Согласие на обработку биометрических персональных данных: как правильно оформить

Что такое биометрические ПДн по закону

Биометрические персональные данные — это физиологические и биологические характеристики человека, по которым можно установить его личность и которые используются оператором для установления личности.

Определение закреплено в статье 11 Федерального закона № 152-ФЗ. При этом не любое изображение или запись голоса автоматически становятся биометрией. Ключевым критерием являются цель и способ использования ПДн. А именно — данные должны использоваться для идентификации личности.

Фотография на пропуске, используемая охранником для визуального сравнения с документом, относится к обычным ПДн. Если то же изображение обрабатывается алгоритмом системы контроля и управления доступом (СКУД) для автоматической идентификации, то оно является биометрией со всеми вытекающими требованиями закона.

Это разграничение принципиально для бизнеса. От него зависит весь объем правовых обязательств: от формы согласия до порядка передачи ПДн в ЕБС.

Зачем нужно согласие на обработку биометрических ПДн

Согласие почти всегда является единственным законным основанием для обработки биометрических ПДн в коммерческих и большинстве государственных правоотношений.

Это требование закреплено в статье 11 Федерального закона № 152-ФЗ и подтверждено Федеральным законом № 572-ФЗ. Без письменного согласия субъекта любые действия с биометрией, от сбора и хранения до передачи и идентификации, являются нарушением закона. Исключения, предусматривающие возможность использования биометрии в отсутствие письменного согласия субъекта, предусмотрены частью 2 статьи 11 закона № 152-ФЗ. Например, биометрические данные можно использовать без согласия для проведения оперативно-розыскных мероприятий или проведения дактилоскопии.

При этом закон устанавливает два принципиальных ограничения для операторов:

1. Строгая добровольность. Предоставление биометрических ПДн не может быть обязательным условием получения услуги, товара или доступа к сервису. Часть 12 статьи 3 Федерального закона № 572-ФЗ прямо запрещает обусловливать оказание услуг обязательным прохождением биометрической идентификации.
2. Запрет дискриминации. Отказ гражданина от биометрии не может служить основанием для отказа в обслуживании, продаже товара или выполнении работ. Это правило распространяется на государственные органы, банки, работодателей и любые другие организации.

За обработку биометрии без письменного согласия субъекта предусмотрена административная ответственность по статье 13.11 КоАП РФ. Для юридических лиц штраф при первичном нарушении составляет от 300 000 до 700 000 рублей, при повторном — до 1 500 000 рублей. Отдельные санкции за нарушения требований именно в вопросе размещения биометрии в информационных системах, ЕБС установлены статьей 13.11.3 КоАП РФ и достигают 2 000 000 рублей.

Что изменилось: частным компаниям запрещено хранить биометрию у себя

До вступления в силу Федерального закона № 572-ФЗ компании могли собирать и хранить биометрические данные на собственных серверах. Теперь это запрещено.

Все исходные биометрические ПДн подлежат передаче в государственную Единую биометрическую систему (ЕБС), оператором которой является АО «Центр биометрических технологий» (ЦБТ). Хранить сырые биометрические ПДн на корпоративных серверах организациям больше нельзя.

Для работы с биометрией компании используют не исходные данные, а зашифрованные математические «векторы». Это обезличенные цифровые слепки, полученные в результате алгоритмической обработки биометрических ПДн. Вектор не позволяет восстановить исходное изображение или запись голоса, что снижает риски при возможных утечках.

Схема работы строится так: компания собирает биометрические ПДн с согласия субъекта и передает их в ЕБС. Система формирует вектор и возвращает его оператору. В дальнейшем идентификация или аутентификация происходит путем сравнения предъявленных ПДн с вектором без обращения к исходным биометрическим данным.

Это правило затронуло банки, работодателей с системами контроля доступа, транспортные компании и розничный бизнес. Организации, не перешедшие на работу через ЕБС, нарушают требования закона и несут риск привлечения к административной ответственности.

Как правильно составить согласие на обработку биометрических ПДн: образец и требования

Согласие на обработку биометрических ПДн оформляется исключительно в письменной форме или в электронном виде с подписанием электронной подписью (УКЭП/УНЭП/ПЭП). Согласие на обработку персональных данных должно позволять определить, какие именно сведения и для каких целей передаются оператору.

Закон не устанавливает единого бланка, однако определяет обязательный состав сведений, которые должны быть отражены в документе. Согласие должно содержать:

• наименование и реквизиты оператора ПДн;
• сведения о субъекте ПДн (ФИО, паспортные данные);
• цели обработки биометрических данных;
• перечень обрабатываемых ПДн с указанием их вида (изображение лица, запись голоса);
• описание действий оператора с биометрическими персональными данными, включая сбор, хранение, использование, передачу и другие операции, если они предусмотрены целью обработки;
• срок действия согласия и порядок его отзыва;
• подпись субъекта ПДн.

Отдельного внимания заслуживает вопрос срока действия согласия. Он может быть установлен конкретной датой, привязан к определенному событию или действовать до момента отзыва субъектом (последний вариант — нежелательный). Рекомендуется избегать формулировки «бессрочно» там, где цель обработки ПДн ограничена по времени: например, периодом трудовых отношений или сроком действия договора.

Согласие на обработку биометрических данных оформляется отдельно от общего согласия на обработку ПДн. Объединение этих документов в один не допускается.

Согласие на биометрию для сотрудников: что должен знать работодатель

Работодатель вправе использовать биометрические системы контроля доступа на предприятии, однако обязан соблюдать ряд обязательных требований.

Прежде всего, сбор биометрических ПДн сотрудников допускается только с их письменного согласия. Принуждение к сдаче биометрии в любой форме, включая устное давление или изменение условий трудоустройства, является нарушением статьи 11 Федерального закона № 152-ФЗ и части 11 статьи 3 Федерального закона № 572-ФЗ.

Если сотрудник отказывается проходить идентификацию через систему распознавания лиц, работодатель обязан предоставить альтернативный способ доступа: магнитную карту, электронный пропуск или иной инструмент. Отказ в допуске на рабочее место по причине несогласия с биометрической идентификацией квалифицируется как нарушение трудового законодательства и законодательства о ПДн.

Отдельно стоит отметить ситуацию с кандидатами при трудоустройстве. Отказ в приеме на работу по причине нежелания предоставить биометрические ПДн также является нарушением закона. Если новый работник не дает согласие на использование биометрии, работодатель не вправе делать его обязательным условием заключения трудового договора.

Для работодателей, использующих СКУД с функцией распознавания лиц, важно также убедиться, что система интегрирована с ЕБС или переведена на работу через зашифрованные векторы. Хранение исходных фотоизображений сотрудников на корпоративных серверах в целях идентификации является нарушением требований Федерального закона № 572-ФЗ.

Как отозвать согласие на обработку биометрических данных

Субъект ПДн вправе отозвать согласие на обработку биометрических ПДн в любой момент без объяснения причин. После отзыва оператор должен прекратить обработку биометрических персональных данных, если для нее не осталось иного законного основания.

Федеральный закон № 572-ФЗ предусматривает два способа отзыва у оператора ЕБС.

• Через личный кабинет на портале Госуслуг: в разделе управления согласиями можно отозвать разрешение на обработку биометрических ПДн в ЕБС.
• При личном обращении в многофункциональный центр (МФЦ), где оформляется письменный отказ от сбора и размещения биометрических ПДн. МФЦ выдает письменное подтверждение факта подачи такого отказа.

После получения отзыва оператор ЕБС, а также все организации, которым были переданы векторы биометрических ПДн, обязаны заблокировать, удалить или уничтожить эти ПДн и связанные с ними векторы. Срок исполнения обязанности составляет до 30 дней.

Ответственность за нарушения при работе с биометрией

За нарушения в сфере обработки биометрических ПДн предусмотрена административная ответственность по статье 13.11 и статье 13.11.3 КоАП РФ. Санкции применяются как к должностным, так и к юридическим лицам.

Статья 13.11.3 КоАП РФ введена специально для регулирования нарушений в сфере размещения и обработки биометрии ЕБС и устанавливает повышенные штрафы по сравнению с общими нормами об обработке ПДн.

Штрафы по статьям 13.11 и 13.11.3 КоАП РФ назначаются по результатам проверок Роскомнадзора, которые могут быть инициированы в том числе по жалобе сотрудника или клиента. Чтобы снизить риски наступления ответственности, рекомендуется строго соблюдать установленные правила обработки биометрии и заблаговременно направить корректное уведомление в Роскомнадзор о работе с персональными данными. Специалисты «Хелп Консалтинг» готовы взять эту задачу на себя.

Поделиться в социальных сетях:

Наталия Рагулина

Руководитель юридического отдела

8 лет опыта

более 300 выигранных дел

Автор статьи

135 публикаций на сайте

Подробнее о специалисте