Специальные категории персональных данных: что это и как не попасть на штраф

Что такое специальные категории персональных данных

Специальные категории — это персональные данные, обработка которых по умолчанию запрещена, если нет прямого основания в законе или письменного согласия субъекта. К ним относятся: раса, национальность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь, судимость, а также биометрические данные, используемые для идентификации конкретного человека.

Закон ставит специальные категории под усиленную защиту, потому что их утечка или незаконное использование создают высокий риск дискриминации и нарушения прав субъекта. Санкции за обработку без согласия, когда оно обязательно, существенно выше, чем за обычные персональные данные.

На практике специальные категории могут появиться на сайте в анкетах, опросах, формах обратной связи, заявках на услуги (например, медицинские или образовательные), в профилях пользователей. Иногда поле выглядит безобидно — «Расскажите о себе» или «Дополнительная информация», — но если пользователь указывает здоровье или убеждения, данные становятся специальной категорией, и за их обработку отвечает оператор сайта.

Когда сбор специальных категорий разрешён

Обработка специальных категорий законна, если есть одно из оснований: письменное согласие субъекта в явном виде, исполнение договора (когда субъект — сторона), защита жизни и здоровья, научные и статистические цели с обезличиванием, исполнение правосудия или другие случаи, прямо названные в законе.

Письменное согласие в явном виде — это не просто галочка «Согласен с политикой». Текст должен прямо называть специальные категории данных, цель их обработки и действия оператора. Формулировка должна быть однозначной: субъект понимает, что даёт согласие именно на обработку специальных категорий, а не персональных данных вообще.

На сайте это выглядит так: отдельный чекбокс или кнопка, текст согласия размещён на той же странице или доступен по ссылке, в тексте явно указаны категории данных (например, «состояние здоровья») и цель (например, «подбор медицинской программы»). Если форма запрашивает специальные данные, но текст согласия их не упоминает, это создаёт риск квалификации как обработка без законного основания.

Как специальные категории появляются на сайте незаметно

Часто владелец сайта не планирует собирать специальные категории, но они появляются через открытые текстовые поля, комментарии, чаты поддержки или интеграции с внешними сервисами. Пользователь может написать о своём здоровье в поле «Опишите проблему» или указать национальность в профиле — и данные становятся специальной категорией.

Если на сайте есть авторизация через социальные сети или внешние платформы, сервис может передать данные из профиля пользователя, включая специальные категории. Вы не контролируете, что именно передаст внешний сервис, но если данные попали на ваш сервер или в вашу базу, вы становитесь оператором и отвечаете за законность обработки.

Аналитические системы и трекеры сами по себе не собирают специальные категории, если не применяются для идентификации человека через биометрические признаки. Но если на странице с формой, которая запрашивает специальные данные, работает аналитика — возникает вопрос, передаются ли эти данные в систему аналитики и куда они уходят дальше. Это обстоятельство требует дополнительной проверки.

Как проверить, собирает ли сайт специальные категории

Проверка начинается с аудита всех веб-форм: какие поля есть, какие данные они запрашивают, есть ли рядом с полем текст согласия и что в нём написано. Затем — политика конфиденциальности: упомянуты ли специальные категории, указаны ли цели и основания их обработки, описаны ли действия оператора.

Технически важно зафиксировать, что видит посетитель на момент отправки формы: снимок экрана, текст чекбокса, ссылка на согласие, время фиксации. Это позволяет сопоставить содержание формы и документов, выявить расхождения и оценить риски. Если форма запрашивает специальные данные, но в политике они не упомянуты, или текст согласия не называет категории явно — это признак нарушения.

Проверка сайта фиксирует все формы, чекбоксы, тексты согласий и цитаты из политики, собирает снимки экрана и сопоставляет их с требованиями закона. Если на сайте есть поля, которые могут собирать специальные категории, или интеграции с внешними сервисами — это попадёт в отчёт как эпизод с признаками нарушения или обстоятельство, требующее дополнительной проверки.

• Все веб-формы проверяются на предмет запроса специальных категорий данных
• Фиксируются тексты чекбоксов, согласий и политики конфиденциальности с цитатами
• Снимки экрана показывают, что видит посетитель в момент отправки формы
• Отчёт сопоставляет содержание форм и документов, выявляет расхождения
• Интеграции с внешними сервисами фиксируются как обстоятельство для дополнительной проверки

Что исправить, если специальные категории собираются с нарушениями

Первый шаг — привести в соответствие тексты согласий и политику конфиденциальности. Согласие должно явно называть специальные категории, цель обработки и действия оператора. Политика должна содержать раздел о специальных категориях с указанием оснований обработки, сроков хранения и прав субъекта.

Второй шаг — проверить, нужны ли эти данные на самом деле. Если поле в форме можно сделать необязательным или убрать совсем — это снижает риски. Если данные нужны для исполнения договора или услуги — основание должно быть чётко указано в документах и понятно пользователю до отправки формы.

Третий шаг — зафиксировать изменения и получить подтверждение, что сайт больше не нарушает требования. Отчёт даёт приоритет исправлений: какие эпизоды требуют немедленных действий, какие — дополнительной проверки, и в каком порядке их устранять. Если нужна консультация юриста или помощь с документами — это отдельная услуга, но решение вы принимаете на основе фактов из отчёта.