Что такое категория персональных данных?

Закон делит персональные данные на четыре категории с разным уровнем требований. Обычные - это имя, телефон, email, адрес, самая массовая категория. Специальные - сведения о здоровье, религии, политических взглядах, судимости, они регулируются статьёй 10. Биометрические - фото лица, отпечаток пальца, голос, статья 11. И общедоступные - то, что человек сам сделал публичным, например открыл в своих соцсетях. Имя, телефон и email в форме заявки - это обычная категория, для неё достаточно стандартного согласия на обработку.

Разница между категориями не формальная: для специальных данных закон в целом запрещает обработку без письменного согласия, кроме узкого круга исключений вроде оказания медицинской помощи самим оператором. Для биометрии нужно отдельное письменное согласие именно на биометрию, а не общая формулировка про обработку данных вообще - это отдельно прописано в статье 11. Общедоступные данные тоже нельзя обрабатывать вообще без основания только потому, что человек сам их выложил в сеть: цель обработки всё равно должна укладываться в рамки статьи 6.

Для большинства сайтов - лендингов, интернет-магазинов, форм обратной связи - собираемые поля почти всегда попадают в обычную категорию, и специального режима не требуется. Ситуация меняется, если форма на сайте спрашивает что-то про здоровье или самочувствие (например, у клиники или фитнес-центра), либо если есть вход по фото или голосу - тогда часть полей автоматически переходит в специальную или биометрическую категорию, и одного чекбокса "согласен на обработку" уже недостаточно.

При составлении политики стоит пройтись по каждому полю формы отдельно, а не копировать типовой текст: если среди обычных полей затесался вопрос про хронические заболевания или дату рождения ребёнка, это уже другая категория и другой набор требований к согласию. Ошибка здесь - не мелочь: Роскомнадзор относится к нарушениям со специальными и биометрическими данными строже, чем к обычным.