Что такое специальные персональные данные

Закон делит персональные данные на группы, и от группы зависит, что компании можно делать со сведениями. Обычные данные — фамилия, телефон, адрес, паспорт — обрабатывают на общих основаниях статьи 6. Биометрические — черты лица, отпечатки, запись голоса — отдельная группа со своими правилами.

Специальные категории — самые чувствительные сведения: они раскрывают то, о чём человек не обязан рассказывать работодателю, продавцу или сервису. Поэтому закон требует для них отдельного, письменного согласия и разрешает обработку без него только в случаях, перечисленных в статье 10.

Статья 10 перечисляет случаи, когда специальные данные обрабатывают без согласия человека. Один из них — защита жизни, здоровья или иных жизненно важных интересов самого человека либо других людей, когда получить согласие невозможно.

Второй — медицинские цели: медико-профилактическая помощь, установление диагноза, оказание медицинских и медико-социальных услуг. Здесь обработка законна без согласия, если её ведёт лицо, профессионально занимающееся медицинской деятельностью и обязанное хранить врачебную тайну. Как только к сведениям о здоровье получают доступ люди вне медицинского персонала, нужно согласие человека.

Для работодателей действует отдельное правило статьи 86 Трудового кодекса: получать и обрабатывать данные работника о его политических, религиозных и иных убеждениях и о частной жизни работодатель не вправе. Данные о частной жизни — только с письменного согласия работника и лишь в случаях, непосредственно связанных с трудовыми отношениями. Данные о членстве в общественных объединениях и профсоюзной деятельности — только в случаях, предусмотренных Трудовым кодексом или иным федеральным законом.

Согласие на обработку специальных данных оформляют письменно, отдельно от других документов, которые человек подписывает. В нём называют конкретные сведения, цель обработки, перечень действий с данными, срок и порядок отзыва согласия.

Согласие, взятое «на всё» вместе с анкетой при приёме на работу, не годится: человек должен понимать, какие именно чувствительные сведения о нём компания собирает и зачем. Если надобность в данных отпала, их обрабатывать дальше нельзя — согласие отзывают, а сведения уничтожают в порядке, который компания установила в своей политике.

Кадры: больничные листы, справки об инвалидности, результаты обязательных медосмотров, документы о беременности сотрудницы. Медицинские сведения здесь нужны для льгот и условий труда, и доступ к ним должен быть только у тех, кому он нужен по работе.

Медицина и клиники: диагнозы, назначения, результаты анализов — та же специальная категория. Продажи и сервис: если компания спрашивает у клиента о здоровье, чтобы подобрать товар или услугу, она собирает специальные данные и подчиняется статье 10.

Даже поле «религиозные убеждения» в анкете или рассылка по национальному признаку переводят обычную базу клиентов в режим специальных данных со всеми требованиями.

Обработка специальных данных без законного основания — нарушение закона о персональных данных. Ответственность за него устанавливает статья 13.11 Кодекса об административных правонарушениях; размер штрафа зависит от того, что именно нарушено и сколько людей пострадало.

Кроме штрафа, компания обязана прекратить незаконную обработку и уничтожить сведения, собранные без основания. Поэтому до сбора данных о здоровье или убеждениях проверяют, есть ли законное основание, и оформляют согласие.