Биометрические персональные данные
Определение по закону. Статья 11 152-ФЗ: биометрические персональные данные — сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта.
В определении два условия, и они должны выполняться одновременно.
Ключ к термину — цель использования
Фотография сама по себе биометрией не является. Она становится биометрическими данными, когда оператор использует её именно для идентификации — например, сверяет лицо в турникете или в системе распознавания.
Отсюда практический вывод:
| Ситуация | Биометрия? |
|---|---|
| Фото сотрудника на странице «Команда» | Нет — цель не идентификация |
| Фото в пропускной системе с распознаванием лиц | Да |
| Скан паспорта в кадровом деле | Как правило нет — это документ, а не биометрический шаблон |
| Отпечаток пальца для входа в офис | Да |
| Голосовой слепок для подтверждения операции | Да |
| Видеонаблюдение без распознавания | Обычно нет, но зависит от настроенных функций |
Правила обработки
Общее правило статьи 11 — обработка биометрических данных допускается при наличии согласия в письменной форме. Исключения касаются в основном государственной сферы: правосудие, оборона, безопасность, исполнение законодательства о противодействии терроризму, оперативно-разыскная деятельность.
Отдельный слой требований появился с введением Единой биометрической системы: государственное регулирование определяет, в каких случаях биометрические данные размещаются в ЕБС и на каких условиях коммерческие организации вправе с ними работать. Прежде чем внедрять распознавание лиц в офисе или сервисе, эти правила нужно проверять отдельно — сфера меняется быстрее остальных разделов 152-ФЗ.
Риски
Биометрия не меняется. Утёкший пароль можно поменять, отпечаток пальца — нет, поэтому и требования к защите, и последствия утечки здесь строже:
- обработка повышает требуемый уровень защищённости ИСПДн;
- утечка биометрических данных попадает в верхнюю группу по размеру взыскания — таблица штрафов;
- нарушение порядка получения согласия — самостоятельный состав, см. новые штрафы за персональные данные.
Практический совет прежний: если задачу можно решить без биометрии — картой, кодом, приложением, — режим статьи 11 лучше не включать. Хаб по теме: Политика конфиденциальности.