Любая организация или ИП, имеющие дело с персональными данными физических лиц, считаются т. н. операторами персональных данных. А сами физические лица – субъектами персональных данных.
Законодательство, устанавливающее требования к действиям операторов, постоянно развивается с целью повышения защиты персональных данных граждан. Разберемся с главными нововведениями в этой области, касающимися широкого круга операторов персональных данных.
Относится фотографическое изображение, содержащееся в личном деле работника, к биометрическим персональным данным?
В соответствии с частью 1 статьи 11 Федерального закона от 27.07.2006г. №152-ФЗ «О персональных данных» к биометрическим персональным данным относятся сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных.
Исходя из определения, установленного Федеральным законом от 27.07.2006г. №152-ФЗ «О персональных данных» к биометрическим персональным данным относится изображение человека (фотографическое изображение), которое позволяет установить его личность и используются оператором персональных данных для установления личности субъекта.
В соответствии со статьей 152.1 Гражданского кодекса Российской Федерации обнародование и дальнейшее использование изображения гражданина в том числе его фотографии допускаются только с согласия этого гражданина. После смерти гражданина его фотографическое изображение может использоваться только с согласия его законных представителей (супруги, дети, родители).
Позиция Роскомнадзора по фотографическому изображению, содержащееся в личном деле работника, следующая не является биометрическими персональными данными фотографическое изображение, содержащиеся в личном деле работника. Данное изображение не может рассматриваться как биометрические персональные данные, поскольку действия с использованием указанных данных направлены на подтверждение их принадлежности конкретному физическому лицу, чья личность уже определена и чьи персональные данные уже имеются в распоряжении оператора.
С учетом вышеизложенного фотографическое изображение, содержащееся в личном деле работника, не будет относится к биометрическим персональным данным.
В связи с поступившим обращением ведомство напомнило, что биометрическими персональными данными признаются сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность (ч. 1 ст. 11 Федерального закона от 27 июля 2006 г. № 152-ФЗ “О персональных данных”). По общему правилу возможность отнесения тех или иных сведений к биометрическим ПД определяется законодательством. В частности, это цифровая фотография лица владельца загранпаспорта нового поколения, записываемая на содержащийся в нем электронный носитель (п. 6 Перечня, утв. постановлением Правительства РФ от 4 марта 2010 г. № 125) (Письмо Роскомнадзора от 29 августа 2022 г. № 08-78032).
Требования к формату изображения лица, предназначенного для хранения в записи биометрических данных, установлены Национальным стандартом РФ ГОСТ Р ИСО/МЭК 19794-5-2013, утв. приказом Росстандарта от 6 сентября 2013 г. № 987-ст.
С учетом изложенного Роскомнадзор сообщает, что обработка фотографических изображений, которые отнесены к биометрическим ПД законодательным актом, должна осуществляться с письменного согласия субъекта, соответствующего установленным требованиям (ч. 4 ст. 9 Закона о персональных данных). В остальных случаях фотографии граждан могут обрабатываться с соблюдением общих условий, предъявляемых к обработке ПД (ст. 6 названного закона).
Напомним, что ранее ведомство уже давало разъяснения по поводу отнесения некоторых категорий сведений о физических лицах к биометрическим ПД. Например, в числе таковых назывались фотоизображения, содержащиеся в системах пропускного режима организаций, – в отличие от копий паспортов, снимаемых в связи с заключением договоров, фотографий в личных делах работников и т. п. случаев, когда идентификация личности не является непосредственной целью обработки ПД (см. разъяснения Роскомнадзора от 30 августа 2013 г.). Однако в конце прошлого года этот документ был признан утратившим актуальность.
Отметим также, что совсем недавно Закон о персональных данных был дополнен новой нормой, которая предусматривает, что предоставление биометрических ПД не может быть обязательным, за исключением прямо предусмотренных этим законом случаев. Гражданину не может быть отказано в обслуживании по той причине, что он не предоставил биометрические ПД или согласие на их обработку, если в соответствии с законом получение оператором такого согласия не является обязательным.
Роскомнадзор дал разъяснения по вопросам отнесения персональных данных к биометрическим и их обработки
В соответствии с ч. 1 ст. 11 Федерального закона от 27.07.2006 N 152-ФЗ “О персональных данных” (далее – Закон о персональных данных) к биометрическим персональным данным относятся сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются для установления личности субъекта персональных данных.
К биометрическим персональным данным относятся: физиологические данные (дактилоскопические данные, радужная оболочка глаз, анализы ДНК, рост, вес и другие), а также иные физиологические или биологические характеристики человека, в том числе изображение человека (фотография и видеозапись).
Обработка этих данных проводится в целях установления личности субъекта, а также с его письменного согласия, за исключением случаев, предусмотренных ч.2 ст 11 Закона о персональных данных.
Роскомнадзор приводит примеры, когда фото- и видео – изображения используют для установления личности, а именно:
1) цветное цифровое фотографическое изображение лица владельца документа, удостоверяющего личность, является биометрическими персональными данными владельца документа. Это регламентировано постановлением Правительства Российской Федерации от 4 марта 2010 г. N 125 .
2) фотографическое изображение и иные сведения, используемые для обеспечения однократного и/или многократного прохода на охраняемую территорию и установления личности гражданина, также относятся к биометрическим персональным данным.
К биометрическим персональным данным не относятся:
1) ксерокопии документа, удостоверяющего личность;
2) сканирование паспорта для подтверждения осуществления определенных действий конкретным лицом (например, заключение договора на оказание услуг, в том числе банковских, медицинских и т.п.) без проведения процедур идентификации (установления личности);
3) рентгеновские или флюорографические снимки, характеризующие физиологические и биологические особенности человека и находящиеся в истории болезни (медицинской карте) пациента (не имеет значения, бумажной или электронной);
4) материалы видеосъемки в публичных местах и на охраняемой территории. Посетители указанных публичных мест должны заранее предупреждаться администрацией о возможной фото-, видеосъемке соответствующими текстовыми и/или графическими предупреждениями. При соблюдении указанных условий согласие субъектов на проведение указанных мероприятии не требуется.
5) фотографическое изображение, содержащееся в личном деле работника, а также подпись лица, наличие которой в различных договорных отношениях является обязательным требованием, и почерк, в том числе анализируемый уполномоченными органами в рамках почерковедческой экспертизы. Все они не могут рассматриваться как биометрические персональные данные, поскольку действия с использованием указанных данных направлены на подтверждение их принадлежности конкретному физическому лицу, чья личность уже определена и чьи персональные данные уже имеются в распоряжении оператора.
С полным текстом можно ознакомиться у нас на сайте.
Федеральный закон от 27.07.2006 №152-ФЗ “О персональных данных” в ст.11 определяет, что биометрические персональные данные – это сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность.
Биометрические персональные данные используются оператором персональных данных для установления личности субъекта персональных данных.
Таким образом к биометрическим персональным данных относят сведения, характеризующие физиологические и биологические особенности человека, на основе которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных.
Биометрические персональные данные могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев:
Разъяснения Роскомнадзора “О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки” к биометрическим персональным данным относит физиологические данные (дактилоскопические данные, радужная оболочка глаз, анализы ДНК, рост, вес и другие), а также иные физиологические или биологические характеристики человека, в том числе изображение человека (фотография и видеозапись), которые позволяют установить его личность и используются оператором для установления личности субъекта.
Изображение гражданина
В соответствии со ст.152.1 Гражданского кодекса Российской Федерации обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с согласия этого гражданина. После смерти гражданина его изображение может использоваться только с согласия его законных представителей (супруги, дети, родители). Такое согласие не требуется в случаях, когда:
Биометрические данные в системе контроля управления доступа
Фотографические изображения сотрудников, посетителей государственных и муниципальных органов, предприятий (организации), содержащиеся в системе контроля управления доступа (СКУД) являются биометрическими персональными данными.
Данные изображения, характеризуют физиологические и биологические особенности человека, позволяющие установить, принадлежит ли данному лицу предъявляемый СКУД пропуск, на основе которых можно установить его личность путем сравнения фото с лицом предъявителя пропуска и указываемых владельцем пропуска фамилии, имени и отчества с указанными в СКУД, и эти данные используются оператором персональных данных для установления личности субъекта персональных данных в случае сомнения в том, что пропуск предъявляется его действительным владельцем.
Таким образом, фотографическое изображение и иные сведения, используемые для обеспечения однократного и/или многократного прохода на охраняемую территорию и установления личности гражданина, также относятся к биометрическим персональным данным.
Что не является обработкой биометрических персональных данных?
Не считается обработкой персональных данных сканирование и (или) ксерокопирование паспорта для подтверждения осуществления определенных действий конкретным лицом (например, заключение договора на оказание услуг, в том числе банковских, медицинских и т.п.) без проведения процедур идентификации (установления личности).
Что не является биометрическими персональными данными?
Биометрическими персональными данными не являются:
Но в случае их передачи по запросу субъектов оперативно-розыскной деятельности, органов следствия и дознания в рамках проводимых ими мероприятий указанные сведения становятся биометрическими персональными данными, поскольку используются операторами персональных данных (органами следствия и дознания) в целях установления личности конкретного лица.
Видеонаблюдение (видеосъемка)
Видеонаблюдение может осуществляться только для конкретных и заранее определенных целей. Эти цели должны быть обусловлены соответствующими нормативными правовыми актами, устанавливающими правовые основания видеонаблюдения (видеосъемки).
При ведении видеонаблюдения в рабочих помещениях оператора персональных данных работники должны быть уведомлены об изменении условий трудового договора по причинам, связанным с изменением организационных или технологических условий труда (введением видеонаблюдения), под роспись.
В целях установления дополнительных гарантий соблюдения прав как потребителей (пациентов, клиентов), а также самих работников и сотрудников должны быть приняты внутренние документы, которыми должны быть предусмотрены порядок и сроки хранения видеозаписей, а также ответственные лица, имеющие доступ к системе видеонаблюдения. Также необходимо предусмотреть возможность информирования о системе видеонаблюдения путем размещения информационных табличек (о возможной фото-, видеосъемке соответствующими текстовыми и/или графическими предупреждениями) в зонах видимости камер.
Почитайте дополнительно
В завершении порекомендуем два полезных документа, которые помогут проверить себя на предмет соблюдения законодательства об обработке персональных данных и подготовиться к потенциальным контрольным мероприятиям:
Положение о федеральном государственном контроле (надзоре) за обработкой персональных данных, утв. Постановлением Правительства РФ от 29.06.2021 № 1046 (ред. от 16.12.2021) – содержит описание видов и приемом контроля. Применяется в новой редакции с 01.03.2022;
Приказ Роскомнадзора от 24.12.2021 № 253 «Об утверждении формы проверочного листа (списка контрольных вопросов, ответы на которые свидетельствуют о соблюдении или несоблюдении контролируемым лицом обязательных требований), применяемого при осуществлении федерального государственного контроля (надзора) за обработкой персональных данных Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций и ее территориальными органами» – это, по сути, анкета с вопросами, которые будут задавать проверяющие. Можно пройти этот тест заранее и исправить огрехи. Документ применяется с 11.03.2022.
Уведомляйте Роскомнадзор
Роскомнадзор – это уполномоченный орган по защите прав субъектов персональных данных.
По общему правилу оператор до начала обработки персональных данных обязан уведомить Роскомнадзор о своем намерении ее осуществлять (п. 1 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» – далее Закон № 152-ФЗ).
От этой обязанности в ряде случаев оператор освобожден. Все исключения приведены в п. 2 ст. 22 Закона № 152-ФЗ, но список исключений с 01.09.2022 г. сильно сократился. Теперь в обязанности оператора входит уведомлением Роскомнадзора о намерении обрабатывать персданные:
Звучит туманно? Что же от вас требуется на практике?
Как только наступит начало сентября и соответствующие поправки в закон вступят в силу, подайте уведомление об обработке (намерении осуществлять обработку) вышеуказанных видов персональных данных. Сделать это можно через Портал персональных данных (pd.rkn.gov.ru), который курирует Роскомнадзор. На портале имеется форма уведомления для заполнения, но, честно говоря, сообразить, как именно заполнить ее строки, довольно трудно. Например, вы должны указать цель обработки персональных данных, описать меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных Законом № 152-ФЗ, и меры по обеспечению безопасности персональных данных при их обработке; указать срок или условие прекращения обработки персональных данных; привести сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации и др. Если не знаете с какой стороны подступиться, воспользуйтесь чужим опытом. На портале есть реестр операторов персональных данных. Сведения, содержащиеся в нем, являются общедоступными. Поэтому вы можете посмотреть реестровую запись, например, любой крупной компании и заполнить свое уведомление по образу и подобию.
Дополнительно можно изучить Приказ Роскомнадзора от 30.05.2017 № 94 «Об утверждении методических рекомендаций по уведомлению уполномоченного органа о начале обработки персональных данных и о внесении изменений в ранее представленные сведения», Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и Приказ ФСТЭК России от 18.02.2013 № 21 (ред. от 14.05.2020) «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
В дальнейшем нужно не забывать уведомлять Роскомнадзор об изменении ранее предоставленных сведений, а также в случае прекращения обработки персональных данных. Оператор обязан подать соответствующее информационное письмо, заявление в течение десяти рабочих дней с даты возникновения таких изменений или с даты прекращения обработки персональных данных (п. 7 ст. 22 Закона № 152-ФЗ). С 01.01.2023 сроки уведомления изменят: в случае изменения в ранее переданных сведениях об обработке персданных, оператор должен будет уведомить контролирующий орган не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения; в случае прекращения обработки персональных данных оператор обязан будет уведомить об этом Роскомнадзор в течение десяти рабочих дней с даты прекращения обработки персональных данных (п. 7 ст. 22 Закона № 152-ФЗ в ред. Федерального закона от 14.07.2022 № 266-ФЗ).
Нарушение рассмотренных требований влечет предупреждение или наложение административного штрафа на должностных лиц и ИП – 300-500 тыс. руб.; на юридических лиц – 3-5 тыс. руб. (ст. 19.7 КоАП РФ).
Обновите политику по обработке персданных
Изложено в предыдущем разделе – повод для бизнеса крепко задуматься о правомерности своих действий и освежить в памяти нормы ст. 5 Закона № 152-ФЗ, определяющей принципы обработки персданных. Юрлицо – оператор персональных данных обязано издать политику в отношении обработки персональных данных, соответствующие локальные акты, определяющие для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства, устранение последствий таких нарушений (п. 2 ст. 18.1 Закона № 152-ФЗ). В новую редакцию этого пункта включили оговорку: «такие документы и локальные акты не могут содержать положения, ограничивающие права субъектов персональных данных, а также возлагающие на операторов не предусмотренные законодательством Российской Федерации полномочия и обязанности». Кроме того, с помощью этих документов оператор обязан теперь разъяснить субъекту персданных не только обязательность предоставления их в силу требований закона, но и случаи, когда обязательно получение оператором согласия на обработку персональных данных, а также последствия отказа предоставить персональные данные и (или) дать согласие на их обработку (п. 2 ст. 18 Закона № 152-ФЗ в ред., действующей с 01.09.2022).
В связи с этим нужно обновить политику (политики) по обработке персданных, ЛНА, составить недостающие документы, опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных (в т. ч., на сайте организации) (п. 2 ст. 18.1 Закона № 152-ФЗ).
При составлении (переработке) документа, определяющего политику оператора в отношении обработки персональных данных помогут Рекомендации Роскомнадзора (rkn.gov.ru/personal-data/p908), а также чужой опыт: очень многие крупные компании публикуют такие документы на своих сайтах. Только не забудьте учесть новые требования, о которых мы рассказали!
Сообщайте об утечках
С 01.09.2022 операторам персданных вменили обязанность взаимодействовать с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных (п. 12 – 14 ст. 19 Закона № 152-ФЗ).
Сама эта система, название которой обычно обозначают аббревиатурой ГосСОПКА, создана во исполнении требований ст. 5 Федерального закона от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации.
Если вы обнаружите утечку персональных данных граждан в результате кибератаки на ваши информационные ресурсы, нужно будет в произвольной форме сообщить об инциденте по электронной почте в Национальный координационный центр по компьютерным инцидентам (НКЦКИ) (см. сайт Центра – cert.gov.ru).
Ответственность непосредственно за нарушение данного правила пока не предусмотрена, однако риски для оператора персональных данных зависят от последствий как самой утечки сведений по причине их недостаточной защищенности, так и безучастности к такой утечке.
Если же оператор обнаружил, что персональные данные были неправомерно или случайно переданы (предоставлены, распространены, к ним был получен доступ), что повлекло нарушение прав субъекта персданных, он обязан уведомить Роскомнадзор (п. 3.1 ст. 21 Закона № 152-ФЗ):
Эта обязанность также возникла с сентября 2022 г., за ее неисполнение придется отвечать по ст. 19.7 КоАП РФ.
Не отказывай в обслуживании
С учетом нового п. 3 ст. 11 Закона № 152-ФЗ предоставление биометрических персональных данных не может быть обязательным, за исключением случаев, когда обработка биометрических персональных данных может осуществляться без согласия субъекта персональных данных на основании законодательства (к бизнесу такие случаи отношения не имеют). В законе четко зафиксировали, что оператор не вправе отказывать гражданину в обслуживании в случае его отказа предоставить биометрические персональные данные.
Биометрические персональные данные представляют собой сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных (п. 1 ст. 11 Закона № 152-ФЗ).
Так, к этому виду персональных данных, в частности, относятся дактилоскопические данные, скан радужной оболочки глаз, анализы ДНК, данные о росте и весе, изображения человека (фотография и видеозапись), но только если с их помощью проводится идентификация субъекта персональных данных. Например, к биометрическим персданным относится фотографическое изображение физического лица, содержащееся в системе контроля управления доступом на предприятие, если оно используется для установления его личности при однократном или многократном входе, выходе, перемещении по территории (см. Письмо Минцифры России от 17.07.2020 № ОП-П24-070-19433). Но при этом с учетом разъяснений, данных Минкомсвязи в Письме от 28.08.2020 № ЛБ-С-074-24059, не относятся к биометрическим персональным данным:
Другой новый закон – от 01.05.2022 № 135-ФЗ – внес изменения в ст. 16 Закона РФ от 07.02.1992 № 2300-I «О защите прав потребителей». Статью дополнили п. 4, запрещающим продавцу (исполнителю, владельцу агрегатора) отказывать потребителю в заключении, исполнении, изменении или расторжении договора с ним в связи с отказом потребителя предоставить персональные данные, за исключением случаев, если обязанность предоставления таких данных предусмотрена законодательством Российской Федерации или непосредственно связана с исполнением договора с потребителем.
Потребитель вправе требовать, чтобы ему объяснили со ссылкой на закон причины, определяющие невозможность заключения, исполнения, изменения или расторжения договора без предоставления персональных данных. Если вопрос задан устно, ответ должны дать немедленно, если в письменной форме (в том числе в форме электронного документа), то в течение семи дней со дня обращения потребителя.
Эти новые положения распространили на отношения, возникшие из ранее заключенных договоров (п. 2 ст. 2 Федерального закона от 01.05.2022 № 135-ФЗ).
Заодно с 01.09.2022 ввели административное наказание за отказ в заключении, исполнении, изменении или расторжении договора с потребителем в связи с отказом потребителя предоставить персональные данные, за исключением случаев, если предоставление персональных данных является обязательным в соответствии с федеральными законами и принятыми в соответствии с ними иными НПА или непосредственно связано с исполнением договора с потребителем. За это ч. 7 ст. 14.8 КоАП РФ (с учетом ст. 2.4 КоАП РФ) установлен штраф на должностных лиц и ИП в размере 5-10 тыс. руб.; на юридических лиц – 30-50 тыс. руб.