Особые категории персональных данных

Что это значит

Особые категории персональных данных - это чувствительная информация, злоупотребление которой может серьёзно навредить человеку: данные о здоровье, расовом или этническом происхождении, религиозных или философских убеждениях, политических взглядах, членстве в профсоюзе, генетические и биометрические данные для однозначной идентификации и данные о сексуальной жизни или ориентации.

GDPR в принципе запрещает их обработку. Она допустима, только если наряду с обычным правовым основанием действует одно из законных исключений, например явное согласие, исполнение обязанностей в сфере трудового права и социального обеспечения или защита правовых требований.

От обычных персональных данных они отличаются более строгим режимом. Отдельно регулируются и данные об уголовных преступлениях и судимостях: они не входят в особые категории, но обрабатывать их можно лишь под контролем государства или если это разрешает закон.

Как это работает на практике

Работодатель сталкивается с ними постоянно: больничные листы, заключения о профпригодности, данные об инвалидности для льгот или удержание профсоюзных взносов. Он обрабатывает их на основании трудового законодательства и только в необходимом объёме, например без диагноза.

Система учёта рабочего времени по отпечатку пальца или распознаванию лица работает с биометрическими данными. Перед её внедрением нужно оценить, действительно ли она необходима и не хватит ли карты или PIN-кода. При масштабной обработке обязательна оценка воздействия.

Организация, основная деятельность которой - масштабная обработка особых категорий, например медицинское учреждение, должна назначить ответственное лицо. Доступ к данным ограничивают узким кругом людей, хранят их отдельно и обычно шифруют.

На что обратить внимание

Чувствительные данные можно получить и косвенно. Фото на пропуск, история покупок в аптеке или отметка о диетическом питании могут раскрыть здоровье или религию. При аналитике и профилировании нужно оценить, не выводятся ли из обычных данных особые категории.

Нарушение защиты таких данных влечёт более серьёзные последствия, чем утечка обычных контактов. Утечка медицинских записей почти всегда требует уведомления надзорного органа и самих субъектов, а штрафы и требования о компенсации морального вреда бывают выше.