Значит, компания начала обрабатывать биометрию?
Не обязательно. Здесь компании могут начать выполнять специальные требования к биометрии там, где сначала стоило разобраться, к какой категории относятся данные?
Типичные вопросы звучат так:
«В СКУД хранятся фотографии. Это биометрия?»
«Камера снимает посетителей. Мы обрабатываем биометрические ПДн?»
Сам по себе ответ, что вы работаете с фотографией или видео, еще не решает вопрос.
ЧТО ГОВОРИТ 152-ФЗ
По ст. 11 152-ФЗ биометрические персональные данные — это сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта.
Поэтому при квалификации нужно смотреть на совокупность трех указанных в определении критериев.
Например, недостаточно узнать, что в СКУД загружена фотография. Нужно разобраться, как она используется: что анализирует система, с чем сопоставляет полученные сведения и какую задачу решает оператор с помощью такого сопоставления.
А ЧТО С ФОТОГРАФИЯМИ И ПОЗИЦИЕЙ РКН?
В ответе Роскомнадзора от 23.04.2024 № 08–128904 регулятор указывал, что при квалификации записи голоса, фото- и видеоизображения необходимо руководствоваться законодательными и иными нормативными правовыми актами, позволяющими отнести сведения к биометрическим ПДн.
Аналогичный подход отражен в письме от 01.08.2024 № 62450-02-11/77. В нем РКН также ссылается на ГОСТ Р ИСО/МЭК 19794-5-2013, устанавливающий требования к формату изображения лица для хранения представлений лица в записи биометрических данных.
Но соответствие фотографии ГОСТу само по себе еще не дает автоматического ответа на вопрос о категории обрабатываемых данных. Нужно учитывать законодательные требования и конкретный контекст обработки.
Ранее, в письме УРКН по СЗО от 09.03.2022 № 9267–12/78, также указывалось, что фотоизображение само по себе не содержит информации, являющейся биометрической по своей сути.
Поэтому начинать стоит не с вопроса «какие данные у нас есть?»
Полезнее проверить сам процесс:
✔️ Какие сведения получает система?
✔️ Для какой цели оператор использует результат?
✔️ Позволяет ли обработка установить личность человека?
✔️ Используются ли эти сведения оператором именно для установления личности?
Особенно внимательно стоит провести такую проверку перед внедрением СКУД, распознавания лиц, голосовых технологий и других решений, работающих с физиологическими характеристиками человека.
Наличие фотографии, видеозаписи или записи голоса еще не должно автоматически подменять правовой анализ процесса. Сначала нужно понять, что именно происходит с этими данными и для какой цели они используются.
Б-152 помогает оценить процессы, в которых используются потенциально биометрические данные, определить применимые требования и проверить, соответствует ли им фактическая модель обработки.
#LegalCompliance #HRD #РуководителиИБ #DPO
😎