152-ФЗ выделяет четыре группы данных. Обычные персональные данные - ФИО, телефон, email, адрес, то есть основная масса того, что собирает бизнес. Специальные категории - сведения о здоровье, национальности, религиозных и политических взглядах, судимости: для них нужно отдельное письменное согласие и повышенные меры защиты. Биометрические данные - отпечатки пальцев, фото и голос, которые используются для идентификации личности. И общедоступные данные - то, что человек сам сделал публичным, например указал в открытом профиле в соцсети.
Разница между категориями в требованиях к обработке. Обычные данные можно собирать по согласию или на других законных основаниях, например по договору или требованию закона. Специальные категории закон разрешает обрабатывать в узком перечне случаев, и без отдельного письменного согласия работать с ними, как правило, нельзя - это касается, например, медицинских справок сотрудников или данных о судимости при отборе кандидатов на определенные должности.
Биометрические данные - отдельная головная боль для бизнеса с камерами и системами распознавания лиц: даже фото сотрудника для пропуска, если оно используется для автоматической идентификации, формально попадает в эту категорию и требует отдельного согласия. Общедоступные данные - единственная категория, где согласие в общем случае не требуется, но полагаться на этот статус стоит осторожно: то, что человек написал в открытом аккаунте несколько лет назад, он мог давно удалить или закрыть от посторонних.