Специальные категории персональных данных и НКО

Тема, которую часто недооценивают в некоммерческом секторе.
У многих НКО на практике появляется доступ к данным, которые закон называет «специальными» (ст. 10 ФЗ «О персональных данных»).

🖊️ Что такое «специальные категории ПДн»?
К ним относятся сведения:
- о расовой и национальной принадлежности, политических взглядах;
- о религиозных и философских убеждениях;
- о состоянии здоровья;
- об интимной жизни.
По общему правилу их обрабатывать нельзя. Но есть исключения - они перечислены в частях 2 и 2.1 ст. 10 Закона о персональных данных. Этот перечень закрытый и расширительному токованию не подлежит.

🖊️ Где это встречается у НКО?
☑ Организация ведет проекты для людей с инвалидностью, помогает с лечением, реабилитацией, покупкой лекарств. Здесь появляются диагнозы, данные об инвалидности, заключения врачей.
☑ Приюты, кризисные центры, работа с уязвимыми группами. Участники делятся личными историями, касающимися состояния здоровья, семейных обстоятельств, иногда - фактов насилия.
☑ При приеме на работу сотрудники пишут заявления, приносят документы. Здесь может возникать ситуация со справками об отсутствии судимости, либо - с медицинскими документами.

🖊️ Что важно помнить:
📎 Цель. Всегда фиксируйте, зачем нужны эти данные. «Просто так» собирать ничего нельзя.
📎 Согласие. Если нет прямого указания закона, нужно письменное согласие на обработку спецкатегорий ПДн.
📎 Минимизация. Берите только то, что реально необходимо. Если проект можно реализовать без медицинских диагнозов - лучше обойтись без них.
📎 Хранение. Такие данные требуют повышенной защиты: ограниченный доступ, отдельные папки, контроль уничтожения.
📎 Прекращение обработки. Как только отпала цель (например, проект завершен или человек перестал быть благополучателем организации), спецкатегории ПДн должны быть уничтожены.

Отдельно про справки о наличии/отсутствии судимости (обсуждалось на вебинаре РКН):
1⃣ Если в справке указана судимость (есть ссылки на номер дела, статью и прочее) - это спецкатегория ПДн. И обрабатывать такие сведения можно только там, где закон прямо позволяет (например, работа с детьми).
2⃣ Если написано «судимости нет» - эти сведения не относятся к специальной категории ПДн.

Для НКО главный принцип: не брать лишнего, всегда понимать «зачем» и на каком основании, и помнить, что спецкатегории ПДн - это зона повышенной ответственности.