Положение об обработке биометрических персональных данных
Внутренний порядок работы с данными, которые человек не может сменить: изображениями лица, отпечатками, записями голоса. Документ отвечает не столько на вопрос «как получить согласие», сколько на вопрос «сколько это хранить и как уничтожить».
Зачем нужен документ
Положение описывает, как организация работает с биометрическими данными: какие системы их обрабатывают, кто имеет к ним доступ, в каком виде данные хранятся, сколько живут и как уничтожаются. Вопрос о том, что именно считается биометрией и когда обычная фотография ею становится, разобран в карточке о согласии — здесь мы исходим из того, что квалификация уже проведена, и переходим к порядку.
Отдельный документ нужен потому, что биометрия отличается от остальных данных одним свойством: её нельзя заменить. Утёкший паспорт перевыпускают, скомпрометированный пароль меняют за минуту, номер телефона бросают. Изображение лица и отпечаток остаются с человеком до конца жизни, поэтому у биометрической утечки нет срока давности — образец, попавший в чужие руки, работает и через десять лет.
Из этого следует главный акцент документа. В большинстве положений комплекта центральная часть — основания обработки. Здесь центральная часть — сроки и уничтожение: чем меньше времени образец существует в системе и чем быстрее исчезает после того, как цель достигнута, тем меньше остаётся риска, который ничем нельзя компенсировать.
Чем грозит отсутствие
Обработка биометрии без письменного согласия наказывается по общей норме о согласиях — этот состав разобран в карточке о типовой форме согласия, и повторять его здесь незачем. Своя, отдельная санкция у биометрии одна, и она появилась недавно: за утечку.
Как ещё называют этот документ
Что должно быть в документе
Обязательного состава разделов закон не устанавливает. Проверочный критерий: документ должен отвечать, в каком виде биометрия хранится, сколько и что происходит в день, когда цель обработки отпала.
Требования законодательства
Как связан с другими документами
Когда обновлять документ
Что спросит проверяющий
Разговор по биометрии всегда идёт в одну сторону: сколько данных, за какой период и зачем они всё ещё хранятся.
Разбор эксперта
Мы просим клиентов начинать этот документ не с обоснований, а с двух цифр: сколько записей в биометрической базе и какая из них самая старая. Ответ почти всегда один и тот же — записей больше, чем работников, а самая старая относится к моменту запуска системы. Причина простая: удаление никто не проектировал. Добавление в базу происходит автоматически при приёме на работу, а удаление требует чьего-то решения, поэтому база только растёт. Через пять лет в ней лежат образцы людей, которые давно работают в другом городе, и защищать их организация обязана ровно так же, как и данные действующих сотрудников.
Почему это важнее, чем в случае с любыми другими данными. Утечка телефонов неприятна, но конечна: номер меняют. Утечка паспортных данных тяжелее, однако документ перевыпускается. Биометрический образец заменить нельзя ничем — человек живёт с этим лицом и с этими отпечатками всегда. Именно поэтому за утечку биометрии установлен самый высокий тариф в статье, выше, чем за сведения о здоровье, и установлен без всяких градаций по числу пострадавших. И именно поэтому лишняя запись в базе — не бухгалтерская мелочь, а прямая, не закрываемая ничем экспозиция.
Отсюда два практических решения, которые мы советуем принимать до внедрения, а не после. Первое: выяснить у поставщика, умеет ли система хранить только математическую модель без исходного изображения. Обычно умеет, просто по умолчанию включено сохранение фотографий — «чтобы было удобнее искать». Второе: сделать удаление событием, а не решением. Увольнение должно запускать удаление автоматически и в тот же день, а не тогда, когда кто-нибудь вспомнит. И отдельно проверить резервные копии: организации, которые честно удаляют записи из системы, регулярно обнаруживают, что бэкап полугодовой давности хранит всё, что было удалено.
Проведите ревизию базы до написания документа: сколько записей, чьи, с какого года. Удалите то, что не обосновано целью, и зафиксируйте это. Определите форму хранения — по умолчанию математическая модель, исходное изображение только при доказанной необходимости. Пропишите срок хранения по каждой цели отдельно, привязав его к событию, а не к календарю. Опишите порядок удаления, включая резервные копии, и назначьте ответственного, который его исполняет. Обеспечьте работающий альтернативный способ прохода или получения услуги и опишите его в том же документе. И сверьте перечень категорий данных с политикой обработки — биометрия должна быть заявлена там прямо.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Столько, сколько требует цель, ради которой они собраны, — общего срока в законе нет. Для пропускной системы это срок работы человека в организации, для подтверждения операций — срок действия договора. По достижении цели данные подлежат уничтожению, и для биометрии этот срок стоит соблюдать строже, чем для любых других данных: заменить утёкший образец невозможно.
В большинстве систем достаточно математической модели — набора признаков, из которого исходное изображение не восстанавливается. Функционал распознавания от этого не страдает, а последствия утечки становятся принципиально другими. Хранение исходных изображений должно быть обосновано, а не оставлено по умолчанию.
Удалить, причём в тот же день: цель обработки отпала вместе с трудовыми отношениями. Удаление стоит сделать частью процедуры увольнения, а не отдельной задачей, и обязательно проверить, не остались ли записи в резервных копиях.
Нет. Для биометрии требуется согласие в письменной форме именно на её обработку — это самостоятельное требование закона. Строка в общем бланке о согласии на обработку персональных данных его не заменяет.
Нет, это распространённое заблуждение. Специальные категории — сведения о здоровье, национальности, взглядах, судимости. Биометрия выделена в отдельную статью со своим режимом. Разница практическая: у них разные основания обработки и разные санкции за утечку, причём у биометрии они выше.
Одна система — не повод обходиться без документа, но и не повод писать длинный текст. Достаточно нескольких страниц: одна цель, один срок, один порядок удаления, круг доступа и альтернативный способ прохода. Ценность здесь не в объёме, а в том, что удаление становится описанной процедурой.
Отдельный состав с самым высоким тарифом в статье: для организаций от 15 до 20 миллионов рублей, для должностных лиц от 1,3 до 1,5 миллиона. Число пострадавших на размер не влияет. Норма действует с 30 мая 2025 года и применяется ко всем операторам, кроме случаев, связанных с государственной биометрической системой.