Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Обработка биометрических данных несовершеннолетних лиц». Если у Вас нет времени на чтение или статья не полностью решает Вашу проблему, можете получить онлайн консультацию квалифицированного юриста в форме ниже.
Не относятся к биометрическим данным фото в личном деле сотрудника, подпись и почерк. Происходит это по тому, что их анализ направлен на подтверждение принадлежности человеку, который уже идентифицирован в информационной системе.
Как действовать, если нужно согласие на обработку персональных и биометрических данных
Озаботиться вопросом легализации процессов, связанных с использованием ПДн, на практике приходится всем ИП и предприятиям. Но не все понимают, что нужно подготовить целый пакет документов и осуществить ряд организационных действий, чтобы защитить личную информацию работников и клиентов. Сократить время и избежать ошибок удастся, доверившись специалистам нашего центра, которые досконально разбираются в законодательстве и могут оказать профессиональную помощь на любом этапе формирования и оптимизации СЗПДн.
Основные действия, которые необходимо выполнить для того, чтобы деятельность была организована в соответствии со статьями ФЗ-152 и подзаконными актами:
- составление текста политики обработки и защиты информации, а также согласия на обработку персональных биометрических данных;
- разработка внутренних распоряжений относительно заполнения и хранения документов (приказ об утверждении), назначения ответственных за защиту ПДн лиц;
- публикация на официальном сайте и/или в мобильном приложении, распечатка для предоставления по запросу проверяющих служб;
- включение в каждую онлайн-форму, где нужно вводить сведения о себе, ссылки на пользовательское соглашение и графу с подтверждением согласия на использование ПДн.
Общедоступные данные по-новому
С 1 марта 2021 года вместо общедоступных данных появилось понятие «персональные данные, разрешенные субъектом персональных данных для распространения» – сведения о субъекте, доступ к которым субъект предоставил неограниченному кругу лиц путем дачи согласия на обработку этих ПД, разрешенных им для распространения в порядке, предусмотренном Законом № 152-ФЗ (ст. 3 Закона № 152-ФЗ).
При этом под распространением персональных данных в новой редакции понимаются действия, направленные на их раскрытие неопределенному кругу лиц.
К сведению: в прежней редакции закона распространением назывались действия, направленные на передачу ПД определенному кругу лиц или на ознакомление с ПД неограниченным кругом лиц, в том числе обнародование в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к ПД каким-либо иным способом.
Таким образом, прежде чем разместить для неограниченного круга лиц (на сайте организации, в печатных изданиях, в рекламе и т. д.) персональные данные работника, нужно получить его согласие.
Хранение и защита биометрических данных
Согласно 152-ФЗ персональные сведенья могут храниться не дольше, чем этого требуют цели их обработки, после чего они должны быть удалены или обезличены. Храниться биометрия может в информационных системах (далее – ИС), либо же вне ИС на материальных носителях информации (далее – МНИ). К МНИ могут относиться флешки, диски и т. д. Важно указать, что бумажные носители не являются МНИ.
В случаи использования МНИ, к ним и к технологиям хранения должны применяться требования защиты. Данные требования приведены в Постановлении от 6 июля 2008 г. №512 (далее – П 512).
МНИ должны обеспечивать:
- невозможность НСД;
- идентификацию ИС, в которую была записана данная биометрия;
- доступ к данным для уполномоченных лиц;
- защиту от несанкционированного изменения, записи или дополнения.
Технологии хранения биометрии вне ИС должны обеспечивать:
- доступ к данным для уполномоченных лиц;
- применение электронной цифровой подписи или других технологий для обеспечения целостности и неизменности данных на МНИ;
- проверку наличия согласия субъекта на обработку биометрии.
Основной сферой, в которой актуально использование биометрических ПДн, является банковская сфера. В банке может быть развернута так называемая Единая биометрическая система (далее – ЕБС). Это совсем небольшой выделенный сегмент в организации, в котором происходит сбор, обработка и хранение биометрии. Все данные из ЕБС передаются в Единую систему идентификации и аутентификации (далее – ЕСИА).
Что такое биометрические данные
Не так давно такое понятие, как биометрические данные было известно только небольшой группе людей. Сегодня оно пребывает на общем слуху. Всем интересно, что это такое, и как персональные данные могут быть использованы. Биометрические данные – это перечень характеристик биологического и физиологического характера. Эти данные отличаются у каждого человека. Они индивидуальны и не повторяются даже у очень похожих внешне людей. Именно потому биометрический материал используется для установления личности человека.
На сегодня биометрия включает пять типов данных, которые может дать гражданин:
- Собираются отпечатки пальцев человека;
- Изображение лица;
- Записывают персональный голос;
- Делают сканирование радужки глаз;
- Фиксируют рисунок кровеносных сосудов на ладони и на пальце.
Биометрические данные граждан при изменении внешности
Внешность человека имеет свойство меняться в силу возраста, травм или операций. Если хотите, чтобы система исправно работала даже после таких трансформаций, персональные данные в ней нужно менять. Стандартный срок – раз в три года.
Внеурочно зарегистрироваться придется, если внешность изменилась сильно и обработкаперсональных данных невозможна. Например, после пластической операции, травмы. Если просто отрастили бороду – сбоя не возникнет. Также придется вносить обновленные данные, если сильно охрипли – система не считает изменившийся голос. Конечно, можно подождать пока голос не вернет свой привычный тембр, но если этого не происходит, придется идти в банк, подтверждать свою личность и новый голос.
Риски при нарушении требований к обработке персональных данных работников организации
В соответствии со ст. 13.14 КоАП РФ разглашение подобной информации (за исключением случаев, если такое разглашение влечет уголовную ответственность) лицом, получившим доступ к ней в связи с исполнением служебных или профессиональных обязанностей, влечет наложение административного штрафа:
- — на граждан — от 500 до 1 000 руб.;
- — на должностных лиц — от 4 000 до 5 000 руб.
Следовательно, если будет установлено, что разглашение персональных данных произошло по вине работника, ответственного за хранение, обработку и использование персональных данных
За нарушение законодательства в области персональных данных работодатель может быть привлечен к административной ответственности по ст. 13.11 КоАП РФ.
В частности, обработка персональных данных без письменного согласия работника (когда оно необходимо), если эти действия не содержат уголовно наказуемых деяний, влечет наложение штрафа (ч. 2 ст. 13.11 КоАП РФ):
- — на граждан — от 6 до 10 тыс. руб., повторное нарушение — от 10 до 20 тыс. руб.;
- — должностных лиц — от 20 до 40 тыс. руб., повторное нарушение — от 40 до 100 тыс. руб.;
- — юридических лиц — от 30 до 150 тыс. руб., повторное нарушение — от 300 до 500 тыс. руб.
Согласие пишется в произвольной форме или по шаблону, который разработан и утвержден внутри организации. При этом в бланке обязательно должны быть следующие данные:
- наименование компании-работодателя;
- место и дата составления документа;
- фамилия, имя, отчество работника, его паспортные данные и сведения о месте жительства.
Далее в основной части подробно указывается:
- каких именно персональных данных касается документ;
- в каких целях и что именно допустимо с ними делать;
- срок действия согласия и возможность его отзыва (хотя это итак гарантировано законодательством).
Обязательно следует поставить отметку о том, что согласие написано без принуждения и в добровольном порядке. После того этого под документом ставится подпись.
Как законно отказаться от биометрии?
Закон не вменяет в обязанности человека сдавать биометрические данные, поскольку это право.
Следовательно, лицо может просто сказать, что не хочет предоставлять информацию о своих биометрических данных и отказывается от этого.
Если тот или иной сотрудник, например, банка, будет настаивать, то можно попросить его назвать конкретную норму права, которая говорит об обязанности лица предоставлять банку свою биометрию. Сотрудник назвать такую норму не сможет и, скорее всего, прекратит всякие действия по настаиванию на предоставлении биометрии.
На форумах в интернете еще встречаются такие рассказы, когда на просьбу сдать свою биометрию, люди отвечают, скорее всего, в шутку, что им вера не позволяет сдавать биометрию и все просьбы и уговоры якобы прекращаются.
Принятие этого закона должно интенсифицировать (и будет интенсифицировать!) наполнение ЕБС. Но это — фактически принудительное направление данных без каких-либо дополнительных разрешений со стороны человека.
Конечно, государство обязывает банки (а именно они чаще всего и собирают биометрию) уведомлять граждан о передаче этой чувствительной информации в госсистему. Но, по большому счету, это лишает большую часть россиян свободно распоряжаться своими ПД.
Так как единственным исключением из установленных законом правил является запрет на передачу биометрии для тех, кто находится под государственной защитой, или если биометрия составляет государственную тайну (бывают и такие случаи).
Во всех остальных вариантах простому человеку останется только надеяться, что его ПД не утекут к злоумышленникам. В противном случае воспользовавшись технологиями дипфейка*, мошенники смогут производить практически любые операции от имени человека.
*Дипфейк — технология, которая позволяет лицо одного человека подменять другим при помощи алгоритмов машинного обучения. Также подобные технологии позволяют подделывать голос.
Организации и индивидуальные предприниматели, взаимодействуя с сотрудниками, получают доступ к их персональных данным. Полученные сведения хранятся в личных карточках, которые заводят на работников. Также подобные сведения содержатся в личных делах сотрудников, при условии их ведения работодателем.
Под персональными данными понимается любая информация, касающаяся конкретного работника и необходимая работодателю в рамках трудовых отношений с ним (п. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ).
По закону организация, получившая доступ к персданным, должна обеспечить их хранение и конфиденциальность. Обычно источником информации о себе является сам работник. Однако в некоторых случаях сведения о конкретном сотруднике могут быть запрошены у третьих лиц. В такой ситуации нужно получить письменное согласие сотрудника. Для этого компания должна проинформировать сотрудника (п. 3 ч. 1 ст. 86 ТК РФ):
- о целях получения данных и характере информации;
- источнике данных и способе получения;
- последствиях отказа от предоставления согласия на их получение.
Основные правила работы с персданными фиксируются в специальном внутреннем локальном акте – Положении о работе с персональными данными. Фотография работника к ним относится?
Что такое биометрия и для чего используются биометрические данные?
Биометрия — это способ измерения физических характеристик человека для проверки его личности. Они могут включать физиологические признаки, такие как отпечатки пальцев и глаза, или поведенческие характеристики, которые оценивают уникальное поведение и подсознательные движения человека. Для того, чтобы биометрические данные были полезными, они должны быть уникальными, постоянными и собираемыми. После измерения, информация сравнивается и сопоставляется в базе данных.
Каждый раз, когда вы разблокируете экран смартфона с помощью функции распознавания лиц, запрашиваете у голосового помощника прогноз погоды или прикладываете отпечаток пальца на на какое-либо устройство, вы используете биометрические данные. Вы можете использовать эту технологию каждый день для идентификации личности или для взаимодействия с личным устройством, но существует множество других способов использования биометрических данных.
Например, полиция может собирать ДНК и отпечатки пальцев на месте преступления или использовать видеонаблюдение для анализа походки или голоса подозреваемого. В медицине применяется сканирование сетчатки глаза или проводятся генетические тесты. И даже ваша подпись относится к биометрическим данным.
Процедура внесения сведений о лице требует соблюдения следующих параметров:
- информация должна в полной мере отображать личность человека;
- использование БАД позволяет идентифицировать гражданина.
Биофизические свойства индивида:
- отпечатки пальцев, в т. ч. ладоней;
- радужная сетчатка глаза;
- генетические анализы (ДНК);
- овал лица;
- нюансы строения тела;
- рост и вес;
- психический уровень здоровья.
Чтобы распознать конкретное лицо оператору необходимо получить больше одной поведенческих особенностей или индивидуальных физиологических черт.
В ПП № 722 от 30 июня 2018 г. приведен список информации об индивидуальных сведениях, которые допускается размещать в электронной базе:
- фотографии или видео с лицом человека;
- звук голоса, полученные через специальное устройство.
Условия, при которых фото- или видео- изображения относятся к биометрическим персональным данным
Роскомнадзор дал разъяснения по вопросам отнесения персональных данных к биометрическим и их обработки
В соответствии с ч. 1 ст. 11 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» (далее – Закон о персональных данных) к биометрическим персональным данным
относятся сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются для установления личности субъекта персональных данных.
К биометрическим персональным данным относятся: физиологические данные (дактилоскопические данные, радужная оболочка глаз, анализы ДНК, рост, вес и другие), а также иные физиологические или биологические характеристики человека, в том числе изображение человека (фотография и видеозапись).
Согласие на обработку биометрических персональных данных
Биометрические данные людей можно использовать в самых различных целях. По этой причине каждый гражданин России должен дать свое согласие. Как сказано в статье 9 и 11 Федерального закона России №152-ФЗ, БПД могут быть собраны только при согласии человека. Такие меры могут быть допустимы в местах, где биометрия, к примеру, используется для идентификации сотрудников компании в качестве пропуска.
Составляется заявление следующим образом:
- указать название компании, куда предоставляются БПД;
- указать свои контактные и паспортные данные;
- написать, что человек дает согласие на обработку персональных данных в соответствии со статьей 9 Федерального закона №152-ФЗ;
- для каких целей предоставляются БПД (если что-то не перечислено, значит человек запрещает использовать данные в этих целях);
- поставить дату и подпись.