Что важно знать о биометрических персональных данных

В последние годы активно формируется нормативное регулирование обработки биометрии. Это связано с повсеместным использованием видеонаблюдения, внедрением различных систем установления личности, усовершенствованием процесса получения финансовых и госуслуг через удаленные сервисы. Разъяснения по многим вопросам дают Роскомнадзор, Минцифры.

Марина Крицкая Бизнес-журналист

Содержание:

Что такое биометрические данные

Согласно ст. 11 Федерального закона от 27.07.2006 № 152-ФЗ (далее — 152-ФЗ), биометрические персональные данные — это данные, характеризующие биологические и физиологические особенности человека. К ним можно отнести анализы ДНК, дактилоскопические данные, радужную оболочку глаз, рост, вес человека.

Обработка биометрических персональных данных осуществляется только с письменного согласия гражданина. Но есть исключения, указанные в ч. 2 ст. 11 152-ФЗ. К ним, в частности, относятся случаи с осуществлением правосудия и исполнением судебных актов в связи с обороной, безопасностью, противодействием терроризму и т.д.

Биометрия используется для идентификации личности субъекта персональных данных. В связи с этим часто возникает вопрос, являются ли биометрическими данными фотографии и видеозаписи. Он в подробности рассмотрен Роскомнадзором.

Как осуществляется обработка фото и видео

В соответствии со ст. 152.1 ГК РФ обнародование и дальнейшее использование изображения человека возможно только с его согласия. К изображению можно отнести фотографии, видеозаписи или произведения изобразительного искусства с изображением человека.

При этом согласие не нужно, если:

• изображение используется в государственных, общественных или иных публичных интересах;
• изображение получено при съемке, которая проводится в открытых местах или на публичных мероприятиях — конференциях, концертах, спортивных соревнованиях и т.д.;
• гражданин позировал за плату.

Когда фотография прямо относится к биометрическим персональным данным

Роскомнадзор напоминает о важности цели, которую преследует оператор при обработке персональных данных, в том числе фотографии в паспорте.

Согласно ст. 11 152-ФЗ, то есть при наличии письменного согласия, обработка осуществляется, если:

• данные нужны для идентификации личности;
• фото используются для обеспечения однократного и/или многократного прохода на охраняемую территорию и установления личности гражданина (фото сотрудников, посетителей государственных и муниципальных органов, предприятий (организации) содержатся в системе контроля управления доступа (СКУД), то есть фото сравнивается с лицом предъявителя пропуска и ФИО, указанными в СКУД).

Что не считается обработкой биометрических персональных данных:

• сканирование паспорта для подтверждения определенных действий конкретным лицом (например, заключение договора на оказание услуг), без установления личности;
• копирование документа, удостоверяющего личность;
• фотография в личном деле работника;
• подпись, наличие которой в договорных отношениях является обязательным требованием, и почерк, в том числе анализируемый уполномоченными органами в рамках почерковедческой экспертизы;
• рентгеновские или флюорографические снимки в медицинской карте пациента;
• материалы видеосъемки в публичных местах и на охраняемой территории (до передачи их для установления личности снятого человека они не являются биометрией, обработка которой регулируется 152-ФЗ, поскольку она не используется оператором для установления личности).

Персональные данные и видеосъемка

Если работодатель принимает вести видеонаблюдение в офисе для фиксации возможных действий противоправного характера согласно ст. 74 ТК РФ, то он должен уведомить под подпись работников об изменении условий трудового договора по причинам, связанным с организационными или технологическими условиями труда (введение видеонаблюдения).

Вовремя примите меры по защите персональных данных

Посетителей публичных мест следует заранее предупреждать о возможной фото-, видеосъемке с помощью текстовых и/или графических предупреждений. Получать согласие на это не нужно.  

Правила видеосъемки:

• Осуществляется только с определенными целями — конкретными и заранее определенными. Они должны быть обусловлены соответствующими нормативными правовыми актами.
• Есть случаи открытого наблюдения, которое ведется для контроля качества предоставляемых услуг клиентам, потребителям, пациентам. Чтобы установить дополнительные гарантии соблюдения их прав, а также самих работников и сотрудников, должны быть приняты внутренние документы. В этих документах Роскомнадзор рекомендует предусмотреть порядок и сроки хранения видеозаписей, указать ответственных лиц, имеющих доступ к системе видеонаблюдения. Важно не забыть проинформировать о видеонаблюдении с помощью информационных табличек в зонах видимости камер.

Дактилоскопическая информация как биометрические персональные данные

Под дактилоскопической информацией следует понимать биометрические персональные данные об особенностях строения папиллярных узоров пальцев и (или) ладоней рук, позволяющих установить личность.

Что такое обработка дактилоскопической информации

Обработка такой информации осуществляется путем преобразования изображения папиллярных узоров на промежуточной поверхности в цифровую форму и размещения полученной информации в базе данных в виде биометрического информационного шаблона.

Поскольку цель обработки указанных сведений в системах биометрической идентификации — это установление личности конкретного лица, а также тот факт, что данная информация, содержащаяся в шаблоне, характеризует физиологические и биологические особенности человека, то такая информация относится к биометрическим персональным данным, и она должна обрабатываться в соответствии со ст. 11 152-ФЗ, а также Федеральным законом от 25.07.1998 № 128-ФЗ. Такие разъяснения дает Роскомнадзор.

Изменения в области обработки биометрических персональных данных в 2022 году

В последнее время вопросу обработки биометрических данных уделяется особое внимание. В связи с этим инициируются законодательные новшества.

Что такое Единая биометрическая система

1 июля 2018 года заработала Единая биометрическая система (ЕБС). Оператором выступил «Ростелеком».

Единая биометрическая система представляет собой цифровую платформу, которая позволяет гражданину проходить удаленную идентификацию по биометрическим образцам для получения финансовых услуг.

Вступление в силу Федерального закона от 29.12.2020 № 479-ФЗ установило использование ЕБС для удаленной идентификации при получении широкого спектра финансовых и государственных услуг. О том, как пройти удаленную идентификацию подробно написал ЦБ. Нужно сдать образцы биометрии (это может быть слепок лица и запись голоса) в офисе банка и зарегистрироваться на портале Госуслуг. При обращении в банк эти данные будут сверять с личностью.

Предполагалось, что с момента действия механизма удаленной идентификации банки будут постепенно обеспечивают в своих структурных подразделениях сбор биометрических данных для ЕБС. Это позволило бы:

• повысить уровень безопасности, в частности, минимизировать случаи мошенничества;
• упростить идентификацию клиента;
• упростить процесс получения услуг.

Но сроки внедрения опции с идентификацией через ЕБС, благодаря которой клиенты могли бы открывать вклады и брать кредиты дистанционно, по биометрии, постоянно переносились. Ожидалось, что она, наконец, заработает с 1 сентября, но в итоге банки обратились к ЦБ с просьбой пока их не штрафовать.  

Сбор биометрии: разъяснения Минцифры

В начале августа Минцифры сформулировало пять основных принципов работы с биометрией, которые он планирует зафиксировать документально.

Сбор биометрии без согласия граждан недопустим

В основе сбора биометрических данных лежат принципы добровольности и согласия гражданина — через банк, мобильное приложение (с 30 сентября 2022 года) и в будущем — через МФЦ.

Запрещено собирать такие данные с камер наблюдения и из других источников, которые не предусматривают получения согласия.

Загрузка биометрии из коммерческих систем в ЕБС обязательна

Это правило прописано Федеральным законом от 14.07.2022 № 325-ФЗ. В ЕБС заносятся только те биометрические данные, которые собраны с согласия гражданина. При этом банк должен оповестить граждан об этом, проинформировать о порядке отзыва хранения данных в ЕБС и их уничтожении.

Информация из нескольких коммерческих систем не смешивается

«При загрузке в ЕБС биометрических данных их нескольких коммерческих систем будут храниться только самые актуальные данные, отвечающие необходимым стандартам качества. Все остальные передаваемые данные будут удаляться», — уточняет Минцифры.

ЕБС обеспечивает надежное хранение данных

Система отвечает всем требованиям регуляторов в сфере информационной безопасности.

Сдача биометрии — не обязанность, а право гражданина

Благодаря дистанционной идентификации личности это право может сделать более доступными различные сервисы: сдачу экзаменов, оплату проезда и др.