Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» является основным нормативным актом, регламентирующим обработку и защиту персональных данных в Российской Федерации. В соответствии с этим законом, персональные данные (ПДн) классифицируются по различным критериям. Понимание этих видов имеет важное значение для операторов ПДн и их взаимодействия с субъектами данных.

Согласно статье 3 Закона № 152-ФЗ, под персональными данными понимаются любые данные, относящиеся к определенному или определяемому физическому лицу (субъекту персональных данных). К таким данным относятся не только имя и фамилия, но и любая информация, которая может помочь установить личность человека.

Общие персональные данные

Обычные или общие персональные данные представляют собой данные, которые могут быть использованы для идентификации человека, но не обладают особыми характеристиками. К таким данным можно отнести:

• ФИО;

• Паспортные данные;

• ИНН;

• Семейное положение;

• Образование;

• Адрес;

• Номера телефонов; и т.д.

В соответствии с Федеральным законом от 27 июля 2006 г. № 152-ФЗ "О персональных данных" (далее - Закон), для обработки общих персональных данных работодатель обязан получить согласие сотрудника (ст. 9 Закона). В исключительных случаях работодатель может получить общие данные от третьих лиц, но только с согласия сотрудника (ст. 10.1 Закона).

Обезличенные персональные данные

Обезличенные персональные данные (или анонимизированные данные) – это такие данные, которые были изменены таким образом, что по ним невозможно идентифицировать субъект данных без применения дополнительных данных. В соответствии со статьей 9 Закона № 152-ФЗ, обезличивание данных означает, что процесс обработки и хранения данных, в результате которого теряется возможность установить, к какому именно субъекту они относятся, стал необратимым. В соответствии с Законом, работодатель не обязан обезличивать персональные данные сотрудников. Все сведения хранятся в течение срока, установленного нормативными актами, например, в соответствии со статьей 22.1 Федерального закона от 22.10.2004 № 125-ФЗ "Об архивном деле в Российской Федерации" и перечнем, утвержденным приказом Росархива от 20.12.2019 № 236.

Обезличенные данные могут использоваться для аналитических целей, исследований или других целей, не связанных с идентификацией конкретных лиц. Они, как правило, применяются в статистике, маркетинге и других областях, где требуется обработка больших объемов информации без риска нарушения конфиденциальности.

Специальные категории персональных данных

• К специальным категориям персональных данных относится информация, касающаяся:

• Судимостей;

• Расовой и национальной принадлежности;

• Вероисповедания;

• Политических взглядов;

• Религиозных и философских убеждений;

• Интимной жизни;

• Состояния здоровья.

В отличие от общих данных, Закон устанавливает исчерпывающий перечень специальных категорий персональных данных.

Для обработки специальных категорий персональных данных Закон устанавливает особые правила сбора, хранения и обработки (ст. 86 ТК РФ, ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных" (далее - Закон)).

По общему правилу, обработка специальных категорий персональных данных запрещена (ст. 86 ТК РФ).

Однако существуют исключения. Например, работодатель вправе обрабатывать без согласия сотрудника персональные данные, полученные в результате обязательного медосмотра (ст. 69 ТК РФ, п. 3 разъяснений от 14.12.2012).

Сбор информации о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни без письменного согласия работника в общем случае запрещен.

За обработку таких данных предусмотрены штрафы (ч. 1, 2 ст. 13.11 КоАП РФ):

• 100 000 рублей за незаконный сбор данных;

• 150 000 рублей за обработку без согласия работника.

Обработка специальных категорий ПДн допускается только в ограниченных случаях, таких как:

1. Если субъект данных дал явное согласие на обработку своих специальных категорий персональных данных.

2. Если обработка необходимых для защиты жизненно важных интересов субъекта или других физических лиц, когда субъект данных не может дать согласие.

3. Если данные, относящиеся к специальным категориям ПДн, были сделаны публично доступными самим субъектом данных.

Биометрические персональные данные

Биометрические персональные данные (БПД) относятся к категории специальных персональных данных и представляют собой уникальные характеристики человека, которые можно использовать для идентификации его личности. К ним могут относиться:

• Отпечатки пальцев

• Дактилоскопические данные

• Лицевые изображения (фото или видео)

• Геометрия лица (например, расстояние между глазами, форма носа)

• Данные о радужной оболочке глаза

• Голосовые параметры (например, тембр и манера речи)

• Иные физиологические или биологические характеристики человека, в том числе его изображение на фото и видео (ч. 1 ст. 11 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных" (далее - Закон)).

В Российской Федерации обработка биометрических персональных данных регулируется следующими основными документами:

1. Федеральный закон "О персональных данных" от 27.07.2006 № 152-ФЗ. Этот закон устанавливает общие принципы обработки персональных данных, включая биометрические. В законопроекте сказано, что для обработки биометрических данных необходимо получить явное согласие субъекта данных.

2. Федеральный закон "О биометрических персональных данных" от 31.07.2020 № 242-ФЗ. Этот закон конкретизирует правила обработки биометрических персональных данных, включая их сбор, хранение, использование и передачу. Он также определяет, кто является верификатором биометрических данных, и устанавливает требования к системам, которые собирают и обрабатывают такие данные.

3. Указания Роскомнадзора. На практике Роскомнадзор (Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций) применяет дополнительные рекомендации и указания относительно обработки биометрических данных.

Обработка биометрических персональных данных без согласия работника запрещена. В случае нарушения этого требования, должностным лицам грозит штраф от 100 000 до 300 000 рублей, а компании – от 500 000 до 1 млн рублей (ст. 13.11.3 КоАП РФ). Обработка биометрических данных возможна только при наличии письменного согласия сотрудника(ч. 2 ст. 11 Закона).

Исключение составляют случаи, связанные с осуществлением правосудия, исполнением судебных актов, оперативно-розыскной деятельностью, противодействием терроризму, коррупции и т.п.(ч. 2 ст. 11 Закона).

Работодатель не вправе заставить сотрудника предоставить биометрические данные, даже если они необходимы для работы.

Например, нельзя требовать от работника фотографироваться на пропуск на территорию офиса (ч. 3 ст. 11 Закона).

Таким образом, понимание всех видов персональных данных, включая обезличенные данные и специальные категории, является важной задачей для организаций, которые обрабатывают личную информацию. Общая конфиденциальность и безопасность данных должны быть в центре внимания, и это требует от операторов соблюдения всех правовых норм.

Законодательство России в области защиты персональных данных продолжает развиваться, и актуальные изменения могут в будущем повлиять на правила обработки данных. Поэтому операторам необходимо следить за нововведениями в области защиты информации и адаптировать свои внутренние процессы под новые требования.

Соблюдение законодательства о персональных данных не только защищает права граждан, но и улучшает репутацию компаний, взаимодействующих с клиентами на основе доверия и уважения к личной информации.