Категории персональных данных: какие бывают и что к ним относится

Сколько категорий персональных данных существует по 152-ФЗ?

Закон выделяет четыре категории ПДн: общедоступные, иные (обычные), специальные и биометрические. У каждой из них свой режим обработки и свои требования к согласию.

Закон 152-ФЗ не сводит все персональные данные в одну корзину. Чем «опаснее» категория ПДн для частной жизни человека, тем строже требования к их обработке. Общедоступные данные можно обрабатывать почти свободно, а специальные и биометрические — только при письменном согласии и с повышенными требованиями к защите.

Основой классификации служат статьи 10 и 11 152-ФЗ (специальные и биометрические категории соответственно), а также понятие общедоступных данных по статье 8 закона. Все, что не попадает под эти три категории, относится к «иным» или обычным ПДн (ФИО, телефон, email, адрес и т.п.).

Какие данные относятся к специальной категории персональных данных?

Расовая и национальная принадлежность, политические взгляды, религиозные и философские убеждения, сведения о состоянии здоровья, интимной жизни входят в закрытый перечень по ст. 10 152-ФЗ. Их обработка запрещена по умолчанию.

Статья 10 152-ФЗ устанавливает: обработка этих данных не допускается, кроме исключительных случаев. Главный из них — письменное согласие субъекта. Без него работать со специальными категориями нельзя, даже если ПДн получены случайно, а не запрошены целенаправленно.

Именно здесь чаще всего ошибается бизнес: специальной категорией данные становятся не из-за намерения их собрать, а из-за самого факта их появления. Если клиент написал в чат поддержки «не могу прийти за заказом, лежу с температурой», то он сообщил сведения о состоянии здоровья. В случае хранения этой переписки в CRM без письменного согласия на обработку специальных категорий, компания нарушает закон независимо от того, спрашивала ли она об этом специально.

Отдельно стоит рассмотреть информацию о судимости. По сути своей это также «специальная категория», но юридически для обработки сведений о судимости есть самостоятельная норма по ч. 3 ст. 10 закона 152-ФЗ, не входящая в перечень части 1 данной статьи. В отличие от данных из части 1, для судимости письменное согласие не работает как универсальное основание: обработкой таких сведений могут заниматься государственные и муниципальные органы в пределах своих полномочий либо иные лица, но только в случаях, прямо предусмотренных федеральными законами. Если для конкретной должности нет отдельного закона, требующего справку о судимости, получать и хранить такие сведения от обычного сотрудника оператору не следует.

Что считается биометрическими персональными данными?

Фотография сотрудника на пропуске или в почтовой подписи не является биометрией. Однако если она используется для автоматического установления личности, например, при сканировании камерой на турникете, то она становится биометрией.

Ст. 11 152-ФЗ определяет биометрические данные как сведения о физиологических и биологических особенностях человека, которые оператор использует для установления его личности. Так, одна и та же фотография может быть обычными данными или биометрией в зависимости от того, что с ней делает система.

Чем общедоступные и «иные» ПДн отличаются от специальных?

Общедоступные данные — те, что субъект сам раскрыл неограниченному кругу лиц. «Иные» — это любые обычные данные, которые не попадают под особые категории: ФИО, телефон, адрес, email, должность и место работы.

Разница между этими категориями и специальными заключается в основании обработки. Для обычных («иных») ПДн подходит любое из 12 оснований ст. 6 152-ФЗ: исполнение договора, согласие, законный интерес оператора и так далее. Письменная форма согласия не требуется, достаточно, например, заполнения чекбокса на сайте.

Для специальных и биометрических категорий действует обратный принцип: по умолчанию обработка запрещена, и единственным практическим выходом для коммерческой компании является письменное согласие в строгой форме: бумага с подписью или электронный документ с электронной подписью (например, подтвержденной записью через Госуслуги, УКЭП). Обычная веб-форма с галочкой для этого не подходит.

Таблица категорий ПДн

Рассмотрим с помощью таблицы подробнее, что входит в каждую категорию, какая норма ее регулирует, нужно ли письменное согласие и как категория влияет на требования к защите системы.

Наглядный пример влияния категории на защиту: база из 10 000 строк с обычными ФИО и телефонами при типовых угрозах соответствует УЗ-4, то есть минимальному уровню. Но если в нее попадает хотя бы одна колонка с диагнозом, система автоматически переходит на УЗ-3, а это уже более строгий уровень с дополнительными требованиями к защите.

Как категория данных влияет на уровень защищенности ИСПДн?

Как мы разобрали ранее, появление в базе хотя бы одной записи специальной категории автоматически поднимает требуемый уровень защищенности, а значит, и стоимость защиты системы.

Категория обрабатываемых данных — один из трех факторов, определяющих уровень защищенности (УЗ) информационной системы, наряду с количеством субъектов персональных данных и типом актуальных угроз. Чем выше требуемый уровень, тем дороже его обеспечить: сертифицированные средства защиты информации, более строгая парольная политика, а при больших объемах данных — сертифицированные криптошлюзы для шифрования при передаче.

Как HR-отделу легально работать с данными о здоровье сотрудников?

Больничные листы, справки об инвалидности, медицинские книжки относятся к специальным категориям ПДн. Их хранение в общей папке кадровика и предоставление доступа всем сотрудникам бухгалтерии незаконно.

Это слепая зона почти любого отдела кадров. Листок нетрудоспособности содержит код диагноза, а справка об инвалидности прямо указывает на состояние здоровья, как и результаты медосмотра. Все это попадает под ст. 10 152-ФЗ, и для законного хранения нужно:

• письменное согласие работника на обработку данных о здоровье (за исключением случаев, когда обработка прямо предусмотрена трудовым законодательством, например обязательные медосмотры для отдельных профессий);
• ограниченный доступ: к таким документам не должны иметь доступ рядовые бухгалтеры или менеджеры, не отвечающие за кадровый учет;
• отдельное от общего личного дела хранение — физическое (запираемый шкаф) или электронное (отдельная папка с ограниченными правами доступа).

Многие работодатели допускают ошибку, складируя медицинские документы в общей папке личного дела наравне с трудовым договором и анкетой. Юридически это означает, что специальные категории данных хранятся без надлежащей защиты — нарушение, которое легко выявляется при любой проверке РКН независимо от того, произошла ли утечка.

Можно ли спрашивать о религии и национальности на собеседовании?

Религиозные убеждения и национальная принадлежность входят в перечень ст. 10 152-ФЗ. Спросить об этом напрямую на собеседовании, чтобы «лучше понять кандидата» — значит, нарушить закон, даже если вопрос задан из лучших побуждений.

На практике эта потребность возникает не из любопытства, а из организационных нужд: необходимо ли выделить время для молитвы, учесть пост при организации корпоративного питания, предусмотреть выходной на религиозный праздник, не входящий в общий календарь. Правильным решением будет не задавать прямой вопрос, а позволить сотруднику самому обратиться с просьбой, если она возникнет. В этом случае инициатива исходит от субъекта, а согласие на обработку этой информации можно оформить точечно, под конкретную цель, например, для формирования меню на корпоративном мероприятии.

Как оформить согласие на обработку специальных и биометрических данных?

Простого чекбокса на сайте недостаточно. Закон требует письменную форму: бумага с подписью или электронный документ с электронной подписью.

Ч. 4 ст. 9 152-ФЗ устанавливает обязательные сведения для письменного согласия:

— ФИО и паспортные данные субъекта (серия, номер, дата и орган выдачи),

— наименование и адрес оператора,

— цель обработки,

— перечень персональных данных, на обработку которых выдано согласие,

— перечень разрешенных действий с данными,

— срок действия согласия и порядок его отзыва,

— подпись субъекта.

Без этих обязательных реквизитов документ не считается надлежащим письменным согласием, даже если он подписан собственноручной подписью субъекта персональных данных.

Электронным эквивалентом письменной формы служит согласие, подписанное электронной подписью. Причем закон не содержит требований к виду электронной подписи. То есть нет правила о том, что это должна быть исключительно усиленная квалифицированная электронная подпись (УКЭП). Допустимо использование также усиленной неквалифицированной подписью (УНЭП) и простой электронной подписи (ПЭП).

Что грозит за незаконную обработку специальных и биометрических данных?

Ответственность установлена ст. 13.11 КоАП РФ, и для специальных и биометрических категорий предусмотрены отдельные, более строгие по размеру ответственности части статьи. Утечка специальных категорий персональных данных (здоровье, религия, национальность и др.) штрафуется по ч. 16: от 10 000 000 до 15 000 000 рублей для юридических лиц. Утечка биометрических данных — по ч. 17, еще строже: от 15 000 000 до 20 000 000 рублей.

Это не отменяет общих составов: если специальные или биометрические данные обрабатывались вообще без письменного согласия, независимо от утечки, применяется ч. 2 ст. 13.11 с размером штрафа от 300 000 до 700 000 рублей для юридических лиц. Соответственно, нарушение может караться сразу по двум основаниям: за отсутствие надлежащего согласия и, если произошла утечка, дополнительно за сам факт утечки чувствительных данных. Для сравнения: при обработке персональных данных без правового основания ответственность по ч. 1 ст. 13.11 КоАП РФ установлена до 300 000 руб. (для организаций).

Заключение

Главная сложность работы с категориями персональных данных состоит не в самой классификации, а в том, что специальные категории появляются там, где их не ждали: в переписке с клиентом, в больничном листе сотрудника, в случайном вопросе на собеседовании. Закон не различает умышленный или случайный сбор — статус данных определяется их содержанием, а не намерением оператора.

Компания, которая один раз честно прошла по всем точкам появления специальных и биометрических данных, от чата поддержки до отдела кадров, закрывает разом большинство рисков, связанных со ст. 13.11 КоАП. Сделать это самостоятельно сложно, поэтому лучше обратиться к профильному юристу.

Поделиться в социальных сетях:

Наталия Рагулина

Руководитель юридического отдела

8 лет опыта

более 300 выигранных дел

Автор статьи

125 публикаций на сайте

Подробнее о специалисте