152-ФЗ о персональных данных: категории и виды

Медицинская карта, отпечатки пальцев, запись о судимости — формально всё это персональные данные, но закон защищает их иначе, чем фамилию и телефон. 152-ФЗ о персональных данных выделяет специальные категории в отдельную, более строгую группу, и ошибка в квалификации данных обходится оператору дорого: от штрафов до уголовной ответственности.

Разбираем, что именно закон относит к специальным, биометрическим и общедоступным данным, почему медицина, вера и судимость защищены жёстче обычных сведений и когда согласие обязательно должно быть письменным. Отдельно — практическая часть: как отозвать согласие и потребовать удалить медицинские и биометрические данные, что делать в первые 24 часа после утечки чувствительной информации и куда жаловаться — в Роскомнадзор, банк, полицию или ЦБ. В финале — меры, которые снижают риск: минимизация данных и запрет на сбор лишних категорий.

Что такое специальные категории персональных данных по 152-ФЗ

Закон делит все персональные данные на несколько режимов, и режим напрямую определяет, сколько хлопот у оператора и сколько защиты у вас. Обычные данные — фамилия, телефон, адрес, паспорт — обрабатываются по общим правилам. Специальные категории — это отдельная, более строгая группа: сведения о состоянии здоровья, интимной жизни, национальной и религиозной принадлежности, философских убеждениях, а также о судимости. Для них закон устанавливает повышенные требования к согласию и ограничивает круг ситуаций, когда обработка вообще допустима.

Ключевая логика проста: чем чувствительнее информация, тем выше риск, что её используют против человека — для дискриминации, шантажа, отказа в работе или страховке. Поэтому 152-ФЗ не разрешает оператору собирать такие данные «на всякий случай» или «для улучшения сервиса». Нужно либо письменное согласие субъекта, либо одно из прямо перечисленных в законе оснований, когда согласие не требуется (например, данные обнародованы самим человеком).

Отдельно закон выделяет биометрические данные — сведения, которые описывают физиологические и биологические особенности человека и используются для его идентификации (изображение лица, отпечатки, запись голоса). Это не то же самое, что специальные категории, но режим у них тоже усиленный. И есть третья группа — общедоступные данные, которые человек сам сделал открытыми. Границы между этими режимами часто путают, и именно на путанице строится большинство нарушений.

Какие данные закон относит к специальным, биометрическим и общедоступным

Разберём по группам, чтобы вы могли быстро определить, к какому режиму относится конкретная информация о вас или вашем родственнике.

Важный нюанс: одна и та же информация может попасть в разные режимы в зависимости от контекста. Фотография в соцсети — общедоступная, но та же фотография в системе распознавания лиц на входе в офис становится биометрией, и на неё нужно отдельное письменное согласие. Запись «аллергия на пенициллин» в личной переписке — просто текст, а в медицинской карте — специальная категория, охраняемая строже.

Общедоступные данные — самый коварный режим. Многие считают, что если человек выложил что-то сам, то оператор может это использовать как угодно. Это не так: цель обработки всё равно должна быть заявлена, а сам субъект может в любой момент потребовать прекратить использование. Кроме того, закон прямо не разрешает оператору делать выводы о здоровье или убеждениях человека из общедоступных сведений и переводить их тем самым в разряд специальных категорий.

Почему медицина, вера и судимость защищены строже обычных данных

Повышенная защита этих категорий объясняется не бюрократией, а реальными рисками. Сведения о диагнозе могут привести к отказу в трудоустройстве, страховке, кредите или к стигматизации в коллективе. Информация о вероисповедании и национальности в недобросовестных руках превращается в инструмент дискриминации. Данные о судимости — это рычаг давления, который используют для вымогательства и вербовки. Именно поэтому закон требует, чтобы обработка таких сведений была не «по умолчанию», а осознанным и подтверждённым действием.

На практике это означает несколько ограничений для оператора. Во-первых, он не может запрашивать специальные категории, если они не нужны для заявленной цели: клинике нужен диагноз, а интернет-магазину — нет. Во-вторых, он обязан обеспечить повышенную защиту: ограничить круг сотрудников с доступом, вести учёт операций, применять шифрование. В-третьих, при утечке таких данных последствия для человека тяжелее, а значит, выше и ответственность оператора.

Для самого человека это создаёт практическое правило: если сервис, которому вы не обязаны сообщать медицинские или религиозные сведения, вдруг просит их «для статистики» или «для персонализации», это красный флаг. Отказ предоставить такие данные не может быть основанием для отказа в обычной услуге — за редким исключением, когда информация объективно необходима (например, противопоказания при приёме на определённую работу).

Согласие на обработку специальных категорий: когда письменная форма обязательна

По общему правилу обработка специальных категорий допускается только с письменного согласия субъекта. Это не галочка в веб-форме и не устное «да» по телефону. Письменная форма означает документ, в котором перечислены конкретные данные, цель обработки, перечень действий, срок и порядок отзыва согласия, а также подпись и дата. Электронная форма допустима, если она позволяет достоверно установить личность подписавшего.

Есть исключения, когда письменное согласие не требуется. Закон допускает обработку специальных категорий без него, если:

1. субъект сам сделал данные общедоступными;
2. обработка необходима для защиты жизни и здоровья, а согласие получить невозможно;
3. данные нужны для установления или осуществления прав, исполнения договора с субъектом;
4. обработка ведётся в соответствии с законодательством об обязательных видах страхования, о безопасности и оперативно-розыскной деятельности.

На практике чаще всего путают два случая. Первый — «мы же спросили по телефону». Устное согласие для специальных категорий не работает, и если оператор не может предъявить письменный документ, обработка незаконна. Второй — «человек сам всё рассказал». Публичное раскрытие сведений действительно снимает необходимость письменной формы, но не отменяет обязанность обрабатывать их только в заявленных целях и удалить по требованию.

Если вы оформляете согласие за родственника — например, за пожилого родителя или ребёнка, — письменная форма тем более обязательна, а основанием служат документы о законном представительстве: свидетельство о рождении, решение об опеке, доверенность. Без них подпись третьего лица юридически ничего не значит.

Как отозвать согласие и потребовать удалить медицинские и биометрические данные

Отзыв согласия — это ваше право, и оператор не может его проигнорировать. Порядок действий следующий.

1. Найдите, кому вы давали согласие: поликлиника, страховая, фитнес-приложение, работодатель, банк. Проверьте договор или форму, которую подписывали.
2. Подготовьте письменный отзыв: укажите свои данные, какие сведения и какому оператору вы разрешали обрабатывать, и прямо заявите об отзыве согласия и требовании удалить данные.
3. Отправьте документ так, чтобы осталось подтверждение: лично под подпись с отметкой о приёме, заказным письмом с уведомлением или через официальный канал оператора с сохранением квитанции.
4. Укажите срок: закон даёт оператору ограниченное время на прекращение обработки и удаление данных, поэтому в заявлении логично потребовать письменного подтверждения исполнения.
5. Если ответа нет или он формальный — переходите к жалобе в Роскомнадзор.

Есть исключения, когда оператор вправе продолжить обработку даже после отзыва: если данные нужны для исполнения закона, для защиты жизни и здоровья, для осуществления правосудия или если срок хранения установлен нормативным актом (например, медицинская документация хранится по правилам Минздрава). В таких случаях оператор обязан объяснить, на каком основании он отказывает в удалении.

Биометрические данные удаляются по тем же правилам, но здесь есть практическая тонкость: если ваше изображение или отпечаток уже попали в систему контроля доступа, требуйте не только удаления записи, но и подтверждения, что она не используется в обучении алгоритмов или не передана третьим лицам. Передача биометрии третьим лицам без отдельного согласия — самостоятельное нарушение.

Утечка чувствительных данных: пошаговые действия в первые 24 часа

Если вы узнали, что медицинские, биометрические или иные чувствительные сведения о вас утекли, счёт идёт на часы. Действуйте по порядку.

1. Зафиксируйте факт: сделайте скриншоты письма, сообщения, страницы, сохраните номер обращения. Это доказательства для жалобы.
2. Смените пароли на всех связанных сервисах, включите двухфакторную аутентификацию. Если утекли данные карты — немедленно позвоните в банк и заблокируйте карту.
3. Если картой расплатились без вашего согласия, сообщите банку не позднее следующего дня после уведомления об операции — тогда банк обязан возместить списание, при условии что вы не передавали никому коды и данные карты.
4. Направьте оператору письменный запрос: какие данные утекли, кому переданы, какие меры приняты. Требуйте удаления и подтверждения.
5. Подайте жалобу в Роскомнадзор через официальный сайт — регулятор ведёт реестр утечек и может провести проверку оператора.
6. Если речь о деньгах — заявление в полицию; если о банковских данных — параллельно обращение в банк и, при необходимости, в ЦБ.

Отдельно предупредите близких: если утекли сведения о здоровье или судимости, мошенники могут использовать их для убедительных схем — «ваш родственник в больнице», «на вас заведено дело». Помните базовое правило: сотрудники банка или ЦБ никогда не просят коды из SMS, CVV/CVC и данные карты и не предлагают перевести деньги на «безопасный счёт» — такого счёта не существует. Любой такой звонок — мошенничество: кладите трубку и звоните в банк сами.

Куда жаловаться: Роскомнадзор, банк, полиция и ЦБ

Выбор инстанции зависит от того, что именно произошло. Ниже — ориентир по ситуациям.

Жалоба в Роскомнадзор подаётся через официальный сайт регулятора и рассматривается в установленный срок; по итогам возможна проверка оператора и предписание об устранении нарушений. Обращение в банк по списанию имеет жёсткий срок — не позднее следующего дня после уведомления об операции, иначе право на возмещение теряется. В полицию идут, когда есть признаки преступления: мошеннический звонок, требование денег, угрозы.

Практический совет: подавайте обращения параллельно, а не последовательно. Роскомнадзор фиксирует нарушение обработки данных, банк решает вопрос денег, полиция — вопрос уголовного преследования. Эти треки не мешают друг другу, и ожидание ответа одного ведомства не должно тормозить остальные.

Как снизить риск: минимизация данных и запрет на лишние категории

Лучшая защита от утечки чувствительных данных — их отсутствие у оператора. Принцип минимизации означает: сообщайте только то, без чего услугу не окажут. Клинике нужен диагноз — да, а маркетинговому опросу «для статистики» — нет. Работодателю нужна справка о допуске к конкретной должности, но не полная история болезней.

Что делать на практике:

• перед подписанием согласия прочитайте, какие именно категории данных перечислены и для какой цели;
• не указывайте медицинские, религиозные и иные чувствительные сведения в открытых формах, отзывах, чатах поддержки;
• для биометрии требуйте отдельного согласия и уточняйте, где хранится запись и кому передаётся;
• регулярно проверяйте, какие приложения и сервисы имеют доступ к вашим данным, и отзывайте лишние разрешения;
• оформляя согласие за родственника, ограничивайте его конкретными данными и сроком, а не «всеми сведениями бессрочно».

Если сервис требует чувствительные данные, без которых можно обойтись, — это повод выбрать другого оператора. Закон на вашей стороне: отказ предоставить избыточные специальные категории не может быть основанием для отказа в обычной услуге. А если данные уже утекли или обрабатываются незаконно — действуйте по шагам выше: фиксируйте, отзывайте согласие, жалуйтесь в Роскомнадзор и, при деньгах на кону, в банк и полицию.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.