Особливі категорії персональних даних

Що це означає

Особливі категорії персональних даних - це чутлива інформація, зловживання якою може серйозно зашкодити людині: дані про здоров'я, расове чи етнічне походження, релігійні або філософські переконання, політичні погляди, членство в профспілці, генетичні та біометричні дані для однозначної ідентифікації й дані про сексуальне життя чи орієнтацію.

GDPR в принципі забороняє їх обробку. Вона допустима, лише якщо поряд зі звичайною правовою підставою діє одне із законних винятків, наприклад явна згода, виконання обов'язків у сфері трудового права й соціального забезпечення чи захист правових вимог.

Від звичайних персональних даних вони відрізняються суворішим режимом. Окремо регулюються й дані про кримінальні правопорушення та судимості: вони не належать до особливих категорій, але обробляти їх можна лише під контролем держави або якщо це дозволяє закон.

Як це працює на практиці

Роботодавець стикається з ними постійно: лікарняні, висновки про профпридатність, дані про інвалідність для пільг або утримання профспілкових внесків. Він обробляє їх на підставі трудового законодавства й лише в необхідному обсязі, наприклад без діагнозу.

Система обліку робочого часу за відбитком пальця чи розпізнаванням обличчя працює з біометричними даними. Перед її впровадженням треба оцінити, чи вона справді необхідна і чи не вистачить картки або PIN-коду. За масштабної обробки обов'язкова оцінка впливу.

Організація, основна діяльність якої - масштабна обробка особливих категорій, наприклад медичний заклад, повинна призначити відповідальну особу. Доступ до даних обмежують вузьким колом людей, зберігають їх окремо й зазвичай шифрують.

На що звернути увагу

Чутливі дані можна отримати й опосередковано. Фото на перепустку, історія покупок в аптеці чи позначка про дієтичне харчування можуть розкрити здоров'я або релігію. Під час аналітики й профілювання треба оцінити, чи не виводяться зі звичайних даних особливі категорії.

Порушення захисту таких даних має серйозніші наслідки, ніж витік звичайних контактів. Витік медичних записів майже завжди вимагає повідомлення наглядового органу й самих суб'єктів, а штрафи та вимоги про компенсацію моральної шкоди бувають вищими.