Биометрические персональные данные — это особая категория: по ним можно установить, кто именно перед нами. Распознавание лица, отпечаток пальца, голос, радужка глаза — всё это биометрия. Для неё в 152-ФЗ предусмотрен отдельный, более строгий режим — статья 11, а с 2023 года — ещё и специальный закон № 572-ФЗ.
Что относится к биометрии
К биометрическим относятся данные, которые характеризуют физиологические и биологические особенности человека и используются для его идентификации. Чаще всего на сайтах и в сервисах встречаются:
- фотография, если она применяется для распознавания лица или проверки личности;
- запись голоса, по которой можно опознать человека;
- отпечатки пальцев, геометрия лица, радужка глаза.
Важно: сама по себе фотография — не всегда биометрия. Если фото размещено как изображение сотрудника в разделе «Команда» и не используется для идентификации, это не биометрические данные. Биометрией фото становится лишь тогда, когда по нему устанавливают личность.
Особый режим статьи 11
Статья 11 152-ФЗ устанавливает, что обработка биометрических данных возможна только при согласии субъекта, оформленном по строгим правилам — не простой отметкой в форме, как для имени или телефона. При помещении биометрии в Единую биометрическую систему согласие даётся самим человеком лично через учётную запись на Госуслугах (ЕСИА); при аутентификации через аккредитованную систему — подписывается усиленной электронной подписью. Обычного чекбокса для биометрии недостаточно.
Единая биометрическая система
С 2023 года действует закон № 572-ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных». Он ввёл ключевое правило:
- идентификация человека (кто этот человек из базы — например, распознавание лица в потоке или по голосу) возможна только через Единую биометрическую систему (ЕБС);
- аутентификация (это тот же известный человек — вход по лицу, селфи-верификация) выполняется через ЕБС или через аккредитованную Минцифры систему, обменивающуюся с ЕБС векторами, а не исходными образцами;
- хранить исходные биометрические образцы в собственной базе для этих целей нельзя.
Поэтому говорить «ЕБС мне не нужна» можно лишь о сайтах, которые биометрию вообще не обрабатывают. Любой сценарий из списка ниже требует подключения к ЕБС или аккредитованной системе.
Где на сайте может появиться биометрия
- функция входа по лицу или отпечатку в мобильном приложении;
- видеонаблюдение с распознаванием лиц в офисе или магазине;
- проверка личности по селфи при регистрации или верификации;
- голосовые помощники и запись звонков с идентификацией по голосу.
Если что-то из этого есть — это уже не «обычная» обработка данных: нужны строгое согласие, работа через ЕБС или аккредитованную систему и повышенные меры безопасности.
Важное правило: нельзя отказать в обслуживании
По части 3 статьи 11 152-ФЗ оператор не вправе отказать в обслуживании, если человек отказался предоставить биометрические данные или дать согласие (кроме случаев, прямо предусмотренных законом). Значит, рядом с входом по лицу или селфи-верификацией всегда должна оставаться альтернатива — вход по паролю, коду или иному способу.
Что делать на практике
- не собирайте биометрию, если без неё можно обойтись;
- если нужна идентификация — работайте через ЕБС, если аутентификация — через ЕБС или аккредитованную систему;
- обеспечьте согласие по строгим правилам (Госуслуги/электронная подпись);
- обязательно предусмотрите альтернативный способ входа или обслуживания.
Чтобы убедиться, что на сайте нет незаметной для вас обработки чувствительных данных, полезно проверить формы и скрипты автоматически.