Согласие на обработку биометрических персональных данных

Отдельный документ, которым человек разрешает использовать его отпечаток, изображение лица или голос для установления личности — например, на проходной или при входе в информационную систему.

Биометрией данные делает не их природа, а цель: фотография в личном деле — обычные персональные данные, та же фотография в системе распознавания лиц — биометрия со своим режимом обработки.

Статусобязательный, если оператор использует биометрию для установления личности вне случаев ч. 2 ст. 11 Основаниеч. 1 ст. 11 152-ФЗ; ч. 4 ст. 9 152-ФЗ (состав сведений) Публичностьне публикуется; хранится у оператора, копия выдаётся субъекту Кто утверждаетруководитель организации (форма — приказом) Периодичностьдо начала обработки; вместе с формой утверждается способ пройти без биометрии Обновленоиюль 2026

Содержание

01 Назначение

Зачем нужен документ

Определение биометрии в законе устроено хитрее, чем кажется, и почти все ошибки начинаются здесь. Биометрические персональные данные — это сведения, которые характеризуют физиологические и биологические особенности человека, позволяют установить его личность и используются оператором именно для установления личности. Последняя часть определения решает всё.

Фотография в личном деле сотрудника — обычные персональные данные: она лежит в папке и никого не опознаёт. Та же фотография, загруженная в систему распознавания лиц на проходной, — биометрия, потому что теперь по ней устанавливают, кто именно пришёл. Отпечаток пальца в турникете, слепок голоса в колл-центре, рисунок вен ладони в серверной — всё это один и тот же переход: данные начали работать ключом.

Отсюда назначение документа. Согласие на биометрию нужно не тем, у кого «есть фотографии сотрудников», а тем, кто ими опознаёт людей. И появляется такая обработка обычно не решением о работе с биометрией, а покупкой оборудования: подрядчик поставил современный СКУД, и организация стала оператором биометрии, не заметив этого.

Проверить себя можно одним вопросом: сравнивает ли система то, что она видит, с образцом, чтобы понять, кто перед ней? Если да — это биометрия, и обычным согласием на обработку персональных данных здесь не обойтись.

02 Ответственность

Чем грозит отсутствие

Использование биометрии без письменного согласия — обработка без основания: исключения из части 2 статьи 11 закрыты и относятся к обороне, безопасности, правосудию и подобным сферам, а не к удобству проходной.

ч. 2 ст. 13.11 КоАП РФ — обработка персональных данных без согласия в письменной форме, когда такое согласие обязательно, либо нарушение требований к составу сведений, включаемых в согласие

Юридическое лицо300 000 – 700 000 ₽

Должностное лицо100 000 – 300 000 ₽

Граждане10 000 – 15 000 ₽

Состав тот же, что в соседней карточке про согласие на специальные категории, и это не небрежность: закон дал одну норму на все случаи, когда обязательное письменное согласие отсутствует или негодно. Различается то, чем согласие убивается. Там — общими формулировками в предмете. Здесь — отсутствием у человека выбора: согласие, без которого не попасть на рабочее место, добровольным не является, каким бы правильным ни был его текст.

Отдельно стоит сказать о суммах, которые в этой теме называют чаще всего. Пятнадцать-двадцать миллионов рублей для организации — это часть 17 статьи 13.11, и она наказывает неправомерную передачу биометрических данных, то есть утечку. К отсутствию согласия эти суммы отношения не имеют. Не имеет к нему отношения и статья 13.11.3: она про размещение биометрии в единой биометрической системе и касается банков и МФЦ, а не работодателя с турникетом.

Турникет есть, согласий нет. Самый частый случай: систему поставили, людей завели в неё централизованно, бумаг никто не собирал.

Согласие есть, но альтернативы нет. Формально добровольно, фактически без отпечатка человек не пройдёт — закон прямо запрещает делать предоставление биометрии обязательным.

Биометрию спрятали в общее согласие. Строка «и иных данных, включая биометрические» не работает: с сентября 2025 года согласие вообще оформляется отдельным документом.

Согласие взято, а данные уехали к подрядчику. Облачный сервис распознавания — это передача, и она должна быть названа в согласии поимённо.

03 Синонимы и поисковые названия

Как ещё называют этот документ

—Согласие на обработку биометрических персональных данных образец

—Как составить согласие на отпечаток пальца для СКУД

—Согласие на распознавание лица на проходной форма

—Нужно ли согласие на видеонаблюдение с распознаванием лиц

—Биометрические персональные данные статья 11 152-ФЗ

—Можно ли обязать сотрудника сдать отпечаток пальца

—Является ли фотография работника биометрией

—Что писать в согласии на обработку биометрии сотрудника

Два запроса из этого списка — «является ли фотография биометрией» и «можно ли обязать сдать отпечаток» — приводят людей, у которых уже стоит оборудование и начались вопросы. Ответы короткие: фотография становится биометрией, когда ею опознают; обязать нельзя, и отказ человека не может стоить ему обслуживания или прохода на работу.

⚑ Чем отличается от соседних форм. Биометрия — это статья 11, а не статья 10: в закрытом перечне специальных категорий её нет, и путать эти режимы не стоит. От согласия на специальные категории эта форма отличается основанием и логикой: там согласие снимает запрет, здесь — подтверждает добровольность. А согласие на размещение данных в единой биометрической системе — вообще третий документ, он живёт по своему закону и нужен банкам и МФЦ, а не каждому оператору турникета.

04 Обязательное содержание

Что должно быть в документе

Состав сведений задан частью 4 статьи 9 152-ФЗ. Специфика биометрии — в трёх вещах, которые в обычном согласии не встречаются: что именно снимают, где это хранится и как жить тому, кто отказался.

Сведения о субъекте и об операторе. ФИО, адрес, реквизиты документа, удостоверяющего личность; наименование и адрес организации.

Что именно обрабатывается. Не «биометрические данные», а «изображение лица», «отпечаток пальца», «математическая модель (слепок), построенная по изображению лица». Модель — это тоже биометрия.

Цель — узкая и проверяемая. «Для прохода на территорию через систему контроля доступа», а не «для обеспечения безопасности».

Где и в каком виде хранится. Сам образец или только слепок, на сервере организации или в облаке подрядчика.

Кому передаётся. Поставщик системы, охранная организация, арендодатель бизнес-центра — каждый называется прямо.

Срок и порядок уничтожения. Обычно — увольнение или окончание договора; отдельно указывается, что удаляется и слепок, а не только фото.

Порядок отзыва и альтернатива. Как отказаться и каким способом человек проходит после отказа — карта, пропуск, вахтёр.

⚑ Пункт про альтернативу — не вежливость, а требование части 3 статьи 11: предоставление биометрии не может быть обязательным, и отказать в обслуживании из-за отказа оператор не вправе. Форма без альтернативы описывает нарушение.

05 Правовая база

Требования законодательства

ч. 1 ст. 11 152-ФЗбиометрия — сведения о физиологических и биологических особенностях, используемые оператором для установления личности; обрабатываются только при письменном согласии

ч. 2 ст. 11 152-ФЗисключения: реадмиссия, правосудие, дактилоскопическая и геномная регистрация, оборона, безопасность, противодействие терроризму, транспортная безопасность, ОРД, госслужба, нотариат и подобные случаи

ч. 3 ст. 11 152-ФЗпредоставление биометрии не может быть обязательным; отказать в обслуживании из-за отказа нельзя

ч. 1 ст. 9 152-ФЗсогласие конкретное, предметное, информированное; с 01.09.2025 — отдельным документом

ч. 2 ст. 9 152-ФЗдоказывать наличие согласия обязан оператор

ч. 4 ст. 9 152-ФЗобязательный состав сведений письменного согласия

ч. 2 ст. 13.11 КоАПобработка без обязательного письменного согласия либо порок его состава

Перечень исключений в части 2 закрытый и весь публично-правовой: оборона, безопасность, правосудие, обязательная регистрация. Ни одного основания вида «для учёта рабочего времени» или «для удобства сотрудников» там нет и не подразумевается. Значит, для обычной организации путь ровно один — добровольное письменное согласие, и оно должно быть настоящим.

⚑ Чего в перечне нет. Статьи 10 в нём не будет: биометрия не относится к специальным категориям, это отдельный режим отдельной статьи. Не будет и части 17 статьи 13.11 с её суммами от пятнадцати миллионов — она про утечку биометрии, а не про её сбор без согласия. Мы называем это прямо, потому что подмена одного другим — самый частый способ продать документ через испуг.

06 Связи в комплекте

Как связан с другими документами

Биометрия почти никогда не приходит в организацию одна: вместе с ней появляются система, подрядчик и новый процесс на проходной. Документы должны описывать всё это согласованно.

Политика — где биометрия объявляется. Политика обработки ПДн называет категории данных и цели; проходная по лицу, не отражённая в политике, — типовое расхождение документов с жизнью.

Общее согласие закрывает другое. Согласие субъекта на обработку ПДн отвечает за обычные данные; биометрия выносится в свою форму, потому что у неё своя статья и свои последствия отказа.

Спецкатегории — соседний режим, но не этот. Согласие на специальные категории ПДн работает со статьёй 10; биометрию туда относить неверно, хотя ошибка встречается даже в типовых бланках из интернета.

Договор с поставщиком системы — где живут данные. Если распознавание идёт в облаке, у оператора появляется поручение обработки, и условия защиты должны быть записаны в договоре.

07 Актуализация

Когда обновлять документ

Форму пересматривают вместе с системой: сменилось оборудование или подрядчик — изменился и предмет согласия.

Поставили новую систему доступа

Отпечаток заменили лицом, добавили распознавание на складе — предмет согласия другой, старые бумаги его не покрывают.

Распознавание переехало в облако

Появился новый получатель данных, которого нужно назвать в согласии, и поручение обработки в договоре.

Биометрию начали использовать для новой цели

Была проходная, стал учёт рабочего времени или контроль столовой — новая цель требует нового согласия, а не молчаливого расширения старого.

Сменился поставщик или интегратор

Данные переносятся в другую систему; заодно проверяется, уничтожены ли слепки в старой.

Человек отозвал согласие

Нужно уметь удалить слепок и пустить человека другим способом — и то и другое заранее описывается в форме.

Изменились требования к оформлению согласия

Правило об отдельном документе действует с сентября 2025 года; биометрия, зашитая строкой в общий бланк, подлежит переоформлению.

08 Проверка

Что спросит проверяющий

Проверка по биометрии почти всегда начинается с прогулки до проходной, а не с папки документов.

Используется ли биометрия фактически. Турникет с отпечатком или камера с распознаванием — это уже обработка, как бы она ни называлась в договоре с подрядчиком.

Есть ли письменные согласия у всех, кто заведён в систему. Доказывает наличие согласия оператор, а не проверяющий.

Отдельный ли это документ. Пункт в трудовом договоре или заявлении согласием на биометрию не является.

Названы ли предмет и цель конкретно. «Биометрические данные в целях безопасности» — формулировка, к которой будут вопросы.

Есть ли альтернатива для отказавшихся. Ключевой вопрос: чем проходит человек, не давший согласия, и не ухудшилось ли его положение.

Что происходит при увольнении. Удаляются ли образец и слепок, кто это фиксирует.

Где физически хранятся данные. Свой сервер, облако подрядчика, оборудование арендодателя — у каждого варианта свои требования к защите.

09 Разбор эксперта

Разбор эксперта

В аудитах мы почти не встречаем организаций, которые решили обрабатывать биометрию. Мы встречаем организации, которые поставили турникет. Решение принимали хозяйственная служба и подрядчик, слова «биометрические персональные данные» не звучали ни разу, а через месяц выяснилось, что в компании появился новый режим обработки со своей статьёй закона. Поэтому первый вопрос по этой теме мы задаём не юристу, а завхозу: что стоит на входе и как оно узнаёт людей.

Второе, ради чего стоит читать эту карточку, — добровольность. Закон прямо говорит, что предоставление биометрии не может быть обязательным и что отказ человека не может стоить ему обслуживания. На практике это означает простую вещь: если единственный способ попасть на рабочее место — приложить палец, то подписанные согласия юридически пусты, сколько бы их ни собрали. Добровольным согласие делает не подпись, а наличие второго пути — карты, пропуска, вахтёра со списком. Мы советуем сохранять этот второй путь всегда, даже если им пользуются два человека из двухсот: он и есть доказательство добровольности.

И о том, что теряют чаще всего, — о слепке. Система обычно хранит не саму фотографию, а математическую модель, построенную по ней. При увольнении удаляют учётную запись и фото, а модель остаётся в базе устройства, потому что про неё никто не помнит. Формально обработка продолжается без всякого основания, и обнаруживается это только при проверке или при смене оборудования. Пишите в согласии и в регламенте, что уничтожению подлежат и образец, и слепок, и проверяйте это руками у подрядчика, а не по его письму.

Что мы советуем при подготовке комплекта

Начните с инвентаризации входов: проходные, серверные, склады, приложения с входом по лицу. Для каждой системы решите, действительно ли нужна биометрия, — часто карта решает ту же задачу без нового режима. Если нужна, берите отдельное письменное согласие с конкретным предметом, целью, местом хранения и получателями. Обязательно оставьте и опишите альтернативу для отказавшихся — без неё согласие недействительно. Пропишите уничтожение образца и слепка при увольнении и проверьте, что подрядчик умеет это делать. И не смешивайте биометрию со специальными категориями: это разные статьи закона и разные документы.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

10 Частые вопросы

Частые вопросы

Является ли фотография сотрудника биометрией?

Сама по себе нет. Она становится биометрией, когда оператор использует её для установления личности — например, загружает в систему распознавания лиц.

Нужно ли согласие на турникет с отпечатком пальца?

Да, письменное и отдельное. Исключения части 2 статьи 11 касаются обороны, безопасности, правосудия и подобных случаев, а не контроля доступа в офис.

Можно ли обязать работника сдать биометрию?

Нет. Закон прямо запрещает делать предоставление биометрии обязательным и отказывать в обслуживании тому, кто отказался.

Что делать с теми, кто отказался?

Оставить рабочую альтернативу — карту, пропуск, проход через пост охраны. Наличие такой альтернативы и делает согласие остальных добровольным.

Биометрия — это специальная категория персональных данных?

Нет. Специальные категории перечислены в статье 10, биометрия живёт в статье 11. Режимы разные, и документы тоже разные.

Нужно ли согласие на обычное видеонаблюдение?

Если камеры просто пишут происходящее и никого не опознают — это не биометрия. Как только добавляется распознавание лиц, режим меняется.

Считается ли слепок отдельными данными?

Математическая модель, построенная по изображению или отпечатку, — это тоже биометрические данные. Уничтожать нужно и её, а не только исходный файл.

Мы передали распознавание подрядчику. Кто отвечает?

Оператор — вы. Подрядчик обрабатывает данные по вашему поручению, а его участие должно быть названо в согласии и урегулировано договором.

Связанные документы

Типовая форма согласия на обработку специальных категорий ПДн (при обработке спецкатегорий)Согласия и уведомления Типовая форма согласия субъекта на обработку персональных данныхСогласия и уведомления Политика в отношении обработки персональных данныхОрганизационные документы

Все документы комплекта

Согласие на обработку биометрии — одна из 139 позиций комплекта

Эксперты Комитета разрабатывают комплект под фактическую деятельность организации. Проверьте бесплатно, какие документы обязательны для вас, — по ИНН, за минуту.

или по телефону +7 (812) 240-81-66