Специальные категории и биометрические персональные данные: статьи 10 и 11 Федерального закона № 152-ФЗ в практике оператора

Аннотация

УДК 342.9:004.056

Сопоставлены режимы статей 10 и 11 Федерального закона от 27 июля 2006 г. № 152-ФЗ по тексту закона: перечень специальных категорий, структура исключений, два признака биометрии, письменное согласие и требование об отдельном документе согласия. Показана связь с параметрами постановления Правительства РФ № 1119 без фиксации «автоматического» уровня защищённости. Обозначены типичные логические ошибки квалификации и границы применения разъяснений Минцифры и Роскомнадзора. Сформулированы вопросы для самопроверки документации оператора; конструктор документов «ГЕНЕРАТОР152ФЗ» указан как вспомогательный инструмент, не заменяющий квалификацию факта.

Ключевые слова: специальные категории персональных данных, биометрические персональные данные, статья 10, статья 11, 152-ФЗ, согласие, ПП № 1119, документационное обеспечение, ГЕНЕРАТОР152ФЗ.

Abstract

Abstract. The regimes of Articles 10 and 11 of Federal Law No. 152-FZ of 27 July 2006 were compared against the statutory text: the special-category list, the structure of exceptions, the two cumulative biometric criteria, written consent and the separate-document consent rule. The link with Government Decree No. 1119 parameters was shown without asserting an «automatic» security level. Typical qualification errors and the limits of Ministry of Digital Development / Roskomnadzor clarifications were outlined. Self-check questions for operator documentation were formulated; GENERATOR152FZ was noted as a supporting tool that does not replace fact-specific qualification.

Keywords: special categories of personal data, biometric personal data, Article 10, Article 11, 152-FZ, consent, Government Decree No. 1119, documentation support, GENERATOR152FZ.

Введение

Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» выделяет два особых режима, которые нельзя смешивать: специальные категории персональных данных (статья 10) и биометрические персональные данные (статья 11).

Методическая оговорка. Статья опирается на текст ст. 9–11 152-ФЗ, ПП № 1119 и отдельные официальные разъяснения. Здесь не формулируются: универсальные «шпаргалки» квалификации; закрытые перечни «видов биометрии»; размеры штрафов «за спецкатегории»; обязанность назначить «ответственного за биометрию»; правила для несовершеннолетних «в общем виде»; оценка вреда по внутренним шкалам регулятора без ссылки на акт. Пограничные факты (конкретная СКУД, форма на сайте, кадровая справка) требуют сопоставления с нормой по обстоятельствам дела, а не вывода «по аналогии».

С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельным документом (ч. 1 ст. 9 в редакции Федерального закона от 24 июня 2025 г. № 156-ФЗ). Это требование распространяется и на письменные согласия, когда они используются как основание по ст. 10 или 11 (см. статью о согласии).

Цель – разграничить режимы ст. 10 и 11 по тексту закона и указать, где упрощения в практике обычно ломают квалификацию.

1. Специальные категории персональных данных (статья 10)

1.1. Перечень по части 1 статьи 10

Часть 1 статьи 10 устанавливает общее правило: обработка специальных категорий персональных данных не допускается, за исключением случаев, предусмотренных частями 2 и 2.1 этой статьи. К специальным категориям закон относит сведения, касающиеся:

• расовой, национальной принадлежности;
• политических взглядов;
• религиозных или философских убеждений;
• состояния здоровья;
• интимной жизни.

Перечень закрытый. В тексте ч. 1 ст. 10 нет отдельной позиции «сексуальная ориентация» или «диагнозы и лечение» как самостоятельных категорий: речь идёт о формулировках закона («состояние здоровья», «интимная жизнь»). Конкретный состав сведений в массиве оператора нужно соотносить с этими понятиями, не расширяя перечень «по аналогии».

Отдельно часть 3 статьи 10 регулирует обработку персональных данных о судимости – это смежный, но иной режим (не входит в перечень ч. 1).

1.2. Исключения: часть 2 статьи 10 (без упрощения)

Часть 2 статьи 10 содержит закрытый перечень случаев, когда обработка специальных категорий допускается. Ниже – сжатая навигация по пунктам (для применения сверяйте полную редакцию закона, а не этот перечень «на память»):

1. согласие субъекта в письменной форме (п. 1);
2. обработка персональных данных, разрешённых субъектом для распространения, с соблюдением ст. 10.1 (п. 2) – это не тождественно тому, что сведения «уже есть в открытом доступе»;
3. п. 2.1–2.3, 3–10 (и п. 7.1) – специальные основания (реадмиссия, перепись, социальная помощь / труд / пенсия, защита жизни и здоровья при невозможности получить согласие, медицина при условии врачебной тайны, общественные и религиозные объединения, правосудие и права сторон, оборона и безопасность и смежные режимы, прокурорский надзор, обязательное страхование, устройство детей без попечения родителей, гражданство и др.).

Для кадрового контура часто проверяют п. 1 и п. 2.3; для медицинской обработки – п. 4 с его условиями. Основание в документах оператора нужно называть конкретным пунктом, а не формулой «обработка разрешена законом».

Часть 2.1 статьи 10 – узкий специальный режим (в том числе сведения о состоянии здоровья после обезличивания в связи со ст. 13.1 и экспериментальными режимами). Он не заменяет общий режим ст. 10 для обычного оператора сайта.

1.3. Письменная форма согласия по статье 10

Если основание – п. 1 ч. 2 ст. 10, требуется согласие в письменной форме. Устное согласие и конклюдентные действия (в том числе одна «галочка» на сайте без соблюдения требований к письменному согласию) для этого основания недостаточны. Согласие в форме электронного документа, подписанного электронной подписью, признаётся равнозначным письменному (ч. 4 ст. 9; см. также статью о 63-ФЗ). Содержание письменного согласия должно соответствовать ч. 4 ст. 9.

С 1 сентября 2025 года такое согласие оформляется отдельным документом (ч. 1 ст. 9 в редакции 156-ФЗ), а не вшивается в трудовой договор, оферту или пользовательское соглашение.

2. Биометрические персональные данные (статья 11)

2.1. Определение: два признака одновременно

Часть 1 статьи 11 определяет биометрические персональные данные как сведения, которые:

1. характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность; и
2. используются оператором для установления личности субъекта персональных данных.

Второй признак критичен. Само по себе наличие фотографии, записи голоса или отпечатка пальца в файле оператора не делает сведения биометрическими в смысле ст. 11, если оператор не использует их для установления личности. Перечень «видов биометрии» в законе не закреплён: отпечатки, изображение лица, голос и т.п. становятся предметом режима ст. 11 лишь при соответствии обоим признакам.

2.2. Согласие и исключения части 2

По общему правилу ч. 1 ст. 11 такие данные могут обрабатываться только при наличии согласия в письменной форме субъекта, за исключением случаев части 2.

Часть 2 статьи 11 допускает обработку без согласия в исчерпывающе перечисленных законом случаях (реадмиссия, правосудие и исполнение судебных актов, обязательная государственная дактилоскопическая и геномная регистрация, а также случаи по законодательству об обороне, безопасности, противодействии терроризму, транспортной безопасности, противодействии коррупции, об ОРД, о государственной службе, УИК, о порядке выезда/въезда, о гражданстве, о нотариате – по тексту ч. 2). Расширять этот перечень «по смыслу» нельзя. Применимость конкретного исключения к коммерческому сайту или офисной проходной – вопрос факта и отраслевого закона, а не общей формулы.

2.3. Запрет обязательности предоставления биометрии (часть 3)

Часть 3 статьи 11 устанавливает:

• предоставление биометрических персональных данных не может быть обязательным, за исключением случаев ч. 2 ст. 11;
• оператор не вправе отказывать в обслуживании при отказе предоставить биометрию и (или) дать согласие на обработку, если по федеральному закону получение согласия оператором не является обязательным.

Норма ч. 3 – о недопустимости обязательности предоставления биометрии вне случаев ч. 2 и об отказе в обслуживании при условиях, прямо указанных в законе. Из неё не следует самостоятельное «право на любой способ прохода» вне текста ч. 3; вместе с тем построение процесса так, будто без биометрии услуга/проход невозможны, при отсутствии оснований ч. 2, входит в зону риска по этой норме. Конкретная схема альтернативы – организационное решение оператора с опорой на ч. 3, а не отдельный подзаконный «стандарт СКУД».

3. Соотношение статей 10 и 11: пересечения и пограничные случаи

3.1. Различие режимов

3.2. Фотография и СКУД

Квалификация «фото = биометрия?» решается только через ч. 1 ст. 11: есть ли оба признака, включая использование оператором для установления личности.

Письмо Минцифры России от 17 июля 2020 г. № ОП-П24-070-19433 относит к биометрическим персональным данным фотографические изображения посетителей в СКУД, используемые для установления личности (в том числе при сопоставлении с предъявителем пропуска). Это разъяснение, не нормативный акт. Иные конфигурации (хранение фото без процедуры установления личности, видеонаблюдение без биометрической идентификации, разовый пропуск и т.п.) письмом автоматически не закрываются: нужен разбор факта под ч. 1 ст. 11. Разъяснения Роскомнадзора от 2 сентября 2013 г. по фото-/видеоизображениям также следует читать как разъяснения, а не как замену текста ст. 11.

3.3. Состояние здоровья и биометрия

Сведения о состоянии здоровья – специальная категория по ст. 10. Сами по себе они не становятся биометрическими по ст. 11. Пересечение режимов возможно, если в одной ИСПДн одновременно обрабатываются, например, медицинские сведения и биометрические идентификаторы для доступа – тогда нужно соблюдать оба режима по своим основаниям.

4. Связь с уровнем защищённости по ПП № 1119

Постановление Правительства РФ от 1 ноября 2012 г. № 1119 учитывает вид обрабатываемых персональных данных (в том числе специальные и биометрические) как один из параметров при определении уровня защищённости ИСПДн наряду с типом актуальных угроз и числом субъектов.

Нельзя сводить правило к формуле «есть спецкатегории или биометрия → автоматически УЗ-3». Итог зависит от комбинации параметров ПП № 1119. Ориентир по алгоритму и типичным ошибкам классификации – в статье об уровнях защищённости; о мерах – в статье о ст. 18.1 и 19.

Если в ИСПДн появляются специальные категории или биометрия, параметры классификации по ПП № 1119 меняются: акт определения уровня защищённости и комплект мер нужно привести в соответствие с актуальной комбинацией «категория данных / угрозы / число субъектов», а не оставлять прежний вывод «как для иных ПДн». Какой именно УЗ получится – ответ алгоритма ПП № 1119, а не заранее известная константа.

5. Согласие: письменная форма и отдельный документ

5.1. Два слоя требований

Для ст. 10 (п. 1 ч. 2) и ст. 11 (ч. 1) закон требует письменную форму согласия. Параллельно с 1 сентября 2025 года ч. 1 ст. 9 требует оформлять согласие отдельно от иных документов, которые подтверждает или подписывает субъект. Оба требования применяются совместно: письменное (в том числе электронное с ЭП) согласие на спецкатегории или биометрию не должно быть вшито в трудовой договор, оферту или «пакет галочек».

5.2. Конкретность согласия

Исходя из требований конкретности и предметности согласия (ст. 9) и различий режимов ст. 10 и 11, целесообразно не объединять в одном документе разнородные предметы волеизъявления (например, общее согласие на кадровый учёт и согласие на биометрический доступ). Формулировка «одна цель – одно согласие» – практический ориентир, а не отдельная статья закона; подробнее – в статье о согласии.

5.3. Несовершеннолетние

Статья 11 говорит о согласии субъекта в письменной форме. Вопросы дееспособности, согласия законного представителя и допустимости биометрии в отношении несовершеннолетних выходят за рамки одной нормы ст. 11 и зависят от возраста, цели обработки и отраслевого регулирования. Универсального правила «родитель всегда может дать биометрическое согласие за ребёнка» в ст. 11 нет. Оператору, работающему с несовершеннолетними, следует опираться на полный правовой анализ ситуации, а не на упрощённые схемы.

6. Вопросы для самопроверки (без готовых «кейсов»)

Ниже – контрольные вопросы. Ответы зависят от документов и фактической обработки; универсальных сценариев «как у всех» здесь нет.

• Есть ли в массиве сведения из перечня ч. 1 ст. 10? Если да – какой конкретный пункт ч. 2 (или иное применимое основание) закреплён в политике и локальных актах?
• Использует ли оператор физиологические/биологические признаки для установления личности (ст. 11)? Если нет – почему массив назван «биометрией»?
• Если основание – согласие: соблюдены ли письменная форма (ст. 10 п. 1 ч. 2 / ст. 11 ч. 1) и отдельность документа (ч. 1 ст. 9)?
• Если внедрена биометрия вне ч. 2 ст. 11: как учтена ч. 3 (недопустимость обязательности / отказ в обслуживании при условиях закона)?
• Отражены ли спецкатегории/биометрия в уведомлении (ст. 22) и в классификации ИСПДн по ПП № 1119?

Типичные сбои квалификации (не «кейсы», а ошибки логики): смешение ст. 10 и 11; объявление биометрией любого фото; подмена письменного согласия «галочкой» в договоре; указание основания «по закону» без пункта ч. 2 ст. 10.

7. Что фиксировать в документации

• разделение массивов: иные ПДн / ст. 10 / ст. 11 (с проверкой двух признаков биометрии);
• для ст. 10 – ссылка на конкретный пункт ч. 2 (или иное основание), без формулы «разрешено законом»;
• письменные согласия по ст. 10/11 – отдельным документом (ч. 1 ст. 9), содержание – по ч. 4 ст. 9;
• актуализация акта УЗ и мер при изменении состава категорий (ПП № 1119; ст. 18.1/19);
• согласованность политики, согласий и уведомления (ст. 22).

«Отдельный ответственный за биометрию» ст. 10–11 не требуют. Назначение ответственного за организацию обработки – ст. 18.1 (для юридических лиц); внутреннее распределение функций – решение оператора.

Конструктор «ГЕНЕРАТОР152ФЗ» помогает собрать согласованный пакет документов (см. сравнение подходов), но не заменяет квалификацию спорного факта по ст. 10–11.

Заключение

1. Статьи 10 и 11 – разные режимы: закрытый перечень по содержанию (ст. 10) versus два совокупных признака, включая использование для установления личности (ст. 11).
2. Исключения ч. 2 ст. 10 и ч. 2 ст. 11 нельзя сокращать до «согласия и ещё пары случаев» и нельзя расширять по аналогии.
3. Письменное согласие (где оно – основание) и отдельный документ согласия (ч. 1 ст. 9 с 01.09.2025) – разные слои требований; «галочка в договоре» их не закрывает.
4. Разъяснения Минцифры и Роскомнадзора по фото/СКУД помогают читать практику, но не подменяют ч. 1 ст. 11 и не дают ответа на все конфигурации.
5. Спецкатегории и биометрия входят в параметры ПП № 1119; фиксированный «автоматический» УЗ из одной только категории данных не следует.

Список литературы

1. Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (ред. от 24 июня 2025 г.) // Собрание законодательства РФ. – 2006. – № 31 (ч. 1). – Ст. 3451.
2. Федеральный закон от 24 июня 2025 г. № 156-ФЗ «О создании многофункционального сервиса обмена информацией и о внесении изменений в отдельные законодательные акты Российской Федерации» // Официальный интернет-портал правовой информации.
3. Постановление Правительства РФ от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» // Собрание законодательства РФ. – 2012. – № 45. – Ст. 6257.
4. Письмо Минцифры России от 17 июля 2020 г. № ОП-П24-070-19433 «О рассмотрении обращения» // СПС «КонсультантПлюс».
5. Разъяснения Роскомнадзора от 2 сентября 2013 г. «О вопросах отнесения фото- и видеоизображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки» // СПС «КонсультантПлюс».
6. ГЕНЕРАТОР152ФЗ: конструктор документов в сфере персональных данных [Электронный ресурс]. – URL: https://генератор152фз.рф/ (дата обращения: 10.08.2026).

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.