Особые категории ПДн - это сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, здоровье, интимной жизни. Их обработка запрещена по статье 10 закона "О персональных данных" 152-ФЗ. Исключение - письменное согласие субъекта или прямое требование закона. Штрафы для юрлица в 2026 году доходят до 30 миллионов рублей, по статье 137 УК РФ за разглашение - до 4 лет лишения свободы.
Гайд собран по 550+ проектам студии Сайты2.рф из Кронштадта (СПб). С 2008 года мы готовили формы для медцентров, рекрутинговых сервисов, фитнес-приложений, школ знакомств. Внутри: что входит в особые категории ПДн, чем биометрия отличается от обычных данных, 6 типовых ловушек на сайтах, требования к хранению, чек-лист "что нельзя собирать без юриста".
Что такое особые категории ПДн
Часть 1 статьи 10 152-ФЗ перечисляет 6 видов сведений, обработка которых по умолчанию запрещена. Это самый чувствительный пласт данных в законе.
Полный перечень особых категорий ПДн:
- Расовая и национальная принадлежность.
- Политические взгляды.
- Религиозные убеждения.
- Философские убеждения.
- Состояние здоровья (диагнозы, истории болезни, рецепты, результаты анализов).
- Интимная жизнь.
Любое поле формы, которое запрашивает эти данные, требует особого обращения. Простой чекбокс согласия не работает - нужно отдельное письменное согласие субъекта. О базовом согласии - в материале согласие на обработку ПДн.
В судебной практике 2024-2025 годов под "состояние здоровья" попадают не только диагнозы, но и косвенные признаки: тип крови, наличие хронических заболеваний, беременность, инвалидность, психиатрический учёт. Под "интимную жизнь" - сексуальная ориентация, семейное положение в нестандартной форме, данные о репродуктивном здоровье.
Биометрические ПДн по ст. 11
Биометрия выделена в отдельную статью 11 152-ФЗ. К ней относятся данные, которые характеризуют физиологические и биологические особенности человека и позволяют установить его личность.
Что входит в биометрические ПДн:
- Отпечатки пальцев.
- Радужная оболочка глаза.
- Изображение лица в формате, пригодном для распознавания.
- Голос в записи для голосовой идентификации.
- Анализ ДНК.
- Особенности почерка.
- Геометрия руки и тела.
Нюанс: обычная фотография в профиле сотрудника на сайте - не биометрия. Биометрией она становится, если используется для автоматического распознавания (СКУД, FaceID, видеонаблюдение с поиском по лицу). Аналогично с голосом: запись разговора колл-центра без голосовой биометрии - не биометрия, а с системой распознавания - да.
С 1 июня 2023 года биометрия передаётся только через Единую биометрическую систему (ЕБС). Подключение к ЕБС возможно только через аккредитованных операторов: банки, госорганы, отдельные коммерческие сервисы. О хранении на российских серверах - в обзоре хостингов с серверами в РФ.
Когда обработка разрешена
Часть 2 статьи 10 152-ФЗ перечисляет случаи, когда обработка особых категорий ПДн допустима. Список закрытый и узкий.
Основания для законной обработки:
- Субъект дал письменное согласие в специальной форме.
- ПДн сделаны общедоступными самим субъектом (открытый профиль).
- Обработка нужна для защиты жизни и здоровья субъекта или третьих лиц.
- Обработка в медицинских целях врачом по профессиональной тайне.
- Обработка в государственных и муниципальных АИС для социальной защиты.
- Обработка для уголовного судопроизводства, исполнения наказаний.
- Обработка для общественных и религиозных объединений, политических партий по уставу.
- Обработка журналистом для законной деятельности при условии непосягательства на права субъекта.
Для коммерческого сайта работает только пункт 1: письменное согласие в специальной форме. Не тот же чекбокс под формой обратной связи, а отдельный документ с конкретным перечнем категорий данных, целей и сроков. Шаблон базового согласия - в материале политика обработки ПДн: шаблон.
6 типовых ловушек на сайтах
За 12 лет работы мы видели, как бизнес попадает под статью 10 152-ФЗ из-за невинных на первый взгляд полей формы. Самые частые сценарии.
Ловушка 1. Форма записи в медцентр
Поля "опишите жалобу", "хронические заболевания", "принимаемые препараты", "беременность" - это особые категории ПДн. Без специального согласия медцентр в Гатчине получил штраф 1,2 млн рублей за прошедший 2024 год.
Ловушка 2. Рекрутинг с фото
HR-сервис собирал резюме с фотографией, паспортными данными и пометкой "национальность" в анкете. Национальность - особая категория. Замена: убрать поле или сделать его опциональным с письменным согласием. Подробнее о требованиях формы - в чек-листе 152-ФЗ для сайта.
Ловушка 3. Фитнес-приложение
Анкета "цели тренировок": "похудение", "беременность", "восстановление после травмы", "хронические заболевания". Любая из этих опций - особая категория. Без отдельного согласия - штраф.
Ловушка 4. Школа знакомств
Поля "ориентация", "вероисповедание", "национальность" в анкете - три особые категории сразу. Самый высокий уровень риска. Без специальной формы согласия и шифрованной базы - штраф и блокировка сайта.
Ловушка 5. Школа или детский сад
Анкета родителя с полями "вероисповедание ребёнка", "медицинские противопоказания", "диета по религиозным причинам". Особая категория + ПДн несовершеннолетнего = двойная защита.
Ловушка 6. Анкета на сайте ресторана
Поля "аллергии", "диета", "пищевые ограничения" при бронировании - формально особая категория (состояние здоровья). Обходится формулировкой "пищевые предпочтения" без медицинских диагнозов. О корректных формах для общепита - в гайде продающий текст для сайта.
Особые требования к хранению
Особые категории ПДн нельзя хранить вместе с обычными в одной базе без дополнительных мер. По приказу ФСТЭК России №21 от 18 февраля 2013 года такие системы относятся к УЗ-1 или УЗ-2 (уровень защищённости).
Технические требования:
- Отдельная база данных или отдельная таблица с шифрованием.
- Шифрование "на покое" (AES-256) и "в движении" (TLS 1.3).
- Журналирование всех обращений к данным с фиксацией пользователя.
- Двухфакторная аутентификация для администраторов.
- Регулярные бэкапы с шифрованием.
- Сертифицированные ФСТЭК средства защиты.
Организационные требования:
- Приказ о назначении ответственного за обработку особых категорий ПДн.
- Список лиц, имеющих доступ к таким данным, с подписками о неразглашении.
- Отдельный реестр обработки особых категорий.
- Регламент уничтожения данных по достижении целей обработки.
Эти требования удваивают стоимость инфраструктуры. Для медцентров, школ знакомств, рекрутинговых сервисов мы рекомендуем готовые решения на сертифицированных платформах. О миграции - в материале перенос сайта на другой хостинг.
Какие сайты обязаны выделять отдельную форму согласия
Если на сайте есть хотя бы одно поле из особых категорий ПДн, нужна отдельная форма согласия. Один чекбокс под формой обратной связи не закрывает требования статьи 10.
Сайты, для которых отдельная форма обязательна:
- Медицинские центры, стоматологии, ветклиники с онлайн-записью.
- Рекрутинговые сервисы и HR-платформы с анкетами и фото.
- Фитнес-клубы и спортивные приложения с медицинскими данными.
- Школы знакомств, сервисы психологической помощи.
- Религиозные организации с регистрацией прихожан онлайн.
- Политические партии и общественные движения с членскими формами.
- Социальные сервисы для инвалидов, льготников, многодетных семей.
- Образовательные платформы с анкетами родителей по особым потребностям детей.
Форма согласия должна содержать: перечень категорий данных, цель обработки, срок, перечень лиц с доступом, права субъекта, контакты ответственного. Подпись - письменная или квалифицированная электронная. Простая подпись в виде галочки не подходит.
Проверить готовность сайта помогает бесплатный инструмент проверки 152-ФЗ. Он показывает, есть ли на формах поля из особых категорий и подключена ли отдельная форма согласия.
Чек-лист: что нельзя собирать без юриста
Минимальный список полей и категорий, для которых нужна консультация юриста до запуска формы на сайте.
- [ ] Диагнозы, симптомы, перенесённые болезни, операции.
- [ ] Принимаемые лекарства и БАДы.
- [ ] Беременность, репродуктивное здоровье.
- [ ] Инвалидность, группа здоровья.
- [ ] Психиатрический и наркологический учёт.
- [ ] Группа крови, резус-фактор, аллергии.
- [ ] Сексуальная ориентация, семейное положение в нестандартной форме.
- [ ] Национальность, родной язык, расовая принадлежность.
- [ ] Вероисповедание, отношение к религии.
- [ ] Политические взгляды, партийная принадлежность.
- [ ] Философские убеждения, мировоззрение.
- [ ] Биометрия: отпечатки, фото для распознавания, голос, ДНК.
Если на сайте есть хотя бы одно поле из списка - до публикации формы пройти юридический аудит и подготовить отдельную форму согласия. Студия Сайты2.рф включает аудит форм в техническую поддержку сайтов на постоянной основе.
FAQ
Что такое особые категории персональных данных?
По статье 10 152-ФЗ это 6 видов сведений: расовая и национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь. Их обработка запрещена без письменного согласия субъекта или прямого требования закона.
Является ли фото в профиле биометрией?
Нет, обычное фото не биометрия. Биометрией оно становится только при автоматическом распознавании лица для идентификации: СКУД, FaceID, видеоаналитика. Простой аватар на сайте - это обычные ПДн.
Какой штраф за обработку особых категорий ПДн без согласия?
Для юрлица - до 30 миллионов рублей за первое нарушение, до 100 миллионов рублей при повторном по статье 13.11 КоАП РФ. При утечке - оборотный штраф до 500 миллионов. По статье 137 УК РФ за разглашение - до 4 лет лишения свободы.
Можно ли собирать данные о здоровье в медцентре?
Да, но только с письменным согласием в отдельной форме, не общим чекбоксом. Плюс соблюдение врачебной тайны, отдельная база с шифрованием, ответственный сотрудник по приказу. Подробнее в материале штрафы за 152-ФЗ в 2026.
Можно ли собирать национальность в анкете?
Только с письменным согласием. Безопаснее заменить на нейтральные поля: "родной язык" (если нужен для рассылок), "страна рождения" (если нужна для документов). Опрос "национальность" без обоснования цели - нарушение.
Что делать, если форма уже собирает особые категории без согласия?
Срочно: остановить сбор, удалить накопленные данные или получить ретро-согласие у всех субъектов, опубликовать новую форму с отдельным согласием, провести юридический аудит. Уведомить РКН о нарушении не обязательно, но рекомендуется.
Где хранить особые категории ПДн?
Только на серверах в РФ, в отдельной базе, с шифрованием AES-256, журналированием доступа, двухфакторной аутентификацией администраторов. Хостинг - из числа провайдеров с сертификатом ФСТЭК. Обзор - в материале хостинги с серверами в РФ.
Что в итоге
Особые категории ПДн - это 6 видов сведений по статье 10 152-ФЗ плюс биометрия по статье 11. Их обработка возможна только с письменным согласием в отдельной форме. Технические требования: отдельная база, шифрование, журналирование, сертифицированные средства защиты. Штрафы для юрлица - до 30 миллионов рублей плюс уголовная ответственность по статье 137 УК РФ. Самые рискованные сайты: медцентры, рекрутинг, фитнес, школы знакомств, образование.
Студия Сайты2.рф из Кронштадта (СПб) с 2008 года готовит сайты к работе с особыми категориями ПДн: проектируем формы, ставим отдельное согласие, мигрируем базы на сертифицированный хостинг, проводим юридический аудит. 550+ проектов, NPS 9,2, средний рост заявок x2,4 после приведения сайта к 152-ФЗ. Звоните +7 (812) 942-47-44, пишите в Telegram @t9424744 или MAX, на 9424744@gmail.com. Адрес: Кронштадт, ул. Карла Либкнехта 15б/6. Работаем по Санкт-Петербургу и Ленинградской области: Гатчина, Выборг, Сосновый Бор, Всеволожск, Тосно. Рассчитаем стоимость аудита и приведения сайта к 152-ФЗ за 1 рабочий день.
