Можно ли собирать данные о здоровье в обычной анкете

Нет, если это не нужно для заявленной цели. Обработка спецкатегорий по умолчанию запрещена — собирать такие данные можно только при наличии одного из оснований из закрытого перечня ст. 10, чаще всего это письменное согласие.

Какое согласие нужно на обработку спецкатегорий

Только письменное, оформленное отдельным документом с указанием конкретной цели обработки именно спецкатегорий. Устное согласие, преднастроенная галочка или пункт внутри общего согласия на обработку ПДн не подходят.

Чем грозит обработка спецкатегорий без основания

Это подпадает под общий состав ч. 2 ст. 13.11 КоАП — обработка ПДн без надлежащего согласия, штраф для юрлиц до 700 000 ₽, при повторном нарушении до 1 500 000 ₽. Утечка таких данных попадает под ужесточённые правила из-за более высокого уровня защищённости, который требуется для их обработки.

Специальные категории персональных данных: что относится и как обрабатывать

Q: Что относится к специальным категориям персональных данных

По ч. 1 ст. 10 152-ФЗ это данные о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья и интимной жизни. Сведения о судимости регулируются отдельно частью 3 той же статьи.

Обычная анкета для соискателя с графой «национальность» или форма записи в клинику с полем «жалоба» — и компания незаметно для себя попадает под отдельный, более строгий режим 152-ФЗ. Специальные категории персональных данных регулируются статьёй 10 закона по обратной логике: обработка запрещена по умолчанию, и дальше — закрытый перечень исключений. Разберём, что именно относится к этим данным, когда их обработка законна и где бизнес чаще всего ошибается. Это часть общих требований к политике конфиденциальности сайта и внутренних документов оператора.

Это не теоретический вопрос. Спецкатегории — самая частая причина, по которой небольшая компания без юриста по данным превращается в оператора с повышенным уровнем ответственности, даже не подозревая об этом: достаточно одного лишнего поля в форме на сайте или в анкете при трудоустройстве.

Что относится к специальным категориям персональных данных

Часть 1 статьи 10 152-ФЗ прямо называет шесть видов сведений:

расовая и национальная принадлежность;
политические взгляды;
религиозные и философские убеждения;
состояние здоровья;
интимная жизнь;
(отдельно, в части 3 той же статьи) сведения о судимости.

Важный нюанс: закон не даёт открытого списка «и другое подобное» — категории закрытые. Но на практике каждая из шести формулировок трактуется широко. «Состояние здоровья» — это не только диагноз, но и хронические заболевания, инвалидность, беременность, противопоказания, результаты медосмотра. «Интимная жизнь» может включать сведения о семейном положении в определённом контексте. Если сомневаетесь, относится ли конкретное поле анкеты к спецкатегории, лучше исходить из расширительного толкования — так делает и Роскомнадзор при проверках.

Сведения о судимости регулирует часть 3 статьи 10 отдельно от остальных: по общему правилу их обработка доступна государственным органам и организациям в пределах их полномочий, а не любому оператору персональных данных по своему усмотрению.

Отдельно стоит сказать про биометрические персональные данные — сведения, характеризующие физиологические особенности человека (отпечаток пальца, скан лица, голос), на основании которых устанавливается его личность. Формально это не входит в перечень статьи 10, но регулируется ещё строже — отдельной статьёй 11 152-ФЗ с обязательной аккредитацией и специальным согласием. Путать биометрию со спецкатегориями не стоит: у них разные правовые режимы, хотя оба требуют повышенного внимания к защите данных.

Почему список закрытый, а трактуется широко

Формально в статье 10 нет фразы «и иные подобные сведения» — перечень исчерпывающий. Но на практике формулировки читаются расширительно, и вот почему это важно для бизнеса.

Возьмём «состояние здоровья». Роскомнадзор и суды относят к этой категории не только диагноз из медицинской карты, но и косвенные признаки: инвалидность, беременность, факт нахождения на больничном с указанием характера заболевания, результаты обязательного медосмотра, психологическое тестирование при приёме на работу. Аналогично с «интимной жизнью» — сюда попадают не только прямые вопросы о личной жизни, но и данные, которые её раскрывают косвенно (например, отметка о семейном статусе в контексте программы для одиноких родителей).

Практический вывод: если поле анкеты может быть истолковано как относящееся к одной из шести категорий, безопаснее заранее считать его спецкатегорией и выстраивать обработку по правилам статьи 10, а не полагаться на буквальное толкование закрытого перечня.

Почему обработка запрещена по умолчанию

Для обычных персональных данных закон исходит из того, что обработка допустима при наличии основания — согласия, договора, законного интереса. Для спецкатегорий логика перевёрнута: обработка запрещена, и разрешена только в случаях, прямо перечисленных в части 2 статьи 10:

субъект дал согласие в письменной форме на обработку именно спецкатегорий;
данные сделаны общедоступными самим субъектом;
обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта, а получить его согласие невозможно;
обработка в медицинских целях, если её ведёт лицо, обязанное сохранять врачебную тайну;
обработка предусмотрена законодательством о труде, о государственных пенсиях, социальном обеспечении, соцстраховании;
обработка нужна для установления или осуществления прав субъекта либо третьих лиц в связи с реализацией трудовых, пенсионных отношений и социальной защиты.

Если ни одно из оснований не подходит — собирать и хранить такие данные нельзя вообще, вне зависимости от того, есть согласие или нет.

Форма согласия: почему обычной галочки недостаточно

Для спецкатегорий закон требует именно письменного согласия — не устной договорённости, не общей галочки «согласен с обработкой персональных данных» на сайте. Согласие должно отдельно называть цель обработки именно специальных категорий и перечень таких данных.

Это прямое продолжение правила, которое действует с 1 сентября 2025 года для любых согласий: нельзя «пакетом» закрывать сразу несколько целей одним документом. Для спецкатегорий это требование ужесточается вдвойне — размытая формулировка вроде «согласен на обработку любых данных о себе» не покрывает данные о здоровье или религиозных взглядах, даже если человек её подписал. Подробный разбор требований к содержанию и оформлению такого документа — в статье «Согласие на обработку персональных данных: образец».

Типовые ситуации, где бизнес незаметно становится оператором спецкатегорий

Чаще всего компания попадает под режим статьи 10 не по злому умыслу, а из-за одного лишнего поля в форме:

Ситуация	Какие данные попадают в спецкатегорию
Анкета соискателя при приёме на работу	графа «национальность», вопрос о хронических заболеваниях, инвалидности
Кадровое делопроизводство	медосмотры, справки об инвалидности, листки нетрудоспособности с диагнозом
Медицинская клиника, стоматология	поле «жалоба», диагноз, история болезни
Фитнес-клуб, студия, салон	противопоказания по здоровью, указанные клиентом
Программа лояльности, анкета клиента	религиозный или диетический признак («халяль», «пост»)
HR-опросы, well-being программы	состояние психического здоровья, семейное положение

В кадровом делопроизводстве риск особенно велик: медицинские справки и результаты обязательных медосмотров прямо содержат данные о здоровье сотрудника, и их обработка требует отдельного основания — как правило, это прямая норма трудового законодательства, а не согласие. Похожая ситуация и в медицинских организациях — там спецкатегории обрабатываются практически по умолчанию, и требования подробно разбираются в статье «152-ФЗ для медицинских клиник».

Последствия для оператора

Как только компания начинает обрабатывать спецкатегории, у неё появляется несколько дополнительных обязанностей:

Есть основание из закрытого перечня. Без него обработка незаконна с первого дня, даже если данные собраны случайно, «на всякий случай».
Повышенный уровень защищённости ИСПДн. Обработка спецкатегорий требует более строгих технических и организационных мер защиты, чем обычные ПДн — вплоть до отдельного класса информационной системы.
Обязанность прекратить обработку, как только основание отпало (например, истёк срок согласия или трудовой договор расторгнут), и уничтожить данные.
Более строгая оценка при утечке. Если утечёт база с данными о здоровье или биометрией, штрафы и репутационные риски выше, чем при утечке обычных контактных данных — общие суммы и оборотные штрафы за утечку смотрите в таблице штрафов 2026.

Формально закон не выделяет отдельный, более крупный штраф именно за обработку спецкатегорий без основания — она подпадает под общий состав ч. 2 ст. 13.11 КоАП (обработка без надлежащего согласия): для юрлиц до 700 000 ₽, при повторном нарушении — до 1 500 000 ₽. Но на практике проверка Роскомнадзора относится к таким находкам строже, а утечка спецкатегорий почти всегда влечёт максимальную квалификацию нарушения.

Как не собирать лишнего

Самая дешёвая мера защиты — не создавать риск заранее. Прежде чем добавить в форму поле про здоровье, национальность или религию, стоит спросить: действительно ли это нужно для заявленной цели обработки? Если нет — поле убирают, и режим статьи 10 просто не возникает.

Если поле нужно объективно (медосмотр, кадровый учёт инвалидности, программа лечения), тогда:

оформляют отдельное письменное согласие с конкретной формулировкой цели;
ограничивают доступ к этим данным внутри компании (только HR или профильный специалист);
проверяют, что для системы, где хранятся такие данные, выставлен соответствующий уровень защищённости.

Короткий чек-лист для оператора

Если компания собирает или подозревает, что собирает спецкатегории, стоит пройти по пяти пунктам:

Найти поля-триггеры. Просмотреть все формы, анкеты и внутренние документы на предмет вопросов о здоровье, национальности, религии, судимости, политических взглядах.
Проверить необходимость. Для каждого такого поля задать вопрос: без него цель обработки действительно недостижима? Если нет — убрать поле.
Найти основание. Для оставшихся полей определить, какое из шести оснований статьи 10 применимо — письменное согласие, трудовое законодательство, медицинская тайна и так далее.
Оформить согласие правильно, если основание — согласие: письменно, отдельным документом, с конкретной формулировкой цели именно для спецкатегорий.
Проверить уровень защищённости системы, где хранятся такие данные, и ограничить доступ к ним внутри компании.

Проверить собственные формы на сайте — анкеты, форму записи, регистрацию — можно бесплатно: сканер укажет, какие поля рискуют попасть под режим спецкатегорий и какого согласия там не хватает.