Что такое биометрические персональные
Что такое биометрические персональные
(в ред. Федерального закона от 25.07.2011 N 261-ФЗ)
(см. текст в предыдущей редакции)
1. Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
2. Обработка биометрических персональных данных может осуществляться без согласия субъекта персональных данных в связи с реализацией международных договоров Российской Федерации о реадмиссии, в связи с осуществлением правосудия и исполнением судебных актов, в связи с проведением обязательной государственной дактилоскопической регистрации, а также в случаях, предусмотренных законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-разыскной деятельности, о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию, о гражданстве Российской Федерации, законодательством Российской Федерации о нотариате.
(в ред. Федеральных законов от 04.06.2014 N 142-ФЗ, от 31.12.2017 N 498-ФЗ, от 27.12.2019 N 480-ФЗ)
Что нужно знать о биометрических персональных данных
Понятие биометрических данных. Какими законами регулируется обращение с такой информацией
Биометрия — это уникальные физические или поведенческие характеристики, которые позволяют отличать людей друг от друга.
На законодательном уровне в России порядок обращения с биометрическими персональными данными определен:
Где могут быть использованы физические сведения о гражданине
Биофизические информационные материалы могут понадобиться в различных сферах жизни, где требуется распознавание человека. Успешное применение биофизических особенностей граждан уже нашло себя в таких направлениях, как:
Идентификация по биометрическим данным гораздо надежнее, чем визуальная. Например, сотрудник банка не сумеет отличить друг от друга близнецов, а биометрический анализ их голоса и изображения с большой долей вероятности сможет.
Что относится к биометрическим материалам
Отнесение информации к биофизическим данным требует соблюдения следующих условий:
К биофизическим индивидуальным свойствам относятся:
Для распознавания гражданина необходима одна или больше поведенческих или физических особенностей. В постановлении № 722 к сведениям, подлежащим размещению в общей информационной системе индивидуальных данных, относятся:
По каким правилам собираются, обрабатываются и хранятся данные
Работа с индивидуальными сведениями граждан предполагает:
Эти процедуры регулирует приказ Минкомсвязи № 321.
Работа с персональными данными, в том числе биометрическими, осуществляется в следующем порядке:
Образец согласия на обработку персональных биометрических данных привели эксперты КонсультантПлюс. Получите пробный доступ к системе бесплатно и переходите к документу.
Без согласия информация может собираться в рамках (п. 2 ст. 11 закона № 152-ФЗ):
Хранение и защита идентификационных сведений
Защита биометрических персональных данных предполагает соблюдение оператором данных следующих правил (п.8 приказа № 321):
Конфиденциальность доступной информации должны хранить сотрудники, как собирающие биометрические данные, так и готовящие и выдающие ключи электронных подписей.
Дополнительно банковские учреждения должны (пп. 31, 33 Порядка, утв. приказом № 321):
Итоги
Таким образом, работа с биометрическим материалом позволяет идентифицировать людей по их голосу, фото, видео и другим индивидуальным особенностям. Порядок работы с биометрическими данными строго регламентирован законодательством. Чтобы организация могла работать с персональными сведениями, она должна направить уведомление в Роскомнадзор в порядке, предусмотренном приказом Роскомнадзора от 30.05.2017 № 94.
Биометрические персональные данные, нюансы и тонкости обработки
Применение биометрии как способа идентификации появилось еще в далеком 19-м веке. Английские колонизаторы ввели практику идентификации своих контрагентов из числа индийцев по отпечаткам пальцев и ладоней. Метод дорабатывался в дальнейшем, но применяется и по сей день. В этой статье мы попытаемся разобраться, что же относится к биометрическим данным и какие особенности обработки возникают у оператора при работе с данной категорией персональных данных.
Биометрические персональные данные, что это?
Для начала обратимся к определению, которое приводится в ст. 11 ФЗ-152 «О персональных данных». Биометрические персональные данные — это сведения, которые характеризуют физиологические и биологические особенности человека, и которые используются для установления личности субъекта ПД.
Исходя из разъяснений Роскомнадзора, к физиологическим данным относятся: дактилоскопические данные, радужная оболочка глаз, анализы ДНК, рост, вес, а также иные физиологические или биологические характеристики человека, в том числе изображение человека (фотография и видеозапись), которые позволяют установить его личность.
Например, цветное цифровое фотографическое изображение лица владельца паспорта является биометрическими персональными данными владельца документа. Эта норма закреплена в ПП РФ № 125 от 4 марта 2010г. Здесь речь идет о чипе внутри первой страницы биометрического паспорта (спасибо за поправки пользователю t12589645). В тоже время, необходимо принимать во внимание цель, которую преследует оператор при обработке персональных данных, но об этом чуть позже.
Особенности обработки биометрических персональных данных
Первое, что мы видим открыв ст. 11 ФЗ-152: « Обработка биометрических персональных данных может осуществляться только с письменного согласия субъекта ПД, в случае если данные используются для установления личности субъекта. Это основное отличие обработки данной категории ПД. В остальном оператор должен руководствоваться общими требования 152-ФЗ, к организации обработки персональных данных.
Из этого правила есть и ряд исключений, когда согласие на биометрию не требуется, они приведены в ч.2 ст.11. Письменное согласие не требуется в случаях, когда обработка данных производится в связи:
Цели обработки биометрических персональных данных
Биометрические персональные данные это сведения, которые характеризуют физиологические и биологические особенности человека,, и которые используются для установления личности субъекта ПД.
В Вашей организации используется система контроля управления доступа (СКУД) — это может быть таймформер или «аналоговый» вариант в виде сотрудника, который сверяет фотографию из базы данных и присутствующую на Вашем пропуске или паспорте. В данном случае используются фотографии, которые являются биометрическими данными, характеризующие физиологические особенности, и целью обработки является определение личности, предъявляющей пропуск. Согласно разъяснениям Роскомнадзора, фотографии и другие биометрические сведения(отпечатки пальцев и т.д.), используемые для обеспечения однократного и/или многократного прохода на охраняемую территорию относятся к обработке биометрических персональных данных.Такая процедура должна осуществляться только с письменного согласия.
Пример неправильной обработки биометрических персональных данных
Обратимся к Определению Верховного Суда РФ от 05.03.2018 № 307-КГ18-101
По итогам проверки Роскомнадзор выписал предписание организации(бассейну) с требованием прекратить использование фотографий клиентов на пропусках. Нарушение заключалось в отсутствии отдельного письменного согласия посетителей на обработку их биометрических данных, а именно фотографий.
Доводы приводимые оператором персональных данных, о том что:
Правильные цели обработки биометрических персональных данных
Достаточно тонкая грань, но при этом являющаяся очень значимым моментом, который может привести к штрафным санкциям,, поэтому рекомендуется систематически проводить внутренний аудит персональных данных.»
Личное дело сотрудника
Также биометрическими персональными данными не является фотография сотрудника, хранящаяся в личном деле и подпись работника. Т.к. все действия, которые совершает работодатель, используя данные из личного дела, направлены на подтверждение их принадлежности конкретному физическому лицу. При этом личность работника уже определена и его персональные данные уже имеются у работодателя.
Видеосъемка в общественных местах
В том случае, если на охраняемой территории или в публичных местах ведется видеосъемка, эти данные также не могут считаться биометрическими ПД, поскольку владелец видеокамеры не использует их для идентификации конкретного человека. Биометрическими эти данные могут стать, в случае передачи их в правоохранительные органы и если переданные видеоматериалы будут использоваться для определения личности конкретного физического лица.
На что стоит обратить внимание оператору организующему такую видеосъемку?
Оператор в таком случае должен проинформировать посетителей о том, что в данном месте ведется фото-, видеосъемка. Это может быть текстовая табличка или специализированная наклейка, специальных требований к оформлению не предъявляется. В том случае, если Вы выполнили это простое требование, то согласие посетителей на проведение таких мероприятий не требуется.
Если же Вы установили видеонаблюдение в рабочих помещениях, то не забудьте проинформировать работников об этом. Уведомлять нужно обязательно под роспись. Данное требования закреплено в Трудовом кодексе РФ ст. 74 и заключается в изменении условий трудового договора.
Цели организации видеонаблюдения
Повторю это еще раз, определение целей обработки – одна из ключевых задач оператора. И организация видеонаблюдения не является исключением. Цели должны быть определены заранее и иметь правовое обоснование.
Например, если видеонаблюдение ведется в офисе, то это может быть: «Фиксация возможных действий противоправного характера». В медицинских учреждениях или на производстве продуктов питания целью может быть: «Обеспечение прав пациентов, клиентов или потребителей». Наверняка, заказывая пиццу, Вы сталкивались с возможностью наблюдать за ее приготовлением по средствам вебкамер, направленных на рабочие места.
При этом данный процесс должен быть отражен во внутренней документации оператора. Должен быть определен ответственный, имеющий доступ к системе видеонаблюдения. Обычно это закрепляется приказом. Помимо этого необходимо предусмотреть порядок и сроки хранения видеозаписей, а также порядок их удаления. Само собой не забываем про информационные таблички.
Самое важное в одном абзаце
Подводя итог, еще раз хочется остановиться на самых важных моментах. Внимательно прочитайте ч.2 ст. 11 ФЗ-152 «О персональных данных» и во всех случаях, не попадающих под них, собирайте согласие на обработку биометрических персональных данных в письменном виде. Заранее определяйте цели обработки и строго придерживайтесь их. Не собирайте избыточную информацию. В случае, если Вы не знаете как трактовать то или иное требование закона, обратитесь к разъяснениям РКН или напишите им обращение с Вашим вопросом.
Видео про самые распространенные ошибки, оформлению Согласия на обработку персональных данных можно посмотреть на ютуб канале ПДМастер, также как и другие полезные материалы по тематике «Персональные данные».
Биометрические персональные данные: в чем суть и где их используют
Все полученные знания о личных биоданных человека собираются, хранятся и могут использоваться для опознания людей. Это особенно актуально в связи с активизацией угроз международного и внутреннего терроризма.
Классификация биологических данных
Суть в том, что сведения, полученные по индикации индивидуальных характеристик каждого конкретного человека с использованием технологий, являются персональными биометрическими данными. По существу, они различаются на:
статичные, которые передающиеся генетически человеку при рождении: ДНК, радужная оболочка глаза, отпечатки пальцев;
динамические, изменяемые в процессе развития и жизненных обстоятельств: голос, почерк, походка.
Правовое применение
В ФЗ-152 от 27.07.2006 года регламентирована правовая основа по защите персональных данных физических лиц. Законодательством определен порядок обращения с биопараметрами в рамках реализации конституционных прав граждан, гарантирующих неприкосновенность частной жизни и сохранность персональной тайны.
Личные биометрические сведения оператор может использовать без письменного разрешения при следующих чрезвычайных обстоятельствах:
необходимой депортации из другого государства.
В целях исполнения приставами судебных решений.
В случаях противодействия терроризму.
Осуществления оперативно-розыскной деятельности.
Связанных с коррупцией в госслужбе.
Важно! Биологические параметры характерные для каждого человека хранятся в защищенной базе данных в виде цифрового кода. При похищении закодированного ключа злоумышленник может воспользоваться секретной информацией для осуществления противоправных действий.
Системы биометрических технологий
Создание технологических систем позволяет осуществить проверку подлинности биоданных на основе методов сравнительной биометрической аутентификации. Сведения о пользователе такие, как сетчатка глаза, оттиск подушечки пальца и другие сканируются. Полученные параметры обрабатываются в системах с использованием цифровых технологий. Процесс аутентификации проводится в четыре этапа:
Запись
В процессе записи ведется запоминание одного или нескольких экземпляров физического образца биометрического параметра для более полного составления характеристики изображения.
Преобразование
Зафиксированная уникальная информация обрабатывается и путем технологических манипуляций закрепленный биологический параметр человека преобразовывается в цифровой код.
Сравнение
Закодированный биопараметр сравнивается с представленным для анализа образчиком.
Совпадение/несовпадение
В результате система аутентификации выдает оценку, совпадает или нет хранящийся в базе данных закодированный биометрический параметр с анализируемым образчиком.
Важно! Технологические системы аутентификации подлежат общей стандартизации по надежности и должны иметь сертификаты качества, которые выдает ICSA (Международная ассоциация по компьютерной безопасности).
Практическое применение
Практическое применение биометрических технологий востребовано во многих сферах деятельности, связанных с гарантией обеспечения безопасности доступа к различной информации. Системы с цифровой базой закодированных биологических параметров помогают решать задачи по идентификации личности в случаях обеспечения:
организации антитеррористических операций;
охраны общественного правопорядка;
безопасности банковских операций;
реализации оценки в розничной торговле;
предоставления социальных услуг;
выдачи заграничного паспорта либо визы;
разблокировки устройства смартфонов, компьютерных гаджетов.
Основные биометрические параметры
Современные технологии охватывают уникальные и динамичные биопараметры для решения вопросов персональной идентификации личности. К ним относятся:
Отпечатки пальцев
Изображение папиллярных линий на пальцах руки, различающиеся у всех людей, в том числе у близнецов, на протяжении всей жизни. Этот уникальный, статичный параметр используют в системах идентификация для установления личности.
Важно! Это надежный, проверенный годами способ идентификации, при котором невозможно искусственно восстановить идентичный отпечаток.
Радужная оболочка глаза
Надежным способ в биометрической технологии является проведение идентификации при сравнении радужной оболочки глаза. Такой параметр у человека остается неизменным в течении всей жизни. Изображение сохраняется неизменным при любых обстоятельствах, включая:
операцию на глаза по ликвидации катаракты;
введения имплантатов на роговице;
использование простых и цветных контактных линз;
пожизненную слепоту человека.
Важно! При наличии у человека радужной оболочки глаза, которая выглядит для запоминающих устройств, как сеть, состоящая из множества переплетающихся кругов, компьютерные технологии могут всегда идентифицировать владельца.
Голос
Голосовые характеристики являются динамичными параметрами, идентификация которых востребовано:
при удаленном обслуживании в контакт-центрах;
в банковских учреждениях;
в автоматических голосовых меню.
Важно! Голосовой параметр может измениться, и не всегда индикация бывает точной. На голос влияют возрастные факторы, Лор заболевания и другие воздействия.
Виды биометрических данных сегодня постоянно дополняются, усовершенствуются, и создаются новые системы распознавания личности. Проводятся работы по созданию единой базы данных. На законодательном уровне решаются вопросы правового регулирования обеспечения сохранности и доступа к персональным данным. Не за горами тот день, когда подтвердить свою личность можно будет одним мизинцем, прикоснувшись к биометрическому считывателю!
Биометрические персональные данные
Осуществляя операции с ПДн, компании и предприниматели часто сталкиваются с необходимостью правильной обработки и защиты биометрических персональных данных. Это случается, прежде всего, из-за непонимания сути биометрии и незнания законодательных аспектов регулирования на международном уровне и в пределах РФ. По мере интеграции новых технологий сбора, хранения, распространения, уничтожения, изменения личной информации проблема становится все более серьезной и актуальной не только для больших фирм, но и для среднего и малого бизнеса. Чтобы минимизировать риск штрафных санкций от Роскомнадзора, ухудшения деловой репутации и судебных разбирательств, необходимо разобраться:
Что относится к биометрическим данным человека в соответствии с ФЗ-152?
Для того чтобы идентифицировать гражданина, можно использовать различные способы и источники информации. Что такое биометрические ПДн? Это совокупность сведений о человеке, которые касаются его физиологических и поведенческих отличий, и на основании которых возможно подтвердить личность, управлять и контролировать доступ (например, к банковской ячейке, помещениям с ограниченным входом и т.д.). Полный список представлен в Федеральном Законе № 152. Он включает:
Вопреки расхожему мнению видеоизображения и фотографии (в том числе те, которые присутствуют в паспорте, личном деле работника или служебном пропуске и т.п.) не являются биометрическими персональными данными, т.к. они не используются для установления личности, а только лишь подтверждают их принадлежность конкретному субъекту, чья личность уже определена.
Что касается УЗИ, КТ, МРТ, рентгеновских снимков, находящихся в медицинской карте субъекта, то они переходят в категорию биометрических только при использовании следственными органами в целях определения личности нарушителя, свидетеля, пострадавшего по административному, гражданскому или криминальному делу. Таким образом, выделение таких ПДн носит условный характер, а правила использования, хранения и совершения других операций напрямую зависят от целей оператора. Помимо идентификации биометрия выполняет функцию верификации. Уникальность данных позволяет с максимальной точностью установить, является ли человек именно тем, кем себя называет — даже у однояйцевых близнецов радужная оболочка глаз отличается, также как и дактилоскопические данные.
Что такое биометрические персональные данные в Интернете?
Закон не выделяет такие ПДн в отдельную группу, соответственно, в их отношении действуют все требования в плане обработки и защиты, что предусмотрены в ФЗ-152. При обнаружении факта несанкционированного использования субъект имеет полное право:
Важные нюансы обработки биометрических персональных данных
Основное условие легального проведения операций, связанных с идентификацией по ПДн работников, клиентов, бизнес-партнеров — наличие письменного разрешения владельца. Без него обрабатывать информацию запрещено. Впрочем, закон о защите персональных данных позволяет не получать на биометрию согласие в письменном виде, если:
Среди других исключений, касающихся обработки персональных данных, которые могут быть использованы в качестве биометрических, стоит отметить:
ФЗ-152 указывает на необходимость хранения и обработки ПДн в том объеме и в течение того количества времени, которое требуется для достижения поставленных целей. Особенного внимания заслуживает организация процессов, связанных с обработкой биометрических данных работников. Например, запрещено хранить на предприятии копию паспорта сотрудника, но в личном деле фотография должна присутствовать, поскольку не предназначена для идентификации человека, ведь личность уже подтверждена.
Какие российские и международные нормы защищают биометрические персональные данные?
Несмотря на активную работу в направлении обеспечения безопасности данной категории ПДн, далеко не все моменты проработаны как на федеральном, так и на международном уровне. Основополагающими регулирующими документами являются:
Правила защиты биометрических персональных данных прописаны также в стандартах ISO 17799 и ISO 15489.
Детальную информацию о законодательстве в области биометрических персональных данных, а также рекомендации относительно создания эффективной системы их защиты согласно установленным в РФ требованиям можно получить у консультантов нашего специализированного Центра. Эксперты помогут не только разобраться в юридических особенностях, но и своевременно внести изменения в процессы обработки ПДн.