Что такое биометрические персональные данные?

Очень часто в процессе сбора первичной информации о бизнес-процессах обработки персональных данных между Заказчиком и компанией, разрабатывающей систему защиты персональных данных, возникает недопонимание в части того, какие виды информации обрабатываются в информационной системе. На вопрос: «Обрабатываете ли вы биометрические персональные данные?» часто можно услышать: «Нет… А вот скан-копия разворота 2 и 3 страницы паспорта работника/клиента Компании с фотографией является биометрическими персональными данными?»

Давайте детально разберем этот вопрос, чтобы Операторы персональных данных имели четкое представление, что же за категории (виды) персональных данных они обрабатывают.

В Федеральном законе №152 «О персональных данных» в статье 11 п.1 указано:

«Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных»

Из определения до конца не ясно, что же всё таки относить к биометрическим персональным данным. Одно дело дактилоскопические данные, с ними все ясно, это биометрические персональные данные, которые используются оператором (например, органами следствия) для установления личности субъекта. А вот как например быть с рентгеновскими и флюорографическими снимками? Или с той же фотографией в паспорте или на пропуске?

Для получения ответов на эти вопросы я рекомендую ознакомиться с официальным разъяснением по биометрическим персональным данным от Роскомнадзора от 30 августа 2013 года.

Кратко разберем основные положения данного разъяснения.

1. Цветное цифровое фотографическое изображение лица владельца заграничного паспорта, содержащееся на электронном носителем информации данного документа, является биометрическими персональными данными владельца документа.

2. Фотографическое изображение и иные сведения, используемые для обеспечения однократного и/или многократного прохода на охраняемую территорию и установления личности гражданина, также относятся к биометрическим персональным данным, поскольку характеризуют физиологические и биологические особенности человека, позволяющие установить, принадлежит ли данному лицу предъявляемый системе контроля и управления доступом (далее — СКУД) пропуск. На основе фотографического изображения можно установить личность субъекта, предъявляющего пропуск, путем сравнения фото с лицом предъявителя пропуска и указываемых владельцем пропуска фамилии, имени и отчества с указанными в СКУД.

3. Если Оператор в своей информационной системе обрабатывает скан-копии разворота 2 и 3 страницы паспорта с целью подтверждения осуществления определенных действий конкретным лицом (например, заключение договора на оказание услуг) без проведения процедур идентификации (установления личности), данные действия не могут считаться обработкой биометрических персональных данных. Иными словами, если нам нужна скан-копия паспорта клиента для заключения, например, договора на оказание туристических услуг, то это не считается обработкой биометрических персональных данных, так как мы не используем фотографию в паспорте для идентификации субъекта, а используем скан-копию разворота 2 и 3 страницы паспорта с целью подтверждения покупки туристической путевки конкретным лицом.

4. Также не является биометрическими персональными данными фотографическое изображение, содержащиеся в личном деле работника, а также подпись лица, наличие которой в различных договорных отношениях является обязательным требованием, и почерк, в том числе анализируемый уполномоченными органами в рамках почерковедческой экспертизы. Все они не могут рассматриваться как биометрические персональные данные, поскольку действия с использованием указанных данных направлены на подтверждение их принадлежности конкретному физическому лицу, чья личность уже определена и чьи персональные данные уже имеются в распоряжении оператора.

5. Не являются биометрическим персональными данными рентгеновские или флюорографические снимки, характеризующие физиологические и биологические особенности человека, и находящиеся в истории болезни (медицинской карте) пациента (не имеет значения, бумажной или электронной), поскольку они не используются оператором (медицинским учреждением) для установления личности пациента. Но в случае их передачи по запросу субъектов оперативно-розыскной деятельности, органов следствия и дознания в рамках проводимых ими мероприятий указанные сведения становятся биометрическими персональными данными, поскольку используются операторами — органами следствия и дознания в целях установления личности конкретного лица.

6. Аналогичная позиция и с материалами видеосъемки в публичных местах и на охраняемой территории. До передачи их для установления личности снятого человека они не являются биометрическим персональными данными.

Получается что одни и те же фотографии, видеозаписи, рентгеновские или флюорографические снимки одновременно могут быть как биометрическими персональными данными, так и нет.