Согласие на обработку биометрических данных: образец и правила

Обычная камера и камера, которая узнаёт сотрудника по лицу, — это два разных правовых режима. Первая снимает изображение, вторая работает с биометрией. И вот здесь правило жёсткое: без письменного согласия нельзя. Не «желательно», а нельзя.

Разберу практически: когда лицо человека превращается в биометрические данные, каким должно быть согласие на обработку биометрических данных, что в нём писать и что грозит, если его нет.

Когда видео становится биометрией

Ключевой водораздел — в статье 11 152-ФЗ. Биометрические персональные данные — это сведения о физиологических и биологических особенностях человека, которые используются для установления его личности.

Поймайте формулировку: дело не в самой картинке, а в цели.

• Камера просто пишет коридор — это персональные данные, но не биометрия.
• Система строит математический шаблон лица и сравнивает его с базой, чтобы понять «кто это», — это биометрия.

То есть как только изображение лица обрабатывается, чтобы идентифицировать конкретного человека (турникет узнаёт сотрудника, СКУД пускает «своих»), вы работаете с биометрическими данными. Как это устроено технически — в разборе как работает распознавание лиц.

Та же логика — для отпечатков пальцев, рисунка вен, голоса. Если по признаку устанавливают личность — это биометрия со всеми вытекающими.

Обязательно ли письменное согласие

Да. Статья 11 152-ФЗ: обработка биометрии допускается только при наличии согласия в письменной форме. Исключения узкие — оборона, безопасность государства, правосудие, оперативно-розыскная деятельность — и к обычному работодателю они не относятся.

«Письменная форма» сегодня — это не обязательно бумага с ручкой. Допускается:

• собственноручная подпись на бумаге;
• усиленная квалифицированная электронная подпись;
• иные способы, подтверждающие факт согласия по правилам 152-ФЗ.

Но молчаливое согласие, «галочка по умолчанию» или «вы вошли в зону, значит согласны» — не работают. Согласие должно быть конкретным, информированным и сознательным.

Что должно быть в согласии

Статья 9 152-ФЗ задаёт обязательный состав. Если хоть один пункт выпал — согласие дефектное, и обработка незаконна. Структура документа-образца выглядит так:

1. ФИО, адрес, реквизиты документа, удостоверяющего личность субъекта.
2. Наименование и адрес оператора — того, кто обрабатывает данные (работодатель, ИП, компания).
3. Цель обработки — конкретно: «идентификация работника для учёта рабочего времени и контроля доступа». Не «в иных целях».
4. Перечень данных — изображение лица, биометрический шаблон.
5. Перечень действий с данными и способ обработки (автоматизированная).
6. Срок действия согласия и порядок его отзыва.
7. Подпись субъекта.

Отдельно стоит прописать права субъекта: получить информацию об обработке, требовать уточнения, блокирования и уничтожения данных, отозвать согласие в любой момент.

Важно: согласие на биометрию должно быть отдельным документом или чётко обособленным разделом. Прятать его внутри трудового договора мелким шрифтом — прямой путь к признанию согласия недействительным.

Чем биометрия отличается от обычного видео

Чтобы не путать режимы, держите рядом два столбца.

Обычное видеонаблюдение:

• достаточно уведомления и таблички «ведётся видеонаблюдение»;
• основание — законный интерес/трудовые отношения;
• отдельное письменное согласие, как правило, не требуется.

Биометрия (распознавание лиц):

• нужно отдельное письменное согласие каждого;
• нельзя сделать систему обязательной — у работника должна быть альтернатива (карта, пропуск, ручная отметка);
• режим хранения и защиты строже.

Этот водораздел — основа всего. Правовую рамку обычной съёмки я разбирал в материале видеонаблюдение на рабочем месте; там акцент на трудовом праве, здесь — на биометрии.

Что будет без согласия

Отсутствие согласия на биометрию — не формальность, а состав нарушения. Чем это оборачивается:

• жалоба работника в Роскомнадзор — и внеплановая проверка оператора;
• предписание прекратить обработку и удалить данные;
• административный штраф по статье 13.11 КоАП РФ — за обработку персональных данных без согласия в требуемой форме суммы для юрлиц исчисляются сотнями тысяч рублей, а при повторности и утечках — выше;
• гражданский иск субъекта о компенсации морального вреда.

И отдельно — репутационный удар: дела о принудительном распознавании лиц сотрудников охотно подхватывают и СМИ, и профсоюзы.

Как оформить на практике

Пошагово, без воды:

1. Подготовьте бланк согласия по структуре выше — отдельным документом.
2. Соберите подписи до запуска системы. Нет подписи — человека нельзя заводить в биометрическую базу, дайте ему альтернативу.
3. Храните согласия так же бережно, как сами данные: ограниченный доступ, учёт, привязка к личному делу.
4. Пропишите срок и отзыв. Отзыв оформляется письменным заявлением; по его получении оператор обязан прекратить обработку и уничтожить биометрию (с актом об уничтожении), если нет иных законных оснований хранить.
5. Назначьте ответственного за организацию обработки персональных данных и ведите учёт согласий.

Ориентир по структуре образца ещё раз, одним списком — что точно должно быть в документе:

• кто даёт согласие (субъект) и кому (оператор);
• что обрабатывают (лицо, шаблон) и зачем (конкретная цель);
• как долго (срок) и как отозвать (порядок);
• права субъекта и дата с подписью.

Где эти данные физически лежат — тоже вопрос соответствия закону: биометрию разумно держать в локальном (on-premise) контуре, не отдавая в чужое облако. Эту тему и общий режим оператора по 152-ФЗ я разбираю в материале видеонаблюдение и персональные данные.

Резюме: согласие — не бумажка для галочки, а условие законности всей системы распознавания. Нет корректного согласия — нет права обрабатывать биометрию. С него и начинайте.