Биометрические данные что к ним относится

Биометрические данные что к ним относится

(в ред. Федерального закона от 25.07.2011 N 261-ФЗ)

(см. текст в предыдущей редакции)

1. Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.

2. Обработка биометрических персональных данных может осуществляться без согласия субъекта персональных данных в связи с реализацией международных договоров Российской Федерации о реадмиссии, в связи с осуществлением правосудия и исполнением судебных актов, в связи с проведением обязательной государственной дактилоскопической регистрации, обязательной государственной геномной регистрации, а также в случаях, предусмотренных законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-разыскной деятельности, о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию, о гражданстве Российской Федерации, законодательством Российской Федерации о нотариате.

(в ред. Федеральных законов от 04.06.2014 N 142-ФЗ, от 31.12.2017 N 498-ФЗ, от 27.12.2019 N 480-ФЗ, от 06.02.2023 N 8-ФЗ)

(см. текст в предыдущей редакции)

3. Предоставление биометрических персональных данных не может быть обязательным, за исключением случаев, предусмотренных частью 2 настоящей статьи. Оператор не вправе отказывать в обслуживании в случае отказа субъекта персональных данных предоставить биометрические персональные данные и (или) дать согласие на обработку персональных данных, если в соответствии с федеральным законом получение оператором согласия на обработку персональных данных не является обязательным.

(часть 3 введена Федеральным законом от 14.07.2022 N 266-ФЗ)

Биометрические персональные данные: понятие и правила обработки

К биометрическим персональным данным относят сведения, которые характеризуют физиологические и биологические особенности человека и по которых можно установить его личность. По общему правилу собирать биометрию и обрабатывать ее другими способами можно только с письменного согласия на обработку биометрических персональных данных от их субъекта (ч. 1 – 3 ст. 12 Федерального закона от 27.07.2006 № 152-ФЗ , далее – Закон № 152-ФЗ).

Федеральный закон от 14.07.2022 № 266-ФЗ (далее – Закон № 266-ФЗ) внес изменения в правила работы с персональными данными (персданными, ПД), в том числе – и с биометрическими. Узнаем, какие требования к работе с биометрией нужно выполнять уже с 1 сентября 2022 года .

Оптимально организовать работу с биометрией по новым требованиям закона поможет наш обучающий курс .

Скачайте образцы документов для работы:

Обязательные условия согласия на обработку персданных

Правила использования изображения гражданина при обработке персданных

Биометрические персональные данные: что к ним относится

Что такое биометрия на практике? Это физические сведения человека (дактилоскопические данные, радужная оболочка глаз, анализы ДНК, рост, вес и др.) и иные его физиологические и биологические характеристики (в том числе изображение – фотография и видеозапись). Такие сведения классифицируют как биометрические, когда их обработка направлена на установление личности конкретного лица и производится с этой целью (абз. 2 «Разъяснений по вопросам отнесения фото-, видеоизображений, дактилоскопических данных и иной информации к биометрическим персональным данным и особенностей их обработки» от 30.08.2013 (Роспотребнадзор), далее – Разъяснения).

Только тогда мы имеем дело с данными, для обработки и распространения которых нужно получать согласия, уведомлять Роскомнадзор о работе с ними и исполнять иные требования закона (абз. 4 Разъяснений).

Обратите внимание! Закон по общему правилу запрещает обрабатывать ПД, включая биометрические данные, из общедоступных источников получения информации без согласия их субъекта (Федеральный закон от 30.12.2020 № 519-ФЗ ). Исключения – в части 2 статьи 11 Закона № 152-ФЗ. Правила использования изображения человека – в статье 152.1 ГК РФ.

Правила использования изображения гражданина скачайте по ссылке

Обработка биометрии без согласия на биометрические персональные данные

Такая обработка разрешена в случаях (ч. 2 ст. 11 Закона № 152-ФЗ ):

• реализации международных договоров о реадмиссии;
• осуществления правосудия и исполнением судебных актов;
• проведения обязательной государственной дактилоскопической регистрации;
• исполнения закона о: безопасности, обороне, противодействии терроризму и коррупции, транспортной безопасности, оперативно-разыскной деятельности, государственной службе, порядке выезда и въезда, гражданстве нотариате и уголовно-исполнительной системе.

Персональные данные – любая информация, которая прямо или косвенно относится к определенному или определяемому физическому лицу (субъекту ПД) (п. 1 ч. 1 ст. 3 Закона № 152-ФЗ). Следовательно, субъект персональных данных — физическое лицо, которого можно прямо или косвенно определить с помощью персональных данных.

Оператор персональных данных – это государственный или муниципальный орган, юридическое либо физическое лицо, которые самостоятельно или совместно с другими лицами организуют и (или) осуществляют обработку персональных данных, а также определяют ее цели; состав персданных, подлежащих обработке; а также действия (операции), совершаемые с ними (п. 2 ч. 1 ст. 3 Закона № 152-ФЗ).

Обработка биометрических персональных данных – любое действие (операция) или совокупность действий (операций), которые совершают с биометрическими персональными данными с использованием средств автоматизации или без них, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (ст. ст. 3 и 11 Закона № 152-ФЗ).

Важно! Правила размещения и обновления биометрических персональных данных в Единой биометрической системе (ЕБС) и в других информсистемах, которые обеспечивают идентификацию (аутентификацию) с использованием биометрии физлиц, устанавливает Приказ Минцифры России от 10.09.2021 № 930 . Порядок сбора параметров биометрии уполномоченными сотрудниками в целях идентификации гражданина определен в Приказе Минцифры России от 25.06.2018 № 321.

Биометрические данные: изменения с 1 сентября 2022 года

Закон № 266-ФЗ установил новые правила работы с биометрией, а также – общие изменения в обработку ПД:

• возможность ее поручении обработки другому лицу (включая иностранное);
• сокращенные сроки предоставления информации;
• обновленный порядок прекращения обработки ПД;
• признаки согласий для работы с ними.

Каждое из этих изменения оказывает влияние на правила обработки биометрических данных. Рассмотрим их подробно.

Читайте на сайте статьи по теме «Персональные данные»

Изменение 1: нельзя обрабатывать биометрию без согласия субъекта ПД, а также – понуждать к его даче. По общему правилу сдать биометрию работник (соискатель, контрагент) может только по своему желанию. Работодатель (наниматель, контрагент) в свою очередь не вправе обязать его это сделать. Кроме того, оператор по общему правилу не может обрабатывать биометрические персональные данные без согласия их субъекта (ч. 3 ст. 11 Закона № 152-ФЗ ).

Изменение 2: нужно уведомлять Роскомнадзор об обработке биометрических данных. Даже при их обработке во исполнение закона нужно вовремя извещать ведомство, чтобы попасть в реестр операторов ПД (Письмо Роскомнадзора от 19.08.2022 № 08-75348).

Уведомление не направляют только в таких случаях (п. 8 ч. 2 ст. 22 Закона № 152-ФЗ):

• оператор обрабатывает данные без автоматизации (например, компания с численностью до 25 человек);
• ПД содержатся в информационных системах по защите безопасности государства и общественного порядка;
• ПД используют по закону о транспортной безопасности.

Изменение 3: можно поручать обработку другому лицу (включая иностранное), но с условиями. Оператор может поручать обработку ПД (в том числе – и биометрию) другому лицу. Для этого нужно:

• согласие субъекта;
• договор с лицом, которому передается обработка;
• перечень ПД в поручении;
• документы и иная информация, которые предоставляются по запросу (в том числе до обработки) и подтверждают принятие мер и соблюдение требований закона в целях исполнения поручения оператора.

При этом на поручителя перекладывают все обязанности по защите ПД как на оператора (ч. 3–5 ст. 6 Закона № 152-ФЗ).

Иностранные лица могут обрабатывать персональные данные с 1 сентября 2022 на основании согласия гражданина России (ч. 1.1 ст. 1 Закона № 152-ФЗ).

При передаче ПД иностранному лицу ответственность перед их субъектом – солидарная. Поэтому за нарушения при обработке переданных иностранным юридическим и физическим лицом можно привлечь к ответственности и оператора (работодателя) (ч. 6 ст. 6 Закона № 152-ФЗ).

Изменение 4: сокращены сроки на предоставлении информации о работе с ПД. Закон 266-ФЗ сократил сроки, в течение которых оператор должен предоставить субъекту ПД информацию об их обработке (запрос и предоставление): 10 рабочих дней вместо 30. Все сведения предоставляют, ориентируясь на форму запроса (ч. 3 и 7 ст. 14, ст. 20 Закона № 152-ФЗ).

Изменение 5: установлены новые правила прекращения обработки ПД по обращению их субъекта. Оператор должен исполнить требование субъекта ПД о прекращении их обработки в срок 10 рабочих дней с даты получения обращения. Такой срок можно продлить, но не более чем на пять рабочих дней. Для этого нужно направить в адрес субъекта ПД мотивированное уведомление с указанием причин продления срока (ч. 5.1 ст. 21 Закона № 152-ФЗ, пп. «б», п. 13 ст. 1 Закона 266-ФЗ).

Изменение 6: введены новые условия обработки биометрических персональных данных. Как мы выяснили, биометрию, как правило, обрабатывают с согласия субъекта ПД (работника, соискателя и др.). Биометрические персональные данные (образец) – общий с согласиями на обработку и распространение ПД, но с указанием категорий биометрических персональных данных (ст. ст. 9 и 10.1 Закона № 152-ФЗ).

Согласия на обработку и распространения биометрии, как и общие согласия для работы с ПД, должны быть предметными и однозначными, а не только сознательными, конкретными и информированными (ст. 9 Закона № 152-ФЗ). Эти требования относятся к условиям согласия (ч. 1 ст. 9 Закона № 152-ФЗ):

• цель обработки персональных данных;
• перечень ПД, на обработку которых дается согласие их субъекта;
• наименование или фамилия, имя, отчество и адрес лица, которое осуществляет обработку ПД по поручению оператора (если она поручена такому лицу);
• перечень действий с ПД, на совершение которых дается согласие, а также – общее описание способов обработки ПД, которые использует оператор;
• срок, в течение которого действует согласие субъекта ПД и способу его отзыва.

В тексте согласий избегайте неопределенных и общих формулировок. Их положения должны соответствовать требованиям закона. Сведения о субъекте и операторе нужно указывать точно. Цель, категории, перечень ПД, условия их обработки (распространения) определяют конкретно. Срок согласия должен совпадает с требованиями закона об архивном деле. При этом период действия согласия на распространение может быть определен наступлением какого-либо события, а не датой или периодом времени (ч. 13 ст. 10.1 Закона № 152-ФЗ).

Все положения согласий нужно разъяснить субъекту ПД до их подписания, чтобы он действовал осознанно и информировано (ст. ст. 9, 10.1, 18 и 22 Закона № 152-ФЗ). Когда субъект ПД отказывается предоставить обязательные персданные, нужно разъяснить последствия отказа от предоставления ПД и (или) согласия на их обработку (ч. 2 ст. 18 Закона № 152-ФЗ).

Обязательные условия согласия на обработку и распространение ПД скачайте здесь

Как отозвать согласия на обработку и распространение биометрии, объяснит консультант по трудовому праву .

Топ-5 документов по персональным данным, которые скачивают ваши коллеги:

Что нужно знать о биометрических персональных данных

Биометрические персональные данные — что к ним относится, где они используются, как собираются и хранятся? Такие вопросы возникают в связи с последними законодательными изменениями, позволившими использовать идентификационные особенности человека для различных целей. Из статьи вы узнаете, какие данные принято считать биометрическими, для чего они могут понадобиться, каковы правила их сбора, хранения и обработки.

Вам помогут документы и бланки:

• Понятие биометрических данных. Какими законами регулируется обращение с такой информацией
• Где могут быть использованы физические сведения о гражданине
• Что относится к биометрическим материалам
• По каким правилам собираются, обрабатываются и хранятся данные
• Хранение и защита идентификационных сведений
• Итоги

Понятие биометрических данных. Какими законами регулируется обращение с такой информацией

Биометрия — это уникальные физические или поведенческие характеристики, которые позволяют отличать людей друг от друга.

На законодательном уровне в России порядок обращения с биометрическими персональными данными определен:

1. Законом «О персональных данных» от 27.07.2006 № 152-ФЗ.
2. Законом «Об информации, информационных технологиях . » от 27.07.2006 № 149-ФЗ.
3. Постановлением Правительства РФ «Об определении состава сведений, размещаемых в единой информационной системе персональных данных. » от 30.06.2018 № 772.
4. Приказом Минкомсвязи России «Об утверждении порядка обработки. » от 25.06.2018 № 321.

Президиумом Совета при Президенте РФ по стратегическому развитию и национальным проектам протоколом от 24.12.2018 № 16 был утвержден паспорт национальной программы «Цифровая экономика РФ», в соответствии с которым создается Единая биометрическая система. С 01.07.2018 сбор биофизических параметров своих клиентов начали крупные банковские учреждения, реализуя положения закона «О внесении изменений в отдельные законодательные акты РФ» от 31.12.2017 № 482-ФЗ. Таким образом, биометрические данные уже используются банками для идентификации клиентов по голосу и видео.

Где могут быть использованы физические сведения о гражданине

Биофизические информационные материалы могут понадобиться в различных сферах жизни, где требуется распознавание человека. Успешное применение биофизических особенностей граждан уже нашло себя в таких направлениях, как:

• выдача биометрических загранпаспортов;
• оформление виз в упрощенном порядке с применением биометрического распознавания;
• дактилоскопическая регистрация иностранцев и граждан России;
• идентификация в пропускных системах офисов и компьютерных системах, смартфонах и т. д.

Идентификация по биометрическим данным гораздо надежнее, чем визуальная. Например, сотрудник банка не сумеет отличить друг от друга близнецов, а биометрический анализ их голоса и изображения с большой долей вероятности сможет.

Что относится к биометрическим материалам

Отнесение информации к биофизическим данным требует соблюдения следующих условий:

• сведения должны отображать информацию о субъекте;
• применение указанной информации позволяет распознать человека.

К биофизическим индивидуальным свойствам относятся:

• отпечатки пальцев и ладоней;
• радужка оболочки глаз;
• анализы ДНК;
• образ лица;
• особенности строения тела;
• состояние психического здоровья;
• рост;
• вес.

Для распознавания гражданина необходима одна или больше поведенческих или физических особенностей. В постановлении № 722 к сведениям, подлежащим размещению в общей информационной системе индивидуальных данных, относятся:

• фото- или видеоизображение лица гражданина;
• данные голоса, полученные при помощи звукозаписывающих устройств.

По каким правилам собираются, обрабатываются и хранятся данные

Работа с индивидуальными сведениями граждан предполагает:

• сбор;
• хранение;
• использование;
• обновление;
• защиту информации.

Эти процедуры регулирует приказ Минкомсвязи № 321.

Работа с персональными данными, в том числе биометрическими, осуществляется в следующем порядке:

1. Уведомление оператором по сбору информации Роскомнадзора о том, что биометрические сведения будут собираться. Методические рекомендации по оповещению закреплены в приказе Роскомнадзора от 30.05.2017 № 94. Уведомление не требуется, если (п. 2 ст. 22 закона № 152-ФЗ):

• сбор проводится в рамках трудового законодательства;
• информация используется только для заключения сделки, стороной которой является субъект персональных сведений, и никуда не передается;
• сведения ограничены Ф. И. О.;
• в иных перечисленных в законе случаях.

1. Получение письменного согласия субъекта персональной информации на сбор данных о нем.

Образец согласия на обработку персональных биометрических данных привели эксперты КонсультантПлюс. Получите пробный доступ к системе бесплатно и переходите к документу.

Без согласия информация может собираться в рамках (п. 2 ст. 11 закона № 152-ФЗ):

• международных договоров о реадмиссии;
• судопроизводства;
• исполнения судебных решений;
• обязательной дактилоскопической регистрации.

1. Сбор сведений. Информацию должен получать уполномоченный сотрудник при личном присутствии человека. При этом создается биометрический шаблон, который подписывается электронной подписью и размещается в единой информационной системе.
2. Хранение персональных биометрических шаблонов осуществляется не менее чем 50 лет со дня размещения в системе.

Хранение и защита идентификационных сведений

Защита биометрических персональных данных предполагает соблюдение оператором данных следующих правил (п.8 приказа № 321):

• сбор сведений должны осуществлять уполномоченные сотрудники, обеспеченные ключами простой электронной подписи;
• ключи электронных подписей хранятся таким образом, чтобы исключить несанкционированный доступ к ним и избежать незаконного изменения, добавления, удаления информации;
• за передачу ключей электронной подписи третьим лицам либо необеспечение их конфиденциальности предусмотрена ответственность.

Конфиденциальность доступной информации должны хранить сотрудники, как собирающие биометрические данные, так и готовящие и выдающие ключи электронных подписей.

Дополнительно банковские учреждения должны (пп. 31, 33 Порядка, утв. приказом № 321):

• информировать Банк России об обнаружении случаев нарушения правил защиты информационных материалов при работе с ними в срок не позже следующего рабочего дня с момента выявления такого факта;
• ежегодно оценивать безопасность технической защиты информации, привлекая специализированные организации.

Итоги

Таким образом, работа с биометрическим материалом позволяет идентифицировать людей по их голосу, фото, видео и другим индивидуальным особенностям. Порядок работы с биометрическими данными строго регламентирован законодательством. Чтобы организация могла работать с персональными сведениями, она должна направить уведомление в Роскомнадзор в порядке, предусмотренном приказом Роскомнадзора от 30.05.2017 № 94.

Что означает передача личных биометрических данных государству

Владислав Архипов, старший советник юридической фирмы Denuo, директор Центра исследования проблем информационной безопасности и цифровой трансформации СПбГУ, о том, надо ли что-то с этим делать

Клиентам банков начали приходить уведомления о том, что их биометрические данные будут переданы в Единую биометрическую систему (ЕБС). Коротко о главном: банки (как и многие другие) теперь обязаны использовать ЕБС, если они осуществляют обработку биометрических персональных данных для целей идентификации и аутентификации в автоматическом режиме. Биометрические персональные данные в этом контексте — это сведения о лице и о голосе в особом формате. В то же время обработка биометрических персональных данных банками по-прежнему возможна только на основании согласия субъекта в письменной форме, предоставление таких данных банкам не является обязательной, и они не вправе отказать в обслуживании, если субъект не дает свое согласие или не предоставляет такие данные. Теперь немного поподробнее.

Выйти из полноэкранного режима

Развернуть на весь экран

Старший советник Denuo доктор юридических наук, профессор, директор Центра исследования проблем информационной безопасности и цифровой трансформации Санкт-Петербургского государственного университета Владислав Архипов

Понятие биометрических персональных данных и основные правила их обработки были закреплены в Федеральном законе от 27.07.2006 № 152 «О персональных данных» с момента его принятия в 2006 году. Биометрические персональные данные — это «сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных» (то есть нас с вами). Это понятие чуть уже, чем в некоторых других странах, где к биометрическим данным также относятся типовые особенности поведения, в том числе в цифровой среде. В банковских системах в отношениях с клиентами используются данные о лице и голосе.

Биометрические персональные данные по общему правилу могут обрабатываться только на основании письменного согласия субъекта — такое согласие содержит ряд обязательных реквизитов, включая паспортные данные. Без согласия обработка биометрических персональных данных может использоваться только в очень специфических случаях (например, в связи с осуществлением правосудия и исполнением судебных актов, в соответствии с законодательством о противодействии терроризму или о нотариате), банковские услуги к таким не относятся. Кроме того, как это следует из общих правил, согласие всегда можно отозвать. Оператор, правда, вправе определять разумный способ отзыва согласия и может предусмотреть способы установления личности того, кто согласие отзывает. Эти общие правила продолжают действовать. Также действовали и действуют отдельные подзаконные акты и методические документы в области информационной безопасности, учитывающие особенности биометрических персональных данных.

Долгое время какого-либо специального регулирования порядка обработки биометрических персональных данных не было. Коммерческие организации, в том числе банки, могли собирать и использовать биометрию на указанных общих основаниях, получая письменное согласие субъекта. Иными словами, если вас уведомили, что ваши биометрические персональные данные будут передаваться в ЕБС, это означает, что вы их когда-то сдавали и подписали согласие на обработку биометрических персональных данных. Хотя клиенты разных организаций не всегда получают полную информацию о том, что конкретно происходит с юридической точки зрения, по закону согласие на обработку персональных данных должно даваться свободно, своей волей и в своем интересе и быть конкретным, предметным, информированным, сознательным и однозначным. Если вы уверены, что совершенно точно не предоставляли биометрию и не давали согласие (даже мимоходом, не обратив на это должное внимание),— это повод обратиться в банк.

С принятием и вступлением в силу 572-ФЗ* от 29.12.2022 автоматическая обработка биометрии возможна только с использованием ЕБС. Установлен сложный и многоступенчатый переходный период. Та часть, которую мы сейчас наблюдаем, связана с положением, согласно которому соответствующие операторы, включая коммерческие банки, обязаны обеспечить размещение биометрических персональных данных в ЕБС в срок до 30 сентября 2023 года (ч. 2 ст. 26 572-ФЗ). Согласно пояснительной записке к тогда еще законопроекту он был подготовлен в связи с реализацией государственной политики в части повышения безопасности обработки биометрических персональных данных. Предполагается, что в отсутствие единых условий и инфраструктуры обработки и защиты биометрии государство не может проконтролировать уровень этой защиты, а потому ЕБС должна быть более надежной. Это соображение, разумеется, не лишено оснований. Некоторые эксперты в области информационной безопасности при этом отмечают, что в условиях, когда ЕБС будет обогащена огромным количеством биометрии, она станет более привлекательной целью для злоумышленников в информационной сфере, но и государство это тоже вполне осознает.

Как банкам, так и клиентам биометрия может быть интересна тем, что она повышает доступность и скорость оказания услуг, если все идет нормально. Банки несут меньше издержек и им проще оказывать услуги удаленно, а клиентам получать такие услуги становится легче. Например, Сбербанк отмечает, что такой способ идентификации особенно актуален для труднодоступных регионов, и с этим сложно поспорить.

С точки зрения как информационной безопасности, так и правового регулирования особенность биометрических персональных данных заключается в том, что если кто-либо получил возможность незаконно использовать достоверные и «оригинальные» биометрические данные, себя почти невозможно защитить именно с помощью изменения таких данных (в отличие, например, от ситуации с номером телефона, который можно поменять, хотя это может быть и неудобно). Казалось бы, это соображение однозначно подталкивает к тому, чтобы отказаться от использования биометрии, но ситуация далеко не так проста: это соображение из области теории, а его актуальность сильно зависит от защищенности исходных биометрических данных. Если эти данные безопасны, на что и нацелена вся концепция ЕБС, то использование биометрии, напротив, позволяет защититься от других и весьма многочисленных видов недобросовестных практик и преступлений, причем способов совершения мошенничества и прочих подобных деяний в областях, где требуется устанавливать личность, и без использования биометрии очень и очень много. Поэтому выбор в данной области лежит скорее в плоскости того, кто как для себя воспринимает риски на индивидуальном уровне с учетом ситуации: в области биометрии или в области классического способа получения банковских услуг, причем с учетом необходимости регулярно пользоваться дистанционными услугами, для которых биометрическая идентификация будет полезна.

Проверить данные согласия на биометрию можно на «Госуслугах», в МФЦ можно оформить полный запрет на сбор и обработку биометрии. Банки, развивающие биометрические сервисы, также внедряют соответствующие функции в свои личные кабинеты.

* Полное название закона — Федеральный закон от 29.12.2022 № 572 «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации».