Специальные категории персональных данных: полный перечень и режим обработки

Отдел кадров просит соискателя написать в анкете о хронических заболеваниях. Фитнес-клуб на онлайн-записи спрашивает о вероисповедании, потому что в расписании есть отдельные слоты для религиозных праздников. Страховая компания уточняет у клиента, есть ли судимость. Все три примера касаются одного института - специальных категорий персональных данных, для которых закон устанавливает более строгий режим, чем для обычного имени, телефона или email.

Специальные категории персональных данных это отдельная группа сведений, перечисленная в статье 10 152-ФЗ: раса, национальность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь и судимость. По общему правилу собирать и хранить такие сведения без письменного согласия субъекта нельзя, а решение спросить лишнее в форме на сайте или в анкете отдела кадров ложится на оператора персональных данных - то есть на компанию, которая эту форму разместила.

Что закон относит к специальным категориям персональных данных

Перечень закрытый и находится в части 1 статьи 10: раса и национальность, политические взгляды, религиозные и философские убеждения, состояние здоровья, сведения об интимной жизни, судимость. Ничего сверх этого списка к спецкатегориям не относится, даже если сведения выглядят деликатными: номер телефона, семейное положение или адрес прописки к этой группе не причисляются, хотя тоже требуют аккуратного обращения по общим правилам закона.

• Раса и национальность - сведения, из которых можно сделать вывод об этнической принадлежности человека.
• Политические взгляды - членство в партии, публичные высказывания, которые оператор фиксирует и связывает с конкретным человеком.
• Религиозные и философские убеждения - вероисповедание, отношение к религии, философские взгляды человека.
• Состояние здоровья - диагнозы, инвалидность, беременность, результаты медицинских осмотров и анализов.
• Интимная жизнь - сведения о личной жизни человека в этой сфере, которые оператор зафиксировал и связал с конкретным субъектом.
• Судимость - факт наличия или отсутствия судимости, статья, по которой человек был осужден, факт снятия или погашения судимости.

Отдельный вопрос - фотографии и видео с людьми. Сама по себе фотография спецкатегорией не является, но если по ней можно определить национальность, религиозную принадлежность или состояние здоровья человека, режим обработки ужесточается. Например, фото сотрудника в одежде определенной конфессии на корпоративном сайте формально может стать источником сведений о религиозных убеждениях, и это стоит учитывать при съемке материалов для сайта или соцсетей компании.

Проверять, попадают ли конкретные сведения в этот перечень, стоит до того, как поле появится в форме на сайте или в анкете отдела кадров. Если ответ да, обычной формулировки согласия из футера сайта уже недостаточно - нужен отдельный документ с расширенным набором реквизитов, о котором дальше.

Где спецкатегории встречаются в бизнесе: таблица оснований

На практике спецкатегории редко собирают намеренно. Чаще поле появляется в форме случайно - потому что шаблон анкеты скопировали у конкурента или взяли типовой бланк из интернета. Например, форма записи на массаж для здоровых людей без противопоказаний может унаследовать поле «хронические заболевания» от анкеты, которую когда-то делали для клиники. Ниже - основные ситуации, в которых бизнес сталкивается со спецкатегориями, и основания, на которые можно опереться.

Частая ошибка - хранить поле про здоровье или судимость в общей CRM вместе с обычными контактными данными, вместо того чтобы вынести спецкатегорию в отдельную защищенную часть базы. Даже если согласие оформлено правильно, доступ к таким записям должен быть у минимального круга сотрудников, а не у всего отдела продаж или ресепшена.

Если компания находит в своей форме хотя бы одну строку из этой таблицы, дальше стоит читать не по диагонали: именно эти поля инспектор Роскомнадзора проверяет в первую очередь, а не общий текст политики конфиденциальности.

Раса, национальность и религиозные убеждения: когда бизнес вправе спрашивать

Короткий ответ - почти никогда, если это не нужно для самой услуги. Анкета соискателя с полем «национальность» не имеет отношения к найму программиста или продавца, и работодателю нечем обосновать сбор такой информации. Другое дело - фитнес-клуб, который формирует расписание с учетом религиозных праздников, или образовательная организация, где выбор факультативного предмета зависит от вероисповедания ученика. В этих случаях поле оправдано целью услуги, но согласие все равно нужно оформлять письменно и отдельно от общей анкеты.

Отдельно закон допускает обработку сведений о религиозных или политических взглядах самой религиозной или общественной организацией в отношении своих членов - это исключение работает только для самой организации и не переносится на коммерческую компанию, которая, например, арендует у нее помещение. Подробнее о том, почему поле про вероисповедание в обычной анкете почти всегда лишнее и как оформить его, если оно действительно необходимо, мы разбирали в статье про религиозные убеждения и национальность в анкетах.

На практике инспектор, увидев поле «национальность» в анкете подписки на рассылку, задаст один вопрос: зачем оно нужно для рассылки писем. Внятного ответа обычно нет, и поле приходится убирать при первой проверке, даже если данные никогда не использовались во вред. Дешевле убрать лишнее поле заранее, чем объяснять его происхождение постфактум.

Даже когда сбор оправдан целью услуги, как в примере с фитнес-клубом, поле должно быть отдельным и не смешиваться с основной формой записи. Иначе клиент, который просто хочет купить абонемент, вынужден отвечать на вопрос о вероисповедании, даже если его собственное расписание никак не завязано на религиозные праздники.

Практический вывод для большинства сайтов и форм: если поле не отвечает прямо на вопрос, зачем компании это конкретное поле для оказания услуги, его стоит убрать, а не собирать согласие про запас.

Данные о здоровье: от медицинской карты до больничного листа в бухгалтерии

Здоровье - самая частая спецкатегория в бизнесе за пределами медицины. Она возникает не только в клиниках, но и в отделе кадров, где хранятся больничные листы и справки об инвалидности, и в бухгалтерии, которая на основании этих документов начисляет выплаты. С точки зрения закона это все равно обработка спецкатегории, даже если бухгалтер просто вносит номер больничного листа в программу для расчета зарплаты.

Для медицинских организаций основание чаще всего - не согласие, а прямая обязанность оказывать помощь и вести медицинскую документацию, закрепленная отраслевым законодательством об охране здоровья. Для обычного работодателя ситуация другая: сведения о здоровье сотрудника, которые выходят за пределы больничного листа и справки об инвалидности - например, точный диагноз, - собирать без отдельного письменного согласия нельзя, даже если сотрудник сам предложил рассказать о самочувствии. Как данные о здоровье проходят через расчетные листки и отчетность, разобрано в статье о персональных данных в бухгалтерии, а специфика медицинских организаций - в материале про персональные данные в медицинской организации.

Отдельный источник риска - фитнес-клубы и спортивные секции, которые в анкете на абонемент спрашивают о хронических заболеваниях и противопоказаниях. Цель понятна: тренер должен знать о рисках. Но с точки зрения закона это письменное согласие на обработку спецкатегории, а не строчка в общей форме записи.

Отдельная ловушка - переписка с клиентом в мессенджере или почте, где он сам, без запроса, рассказывает о диагнозе или беременности, объясняя, почему переносит визит. Формально это тоже становится персональными данными спецкатегории с момента, когда сообщение попадает в базу компании, и хранить такую переписку бессрочно в общей папке не стоит - лучше вынести чувствительные детали в отдельную заметку с ограниченным доступом или удалить после решения вопроса. Похожая ситуация - справка от врача, которую сотрудник присылает фотографией в общий чат отдела кадров вместо личной переписки с ответственным лицом: доступ к такому чату есть у всех участников, а не только у того, кто оформляет документы.

Судимость и интимная жизнь: отдельный режим

Сведения о судимости - едва ли не самая формализованная спецкатегория. Для отдельных должностей, например в сфере образования или работы с детьми, закон прямо обязывает работодателя запросить справку об отсутствии судимости, и тогда основанием служит не согласие, а требование отраслевого закона. Для всех остальных должностей вопрос о судимости в анкете соискателя - это обработка спецкатегории, требующая отдельного согласия, и работодатель должен обосновать, зачем ему эти сведения именно для этой позиции. Развернуто о том, когда вопрос о судимости в анкете законен, а когда нет, мы писали в материале про судимость в анкете соискателя.

Интимная жизнь - категория, которая на практике встречается реже, но не потому что риска нет: скорее потому что бизнес редко замечает, что уже ее обрабатывает. Классический пример - медицинские и психологические консультации, где в карте клиента фиксируются сведения, прямо относящиеся к этой сфере. Другой пример - некоторые виды страхования, где анкета застрахованного затрагивает вопросы, выходящие за рамки обычного состояния здоровья. В обоих случаях обязательно письменное согласие, а хранить такие сведения лучше с ограниченным доступом внутри компании - не в общей CRM, доступной всему отделу продаж.

Отдельно стоит продумать срок хранения сведений о судимости после того, как решение по кандидату принято. Если человек не прошел отбор, хранить данные о судимости на будущее, под предлогом «вдруг вернется», не стоит: как и любые персональные данные, они хранятся ровно то время, для которого была получена цель, а не бессрочно. Та же логика применима к картам с чувствительными записями об интимной жизни: срок хранения и порядок доступа к ним стоит прописать в локальном акте отдельно от обычной документации, а не оставлять в общем архиве без ограничений.

Когда обработка специальных категорий персональных данных возможна без согласия

Общее правило - согласие. Но часть 2 статьи 10 152-ФЗ описывает ситуации, где закон разрешает обрабатывать спецкатегории и без него. Точный текст нормы стоит сверять отдельно под конкретный случай, но основные группы ситуаций на практике встречаются постоянно:

• субъект сам сделал сведения общедоступными - например, публично рассказал о диагнозе в открытом источнике;
• обработка нужна для защиты жизни или здоровья субъекта или другого человека, когда получить согласие невозможно;
• обработка связана с осуществлением правосудия, исполнением судебного акта;
• обработка предусмотрена законодательством о труде, пенсиях или государственной социальной помощи - например, начисление льгот по инвалидности;
• обработка ведется в связи с обязательным страхованием;
• обработку проводит лицо, профессионально обязанное соблюдать медицинскую тайну, и делает это в медицинских целях.

На практике эти основания редко применимы к обычным коммерческим сайтам и формам обратной связи: почти все они рассчитаны на органы власти, медицинские и страховые организации, работодателей в узких отраслевых случаях. Для интернет-магазина, агентства или частной клиники, которая ведет обычный сайт с записью на прием, письменное согласие остается основным и самым безопасным способом получить право на обработку спецкатегории.

На практике этим перечнем часто пытаются оправдать сбор данных там, где основание на самом деле не подходит. Ссылка на «интересы субъекта» не работает, если согласие получить в принципе возможно, просто неудобно или долго. Формулировка «мы посчитали, что так будет лучше для клиента» в акте проверки не заменяет ни согласия, ни точной ссылки на конкретное основание из части 2 статьи 10. Если компания сомневается, подходит ли ее случай под одно из исключений, безопаснее исходить из того, что не подходит, и оформить письменное согласие: ошибка в сторону лишней бумаги стоит дешевле, чем обработка спецкатегории вовсе без основания.

Письменное согласие на спецкатегории: что должно быть в документе

С 1 сентября 2025 года согласие на обработку персональных данных, включая специальные категории, оформляется отдельным документом, а не пунктом внутри публичной оферты или пользовательского соглашения - это изменение внесено 156-ФЗ от 24.06.2025. Для спецкатегорий требования к содержанию согласия строже, чем для обычных данных: часть 4 статьи 9 152-ФЗ требует, чтобы письменное согласие включало больше реквизитов, чем стандартная галочка на сайте.

В документе по общему правилу должны быть указаны:

• фамилия, имя, отчество, адрес субъекта, номер основного документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе;
• наименование и адрес оператора, получающего согласие;
• цель обработки;
• перечень персональных данных, на обработку которых дается согласие;
• наименование или ФИО лица, которому оператор может поручить обработку, если такое поручение планируется;
• перечень действий с данными, на которые дается согласие, и общее описание способов обработки;
• срок действия согласия и порядок его отзыва;
• подпись субъекта.

Чек-бокс «согласен на обработку персональных данных» рядом с обычной формой заявки для этих целей не подходит - в нем физически негде разместить перечень данных и срок действия. Для спецкатегорий разумнее отдельная форма или документ, который субъект подписывает или подтверждает электронно с фиксацией всех перечисленных реквизитов.

Если хотя бы одного из перечисленных пунктов не хватает, согласие считается оформленным ненадлежащим образом, и при проверке или споре с субъектом компания фактически остается без правового основания на обработку - как будто согласия не было вовсе. На это часто ссылаются в жалобах: субъект утверждает, что не давал согласия именно на спецкатегорию, а в документе, который он подписывал, действительно нет отдельного перечня данных или срока действия. Электронная форма согласия допустима, если способ подтверждения позволяет однозначно установить, что согласие дал именно этот человек и именно на этот перечень данных - обычной галочки без идентификации подписанта для спецкатегорий недостаточно.

Повышенный уровень защищенности по Постановлению 1119

Мало получить согласие - нужно еще и защитить то, что собрали. Постановление Правительства № 1119 делит информационные системы персональных данных на уровни защищенности в зависимости от того, какие данные обрабатываются, сколько субъектов в базе и какие угрозы актуальны для конкретной системы. Присутствие в системе специальных категорий - один из факторов, который поднимает требуемый уровень защищенности по сравнению с системой, где хранятся только имена и контакты.

На практике это означает, что фитнес-клуб, который хранит анкеты с отметками о противопоказаниях, не может защищать эту базу тем же набором мер, что и таблицу с телефонами клиентов для рассылки акций. Уровень защищенности определяет сам оператор, опираясь на модель угроз и модель нарушителя, а не выбирает по желанию тот вариант, который проще внедрить технически. Как определить свой уровень защищенности и какие меры к нему привязаны, подробно разобрано в статье об уровнях защищенности персональных данных по ПП-1119.

Ошибка, которая встречается чаще прочих, - разработчик сайта уверяет, что «у нас просто форма, там ничего технического», и уровень защищенности вообще не определяется. Форма записи с полем о здоровье - это уже информационная система персональных данных, даже если она состоит из одной таблицы в базе данных сайта, и для нее так же нужна модель угроз, как и для крупной CRM.

Здесь же стоит учитывать актуальные суммы ответственности: с 30 мая 2025 года действуют оборотные штрафы и статья 272.1 УК за утечку персональных данных, введенные 420-ФЗ от 30.11.2024. КоАП разделяет размер оборотного штрафа в зависимости от того, какие именно данные утекли и в каком объеме, и утечка спецкатегорий или биометрии обходится оператору дороже, чем утечка одних лишь контактов.

Что сделать прямо сейчас: чек-лист по спецкатегориям

Проверка занимает один рабочий день, если собрать все формы и анкеты компании в одном месте и пройтись по ним последовательно.

1. Выписать все формы на сайте и бумажные анкеты, где есть поля о здоровье, судимости, религии, национальности, политических взглядах или интимной жизни.
2. По каждому полю ответить на вопрос: зачем компании эти сведения именно для этой услуги. Если ответа нет - поле стоит убрать.
3. Для оставшихся полей проверить, есть ли отдельное письменное согласие с полным набором реквизитов по части 4 статьи 9, а не общая галочка в футере сайта.
4. Свериться, не подходит ли конкретный случай под исключения части 2 статьи 10 - тогда отдельное согласие может не требоваться, но это стоит подтвердить, а не предполагать заранее.
5. Определить, повышает ли наличие спецкатегорий требуемый уровень защищенности системы по ПП-1119, и при необходимости пересмотреть меры защиты.
6. Прописать реальный срок хранения таких данных и не оставлять поле «бессрочно» по умолчанию.
7. Зафиксировать в локальном акте, кто из сотрудников имеет доступ к спецкатегориям, и ограничить этот список минимально необходимым кругом лиц.

Отдельно стоит пройтись по бумажным анкетам, которые физически хранятся в сейфе отдела кадров: цифровая форма согласия ничего не решает, если рядом лежит бумажная версия без нужных реквизитов, оставшаяся с прошлого года.

Специальные категории персональных данных - тот случай, когда проще один раз пересмотреть формы и документы, чем потом объяснять инспектору, зачем в анкете фитнес-клуба поле про вероисповедание без единого документа с согласием. Если нужно проверить формы сайта, привести согласия и политику обработки в порядок под спецкатегории и подготовить нужные документы, посмотрите, как это делает 152fzpro.ru.