсутствие судимости, статус подозреваемого |
| Членство в профессиональных союзах | Факт участия в профсоюзной организации |
Биометрические данные вынесены в отдельную статью 11 ФЗ-152 и регулируются иначе, чем специальные категории. Режим защиты у них сопоставимо строгий, но путать эти два понятия не стоит.
Косвенное раскрытие: спецкатегории не всегда очевидны
Спецкатегорию можно раскрыть не напрямую, а через связанную активность. Покупка лекарства от конкретного заболевания косвенно указывает на здоровье. Пожертвование религиозной организации — на вероисповедание. Данные фитнес-трекера о пульсе и качестве сна — на состояние здоровья.
Если из активности пользователя можно достоверно вывести спецкатегорию, относитесь к этим данным так же осторожно, как к прямому указанию диагноза или религии. Формально это уже не «обычные» персональные данные, даже если в базе хранится только название товара или сумма пожертвования.
Когда обработка разрешена
По умолчанию обработка специальных категорий запрещена. Закон допускает её только по исчерпывающему перечню оснований.
| Основание | Пример применения |
|---|---|
| Явное письменное согласие субъекта | Медцентр получает согласие на хранение диагноза |
| Трудовое законодательство (ТК РФ) | Работодатель фиксирует больничный лист сотрудника |
| Медицинская помощь, профилактика, диагностика | Больница обрабатывает историю болезни |
| Защита жизни и здоровья при невозможности получить согласие | Скорая помощь при бессознательном пациенте |
| Правосудие и исполнение судебных актов | Суд работает с данными о судимости |
| Публичный интерес, установленный законом | Статистические исследования на основе обезличенных данных |
| Данные сделаны общедоступными самим субъектом | Политик публично рассказал о своих взглядах |
Если ни одно из оснований не применяется — обрабатывать специальные категории ПД нельзя. Никакая деловая необходимость не заменяет законное основание.
Каким должно быть согласие
Согласие на обработку специальных категорий отличается от обычного согласия на обработку персональных данных. Оно должно быть:
1. Явным — недостаточно галочки «принимаю условия». Нужна отдельная форма с указанием конкретной спецкатегории.
2. Письменным — электронный документ с ЭЦП или бумажный оригинал с подписью.
3. Конкретным — указывается, какие именно данные, для чего и на какой срок.
4. Информированным — субъект должен понимать, что данные относятся к специальной категории.
5. Добровольным — нельзя обусловить предоставление услуги дачей согласия на спецкатегорию.
Главная ошибка — общая формулировка, которая не называет спецкатегорию прямо.
Неправильно:
Я согласен на обработку моих персональных данных.
Правильно:
Я даю явное согласие на обработку данных о состоянии моего здоровья (диагнозы, результаты анализов) для целей оказания медицинских услуг.
Полный пример формулировки для печатной формы:
Я даю согласие ООО «Ромашка» на обработку моих персональных данных, относящихся к специальным категориям: сведений о состоянии здоровья и медицинских ограничениях.
Обработка осуществляется в целях организации медицинского сопровождения и исполнения обязанностей работодателя в соответствии с законодательством РФ.
Согласие действует до достижения целей обработки либо до момента его отзыва.
Размытое «согласен на всё» юридически не покрывает специальные категории. Согласие должно прямо называть, о какой именно категории идёт речь.
Практика и типовые ошибки
Сбор лишних данных без необходимости
Сервис онлайн-анкетирования собирал сведения о состоянии здоровья и политических взглядах пользователей для маркетингового профилирования без отдельного письменного согласия.
Результат: предписание удалить данные и административная ответственность за обработку специальных категорий без законного основания.
Отсутствие ограничения доступа
Компания хранила медицинские документы сотрудников в общей папке без разграничения прав доступа.
Результат: доступ к данным получили сотрудники, не участвующие в кадровой работе. Проверка квалифицировала это как нарушение режима обработки специальных категорий ПД.
Кто чаще всего работает со спецкатегориями
Медицинские организации
- Диагноз, история болезни, результаты анализов — специальные категории
- Обработка разрешена без согласия в рамках медицинской деятельности
- Передача данных третьим лицам (страховщику, работодателю) требует отдельного согласия
HR и кадровый учёт
- Копия СНИЛС, медицинская книжка, справка об инвалидности — специальные категории
- Обработка допустима в рамках трудового законодательства
- Нельзя собирать сверх того, что нужно для трудовых отношений
Страховые компании
- Данные о здоровье при страховании жизни — специальные категории
- Нужно явное согласие, которое можно отозвать
- Нельзя хранить дольше срока действия страхового договора
Благотворительные и религиозные организации
- Сведения об убеждениях, вероисповедании доноров и прихожан — специальные категории
- Факт пожертвования или участия в мероприятии сам по себе не основание для обработки — нужно явное согласие
Фитнес- и медтех-сервисы
- Данные о пульсе, сне и активности граничат со спецкатегорией здоровья
- При сомнении в природе данных безопаснее применять режим спецкатегории, а не общий
Интернет-сервисы
- Нельзя запрашивать религию, политические взгляды, расу без явной необходимости
- Профилирование пользователей по демографическим маркерам без спецоснования запрещено
Усиленные меры защиты
Для специальных категорий ПД закон и практика проверок предполагают:
- изолированное хранение — отдельно от остальных персональных данных;
- ограниченный доступ — только для уполномоченных сотрудников;
- журнал доступа — логирование каждого обращения к данным;
- шифрование — при хранении и передаче;
- резервное копирование;
- регулярный пересмотр прав доступа сотрудников;
- обучение персонала, работающего со спецданными.
- Проведена инвентаризация: выявлены все спецкатегории, включая данные, раскрывающие их косвеннообязательно
- Для каждой спецкатегории определено законное основание обработкиобязательно
- Получены явные письменные согласия, прямо называющие конкретную спецкатегориюобязательно
- Специальные категории хранятся отдельно от остальных персональных данныхобязательно
- Доступ к спецданным ограничен только уполномоченными сотрудникамиобязательно
- Все обращения к спецданным логируются
- Спецданные зашифрованы при хранении и передаче
- Настроено регулярное резервное копирование
- Сроки хранения спецкатегорий определены и соблюдаются
- Сотрудники, работающие со спецданными, подписали обязательство о конфиденциальности и прошли обучение
Штрафы за нарушение
| Нарушение | Штраф для юрлица |
|---|---|
| Незаконная обработка специальных категорий ПД | 50 000 – 500 000 ₽ |
| Повторное нарушение | до 18 000 000 ₽ |
| Незаконная передача медицинских данных | до 500 000 ₽ + уголовная ответственность |
Специальные категории — зона, где ошибка обходится дороже всего: штраф, предписание и репутационные потери одновременно. Прежде чем коснуться такой информации, убедитесь, что у вас есть законное основание и выстроена защита. Если данных можно не собирать вовсе — лучше не собирать: меньше данных — меньше риска.