Какие данные считаются персональными, специальными и биометрическими: разбор на примерах
Категория данных определяет всё: правовое основание для обработки, уровень защиты, форму согласия и размер штрафа при нарушении. В статье разбираем каждую категорию на конкретных примерах — от очевидных случаев до неожиданных.
- Персональные данные
- Специальные категории
- Биометрия
- Примеры по отраслям
- Расширительное толкование
- 152-ФЗ compliance
Содержание статьи
-
1
Что закон понимает под «персональными данными»
Широкое определение, прямая и косвенная идентификация, ключевые примеры
-
2
Специальные категории персональных данных
Что входит, почему они выделены отдельно и какие требования применяются
-
3
Биометрические данные: отдельная категория со своими правилами
Что считается биометрией по закону, а что — нет: конкретные примеры
-
4
Неочевидные персональные данные: разбор по отраслям
Что неожиданно является ПДн в e-commerce, HR, маркетинге и медицине
-
5
Как определить категорию данных в своём бизнесе
Пошаговый алгоритм: от инвентаризации до выбора правового режима
-
6
Типичные ошибки при классификации данных
Частые заблуждения и рекомендации WCR Consulting
152-ФЗ определяет персональные данные как любую информацию, прямо или косвенно относящуюся к определённому или определяемому физическому лицу. Ключевое слово — «любую». Закон намеренно не ограничивает перечень.
На практике это означает: данные считаются персональными не только когда они сами по себе идентифицируют человека, но и когда позволяют это сделать в сочетании с другой доступной информацией. IP-адрес — персональные данные. Cookie-идентификатор браузера — персональные данные. Ник в мессенджере, если по нему можно установить личность — тоже персональные данные.
- Прямые идентификаторы: ФИО, паспортные данные, СНИЛС, ИНН, телефон, email
- Сетевые идентификаторы: IP-адрес, cookies, device ID, рекламный идентификатор
- Косвенные идентификаторы: геолокация, история покупок, поведенческие паттерны
- Комбинации данных: дата рождения + город + профессия могут однозначно идентифицировать человека
Данные, которые сами по себе указывают на конкретного человека без дополнительной информации: ФИО, паспортные данные, СНИЛС, ИНН, номер телефона, адрес электронной почты.
Данные, которые в сочетании с другой информацией позволяют установить личность. Классический пример: IP-адрес + провайдер + дата/время = конкретный пользователь. Каждый элемент по отдельности может казаться безобидным.
Если существует реальная (пусть и гипотетическая) возможность установить личность — данные признаются персональными. РКН и суды применяют расширительное толкование. Сомнения трактуются в пользу защиты субъекта.
Диагнозы, история болезней, результаты анализов, медикаменты, инвалидность, группа крови, генетические данные. Любая информация, из которой можно сделать вывод о здоровье человека.
Данные о расовом происхождении, национальности или этнической группе человека. Применяется расширительно: анкеты, переписи, документы, содержащие сведения о происхождении.
Членство в политических партиях, политические убеждения, данные об участии в выборах (при условии возможности идентификации). Обработка допустима только в строго определённых законом случаях — например, самими политическими партиями в отношении своих членов.
Вероисповедание, членство в религиозных организациях, философские или мировоззренческие взгляды человека. Обработка допускается самими религиозными организациями в отношении своих членов.
Сведения о наличии или отсутствии судимости, о совершённых преступлениях, данные уголовного учёта. Обработка допускается, как правило, только государственными органами или в случаях, прямо предусмотренных законом.
Данные о сексуальной жизни человека. Самая редко встречающаяся на практике категория, но её нарушение влечёт наиболее серьёзные последствия. Обработка допускается исключительно с явного письменного согласия субъекта либо если он сам сделал данные общедоступными.
- Шаблон лица из Face ID / систем видеоаналитики
- Отпечаток пальца в базе СКУД
- Шаблон голоса для голосовой авторизации
- Сетчатка / радужная оболочка глаза (скан)
- ДНК-профиль
- Рисунок вен ладони для доступа
- Фотография в личном деле / паспорте (без цели идентификации)
- Запись голоса на автоответчике
- Видеозапись с камеры наблюдения (без систем распознавания)
- Цвет волос / роста в анкете
- Подпись на бумаге
Биометрические ПДн можно обрабатывать только с письменного согласия субъекта. Электронное согласие с усиленной КЭП или через ЕСИА — исключения.
Государственная платформа для хранения биометрии граждан РФ. Банки и госорганы обязаны интегрироваться. Оператор ЕБС — «Центр биометрических технологий».
Незаконная обработка биометрии грозит штрафом до 300 000 руб. по ч. 2 ст. 13.11 КоАП. При повторном нарушении — до 500 000 руб.
Составьте полный список всех мест, где собираются или хранятся данные физических лиц: формы на сайте, CRM, 1С, HR-системы, мессенджеры, облачные сервисы, таблицы Excel. Каждый источник — отдельная строка в реестре.
Для каждого типа данных задайте вопрос: «Позволяет ли эта информация — сама по себе или в сочетании с другими данными, которые у нас есть — установить личность конкретного человека?» Если ответ «да» или «возможно» — это персональные данные.
Проверьте, не попадают ли данные в специальные категории (здоровье, религия, политика, биометрия, судимость). Если да — режим обработки принципиально другой: нужно письменное согласие или прямая норма закона. Если нет — стандартный режим.
Для каждой цели обработки определите правовое основание: согласие субъекта, договор с субъектом, законная обязанность оператора или законный интерес. Для специальных категорий подходит только письменное согласие или прямое указание закона. Без правового основания обработка незаконна.
Зафиксируйте результаты в реестре обработки ПДн — это обязательный документ для любого оператора. Повторяйте процедуру при каждом запуске нового продукта, сервиса или интеграции. Реестр должен быть актуальным, а не существовать «для галочки».