Вопрос о том, можно ли обрабатывать специальные категории персональных данных в любых целях, возникает у многих операторов, стремящихся максимально использовать собираемую информацию. Ответ на него категоричный и однозначный: НЕТ. Обработка таких данных не допускается в любых целях. Законодательство устанавливает строжайшие ограничения и требует соблюдения жестких условий для работы с этой информацией.
Разделение персональных данных (ПДн) на категории необходимо для того, чтобы устанавливать отдельные правила обработки и защиты для информации разного характера, а также наказания организаций, которые их нарушают. Специальные категории требуют максимально высокого уровня защиты и контроля;
Что относится к специальным категориям персональных данных?
Согласно статье 10 федерального закона «О персональных данных» от № 152-ФЗ, к специальным категориям относятся сведения, касающиеся:
- Расовой или национальной принадлежности
- Политических взглядов
- Религиозных или философских убеждений
- Состояния здоровья
- Интимной жизни
- Судимости (обработка данных о судимости выделена в отдельный пункт ст. 10, но также подчиняется особым правилам)
По общему правилу, установленному 152-ФЗ, обработка таких данных запрещена. Допускается она исключительно в прямо предусмотренных законом случаях (ч. 2 и ч. 3 ст. 10 152-ФЗ). Цель обработки всегда должна быть конкретной, законной и заявленной заранее — произвольно использовать такие данные нельзя.
В каких случаях допускается обработка специальных категорий?
Закон формулирует закрытый перечень оснований, которые делают обработку специальных категорий легитимной. Ни одно из этих оснований не допускает обработки «в любых целях»;
Письменное согласие субъекта
Для обработки специальных категорий данных (например, о здоровье или биометрии) требуется письменное согласие субъекта. Это особенно важно учитывать работодателям и владельцам сайтов: на интернет-ресурсах необходимо использовать отдельные чекбоксы для согласия на обработку специальных категорий, а не предустановленные галочки. Без письменного согласия нельзя собирать и обрабатывать такие данные физлиц.
Медицинские цели
Обработка персональных данных о состоянии здоровья допускается без согласия, если она осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг. Разумеется, цель в этом случае строго ограничена медициной.
Трудовое законодательство
Закон устанавливает специальные требования к обработке специальных и биометрических данных сотрудников (ст. 86 ТК РФ, ст. 10 152-ФЗ). Работодатель может обрабатывать такие данные только в рамках, необходимых для выполнения требований трудового, налогового и страхового законодательства РФ.
Устройство детей в семьи
Обработка специальных категорий ПДн допускается без согласия в случаях, предусмотренных законодательством РФ, когда она осуществляется государственными органами, муниципальными органами или организациями в целях устройства детей, оставшихся без попечения родителей, на воспитание в семьи граждан.
Данные о судимости
Обработка персональных данных о судимости может осуществляться государственными или муниципальными органами в пределах полномочий, предоставленных им в соответствии с законодательством РФ, а также иными лицами в случаях и в порядке, которые определены законом.
Обязательное раскрытие по закону
Обработка допускается, если осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом (например, данные лиц, замещающих государственные должности, или кандидатов на выборные должности).
Деятельность некоммерческих организаций (GDPR)
Если рассматривать международный опыт, то согласно Общему регламенту о защите данных (GDPR), обработка специальных категорий допускается, если она осуществляется в ходе законной деятельности с соответствующими гарантиями фондом, ассоциацией или любым другим некоммерческим органом, преследующим политические, философские, религиозные или профсоюзные цели. Но даже в этом случае обработка должна касаться исключительно членов или бывших членов этого органа, и данные не могут раскрываться за пределами этого органа без согласия.
Государственное и муниципальное управление
В отдельных случаях обработка специальных категорий может осуществляться в целях повышения эффективности государственного или муниципального управления, но только в иных целях, прямо предусмотренных законодательством.
Ответственность за нарушение правил обработки
Игнорирование целевого назначения и отсутствие законных оснований для обработки специальных категорий ПДн ведут к серьезным санкциям. Штрафы за повторное нарушение для организаций крайне высоки. Кроме того, начиная с 30 мая 2025 года в РФ ужесточили ответственность за игнорирование требований о подаче уведомления в Роскомнадзор об обработке персональных данных, а в мае 2025 года многие операторы персональных данных стремились успеть зарегистрироваться в реестре, чтобы избежать штрафов.
Утверждение о том, что обработка специальных категорий персональных данных допускается в любых целях, абсолютно неверно. Принцип целеполагания — фундамент закона о персональных данных. Запрашиваемые категории персональных данных должны строго соответствовать целям обработки. Любое отклонение от заявленных и разрешенных законом целей является нарушением, которое влечет за собой существенные штрафы от Роскомнадзора и риск блокировки ресурсов.