Биометрические персональные данные и идентификация

Биометрические персональные данные нельзя называть разновидностью специальных категорий. Федеральный закон № 152-ФЗ устанавливает для этих групп разные определения и правила.

Статья 10 регулирует сведения о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья и интимной жизни. Статья 11 относится к сведениям, которые характеризуют физиологические и биологические особенности человека, позволяют установить его личность и используются оператором для такого установления.

Одни и те же сведения могут одновременно подпадать под несколько режимов. Тогда нельзя выбирать только один удобный режим.

Не каждое физиологическое сведение является биометрическим. Рост, цвет глаз, фотография, голосовая запись и рисунок вен могут характеризовать человека, но для статьи 11 важно фактическое использование оператором для установления личности. Если информация обрабатывается для медицинской оценки, иллюстрации, контроля качества связи или хранения документа, квалификация может отличаться от автоматического распознавания.

Разграничение влияет на форму согласия, допустимые исключения, технические требования, уведомление Роскомнадзора, договоры с поставщиками и порядок прекращения обработки. Ошибка на первом шаге приводит либо к недостаточным мерам, либо к необоснованному усложнению обычного процесса.

Название продукта «Face ID», «голосовая аналитика» или «умный пропуск» не определяет правовой режим. Оператор последовательно отвечает на вопросы о данных, цели, технологии и участниках.

Ответы подтверждаются техническим описанием, схемой потоков, договором и настройками системы, а не рекламным названием функции.

В одном проекте могут одновременно существовать исходная фотография, видеопоток, запись голоса, выделенные признаки, математический шаблон, результат сравнения и журнал событий. Их нельзя описывать одной строкой «храним биометрию».

Исходный файл показывает изображение или содержит звук. Алгоритм может выделять набор признаков и формировать шаблон для сравнения. Система затем сопоставляет шаблон с эталоном и возвращает результат. Иногда исходный файл удаляется, но шаблон и журналы остаются; иногда поставщик хранит и файл, и производные данные.

Для каждого объекта устанавливают:

Математическое преобразование не означает автоматического обезличивания. Если шаблон связан с учётной записью, используется для распознавания или может быть сопоставлен с конкретным человеком, оператор не должен объявлять его «неперсональными данными» только из-за невозможности увидеть лицо без специального программного обеспечения.

Решающим является не наличие лица или голоса, а действие оператора. Одинаковая фотография может выполнять разные функции и получать разную юридическую квалификацию.

Фотография в личном деле может использоваться для оформления кадрового документа. Изображение на пропуске может помогать сотруднику охраны визуально сопоставить предъявителя с документом. Камера может фиксировать происшествие без автоматического поиска человека. В другом проекте алгоритм извлекает признаки и сравнивает их с базой, чтобы установить личность или подтвердить заявленную учётную запись.

Нужно различать идентификацию и аутентификацию. Идентификация отвечает на вопрос, кто человек; аутентификация подтверждает, что обратившийся является тем, за кого себя выдаёт. Практические названия функций могут смешивать эти действия, поэтому юридическое описание должно опираться на фактический алгоритм.

Для каждой цели устанавливают необходимый состав сведений и проверяют менее вмешивающийся способ. Общая формула «безопасность и улучшение сервиса» этого не заменяет.

Если поставщик намерен применять изображения или шаблоны для собственных исследований, обучения модели или развития продукта, это не следует автоматически включать в первоначальную цель доступа. Самостоятельная цель поставщика меняет договорную и правовую оценку.

Часть 1 статьи 11 Федерального закона № 152-ФЗ устанавливает письменное согласие как общее правило обработки биометрических персональных данных. Исключения перечислены федеральным законом и не могут расширяться внутренним приказом или договором с поставщиком.

Сначала оператор проверяет, действительно ли процесс относится к биометрии. Затем определяет, есть ли специальное законное исключение для конкретной цели. Нельзя ссылаться на абстрактную безопасность, удобство или корпоративный стандарт, если применимая норма не разрешает обработку без письменного согласия.

Письменное согласие должно содержать сведения, предусмотренные законом. Применительно к проекту в нём, в частности, конкретизируют оператора, цель, состав биометрических персональных данных, действия с ними, срок действия согласия, порядок его отзыва и лиц, действующих по поручению оператора. Если создаётся шаблон, выполняется сравнение, передаётся результат или сохраняется журнал, эти операции нельзя скрывать за общей фразой «обработка фотографии».

Добровольность оценивается по реальным последствиям отказа. Предоставление альтернативы особенно важно, когда человек зависит от организации либо не может получить товар, услугу или доступ иным разумным способом. Подписание документа под угрозой фактического отказа не снимает риск оспаривания.

Отзыв согласия не всегда автоматически прекращает все операции: необходимо проверить наличие другого законного основания и требования к сохранению сведений. Но оператор не вправе продолжать биометрическую функцию только потому, что технически сложно удалить шаблон из системы поставщика. Договор и архитектура должны позволять выполнить прекращение обработки.

Федеральный закон № 572-ФЗ регулирует предусмотренные им отношения при идентификации и аутентификации физических лиц с использованием биометрических персональных данных. Его нельзя механически применять к любому фотоархиву, но нельзя исключать только потому, что система называется внутренней или локальной.

Проверка начинается с фактической функции. Если организация лишь хранит изображение документа или ведёт видеозапись события без установления личности по физиологическим признакам, само наличие файла ещё не доказывает применение всей системы закона № 572-ФЗ. Если же алгоритм идентифицирует или аутентифицирует человека, нужно проверить допустимую архитектуру, тип информационной системы, роли участников и подзаконные требования.

Единая биометрическая система — государственная информационная система с установленными законом правилами размещения и использования биометрических данных. Однако вывод «любое распознавание возможно только через ЕБС» без анализа конкретной сферы и предусмотренных законом моделей также слишком груб. Закон содержит разные правила для Единой биометрической системы, иных государственных информационных систем и предусмотренных им организаций и систем.

Для проекта устанавливают:

1. относится ли действие к идентификации или аутентификации;

2. какие виды биометрических данных используются;

3. где размещаются исходные данные и шаблоны;

4. к какому виду системы относится решение;

5. кто собирает, размещает, использует и получает результат;

6. какие согласия и уведомления требуются;

7. существует ли запрет ставить обслуживание в зависимость от биометрии;

8. какой альтернативный способ должен быть доступен;

9. какие требования к защите и подтверждению соответствия применимы.

Подзаконные требования проверяют на дату запуска, а техническое соответствие системы подтверждают специалисты.

Биометрический проход работников находится на стыке законодательства о персональных данных, трудового права и регулирования идентификации. Одного согласия в кадровом комплекте недостаточно для вывода о законности проекта.

Работодатель определяет конкретную трудовую цель: доступ в опасную зону, защита объекта, предотвращение передачи пропуска или иной измеримый риск. Затем оценивает, необходима ли биометрия и почему карта, код, сотрудник охраны либо другой способ не решают задачу с меньшим вмешательством.

Положение работника влияет на оценку добровольности. Если отказ означает невозможность попасть на рабочее место, подписанное согласие может не отражать свободного выбора. Поэтому до запуска проверяют правовое основание и реальную альтернативу, а не ограничиваются формой «не возражаю».

Нельзя автоматически переносить на трудовые отношения каждое правило, сформулированное для продажи товара или оказания услуги потребителю. Но и внутренний статус системы не освобождает работодателя от статьи 11 и проверки Федерального закона № 572-ФЗ. Конкретный вывод зависит от сферы деятельности, цели, способа идентификации, системы и последствий отказа.

Процедура должна учитывать техническую ошибку: ложное несовпадение, травму, изменение внешности, недоступность оборудования и отказ сети. Работник не должен лишаться доступа и возможности исполнить трудовую функцию только из-за сбоя алгоритма без установленного порядка ручной проверки.

Связанные вопросы видеонаблюдения, журналов доступа, ознакомления с локальными документами и хранения событий подробно рассматриваются в отдельном материале о персональных данных работников.

Биометрический проект проверяется на всём жизненном цикле: сбор, создание шаблона, сравнение, использование результата, хранение, передачу, прекращение и подтверждённое уничтожение.

Срок хранения определяется целью и применимыми нормами. Нельзя устанавливать бессрочное хранение только потому, что шаблон занимает мало места. Для пропуска срок связан с доступом, для конкретной услуги — с отношением с субъектом, для расследования события — с отдельной целью.

Поставщик системы не должен получать неопределённое право использовать данные. В договоре фиксируют операции, местонахождение, привлечённых поставщиком лиц, доступ поддержки, требования защиты, инциденты, возврат или уничтожение, подтверждение исполнения и запрет самостоятельного обучения модели без отдельного основания.

При передаче за рубеж проверяются фактический получатель и статья 12 Федерального закона № 152-ФЗ. Иностранное происхождение алгоритма само по себе не доказывает передачу, а локальный сервер не исключает удалённый доступ разработчика.

Оператор устанавливает действия при отзыве согласия, прекращении договора, увольнении, смене поставщика и закрытии системы. Нужно удалить активный эталон, прекратить сравнение, закрыть доступ и решить судьбу резервных копий и журналов. Приказ Роскомнадзора № 179 применяется к подтверждению уничтожения в предусмотренных случаях.

Техническая защита определяется по статье 19 Федерального закона № 152-ФЗ, постановлению Правительства № 1119 и специальным требованиям конкретной системы. Юрист не заменяет специалиста по информационной безопасности: он устанавливает обязанности, договоры и доказательства, а профильный специалист проектирует и проверяет технические меры.