Чувствительные персональные данные¶

Чувствительные персональные данные — это категория персональных данных, обработка которых влечёт повышенные риски для прав и свобод субъекта данных, включая дискриминацию, стигматизацию, материальный ущерб или угрозу безопасности. В законодательстве различных стран, в том числе в Федеральном законе РФ «О персональных данных» № 152-ФЗ, к таким данным относятся сведения, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также биометрические данные. В отличие от общедоступных или обезличенных сведений, обработка чувствительных данных требует особых правовых оснований и усиленных мер защиты.

¶Правовое регулирование в России

В Российской Федерации правовой режим чувствительных персональных данных установлен главой 4 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных». Согласно статье 10, обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, допускается только в строго определённых случаях. К таким случаям относятся:

• Наличие письменного согласия субъекта персональных данных.
• Обработка данных в рамках трудового законодательства (например, для определения возможности выполнения работы по состоянию здоровья).
• Защита жизни, здоровья или иных жизненно важных интересов субъекта, если получение его согласия невозможно.
• Обработка данных в медико-профилактических целях, для установления медицинского диагноза, оказания медицинских услуг при условии соблюдения врачебной тайны.
• Деятельность профессиональных объединений (например, религиозных организаций) в отношении своих членов.
• Обработка данных, сделанных общедоступными субъектом самостоятельно.
• Осуществление правосудия и исполнение судебных актов.
• Обработка данных в целях обязательного социального страхования.

Особые требования предъявляются к биометрическим персональным данным (статья 11 Закона № 152-ФЗ), которые характеризуют физиологические и биологические особенности человека, позволяющие установить его личность. Их обработка без согласия субъекта допускается только в связи с реализацией государственной политики в области миграции, правосудия, а также в случаях, предусмотренных законодательством о безопасности и оперативно-розыскной деятельности.

¶Ответственность за нарушения

Нарушение требований к обработке чувствительных персональных данных влечёт административную, уголовную и гражданско-правовую ответственность. Кодекс об административных правонарушениях РФ (КоАП РФ) предусматривает штрафы для должностных лиц до 100 000 рублей, для юридических лиц — до 6 000 000 рублей (статья 13.11). Уголовная ответственность (статья 137 УК РФ) наступает за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия. Кроме того, субъект данных вправе требовать возмещения морального вреда в судебном порядке.

¶Международные стандарты

На международном уровне регулирование чувствительных персональных данных закреплено в ряде документов. Ключевым является Общий регламент по защите данных (GDPR) Европейского союза, принятый в 2016 году и вступивший в силу в 2018 году. GDPR выделяет «особые категории персональных данных» (special categories of personal data), к которым относит сведения, раскрывающие расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, членство в профсоюзах, генетические и биометрические данные, данные о здоровье, сексуальной жизни или сексуальной ориентации. Обработка таких данных по умолчанию запрещена, за исключением случаев, когда субъект дал явное согласие, или обработка необходима для целей трудового права, защиты жизненно важных интересов, общественного здоровья, архивных или статистических целей.

Конвенция Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (ETS № 108, 1981 год) также содержит положения о недопустимости обработки чувствительных данных без надлежащих правовых гарантий. В 2018 году была принята модернизированная версия Конвенции (Конвенция 108+), которая расширила перечень чувствительных данных, включив в него генетические и биометрические данные.

¶Классификация чувствительных персональных данных

В доктрине и законодательстве выделяют несколько основных категорий чувствительных персональных данных:

¶Данные о расовой и национальной принадлежности

Сведения о происхождении человека, его этнической идентичности. Обработка таких данных может привести к дискриминации, разжиганию межнациональной розни. В России, согласно статье 26 Конституции РФ, каждый вправе определять и указывать свою национальную принадлежность, и никто не может быть принуждён к её определению.

¶Политические взгляды

Информация о членстве в политических партиях, участии в политических акциях, голосовании на выборах. Обработка таких данных без согласия может нарушить тайну голосования и право на свободу убеждений.

¶Религиозные и философские убеждения

Сведения о вероисповедании, принадлежности к религиозным организациям, а также о философских или мировоззренческих позициях (например, атеизм, агностицизм). В России гарантируется свобода совести и вероисповедания (статья 28 Конституции РФ).

¶Состояние здоровья

Медицинские данные, включая диагнозы, результаты анализов, сведения о наследственных заболеваниях, инвалидности, психическом здоровье. Эта категория является одной из наиболее защищаемых, так как её разглашение может привести к стигматизации, отказу в трудоустройстве или страховании.

¶Интимная жизнь

Сведения о личных отношениях, сексуальной ориентации, семейной жизни. В России, согласно позиции Верховного Суда, сведения о сексуальной ориентации относятся к частной жизни и охраняются законом, однако движение ЛГБТ (организация признана экстремистской, деятельность запрещена в РФ) признано экстремистским и запрещено в РФ (решение Верховного Суда РФ от 30 ноября 2023 года). Это накладывает дополнительные ограничения на публичное распространение соответствующей информации.

¶Биометрические данные

Физиологические и поведенческие характеристики человека, используемые для его идентификации: отпечатки пальцев, изображение лица (дактилоскопические и фотобиометрические данные), радужная оболочка глаза, голос, походка, ДНК. В России обработка биометрических данных регулируется отдельно, а с 2023 года действует Единая биометрическая система (ЕБС), оператором которой является ПАО «Ростелеком».

¶Генетические данные

Сведения о наследственном материале человека, полученные в результате генетического анализа. Они могут раскрывать информацию о предрасположенности к заболеваниям, родственных связях, этническом происхождении. В России генетические данные рассматриваются как разновидность биометрических данных, а их обработка дополнительно регулируется Федеральным законом «О государственной геномной регистрации в РФ» (№ 242-ФЗ).

¶Применение и значение

Защита чувствительных персональных данных имеет критическое значение для обеспечения прав человека в цифровую эпоху. Утечка таких данных может привести к:

• Дискриминации при трудоустройстве, получении кредитов, страховании.
• Шантажу и вымогательству.
• Нарушению врачебной тайны и утрате доверия к медицинским учреждениям.
• Политическому преследованию или социальной изоляции.

В связи с этим во многих странах введены повышенные требования к безопасности обработки чувствительных данных: обязательное шифрование, ограничение доступа, ведение журналов операций, проведение оценки воздействия на защиту данных (Data Protection Impact Assessment, DPIA). В России операторы, обрабатывающие специальные категории персональных данных, обязаны уведомлять Роскомнадзор о начале обработки, а также соблюдать требования к информационным системам, установленные постановлением Правительства РФ № 1119 от 1 ноября 2012 года.

¶Критика и проблемы

Несмотря на развитое законодательство, на практике защита чувствительных персональных данных сталкивается с рядом проблем:

• Размытость определений. Понятия «интимная жизнь», «философские убеждения» могут трактоваться неоднозначно, что создаёт риски как для операторов, так и для субъектов данных.
• Технические сложности. Обеспечение безопасности данных в условиях массового сбора (например, в медицинских или биометрических системах) требует значительных ресурсов и компетенций.
• Коллизия с другими законами. В России требования к защите персональных данных могут вступать в противоречие с законодательством о безопасности, оперативно-розыскной деятельности и противодействии терроризму, которое допускает сбор и обработку данных без согласия граждан.
• Международная передача. Передача чувствительных данных за пределы страны требует особых гарантий, что усложняет трансграничное сотрудничество, особенно в условиях санкционных ограничений.

¶Источники

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (с изменениями и дополнениями).
• Кодекс Российской Федерации об административных правонарушениях (КоАП РФ), статья 13.11.
• Уголовный кодекс Российской Федерации (УК РФ), статья 137.
• Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
• Регламент Европейского парламента и Совета Европейского Союза 2016/679 от 27 апреля 2016 г. о защите физических лиц при обработке персональных данных и о свободном обращении таких данных (GDPR).
• Конвенция Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (ETS № 108) и Протокол к ней (CETS № 223).
• Решение Верховного Суда РФ от 30 ноября 2023 года о признании движения ЛГБТ экстремистским и запрете его деятельности на территории РФ.