Дата актуализации:

С развитием технологий распознавания лиц, отпечатков пальцев и других биометрических идентификаторов организации всё чаще сталкиваются с необходимостью оформлять согласия на обработку биометрических данных и работать с их биометрическими шаблонами. В данной статье рассмотрены нормативные требования, порядок получения согласий, особенности формирования и защиты шаблонов, а также примеры типовых документов.

Нормативная база

• Федеральный закон № 152-ФЗ «О персональных данных» – регулирует обработку любых персональных данных, включая биометрические.
• Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации» – содержит положения о защите информации, в т.ч. биометрической.
• Постановление Правительства РФ от № 543 – определяет требования к обработке биометрических персональных данных.
• Приказ Минкомсвязи России № 111 от – устанавливает порядок функционирования Единой биометрической системы (ЕБС) и требования к работе с вектором ЕБС.

Согласно пунктам 2 и 3 статьи 15 Федерального закона № 152-ФЗ, оригиналы биометрических данных запрещено хранить и обрабатывать вне ЕБС. Вместо оригиналов используются вектора единой биометрической системы – необратимые математические шаблоны, полученные в результате преобразования исходной биометрии.

Согласие на обработку биометрических данных

Когда требуется согласие?

Согласие обязательно в следующих случаях:

• Сбор биометрических данных для создания пропускной системы (СКУД по лицу/отпечатку пальца).
• Хранение и использование биометрических шаблонов в кадровых системах.
• Передача биометрических данных третьим лицам (например, в облачные сервисы распознавания).
• Любая иная обработка, выходящая за рамки исполнения трудового договора без явного согласия сотрудника.

Требования к форме согласия

Согласие должно быть:

• Предоставлено в письменной форме (можно электронной подписи, если это допускается внутренними регламентами).
• Содержать чёткое указание на цель обработки, виды биометрических данных, срок действия и право отзыва.
• Включать реквизиты субъекта данных (ФИО, серия и номер паспорта, дата выдачи, орган выдачи, адрес проживания). Персональные данные следует маскировать при публикации или демонстрации документа: ФИО: , Паспорт: серия N *, Адрес: .
• Подписано собственноручно (или квалифицированной электронной подписью) субъектом данных и датой подписания;

Образец согласия (маскированный)

СОГЛАСИЕ НА ОБРАБОТКУ БИОМЕТРИЧЕСКИХ ПЕРСОНАЛЬНЫХ ДАННЫХ

Я, ФИО: , паспорт серия  N *, выдан  «___» __________ 20__ г., residing at Адрес: *,
согласен(на) на обработку моих биометрических персональных данных, а именно:

 
цифровой шаблон отпечатка пальца;
 
вектор лица (шаблон, полученный в ЕБС).

Цель обработки: обеспечение контроля доступа к служебным помещениям и учёт рабочего времени.
Срок действия согласия: 12 месяцев с даты подписания.
Я осведомлён(а) о праве отозвать настоящее согласие в любой момент путем подачи письменного заявления работодателю.
Подпись: _____________________ Дата: «___» __________ 20__ г.

Формирование и использование биометрических шаблонов

Что такое биометрический шаблон?

Биометрический шаблон – это необратимый математический вектор, получаемый из исходной биометрии (изображения лица, скана отпечатка и т.п.) с помощью криптографически стойкого алгоритма. Шаблон не позволяет восстановить исходные данные, но пригоден для сравнения при верификации или идентификации.

Требования к хранению шаблонов

• Шаблоны должны храниться только в Единой биометрической системе (ЕБС) или в системе, прошедшей аттестацию по требованиям ФСТЭК и ФСБ.
• Запрещено долгосрочное хранение оригинальных изображений/сканов вне ЕБС.
• Доступ к шаблонам предоставляется исключительно уполномоченным лицам по принципу минимальных привилегий.
• Обязательно ведение журнала доступа и операций с шаблонами (журнал аудита).

Защита шаблонов

Для обеспечения конфиденциальности и целостности применяются:

• Шифрование данных на диске (AES‑256) и при передаче (TLS 1.3).
• Контроль целостности через хэш‑функции (SHA‑3).
• Регулярное проведение тестов на проникновение и оценка уязвимостей.
• Резервное копирование в зашифрованном виде с географическим распределением.

Практические рекомендации для организаций

1. Определить правовое основание – согласие либо иное основание (например, исполнение трудового договора, если обработка необходима для обеспечения безопасности и предусмотрена внутренними нормативными актами).
2. Разработать типовое согласие с учётом требований закона и маскировать персональные данные при внутреннем распространении.
3. Обучить сотрудников правилам получения согласий, работе с биометрическими терминалами и процедурам отзыва согласия.
4. Внедрить технические средства – терминалы, совместимые с ЕБС, системы управления шаблонами с логированием и шифрованием.
5. Провести внутренний аудит соответствия обработки биометрических данных требованиям законодательства (не реже одного раза в год).
6. Установить процедуру отзыва согласия – письменное заявление, аннулирование шаблона в ЕБС, уведомление субъекта данных.

Сбор согласий и работа с биометрическими шаблонами требуют строгого соблюдения норм законодательства, чёткой документированной процедуры получения согласий и надёжной технической защиты шаблонов. Следуя представленным рекомендациям, организация сможет обеспечить законность обработки биометрических данных, минимизировать риски утечки и сохранить доверие сотрудников и клиентов.

Материал подготовлен на основе общедоступных источников и актуален на указанную дату.