Что такое биометрические персональные данные

Что нужно знать о биометрических персональных данных

Понятие биометрических данных. Какими законами регулируется обращение с такой информацией

Биометрия — это уникальные физические или поведенческие характеристики, которые позволяют отличать людей друг от друга.

На законодательном уровне в России порядок обращения с биометрическими персональными данными определен:

1. Законом «О персональных данных» от 27.07.2006 № 152-ФЗ.
2. Законом «Об информации, информационных технологиях . » от 27.07.2006 № 149-ФЗ.
3. Постановлением Правительства РФ «Об определении состава сведений, размещаемых в единой информационной системе персональных данных. » от 30.06.2018 № 772.
4. Приказом Минкомсвязи России «Об утверждении порядка обработки. » от 25.06.2018 № 321.

Президиумом Совета при Президенте РФ по стратегическому развитию и национальным проектам протоколом от 24.12.2018 № 16 был утвержден паспорт национальной программы «Цифровая экономика РФ», в соответствии с которым создается Единая биометрическая система. С 01.07.2018 сбор биофизических параметров своих клиентов начали крупные банковские учреждения, реализуя положения закона «О внесении изменений в отдельные законодательные акты РФ» от 31.12.2017 № 482-ФЗ. Таким образом, биометрические данные уже используются банками для идентификации клиентов по голосу и видео.

Где могут быть использованы физические сведения о гражданине

Биофизические информационные материалы могут понадобиться в различных сферах жизни, где требуется распознавание человека. Успешное применение биофизических особенностей граждан уже нашло себя в таких направлениях, как:

• выдача биометрических загранпаспортов;
• оформление виз в упрощенном порядке с применением биометрического распознавания;
• дактилоскопическая регистрация иностранцев и граждан России;
• идентификация в пропускных системах офисов и компьютерных системах, смартфонах и т. д.

Идентификация по биометрическим данным гораздо надежнее, чем визуальная. Например, сотрудник банка не сумеет отличить друг от друга близнецов, а биометрический анализ их голоса и изображения с большой долей вероятности сможет.

Что относится к биометрическим материалам

Отнесение информации к биофизическим данным требует соблюдения следующих условий:

• сведения должны отображать информацию о субъекте;
• применение указанной информации позволяет распознать человека.

К биофизическим индивидуальным свойствам относятся:

• отпечатки пальцев и ладоней;
• радужка оболочки глаз;
• анализы ДНК;
• образ лица;
• особенности строения тела;
• состояние психического здоровья;
• рост;
• вес.

Для распознавания гражданина необходима одна или больше поведенческих или физических особенностей. В постановлении № 722 к сведениям, подлежащим размещению в общей информационной системе индивидуальных данных, относятся:

• фото- или видеоизображение лица гражданина;
• данные голоса, полученные при помощи звукозаписывающих устройств.

По каким правилам собираются, обрабатываются и хранятся данные

Работа с индивидуальными сведениями граждан предполагает:

• сбор;
• хранение;
• использование;
• обновление;
• защиту информации.

Эти процедуры регулирует приказ Минкомсвязи № 321.

Работа с персональными данными, в том числе биометрическими, осуществляется в следующем порядке:

1. Уведомление оператором по сбору информации Роскомнадзора о том, что биометрические сведения будут собираться. Методические рекомендации по оповещению закреплены в приказе Роскомнадзора от 30.05.2017 № 94. Уведомление не требуется, если (п. 2 ст. 22 закона № 152-ФЗ):

• сбор проводится в рамках трудового законодательства;
• информация используется только для заключения сделки, стороной которой является субъект персональных сведений, и никуда не передается;
• сведения ограничены Ф. И. О.;
• в иных перечисленных в законе случаях.

1. Получение письменного согласия субъекта персональной информации на сбор данных о нем.

Образец согласия на обработку персональных биометрических данных привели эксперты КонсультантПлюс. Получите пробный доступ к системе бесплатно и переходите к документу.

Без согласия информация может собираться в рамках (п. 2 ст. 11 закона № 152-ФЗ):

• международных договоров о реадмиссии;
• судопроизводства;
• исполнения судебных решений;
• обязательной дактилоскопической регистрации.

1. Сбор сведений. Информацию должен получать уполномоченный сотрудник при личном присутствии человека. При этом создается биометрический шаблон, который подписывается электронной подписью и размещается в единой информационной системе.
2. Хранение персональных биометрических шаблонов осуществляется не менее чем 50 лет со дня размещения в системе.

Хранение и защита идентификационных сведений

Защита биометрических персональных данных предполагает соблюдение оператором данных следующих правил (п.8 приказа № 321):

• сбор сведений должны осуществлять уполномоченные сотрудники, обеспеченные ключами простой электронной подписи;
• ключи электронных подписей хранятся таким образом, чтобы исключить несанкционированный доступ к ним и избежать незаконного изменения, добавления, удаления информации;
• за передачу ключей электронной подписи третьим лицам либо необеспечение их конфиденциальности предусмотрена ответственность.

Конфиденциальность доступной информации должны хранить сотрудники, как собирающие биометрические данные, так и готовящие и выдающие ключи электронных подписей.

Дополнительно банковские учреждения должны (пп. 31, 33 Порядка, утв. приказом № 321):

• информировать Банк России об обнаружении случаев нарушения правил защиты информационных материалов при работе с ними в срок не позже следующего рабочего дня с момента выявления такого факта;
• ежегодно оценивать безопасность технической защиты информации, привлекая специализированные организации.

Итоги

Таким образом, работа с биометрическим материалом позволяет идентифицировать людей по их голосу, фото, видео и другим индивидуальным особенностям. Порядок работы с биометрическими данными строго регламентирован законодательством. Чтобы организация могла работать с персональными сведениями, она должна направить уведомление в Роскомнадзор в порядке, предусмотренном приказом Роскомнадзора от 30.05.2017 № 94.

Биометрические персональные данные: закон, что к ним относится

С развитием IT-технологий возникла потребность внесения поправок в действующие законы. В частности изменения затронули идентификационные особенности граждан, использующиеся для разных целей. Основное волнение у людей вызывает защита биометрических персональных данных.

Что такое анализ персональных сведений?

Под обработкой биометрических персональных данных понимается проведение сравнительного анализа особенной субъекта. Процедура проводится оператором для дальнейшего применения в различных процедурах.

Кроме того, операции позволяют выявлять степень причастности лица к определенному действию, событию или преступлению. Ярким примером сбора такой информации является внесение сведений в единую базу предприятия для пропуска гражданина на частную территорию.

Расшифровка понятия биометрических данных

В ФЗ № 152 от 2006 года дано определение, что представляют собой биометрические персональные данные по закону. К такой информации относятся любые сведения, которые позволяют провести идентификацию человека. Другими словами, это биологические и физиологические отличия, согласно которым устанавливается личность субъекта.

Список БПД

Процедура внесения сведений о лице требует соблюдения следующих параметров:

• информация должна в полной мере отображать личность человека;
• использование БАД позволяет идентифицировать гражданина.

Биофизические свойства индивида:

• отпечатки пальцев, в т. ч. ладоней;
• радужная сетчатка глаза;
• генетические анализы (ДНК);
• овал лица;
• нюансы строения тела;
• рост и вес;
• психический уровень здоровья.

Чтобы распознать конкретное лицо оператору необходимо получить больше одной поведенческих особенностей или индивидуальных физиологических черт.

В ПП № 722 от 30 июня 2018 г. приведен список информации об индивидуальных сведениях, которые допускается размещать в электронной базе:

• фотографии или видео с лицом человека;
• звук голоса, полученные через специальное устройство.

Что не относится в категорию БПД?

Не относятся к биометрическим персональным данным работников и других граждан следующие сведения:

1. Фотоизображение, фигурирующее в личном деле сотрудника предприятия.
2. Подпись должностного лица, установление которой в договорах и соглашениях является обязательным.
3. Почерк человека. В этот пункт также включены особенности письма, анализируемые в процессе почерковедческой экспертизы.
4. Снимки с рентгена и флюорографии, а также другая информация, содержащаяся в медицинской карте пациента. При этом неважно, как она сформирована — на бумажном носителе или в электронном варианте.
5. Фото- и видеоматериалы, сделанные в общественных местах или на частной территории.

Передача и обработка указанной информации допускается без согласия гражданина, если произошел запрос от следственного комитета. В этом случае использование БПД не является правонарушением.

Классификация

Биометрические персональные данные и что к ним относится:

• отпечатки пальцев;
• радужная сетчатка органов зрения;
• анализы в формате ДНК;
• фото гражданина, в т. ч. в электронном варианте;
• рост и вес.

Области использования физических сведений о гражданине

Допускается обработка БПД при наличии письменного согласия субъекта. Исключительные случаи представлены следующими ситуациями:

1. Для реализации международных соглашений РФ о реадмиссии.
2. В рамках судебного производства и исполнения постановлений.
3. При возникновении обстоятельств, предусмотренных в законе:

• оборона;
• безопасность;
• антитеррористические мероприятия;
• против коррупционной составляющей;
• для розыскных мероприятий;
• госслужба;
• в рамках уголовно-исполнительного процесса;
• для въезда и выезда из страны;
• другое.

Правила сбора, обработки и хранения

Под особенностями обработки биометрических персональных данных подразумевается сбор, хранение и использование информации для идентификации граждан. Кроме того, в законе существуют положения о необходимости их обновления и защите.

Порядок обработки БДП закреплен в ПП № 722 и предписывает оператору действовать по следующему регламенту:

1. Оператор направляет извещение в Роскомнадзор о предстоящем сборе персональных сведений.

Направлять уведомление, согласно ФЗ № 152, не требуется в следующих ситуациях:

• если получение информации осуществляется на основании положений ТК России;
• когда сведения предполагается использовать для заключения договора, но впоследствии БПД не будет передаваться;
• в случае, когда в сборе фигурирует только именной формуляр;
• в других ситуациях.

Методичка о порядке сбора и обработки БПД установлена в Приказе № 94 от 30 мая 17 года надзорного учреждения.

1. Получить от пользователя или гражданина согласие в письменном формате для последующего сбора, обработки и хранения. В электронном формате, например, запрос на согласие производится в автоматическом порядке. Ситуации, в которых не требуется делать запрос у человека, освещены в статье № 11 ФЗ № 152.
2. Сбором сведений должен заниматься уполномоченный работник, т. е. оператор, в присутствии гражданина. В процессе формируется биометрический шаблон, который визируется электронно-цифровой подписью. Впоследствии форма публикуется в единой базе.

Срок хранения биометрических персональных данных составляет минимум 50 лет с момента занесения в систему.

Защита идентификационных сведений

Согласно пункту № 8 Приказа № 321 для защиты БПД оператор обязан придерживаться таких правил, как:

1. Подготовка материалов осуществляется уполномоченным должностным лицом, которое обеспечено электронно-цифровой подписью.
2. Хранение ключей проводится так, чтобы исключить незаконное использования в целях предотвратить внесение неправомочных корректировок, добавления, обновления или ликвидации информации.
3. При передаче третьей стороне цифровой подписи, а также нарушение конфиденциальности, влечет к вменению ответственности по УК России.

Защита секретности полученных материалов осуществляется сотрудниками, которые ответственны за подготовку, хранение и выдачу электронно-цифровых ключей.

Идентификации личности. Биометрические персональные данные и что это такое?

Если провести случайный опрос среди населения о том, что из себя представляют персональные биометрические данные и что к ним относится, каков их перечень, наверняка, многие придут в замешательство и не смогут ответить что-то внятное.

А между тем, в современном мире уже достаточно широко практикуется сбор и обработка БПД.
И очень скоро это станет такой же обыденностью, как сфотографироваться на паспорт или идентифицировать того или иного человека по отпечаткам пальцев (что тоже является одним из параметров биометрики).

Что это такое?

Персональные биометрические данные — это уникальные и универсальные характеристики человеческой личности, которые не изменяются на протяжении всей жизни (например, ДНК, отпечатки пальцев или рисунок радужной оболочки глаза). Эти данные необходимы, прежде всего, для распознавания личности и обеспечения всеобщей безопасности.

Идентификации личности

Как поясняет Роскомнадзор, для того, чтобы личные данные человека считались биометрическими, должны соблюдаться следующие условия:

1. В данных должны отображаться физиологические и биологические особенности субъекта.
2. Используя эту информацию, можно с лёгкостью распознать личность человека.
3. Для установления личности, обработкой данных должен заниматься оператор.

Эти три фактора должны осуществляться одновременно.

Например, результаты анализов или рентгеновские снимки — не биометрические данные.
А вот когда они будут переданы следствию, тогда они будут таковыми являться.
В лице оператора выступают только государственные структуры.

Что такое анализ сведений?

Обработка — это сравнительный анализ индивидуальных физиологических и биологических особенностей того или иного субъекта оператором, и использование этих данных в различных следственных операциях.

А также с целью выявления причастности рассматриваемого лица к какому-либо событию (преступлению, случаю).

Или для внесения биометрических параметров в общую базу данных, к примеру, для пропуска человека на какую-то охраняемую территорию.

БПД могут обрабатываться, в большинстве случаев, только по согласию субъекта, которое должно быть оформлено в письменном виде (или в электронном).

Согласие лица не требуется в исключительных случаях.

• при осуществлении правосудия и исполнении судебных актов;
• в случае обороны и сохранения всеобщей безопасности;
• в случае, когда требуется предотвратить террористическую операцию;
• в оперативно-розыскной деятельности;
• в борьбе с коррупцией и др.

Что может быть БПД?

К БПД относятся:

• дактилоскопические данные (отпечатки пальцев);
• радужка глаза;
• ДНК-анализы;
• фотография человека (в том числе, на электронном носителе), используемая для прохода на какую-либо территорию;
• параметры роста и веса.

Что не относится?

К БПД не относятся:

1. Анализы крови, ДНК и другие медицинские исследования, если они не используются оператором для установления личности субъекта (о сборе и обработке личных сведений в медицинском учреждении мы рассказывали тут).
2. Фотография в личном деле работника (о персональных данных работника читайте тут).
3. Почерк, (в т.ч. используемый для проведения почерковедческой экспертизы).
4. Копии разворота паспорта (2 и 3 страницы) в случае, если они необходимы для заключения какого-либо коммерческого договора.
5. Видеоматериалы (например, снятые в публичном месте).

Суть в том, что одни используются операторами (следственными органами и др.) для идентификации личности, а другие нет.

Подробную информацию о том, что относится и не относится к персональным данным, вы найдете тут.

Как они классифицируются?

Биометрические данные условно подразделяются на две основные группы:

1. Данные физиологического характера, которые касаются каких-то особенностей тела (отпечатки пальцев, скан руки, ДНК-анализ, рисунок радужки глаза, голос, запах человека, распознавание лица).
2. Поведенческие факторы, характеризующие поведение человека в тех или иных ситуациях (условиях). Например: речь, походка, эмоциональная реакция и др.

Где используются?

Биометрические данные используются в следующих случаях:

• для распознавания черт преступника и поиска его местонахождения;
• для предотвращения террористических операций;
• для розыска пропавших лиц;
• для помощи следственным органам в раскрытии какого-либо дела;
• для идентификации сотрудников организации и пропуска их на рабочее место.

Согласие — кем, когда и как составляется?

Биометрические данные могут использоваться для самых разнообразных целей, поэтому на их обработку обязательно берется согласие.

Например, при устройстве в какую-либо организацию, где биометрические параметры необходимы для сотрудничества, для пропуска на предприятие и т.д.

Согласие на обработку БПД можно составить по следующему образцу:

1. В правом верхнем углу указываем наименование организации, куда будут предоставлены личные данные и, если требуется, ФИО человека, на имя которого составляется документ (допустим, директору).
2. По центру прописываем: «Согласие на обработку моих биометрических персональных данных».
3. Далее: Я, (указываем свои ФИО), прописанный(ая) по адресу (свой полный адрес).
4. Ниже, необходимо указать свои паспортные данные.
5. Прописываем: На основании ст.9 ФЗ №152, даю согласие на обработку в (название организации), располагающейся (адрес предприятия) следующих моих БПД (здесь нужно перечислить те данные, которые будут предоставлены в обработку: анализы ДНК, рисунок радужки глаза и др.).
6. Перечисляем те цели, в которых будут использованы БПД (например, для допуска к секретной информации).
7. Указываем период (дату: число, месяц, год) действия соглашения.
8. Ставим подпись и дату заполнения документа.

• Скачать бланк согласия на обработку персональных данных
• Скачать образец согласия на обработку персональных данных

По мере технологического развития общества, принципы биометрии будут всё больше внедряться в различные сферы жизни. Так, уже сейчас в странах Европы (и частично в России) используются биометрические паспорта. По мнению учёных, использование подобных технологий позволит нам подняться на более качественный уровень существования.

Обработка биометрических персональных данных: что нужно знать

Если раньше биометрические данные в работе были необходимы только сотрудникам ведомственных органов, то сейчас использовать биометрию начинают компании, не имеющие отношение к государственной службе. В связи с этим Роскомнадзор разъяснил операторам биометрических ПДн вопросы, вызывающие затруднения.

Что такое биометрические ПДн?

Согласно части 1 статьи 11 закона 152 «О персональных данных» биометрические данные – это сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных.

То есть, в контексте ФЗ причислять персональные сведения к биометрическим ПДн и обрабатывать их необходимо только в случаях, когда необходимо установить конкретную личность.

К биометрическим данным по закону относятся:

• дактилоскопические данные;
• цвет глаз;
• рост и вес;
• прикус;
• и др.

Также к биометрия — это фото- и видеоизображения человека, на которых можно установить его личность.

Законодательная база

Обрабатывать биометрические ПДн можно только с письменного согласия субъекта. Исключения прописаны в части 2 статьи 11 закона 152 . К ним относятся:

• реализация международных договоров России о реадмиссии;
• деятельность судов;
• проведение обязательной государственной дактилоскопической регистрации;
• вопросы обороны, безопасности, противодействия терроризму, безопасности транспорта, противодействия коррупции, оперативно-розыскной деятельности, госслужбы;
• исполнение уголовно-исполнительного законодательства РФ;
• нормы законодательства РФ о порядке выезда и въезда в страну;
• нормы законодательства о российском гражданстве.

Порядок работы с фото- и видеоизображением человека указан в статье 152.1 Гражданского кодекса РФ . Публикация и использования таких материалов разрешены только с согласия того, кто присутствует на фото или видео. После смерти человека, разрешение на использование его изображения могут дать представители: дети, супруг, родители. Согласно статье, согласие не требуется в случаях, когда:

• изображение используется в общественных, государственных и иных интересах;
• изображение получено на публичных мероприятиях или в местах свободного посещения (исключением является случай, когда используется изображение конкретного человека);
• осуществлялась платная фото- или видеосъемка.

Суть поправок в том, что после личной идентификации информация о человеке с его согласия вносится в единую биометрическую систему и единую систему идентификации и аутентификации (ЕСИА). Осуществлять эту процедуру могут только организации, соответствующие критериям Банка России. Практика позволяет человеку, который был идентифицирован, получать некоторые виды услуг банка без личного присутствия.

Фото и видео

Если изображение человека на фотографии используется для установления его личности, то его обработка должна осуществляться в соответствии со статьей 11 152-ФЗ «О персональных данных». Под это определение попадают фотографии человека в загранпаспорте и на пропусках, разрешающих вход на охраняемую территорию. Случаи же, когда документы, удостоверяющие личность человека, сканируют для подтверждения действий, а не для идентификации, обработкой биометрических ПДн не считаются.

Разрешение человека необходимо, когда его изображение используется в рекламных целях. И если он посчитает, что распространение информации с его фото нанесло ему моральный ущерб или может привести к угрозе жизни или здоровью, распространение рекламы необходимо прекратить.

В ситуациях, когда видеонаблюдение ведется в рабочих помещениях, согласно статье 74 Трудового кодекса РФ , сотрудники должны быть поставлены в известность и подтвердить это в подписью в документе. Посетители таких мест должны быть уведомлены о ведении съемки.

Осуществлять видеонаблюдение можно только для конкретных целей, которые должны быть обусловлены деятельностью компании, для повышения качества услуг или продуктов и обеспечения прав клиентов. Каждая организация, которая ведет видеонаблюдение, должна разработать порядок и сроки хранения записей, определить ответственного за систему видеонаблюдения сотрудника.

Дактилоскопические данные

Учитывая, что особенности строения папиллярных узоров пальцев преобразуются в цифровую форму и размещаются в базах данных в виде информационного шаблона, они считаются биометрическими ПДн. Это значит, что обработка данных должна осуществляться согласно требованиям статьи 11 закона «О персональных данных» и 128-ФЗ «О государственной дактилоскопической регистрации в Российской Федерации» .

Что не является биометрическими ПДн?

Не относятся к биометрическим данным фото в личном деле сотрудника, подпись и почерк. Происходит это по тому, что их анализ направлен на подтверждение принадлежности человеку, который уже идентифицирован в информационной системе.

Также не причисляют к биометрическим ПДн флюорографические и рентгеновские снимки, которые находятся в историях болезней, потому что их используют для установления болезни, а не личности. Исключением являются случаи, когда снимки используются в рамках следствия.

Тот же принцип действует для видеоматериалов, снятых на охраняемой территории и в публичных местах. Пока они не служат для установления личности, биометрическими они не являются.