Специальные виды персональных данных: что нужно знать

Не все персональные данные одинаковы. Закон выделяет категории, обработка которых способна навредить человеку сильнее обычного, и устанавливает для них особый режим. Здесь же кроется частая путаница: специальные категории и биометрию обычно валят в один список, хотя это разные статьи закона с разными правилами. Разберём, что относится к специальным данным, чем от них отличается биометрия, и как корректно передавать персональные данные за границу с учётом требований, действующих с 2023 года.

Если коротко, главное держать в голове три вещи. Первая: специальные категории (статья 10) и биометрия (статья 11) — это два разных режима, а не один список. Вторая: для тех и других нужно письменное согласие или прямое основание из закона, обычной галочки недостаточно. Третья: трансграничная передача данных с 2023 года требует отдельного уведомления Роскомнадзора до её начала.

Специальные категории данных (статья 10)

К специальным категориям закон относит сведения, раскрытие которых особенно чувствительно для человека:

• расовая и национальная принадлежность;
• политические взгляды;
• религиозные и философские убеждения;
• состояние здоровья;
• интимная жизнь.

Обработка таких данных по общему правилу запрещена. Закон допускает её только в прямо названных случаях: при письменном согласии субъекта, для защиты жизни и здоровья, в медицинских целях медработником, обязанным хранить тайну, либо когда субъект сам сделал эти данные общедоступными. То есть нельзя просто собрать данные о здоровье «на всякий случай»: нужно конкретное основание из статьи 10. Отдельным пунктом регулируются и сведения о судимости.

Биометрические данные (статья 11)

Биометрия это отдельная статья, и её важно не смешивать со специальными категориями. Биометрические данные это сведения о физиологических и биологических особенностях человека, на основании которых можно установить его личность. К ним относят:

• отпечатки пальцев;
• изображение лица;
• голос;
• рисунок радужной оболочки глаза;
• ДНК-профиль.

Различие принципиальное: специальные категории говорят о том, что за сведения вы обрабатываете, а биометрия о том, как вы их используете.

Здесь есть тонкость, которую почти всегда упускают: фотография или запись голоса становятся биометрией не сами по себе, а только когда используются для идентификации. Фото в личном деле сотрудника для оформления документов биометрией не является, а то же фото, загруженное в систему распознавания лиц для прохода в офис, уже является. От этого зависит, нужно ли письменное согласие по статье 11.

По общему правилу сбор и использование биометрии допускаются только при письменном согласии субъекта, кроме случаев, прямо предусмотренных законом. Использование биометрии без основания может повлечь не только административную, но и уголовную ответственность. Как корректно оформить такое согласие, мы разбирали в материале о согласии на обработку персональных данных.

На практике именно фото и голос создают больше всего ошибок. Компания внедряет распознавание лиц для турникета или голосовую идентификацию в колл-центре и не берёт отдельное письменное согласие, считая, что «фото и так есть в кадрах». Но в момент, когда изображение начинает использоваться для установления личности, оно переходит в режим статьи 11, и прежнего кадрового согласия уже недостаточно. Это типичный разрыв между тем, как данные собирались, и тем, как их затем стали использовать.

Трансграничная передача (статья 12)

Трансграничная передача это передача персональных данных за пределы России. Она происходит чаще, чем кажется: при размещении серверов за границей, использовании иностранных облаков, CRM и сервисов аналитики, передаче данных партнёрам или головной компании в другой стране. Когда данные физически уходят за рубеж, это уже трансграничная передача; российское облако с серверами в РФ ею не считается.

С 1 марта 2023 года правила ужесточились. Теперь оператор обязан до начала трансграничной передачи подать в Роскомнадзор отдельное уведомление о намерении её осуществлять, причём отдельно от обычного уведомления оператора. Дальше всё зависит от страны-получателя:

• для стран с адекватной защитой прав субъектов передачу можно начинать сразу после отправки уведомления;
• если адекватной защиты нет, передавать нельзя до решения Роскомнадзора, и ведомство вправе её запретить или ограничить.

Срок рассмотрения уведомления это 10 рабочих дней. Подробный разбор процедуры есть в отдельном материале; здесь важно зафиксировать главное: общего уведомления оператора для передачи за рубеж недостаточно, нужно отдельное.

Чаще всего трансграничную передачу совершают неосознанно. Российская форма собирает заявки, но они уходят в зарубежный сервис рассылок или иностранную CRM, а аналитика гонит данные на серверы за пределами РФ. С точки зрения закона это уже трансграничная передача со всеми требованиями, включая отдельное уведомление. Поэтому мы советуем начинать не с юридических формулировок, а с простого вопроса: куда физически уходят собранные данные и где стоят серверы используемых сервисов.

Что общего у этих режимов

Специальные категории, биометрия и трансграничная передача объединены одной логикой: повышенный риск требует усиленного основания. Везде, кроме узких исключений, нужно письменное согласие, а не обычная галочка, а к трансграничной передаче добавляется отдельное уведомление регулятора. Эти данные входят в общий контур обязанностей оператора, поэтому полезно посмотреть и на то, как устроены категории субъектов и основания обработки в целом, и как выстраивается защита данных соразмерно их чувствительности.

Источники

• Статьи 10 и 11 ФЗ №152-ФЗ (КонсультантПлюс) — специальные категории и биометрические персональные данные.
• Статья 12 ФЗ №152-ФЗ (КонсультантПлюс) — трансграничная передача персональных данных.
• Роскомнадзор (rkn.gov.ru) — уведомление о трансграничной передаче и перечень стран с адекватной защитой.