Чутливі дані — це особлива категорія інформації про фізичну особу, обробка якої в праві Європейського Союзу за замовчуванням заборонена. Йдеться про дані, які розкривають расове або етнічне походження, політичні погляди, релігійні чи світоглядні переконання, членство в профспілках, а також генетичні дані, біометричні дані, що використовуються для однозначної ідентифікації особи, дані про здоров’я та відомості про сексуальне життя або сексуальну орієнтацію. Цей перелік є закритим — жодна інша категорія, навіть дуже приватна, не входить до нього автоматично.
Різниця між чутливими даними та звичайними персональними даними не зводиться лише до рівня конфіденційності. Розголошення перших може призвести до дискримінації, стигматизації або порушення найглибшої сфери приватності, тому GDPR вимагає окремої, чітко вираженої правової підстави та підвищених заходів безпеки. Для адміністратора це означає обов’язок точно кваліфікувати кожну інформацію ще до початку обробки.
На практиці у 2026 році, з огляду на зростання популярності біометричних систем і медичних застосунків, правильне визначення чутливих даних стало щоденним викликом як для малих підприємств, так і для великих організацій.
Чому саме ці категорії потребують особливого захисту
Ризик, пов’язаний із чутливими даними, випливає з їхнього безпосереднього зв’язку з ідентичністю та свободою людини. Інформація про хронічне захворювання, сексуальну орієнтацію чи членство в профспілці — це не просто «ще одне поле в базі даних». У поєднанні з іншими даними вона дозволяє профілювати особу, що може вплинути на кредитні рішення, рекрутинг чи навіть доступ до публічних послуг.
Механізм захисту ґрунтується на припущенні, що шкода від неналежної обробки таких даних є складнішою для відшкодування, ніж у випадку номера PESEL чи адреси електронної пошти. Тому стаття 9 GDPR запроваджує принцип заборони з вузькими винятками. Кожна обробка має одночасно відповідати одній із підстав зі статті 6 та одній із умов зі статті 9(2). Відсутність будь-якої з них робить операцію незаконною.
На практиці це означає, що навіть якщо компанія має згоду на маркетинг, вона не може використовувати інформацію про стан здоров’я клієнта для таргетингу реклами без окремої, чітко вираженої згоди, яка охоплює саме цю категорію даних.
Закритий перелік чутливих даних — приклади з повсякденного життя та бізнесу
Для початківця цей перелік може здаватися абстрактним. Насправді чутливі дані з’являються в напрочуд багатьох ситуаціях. Номер PESEL, дата народження чи навіть номер банківського рахунку не належать до цієї категорії. Натомість висновок про інвалідність працівника, результат генетичного дослідження, відбиток пальця, який використовується для відчинення дверей офісу, чи декларація про дієту, що випливає з релігійних переконань, — уже так.
Досвідчений адміністратор має йти далі. Саме фото обличчя не є біометричними даними. Воно стає ними лише тоді, коли система піддає його спеціальній технічній обробці, яка дає змогу однозначно ідентифікувати особу, — наприклад, у системі розпізнавання обличчя на вході до серверної. Звичайний відеомоніторинг без біометричних функцій залишається у сфері звичайних даних.
У медичному секторі будь-яка інформація про стан здоров’я — навіть згадка про алергію в анкеті на рекрутинг — потрапляє до цього переліку. У маркетингу інтернет-магазин, що продає продукти для діабетиків і фіксує харчові вподобання клієнтів, зумовлені станом здоров’я, також обробляє чутливі дані. У нашій практиці ми стикалися з випадком, коли компанія кур
