Специальные категории персональных данных · условия обработки по 152-ФЗ

Фитнес-клуб просит у клиента справку о состоянии здоровья, рекрутинговое агентство фиксирует национальность кандидата, мобильное приложение собирает отпечатки пальцев для входа. В каждом из этих случаев организация работает не с обычными данными, а с особо чувствительными, и общие правила тут не действуют. Статья 10 Федерального закона от 27.07.2006 N 152-ФЗ прямо запрещает обработку таких данных, оставляя лишь узкий список исключений. Незнание этой статьи дорого обходится, потому что нарушение режима согласия по части 2 статьи 13.11 КоАП влечёт для юридического лица штраф до семисот тысяч рублей, а при повторе до полутора миллионов.

Закон выделяет особую группу данных, потому что их утечка или неправомерное использование бьёт по человеку сильнее всего. Дискриминация по здоровью, преследование по убеждениям, вмешательство в частную жизнь начинаются именно с обработки этих сведений. Поэтому законодатель меняет презумпцию. Если обычные данные по статье 6 можно обрабатывать при наличии любого из оснований, то специальные категории по умолчанию обрабатывать нельзя.

Что относится к специальным категориям

Часть 1 статьи 10 152-ФЗ называет закрытый круг. Это данные, касающиеся расовой принадлежности, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья и интимной жизни. Обработка таких данных не допускается, за исключением случаев, прямо предусмотренных частями 2 и 2.1 этой статьи. Формулировка построена как запрет с изъятиями, и это меняет логику работы. Оператор не ищет основание, чтобы обрабатывать, он ищет исключение, чтобы запрет на него не распространялся.

Отдельно статья 10 регулирует данные о судимости. Часть 3 указывает, что обработка данных о судимости может осуществляться государственными и муниципальными органами в пределах их полномочий, а также иными лицами в случаях и порядке, определяемых федеральными законами. Это значит, что частный работодатель не вправе по своему усмотрению собирать сведения о судимости, если такое право не предусмотрено законом для его сферы.

Исключения из запрета

Часть 2 статьи 10 перечисляет случаи, когда обработка специальных категорий всё же допускается. Пункт 1 называет согласие субъекта в письменной форме. Это ключевое отличие от обычных данных, где согласие может быть и не письменным. Здесь закон требует именно письменную форму. Пункт 2 отсылает к данным, разрешённым субъектом для распространения, с соблюдением условий статьи 10.1. Пункт 3 допускает обработку для защиты жизни, здоровья и иных жизненно важных интересов субъекта или других лиц, когда получить согласие невозможно.

Пункт 4 разрешает обработку в медико-профилактических целях, для установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработку ведёт лицо, профессионально занимающееся медицинской деятельностью и обязанное сохранять врачебную тайну. Это основание для клиник и медицинского персонала. Пункт 5 разрешает обработку данных членов общественного объединения или религиозной организации самими этими организациями для их законных целей, при условии, что данные не распространяются без письменного согласия субъектов. Пункт 6 допускает обработку для установления или осуществления прав субъекта или третьих лиц, а равно в связи с осуществлением правосудия.

Статья 10 называет и другие специальные случаи. Это обработка в связи с реализацией международных договоров о реадмиссии, в рамках Всероссийской переписи населения, в соответствии с законодательством о государственной социальной помощи, трудовым и пенсионным законодательством, в сфере обороны, безопасности, противодействия терроризму и коррупции, оперативно-разыскной деятельности, в соответствии с законодательством об обязательных видах страхования, при устройстве детей, оставшихся без попечения родителей, а также в соответствии с законодательством о гражданстве. Часть 4 статьи 10 требует незамедлительно прекратить обработку специальных категорий, когда устранены причины, по которым она велась, если иное не установлено федеральным законом.

Биометрия как отдельный режим по статье 11

Биометрические данные стоят отдельно. Статья 11 152-ФЗ определяет их как сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность, и которые оператор использует именно для установления личности. Часть 1 статьи 11 устанавливает, что такие данные могут обрабатываться только при наличии письменного согласия субъекта, за исключением случаев из части 2.

Часть 2 статьи 11 перечисляет ситуации обработки биометрии без согласия. Это реализация международных договоров о реадмиссии, осуществление правосудия и исполнение судебных актов, обязательная государственная дактилоскопическая и геномная регистрация, а также случаи, предусмотренные законодательством об обороне, безопасности, противодействии терроризму, транспортной безопасности, противодействии коррупции, оперативно-разыскной деятельности, о государственной службе и рядом других специальных законов. Для коммерческой обработки биометрии работающим основанием остаётся письменное согласие.

Важная гарантия закреплена в части 3 статьи 11. Предоставление биометрических данных не может быть обязательным, кроме случаев из части 2. Оператор не вправе отказывать в обслуживании, если субъект отказался предоставить биометрию или дать согласие на её обработку, когда получение такого согласия по закону не является обязательным. Это прямой запрет навязывать биометрический вход как единственный способ доступа к услуге.

На что смотрит регулятор

При проверке оценивают, выявлены ли в системе оператора специальные категории и биометрия и понимает ли оператор, что работает именно с ними. Многие операторы не осознают, что фотография для пропуска при использовании для установления личности превращается в биометрию. Проверяют наличие письменного согласия там, где основанием служит согласие. Анализируют, не навязана ли биометрия как обязательное условие услуги вопреки части 3 статьи 11. Смотрят, прекращена ли обработка после отпадения её причин по части 4 статьи 10. Для медицинской обработки проверяют, ведётся ли она лицом, обязанным сохранять врачебную тайну.

Частые ошибки

Первая ошибка это сбор данных о здоровье под обычное, не письменное согласие или вовсе без него. Для специальных категорий пункт 1 части 2 статьи 10 требует письменной формы. Вторая ошибка это маскировка биометрии под обычные данные. Распознавание лиц и отпечатки для входа это биометрия по статье 11, и режим у них особый. Третья ошибка это навязывание биометрии как единственного способа доступа, что нарушает часть 3 статьи 11. Четвёртая ошибка это бессрочное хранение специальных категорий после того, как отпала причина обработки, вопреки части 4 статьи 10. Пятая ошибка это сбор сведений о судимости частным оператором без права, предусмотренного законом для его сферы, в обход части 3 статьи 10.

Авторская позиция состоит в том, что со специальными категориями работает презумпция запрета, и каждый случай обработки должен подпираться конкретным пунктом статьи 10 или статьи 11. Если оператор не может назвать этот пункт, обработку нужно останавливать, а не искать оправдание задним числом. Особое внимание стоит уделить аудиту того, не появилась ли биометрия незаметно, через системы видеонаблюдения с распознаванием лиц или через биометрический вход в приложение. Разобрать вашу систему на предмет специальных категорий и биометрии мы помогаем в услуге по персональным данным, а начать удобно через контакты.

Частые вопросы

Можно ли работодателю собирать справки о здоровье работника. Только в пределах, допускаемых законом, и в рамках исключений статьи 10. Обработка данных о здоровье ведётся при наличии письменного согласия либо специального случая, например в соответствии с трудовым законодательством, и должна прекращаться, когда отпадает её причина.

Является ли фотография биометрией. Сама по себе фотография становится биометрическими данными по статье 11, когда оператор использует её именно для установления личности субъекта. В этом случае действует режим письменного согласия и запрет навязывания биометрии.

Можно ли сделать вход в приложение только по отпечатку пальца. Нет, если получение согласия на биометрию по закону не обязательно. Часть 3 статьи 11 запрещает отказывать в обслуживании при отказе предоставить биометрию, поэтому нужен альтернативный способ доступа.