Энциклопедия решений. Особенности обработки биометрических персональных данных (ноябрь 2024)

Особенности обработки биометрических персональных данных

Содержанием биометрических персональных данных являются физиологические и биологические особенности человека (отпечатки пальцев, изображение радужной оболочки глаза, ДНК, фото-, видеоизображение и т.п.), на основании которых можно установить его личность (ч. 1 ст. 11 Закона N 152-ФЗ), то есть это такие признаки лица, которые по общему правилу остаются неизменными на протяжении человеческой жизни, поскольку, по смыслу приведенной нормы, эти признаки только в том случае считаются биометрическими персональными данными, когда с их помощью можно установить личность субъекта. Так, Роскомнадзор указал, что не является биометрическими персональными данными фотографическое изображение, содержащиеся в личном деле работника, а также подпись лица, наличие которой в различных договорных отношениях является обязательным требованием, и почерк, в том числе анализируемый уполномоченными органами в рамках почерковедческой экспертизы (см.:разъяснения от 30.08.2013). Все они не могут рассматриваться как биометрические персональные данные, поскольку действия с использованием указанных данных направлены на подтверждение их принадлежности конкретному физическому лицу, чья личность уже определена и чьи персональные данные уже имеются в распоряжении оператора. Аналогичная позиция и с материалами видеосъемки в публичных местах и на охраняемой территории. До передачи их для установления личности снятого человека они не являются биометрическим персональными данными, обработка которых регулируется общими положениями Закона N 152-ФЗ, т.к. не используются оператором (владельцем видеокамеры или лицом, организовавшим ее эксплуатацию) для установления личности (см. апелляционное определение СК по гражданским делам Санкт-Петербургского городского суда от 15.11.2016 по делу N 33-22976/2016).

Однако указанные материалы, используемые органами, осуществляющими оперативно-разыскную деятельность, дознание и следствие в рамках проводимых мероприятий, являются биометрическими персональными данными, в случае, если целью их обработки является установление личности конкретного физического лица (см. разъяснения Роскомнадзора от 30.08.2013).

Надлежит также учитывать, что в контексте Закона N 152-ФЗ отнесение сведений персонального характера к биометрическим персональным данным и их последующая обработка должны рассматриваться исключительно в рамках проводимых оператором (и никем иным) мероприятий. То есть для применения специального режима обработки биометрических данных необходимо, чтобы все действия с ними осуществлялись непосредственно оператором. Например, если гражданин использует сканер своего отпечатка пальца для обеспечения доступа к защищенной информации в операционной системе, то обработки биометрических персональных данных оператором не происходит. Оператор в этом случае получает готовый отпечаток, который создан самим пользователем.

Обработка биометрических персональных данных будет считаться законной только при наличии письменного согласия субъекта (его законного представителя), отвечающего требованиям п. 4 ст. 9 Закона N 152-ФЗ, или оснований публично-правового характера, перечень которых приведен в ч. 2 ст. 11 Закона N 152-ФЗ. Если биометрические данные обрабатываются в частно-правовых целях, например, в рамках исполнения гражданско-правовых обязательств, то необходимо письменное согласие субъекта (законного представителя). Так, в одном из дел суд признал правомерным предписание территориального органа Роскомнадзора в отношении оператора, использующего фотографию посетителя плавательного бассейна без его письменного согласия, посчитав, что фотографические изображения, содержащиеся на документе "Пропуск" являются биометрическими персональными данными, поскольку характеризуют физиологические и биологические особенности человека, на основе которых можно установить его личность путем сравнения фото и содержащихся на документе фамилии, имени и отчества с лицом предъявителя пропуска. В этой связи был сделан правомерный вывод о том, что обработка указанных данных должна осуществляться с соблюдением требований ч. 1 ст. 11 Закона N 152-ФЗ, а именно, при наличии письменного согласия субъекта персональных данных (см. постановление АС Северо-Западного округа от 21.11.2017 N Ф07-11732/17).

В настоящее время широкое распространение получает внедрение частными юридическими лицами биометрических систем идентификации как своих работников, так и посетителей, клиентов для организации контроля, управления доступом, используя, к примеру в качестве идентификаторов особенности строения папиллярных узоров пальцев рук человека, рисунка вен, радужной оболочки глаза и т.п., Роскомнадзор по этому поводу указал, что обработка дактилоскопической информации в системе биометрической идентификации осуществляется путем преобразования изображения считываемой информации на промежуточной поверхности в цифровую форму и размещения полученных данных в базе данных в виде биометрического информационного шаблона.

Принимая во внимание, что целью обработки указанных сведений в системах биометрической идентификации является установление личности конкретного лица, а также тот факт, что данная информация, содержащаяся в шаблоне, характеризует физиологические и биологические особенности человека - субъекта персональных данных, то она относится к биометрическим персональным данным, обработка которых должна осуществляться в соответствии со ст. 11 Закона N 152-ФЗ, а также Федеральным законом от 25.07.1998 N 128-ФЗ "О государственной дактилоскопической регистрации в Российской Федерации".

Ввиду изложенного, во всех случаях, не подпадающих под указанные в ч. 2 ст. 11 Закона N 152-ФЗ, для использования дактилоскопической информации в системах идентификации, контроля и управления доступом необходимо получение от субъекта или его представителя согласия в письменной форме на обработку его биометрических персональных данных (см. разъяснения Роскомнадзора от 30.08.2013, решение Арбитражного суда Тюменской области от 08.06.2017 по делу N А70-2034/2017).

Тема

Условия обработки персональных данных

Формы документов

Согласие субъекта на обработку персональных данных