- расовой и национальной принадлежности;
- политических взглядах;
- религиозных или философских убеждениях;
- состоянии здоровья;
- интимной жизни.
Важно отличать их от других видов ПДн:
- биометрические ПДн (лица, голос и т. п.) — отдельная тема ст. 11 и раздел Биометрические ПДн;
- «данные, разрешённые для распространения» — регулируются ст. 10.1 и требуют отдельного согласия;
- сведения о судимости и правонарушениях — не спецкатегория, но их обработка ограничена отдельными федеральными законами (обычно разрешена государственным органам и операторам в строго установленных случаях).
Таблица: примеры спецкатегорий и комментарии
| Категория |
Примеры |
Комментарий |
| Раса/национальность |
графа «национальность», этническое самоопределение |
Обработка допускается только по законным основаниям |
| Политические взгляды |
членство/симпатии к партиям, политическая активность |
Особая чувствительность данных |
| Религиозные/философские убеждения |
конфессиональная принадлежность, мировоззрение |
Возможны исключения для религиозных организаций |
| Состояние здоровья |
диагнозы, инвалидность, медкарта |
Сильные ограничения, медицинская тайна |
| Интимная жизнь |
сексуальная ориентация, семейные обстоятельства интимного характера |
Максимально ограниченные данные |
| Судимость (не спецкатегория) |
сведения о судимости |
Обрабатываются только в случаях и порядке, установленных ФЗ |
Дополнительно см. разделы: Специальные категории ПДн, Медицинские ПДн.
Общее правило: запрет и законные исключения
Базовый принцип ст. 10 152‑ФЗ: обработка специальных категорий персональных данных запрещена. Разрешения возможны только при наличии конкретного правового основания (в том числе письменного согласия субъекта) и при соблюдении усиленных мер защиты.
Кратко:
- нельзя собирать, хранить, передавать такие данные «на всякий случай»;
- даже при наличии основания — обрабатывайте минимально необходимый объём;
- доступ — строго ограниченному кругу сотрудников;
- часто требуется письменное согласие субъекта (см. ст. 9).
Основания обработки специальных категорий персональных данных: примеры
Ниже перечислены типичные законные основания, упоминаемые в статье 10 и смежных нормах. Используйте их строго по назначению, документируйте и сочетайте с принципами минимизации и целевого характера обработки.
- Письменное согласие субъекта. Классическое основание, особенно для данных о здоровье или мировоззрении. Требования к содержанию — в ст. 9. Шаблоны: Согласие на обработку ПДн, заявления и отзыв согласия.
- Данные сделаны общедоступными самим субъектом. Но это не «свободная лицензия»: нужна проверка источника и объёма, а для публичного распространения применяется особый режим ст. 10.1 и страница Общедоступные ПДн.
- Исполнение обязанностей и реализация прав оператора в области трудового законодательства, пенсионного и социального обеспечения (например, подтверждение инвалидности для льгот). Подробнее: Кадры и 152‑ФЗ.
- Защита жизни, здоровья или иных жизненно важных интересов субъекта или третьих лиц, когда получение согласия невозможно (экстренные медицинские ситуации).
- Медицинские цели: охрана здоровья, оказание медицинских услуг, при обязательном соблюдении медицинской тайны и иных требований профзаконов. См. раздел Медицинские ПДн.
- Установление или осуществление прав, а также в связи с осуществлением правосудия (судебные разбирательства, защита интересов в суде).
- Деятельность религиозных и иных общественных объединений — обработка данных членов/участников для законных целей объединения, при запрете распространения без согласия.
- Статистические, научные и иные исследовательские цели — при обязательном обезличивании ПДн и соблюдении дополнительных гарантий.
Отдельно: сведения о судимости / привлечении к административной ответственности могут обрабатываться только в случаях и порядке, установленном федеральными законами (как правило, уполномоченными органами или при наличии прямой нормы).
Чем спецкатегории отличаются от биометрии и «данных для распространения»
- Спецкатегории (ст. 10) — это взгляды, убеждения, здоровье, интимная жизнь, раса/национальность. Ключевое: общий запрет + узкие исключения.
- Биометрические ПДн — отдельный режим ст. 11 и раздел Биометрические ПДн. Это идентификация по физиологическим и биологическим характеристикам.
- Персональные данные, разрешённые субъектом для распространения — новый режим ст. 10.1: требуется отдельное, детализированное согласие на распространение (со списком категорий, субъектов и запретами). См. также: Согласие на распространение ПДн.
Практика по отраслям: HR, медицина, образование, сервисы
- HR и работодатели:
- Медицина и телемедицина:
- медорганизации и медработники обрабатывают данные о здоровье по закону, при соблюдении врачебной тайны и усиленных мер защиты; для сторонних ИТ‑подрядчиков — оформление поручения обработки ПДн и соглашений о конфиденциальности.
- Образование и детские учреждения:
- Онлайн‑сервисы и маркетинг:
- опросы о мировоззрении/политике/интимной жизни — крайне рискованны; без надлежащего основания и письменного согласия — нельзя.
- куки и веб‑аналитика обычно не относятся к спецкатегориям, но всё равно подпадают под общие требования: см. Cookie и баннеры, Яндекс.Метрика.
Требования к согласию и документам оператора
Для спецкатегорий почти всегда требуется письменное согласие субъекта (бумага или усиленная электронная подпись — по ситуации). Что должно быть:
Оформите и поддерживайте пакет документов:
Меры защиты: организационные и технические
Для «152 ФЗ специальные категории» требуются усиленные меры защиты, учитывающие угрозы и уровень ИСПДн:
Полезно: ИСПДн: определение и требования, Меры безопасности ПДн, Инциденты и утечки.
Частые ошибки операторов и ответственность
- Сбор «про запас» лишних сведений о здоровье/убеждениях — нарушение принципа минимизации.
- Отсутствие письменного согласия или неверное оформление.
- Публичное размещение спецкатегорий без специального согласия по ст. 10.1.
- Передача подрядчикам без договора поручения и проверок безопасности.
- Неправильная трансграничная передача (без оценки уровня защиты в стране назначения).
За нарушения предусмотрены штрафы и иные меры: см. Ответственность и штрафы, в том числе КоАП 13.11. Роскомнадзор проводит проверки, нарушения попадают в публичные кейсы: Судебная практика по 152‑ФЗ.
Чек‑лист соответствия ст. 10 152‑ФЗ
- Определите, действительно ли данные относятся к спецкатегориям (см. таблицу выше).
- Проверьте законное основание: согласие, закон, жизненно важные интересы, медцели, правосудие, релобъединения, статистика с обезличиванием и т. п. См. Обработка без согласия.
- Оформите корректное письменное согласие и процесс отзыва (см. Согласия и формы).
- Обновите Политику и реестр процессов; назначьте ответственного.
- Проведите классификацию ИСПДн и оценку угроз, внедрите меры защиты.
- Настройте контроли доступа, шифрование, журналирование и процедуру реагирования на инциденты.
- Проверьте необходимость уведомления/внесения в Реестр операторов ПДн и порядок уведомления Роскомнадзора.
- Установите сроки хранения и процедуры прекращения обработки и уничтожения.
- Проведите обучение сотрудников и периодический аудит соответствия.
Итоги и что делать дальше
Статья 10 152‑ФЗ (ст 10 фз 152) вводит жёсткий режим для «152 фз специальные персональные данные». Обработка таких сведений допустима только при наличии чёткого правового основания, корректного письменного согласия и усиленных мер безопасности. Разделите спецкатегории, биометрию и «данные для распространения», оформите документы и проверьте технологические контроли.
Следующие шаги:
Нужна помощь с внедрением требований ст. 10? Обратитесь за поддержкой: консалтинг и документы под ключ или услуги в Москве. Материал носит общий информационный характер; за подробностями сверяйтесь с последней редакцией 152‑ФЗ и связанными нормами (связанные законы).
