Согласие на размещение и обработку биометрии в ЕСИА и ЕБС

Порядок работы с согласием, которое человек даёт не вашей организации, а государственной системе — через Госуслуги. Вы получаете не биометрию, а результат проверки.

Отсюда главная особенность: это согласие нельзя собрать своим бланком у стойки и нельзя отозвать за человека. Всё, чем управляет организация, — как она обращается к системе и что делает при отказе.

Статусобязательный при работе с ЕСИА и единой биометрической системой Основаниеч. 4, 11–14 ст. 3 572-ФЗ; ст. 13.11.3 КоАП Публичностьне публикуется; хранится у оператора Кто утверждаетруководитель организации (порядок — приказом) Периодичностьдо подключения к системе; пересматривается при смене сценария Обновленоиюль 2026

Содержание

01 Назначение

Зачем нужен документ

Единая биометрическая система — государственная информационная система, в которой размещаются два вида данных: изображение лица и запись голоса. Организации обращаются к ней, чтобы установить или подтвердить личность человека, не собирая его биометрию у себя. Вход в систему для человека открывается через учётную запись на Госуслугах.

И вот главная особенность, из-за которой эта позиция комплекта устроена не как остальные согласия. Человек даёт согласие не вам. Он предоставляет его через портал государственных услуг, подписывая электронной подписью, и там же может посмотреть все выданные согласия — оператору системы, организациям, проводящим идентификацию, и тем, кто проводит аутентификацию. Ваша организация в этой схеме получает не биометрию, а результат проверки.

Поэтому документ в комплекте — не бланк для подписи у стойки. Это внутренний порядок: как сотрудники обращаются к системе, что они говорят человеку, какие сведения фиксируют и, самое важное, что делают, если человек отказался. Отказ здесь — законное и защищённое поведение, а не сбой сценария.

Проверить себя просто: если в вашем процессе фотографию или голос человека сохраняет ваша собственная система — вы работаете не с единой биометрической системой, а со своей биометрией, и правила там совсем другие.

02 Ответственность

Чем грозит отсутствие

Для работы с биометрией в государственной системе законодатель завёл отдельную статью кодекса — со своими составами и суммами, заметно более высокими, чем в общей статье о персональных данных. Обратите внимание на состав нарушителей: граждан в этой статье нет вовсе, отвечают должностные лица и организации.

ч. 1 ст. 13.11.3 КоАП РФ — размещение и обновление биометрических данных в единой биометрической системе с нарушением установленных законодательством требований

Юридическое лицо500 000 – 1 000 000 ₽

Должностное лицо100 000 – 300 000 ₽

Это первое появление статьи 13.11.3 в комплекте, поэтому стоит назвать её остальные части: нарушение порядка обработки в системе и порядка обработки векторов — те же суммы, что и выше; непринятие мер безопасности — 300–500 тысяч для должностного лица и от 1 до 1,5 миллиона для организации; обработка векторов для аутентификации без аккредитации либо при приостановленной аккредитации — 500 тысяч – 1 миллион и от 1 до 2 миллионов соответственно.

Отдельно подчеркнём то, что чаще всего нарушают не со зла, а по инерции клиентского сервиса: закон запрещает делать биометрию обязательной. Предоставление биометрических данных не может быть обязательным, обусловливать биометрией услуги, работы, продажу товаров и даже их объём нельзя, а отказ человека не может служить основанием для отказа ему в услуге или в приёме на обслуживание.

Биометрия как единственный способ. Турникет, касса или приложение без альтернативного пути — прямое нарушение запрета обусловливать услугу прохождением биометрической идентификации.

«Без биометрии обслуживание дольше». Ограничение объёма услуги по этому признаку запрещено так же, как и полный отказ.

Своя база лиц под видом работы с системой. Собственное хранилище фотографий — это биометрия оператора со своими требованиями, а не работа с государственной системой.

Аутентификация по векторам без аккредитации. Самый дорогой состав статьи; аккредитация проверяется до запуска сервиса, а не после.

Сотрудники не знают, что делать при отказе. Сценарий «человек сказал нет» должен быть описан и отработан, иначе его придумают на месте.

03 Синонимы и поисковые названия

Как ещё называют этот документ

—Согласие на размещение биометрии в ЕБС образец

—Как оформить согласие на обработку биометрии через Госуслуги

—Форма согласия на биометрическую идентификацию клиента

—Можно ли отказаться сдавать биометрию

—Обязательна ли биометрия для получения услуги

—Аккредитация для работы с векторами единой биометрической системы

—Единая система идентификации и аутентификации требования к организации

—Что подписывает человек при сдаче биометрии в банке или МФЦ

Запрос «можно ли отказаться» — самый частый и самый показательный. Ответ закона однозначен: предоставление биометрии не может быть обязательным, а отказ не является основанием для отказа в услуге или в приёме на обслуживание. Если ваш сценарий обслуживания на это не рассчитан, менять придётся сценарий.

⚑ Чем отличается от согласия на обработку биометрии. Согласие на обработку биометрических ПДн нужно тогда, когда организация обрабатывает биометрию САМА — держит своё хранилище и сама сличает. Здесь биометрия хранится в государственной системе, организация получает вектор или результат проверки, а согласие человек даёт через портал государственных услуг. Это разные правовые режимы, и один не заменяет другой.

04 Обязательное содержание

Что должно быть в документе

Поскольку само согласие оформляется в электронной форме на стороне государственной системы, документ комплекта описывает не поля бланка, а порядок работы. Проверяющий будет искать в нём ответы на семь вопросов.

Какие сценарии используются. Идентификация, аутентификация или оба; в каких точках обслуживания и в каких системах.

Какие данные задействованы. В государственной системе размещаются только изображение лица и запись голоса — иных видов биометрии там нет.

Каким образом получено согласие. Через портал государственных услуг, с подписью: усиленной квалифицированной, усиленной неквалифицированной либо простой, ключ которой получен при личной явке.

Что говорит сотрудник человеку. Формулировки, в которых биометрия предлагается как возможность, а не как условие обслуживания.

Альтернативный путь. Как человек получает ту же услугу в том же объёме, если отказался от биометрии. Это обязательный элемент, а не любезность.

Кто и на каком основании обращается к системе. Наличие аккредитации, если организация работает с векторами для аутентификации.

Как фиксируются обращения. Журналирование запросов и результатов проверки — то, чем вы подтвердите правомерность каждого обращения.

⚑ Отдельно проверьте, что нигде в процессе не возникает вашей собственной копии биометрии. Кадр с камеры, сохранённый «для истории обращений», превращает работу с государственной системой в самостоятельную обработку биометрии со всеми её требованиями.

05 Правовая база

Требования законодательства

ч. 4 ст. 3 572-ФЗв единой биометрической системе размещаются только изображение лица и запись голоса

ч. 11 ст. 3 572-ФЗпредоставление биометрических данных не может быть обязательным

ч. 12 ст. 3 572-ФЗзапрещено обусловливать услуги, работы, продажу товаров и их объём прохождением биометрической идентификации

ч. 13 ст. 3 572-ФЗотказ не может служить основанием для отказа в услуге или в приёме на обслуживание

ч. 14 ст. 3 572-ФЗсогласие предоставляется через портал государственных услуг; там же человек видит все выданные согласия

ч. 1 ст. 13.11.3 КоАПразмещение и обновление биометрии в системе с нарушением требований

ч. 3 ст. 13.11.3 КоАПнепринятие организационных и технических мер по обеспечению безопасности биометрии

ч. 4 ст. 13.11.3 КоАПобработка векторов для аутентификации без аккредитации либо при её приостановлении

Части 11, 12 и 13 статьи 3 стоит читать как одну норму, разложенную на три уровня. Нельзя требовать биометрию. Нельзя ставить услугу в зависимость от неё — включая объём услуги. И нельзя отказать тому, кто сказал «нет». Норма закрывает все обходные пути сразу, потому что именно они и появляются в клиентских сценариях: «можно и без биометрии, но тогда очередь дольше».

⚑ Чего в этой конструкции нет: вашей возможности управлять согласием. Организация не собирает его своим бланком, не хранит и не отзывает — человек управляет им сам через портал государственных услуг. Ваша зона ответственности начинается там, где вы обращаетесь к системе, и там же проверяется.

06 Связи в комплекте

Как связан с другими документами

Эта позиция стоит на стыке двух режимов, и практическая задача комплекта — не дать им перепутаться.

Своя биометрия — другой документ. Согласие на обработку биометрических ПДн применяется, когда организация сама хранит и сличает изображения или записи голоса. Если у вас есть и то и другое, нужны оба документа.

Общее согласие — про остальные данные. Согласие субъекта на обработку ПДн закрывает обычные сведения о клиенте; биометрический сценарий им не покрывается.

Политика — где объявлен сценарий. Политика обработки ПДн должна называть биометрическую идентификацию отдельной целью и не создавать впечатления, что организация хранит биометрию у себя, если это не так.

Регламент обслуживания — где живёт альтернатива. Право человека отказаться существует ровно настолько, насколько в инструкции сотрудника описан второй путь получения услуги.

07 Актуализация

Когда обновлять документ

Порядок работы с государственной системой меняется вместе с сервисом: любая новая точка, где появляется камера или микрофон, — это повод перечитать документ.

Запускается новый сценарий обслуживания

Вход по лицу, оплата по лицу, подтверждение операции голосом — каждый сценарий описывается отдельно, вместе с альтернативным путём.

Меняется статус аккредитации

Приостановление или прекращение аккредитации закрывает работу с векторами; продолжение обработки в этот период — самый дорогой состав статьи.

Появилась своя копия биометрии

Сохранённый кадр или запись голоса переводят процесс в режим собственной биометрии — нужен другой документ и другое согласие.

Изменился порядок работы системы

Требования к взаимодействию с государственной системой устанавливаются подзаконными актами и меняются чаще, чем закон.

Человек отказался или отозвал согласие

Отказ отрабатывается штатно: обслуживание продолжается в полном объёме другим способом, а обращения к системе прекращаются.

Изменился состав сотрудников на точках

Обращаться к системе может только тот, кто знает правила и сценарий отказа; смена персонала — повод повторить инструктаж.

08 Проверка

Что спросит проверяющий

Эта тема проверяется в две стороны: как вы обращаетесь к государственной системе и не завели ли вы попутно собственное хранилище биометрии.

Какие сценарии реально работают. Точки обслуживания, приложения, турникеты, кассы — и что происходит в каждой из них.

Есть ли аккредитация. Если организация обрабатывает векторы для аутентификации, аккредитация проверяется в первую очередь.

Не хранится ли биометрия у вас. Кадры с камер, записи звонков, фотографии в карточке клиента — самая частая находка.

Есть ли альтернативный путь. Как обслуживается человек, отказавшийся от биометрии, и не сокращается ли объём услуги.

Что говорят сотрудники. Формулировки на точке проверяются разговором, а не по документу: «без биометрии не получится» — готовое замечание.

Как фиксируются обращения к системе. Журналы запросов и результатов, по которым видно основание каждого обращения.

Что написано в политике и в договорах. Совпадает ли описание биометрического сценария с тем, что происходит на самом деле.

09 Разбор эксперта

Разбор эксперта

Разговор про единую биометрическую систему почти всегда начинается с фразы «мы хотим сделать вход по лицу». Дальше выясняется, что имелось в виду совсем не то, что произносится. В девяти случаях из десяти речь идёт о том, чтобы поставить камеру, накопить фотографии сотрудников или клиентов в собственной системе и сличать их между собой. Это не работа с государственной системой. Это собственная биометрия, и требования к ней свои: письменное согласие каждого, обязательная альтернатива, меры защиты. Государственная система устроена наоборот — она существует как раз для того, чтобы организации биометрию у себя не держали.

Из этого следует практический совет, который мы даём до покупки оборудования, а не после. Определитесь с режимом раньше, чем подпишете договор с подрядчиком. Если вы работаете с векторами государственной системы для аутентификации, вам нужна аккредитация, и обработка без неё — самый дорогой состав в этой статье: до двух миллионов для организации. Если вы держите свою базу, аккредитация не нужна, зато нужны письменные согласия и полноценная защита. Промежуточного варианта «мы немножко пользуемся государственной системой и немножко храним у себя» закон не предусматривает, хотя именно так выглядит большинство пилотных проектов.

И о том, что чаще всего ломается не в технике, а в разговоре у стойки. Закон трижды, в трёх частях одной статьи, повторяет: биометрия добровольна, услугу нельзя ставить в зависимость от неё, отказ не может быть основанием для отказа в обслуживании. А сотрудник на точке говорит «через биометрию быстрее, без неё придётся ждать» — и в этот момент организация нарушает запрет обусловливать объём услуги. Поэтому в комплекте документов эта позиция ценна не бланком, а сценарием: что именно человек слышит и что происходит, когда он говорит «нет».

Что мы советуем при подготовке комплекта

Начните с честного ответа на вопрос, где будет храниться биометрия. Если в государственной системе — проверьте аккредитацию и убедитесь, что у вас не остаётся собственных копий: кадров, записей, фотографий в карточке клиента. Если у себя — переходите к правилам собственной биометрии и письменным согласиям. Опишите оба сценария обслуживания, биометрический и обычный, и убедитесь, что второй не хуже первого ни по объёму услуги, ни по времени. Пропишите слова, которыми сотрудник предлагает биометрию, и слова, которыми принимает отказ. Заведите журналирование обращений к системе — им вы подтверждаете основание. И проверяйте статус аккредитации регулярно, а не один раз при запуске.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

10 Частые вопросы

Частые вопросы

Можно ли обязать клиентов проходить биометрическую идентификацию?

Нет. Предоставление биометрических данных не может быть обязательным, а обусловливать услуги, работы или продажу товаров её прохождением закон запрещает прямо.

Что делать, если человек отказался от биометрии?

Оказать услугу обычным способом в полном объёме. Отказ не может служить основанием ни для отказа в услуге, ни для отказа в приёме на обслуживание, ни для сокращения её объёма.

Какие данные размещаются в единой биометрической системе?

Только два вида: изображение лица, полученное фотовидеоустройствами, и запись голоса. Отпечатков пальцев и иных видов биометрии там нет.

Где человек даёт согласие и где он его видит?

Согласие предоставляется через портал государственных услуг и подписывается электронной подписью. Там же человек может ознакомиться со сведениями обо всех выданных им согласиях.

Нужна ли организации аккредитация?

Она нужна тем, кто обрабатывает векторы системы для аутентификации в своих информационных системах. Работа без аккредитации или при её приостановлении — отдельный состав со штрафом до двух миллионов для организации.

Чем это отличается от обычного согласия на обработку биометрии?

Режимом хранения. В обычном случае биометрию хранит и сличает сама организация, и ей нужно письменное согласие человека. Здесь данные находятся в государственной системе, а организация работает с вектором и результатом проверки.

Можно ли сохранить фотографию клиента «для истории обращений»?

Тогда у вас появляется собственная биометрическая база со всеми её требованиями. Если такой цели нет, копий быть не должно.

Кто отвечает за нарушения — сотрудник или организация?

В статье 13.11.3 наказываются должностные лица и организации; граждан как субъектов ответственности в ней нет.

Связанные документы

Типовая форма согласия на обработку биометрических ПДн (при обработке биометрии)Согласия и уведомления Типовая форма согласия субъекта на обработку персональных данныхСогласия и уведомления Политика в отношении обработки персональных данныхОрганизационные документы

Все документы комплекта

Работа с ЕСИА и ЕБС — одна из 139 позиций комплекта

Эксперты Комитета разрабатывают комплект под фактическую деятельность организации. Проверьте бесплатно, какие документы обязательны для вас, — по ИНН, за минуту.

или по телефону +7 (812) 240-81-66