Как оформить согласие на обработку биометрических персональных данных
Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Как оформить согласие на обработку биометрических персональных данных». Если у Вас нет времени на чтение или статья не полностью решает Вашу проблему, можете получить онлайн консультацию квалифицированного юриста в форме ниже.
Не относятся к биометрическим данным фото в личном деле сотрудника, подпись и почерк. Происходит это по тому, что их анализ направлен на подтверждение принадлежности человеку, который уже идентифицирован в информационной системе.
Как действовать, если нужно согласие на обработку персональных и биометрических данных
Озаботиться вопросом легализации процессов, связанных с использованием ПДн, на практике приходится всем ИП и предприятиям. Но не все понимают, что нужно подготовить целый пакет документов и осуществить ряд организационных действий, чтобы защитить личную информацию работников и клиентов. Сократить время и избежать ошибок удастся, доверившись специалистам нашего центра, которые досконально разбираются в законодательстве и могут оказать профессиональную помощь на любом этапе формирования и оптимизации СЗПДн.
Основные действия, которые необходимо выполнить для того, чтобы деятельность была организована в соответствии со статьями ФЗ-152 и подзаконными актами:
- составление текста политики обработки и защиты информации, а также согласия на обработку персональных биометрических данных;
- разработка внутренних распоряжений относительно заполнения и хранения документов (приказ об утверждении), назначения ответственных за защиту ПДн лиц;
- публикация на официальном сайте и/или в мобильном приложении, распечатка для предоставления по запросу проверяющих служб;
- включение в каждую онлайн-форму, где нужно вводить сведения о себе, ссылки на пользовательское соглашение и графу с подтверждением согласия на использование ПДн.
Сколько согласий запрашивать?
В статье 9 Закона № 152-ФЗ уже установлена обязанность работодателей запрашивать у работника согласие на обработку персональных данных. Эта статья содержит и требования к оформлению такого согласия. В частности, оно должно быть конкретным, информированным и сознательным. Работник может дать его в любой позволяющей подтвердить факт получения такого согласия форме (письменно или в виде электронного документа, подписанного электронной подписью), если иное не предусмотрено федеральным законом.
Это согласие работодатели уже давно должны были запросить у работников.
К сведению: отдельное письменное согласие оформляется на обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни (ст. 10 Закона № 152-ФЗ).
В новой ст. 10.1 Закона № 152-ФЗ прямо указано, что согласие на обработку персональных данных, разрешенных их субъектом для распространения, оформляется отдельно от иных согласий субъекта ПД на обработку его данных.
Таким образом, ранее составленные согласия на обработку персональных данных в соответствии со ст. 9 Закона № 152-ФЗ продолжают свое действие, в отношении них никаких изменений нет. А для размещения ПД работников в общем доступе работодатели должны запросить у работников отдельное согласие.
Обработка персональных данных
В соответствии с п. 3 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» обработка персональных данных — это любое действие (операция) или совокупность действий (операций), совершаемых с использованием или без использования средств автоматизации, с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
До начала обработки персональных данных вы обязаны уведомить Роскомнадзор о намерении их обрабатывать (ч. 1 ст. 22 Закона о персональных данных)
Согласие пишется в произвольной форме или по шаблону, который разработан и утвержден внутри организации. При этом в бланке обязательно должны быть следующие данные:
- наименование компании-работодателя;
- место и дата составления документа;
- фамилия, имя, отчество работника, его паспортные данные и сведения о месте жительства.
Далее в основной части подробно указывается:
- каких именно персональных данных касается документ;
- в каких целях и что именно допустимо с ними делать;
- срок действия согласия и возможность его отзыва (хотя это итак гарантировано законодательством).
Обязательно следует поставить отметку о том, что согласие написано без принуждения и в добровольном порядке. После того этого под документом ставится подпись.
Что не является биометрическими ПДн?
Также не причисляют к биометрическим ПДн флюорографические и рентгеновские снимки, которые находятся в историях болезней, потому что их используют для установления болезни, а не личности. Исключением являются случаи, когда снимки используются в рамках следствия.
Тот же принцип действует для видеоматериалов, снятых на охраняемой территории и в публичных местах. Пока они не служат для установления личности, биометрическими они не являются.
Что такое биометрические данные
Не так давно такое понятие, как биометрические данные было известно только небольшой группе людей. Сегодня оно пребывает на общем слуху. Всем интересно, что это такое, и как персональные данные могут быть использованы. Биометрические данные – это перечень характеристик биологического и физиологического характера. Эти данные отличаются у каждого человека. Они индивидуальны и не повторяются даже у очень похожих внешне людей. Именно потому биометрический материал используется для установления личности человека.
На сегодня биометрия включает пять типов данных, которые может дать гражданин:
- Собираются отпечатки пальцев человека;
- Изображение лица;
- Записывают персональный голос;
- Делают сканирование радужки глаз;
- Фиксируют рисунок кровеносных сосудов на ладони и на пальце.
Закон и право по биометрии в России и мире
Согласно текущему закону, по отношению к биометрическимданным, использовать сведения о физиологических особенностях человека разрешено, только если есть письменное разрешение человека, которому рассматриваемые биометрические данные принадлежат. В других случаях обработка невозможна.
Но есть ситуации, когда персональные биометрические данные могут обрабатываться и без согласия человека. Например, в случаях, когда действует договор о реадмиссии, когда исполняются судебные акты или правосудие осуществляет другие действия, где биометрия необходима.
Также биометрическиеперсональные сведения могут быть использованы в задачах, связанных с безопасностью, противодействием терроризму/коррупции. Иногда персональные материалы применяются в оперативно-розыскной работе и других задачах предусмотренных законодательством России.
Получить юридическую помощь по вопросам биометрических данных граждан можно на нашем сайте.
Законодательные документы не содержат строгого перечисления личных данных. Обычно работник предоставляет в распоряжение работодателя следующие сведения:
- об образовании;
- трудовом и общем стаже;
- составе семьи;
- воинском учете;
- заработной плате;
- социальных льготах;
- занимаемой должности;
- наличии судимостей;
- адресе по месту регистрации и проживания;
- контактных телефонах;
- местах работы или учебы членов семьи;
- условиях трудового договора;
- наличии декларируемых материальных ценностей;
- материалах по повышению квалификации, переподготовке, аттестации и служебных расследованиях и пр.
Отказ на обработку персональных биометрических данных
Как говорилось ранее, сбор и обработка персональных биометрических данных осуществляется непосредственно с разрешения человека. Данное право закреплено за каждым гражданином России в Федеральном законе №152-ФЗ “О персональных данных”. Важно понимать, что использовать БПД имеют право многие госорганы. По этой причине большинство граждан страны не позволяют обрабатывать личные данные такого уровня, чтобы их не преследовали и за ними не устанавливали скрытой слежки.
Если углубиться в данный вопрос более серьезно и прочесть ряд законов, то можно понять, что кроме как госорганам, никому сбор биометрических данных не разрешен. Также стоит понимать, что для отказа не нужно писать заявлений, достаточно просто не писать согласия. Но если человек дал согласие, а потом решил отказаться, то ничего не выйдет, так как у оператора уже есть все БПД и он их вправе использовать.
Согласие на распространение персональных данных и согласие на обработку персональных данных — в чем разница
До принятия 519-ФЗ все виды обработки ПД могли быть прописаны в одном согласии. С 1 марта 2021 года правила изменились: человек может дать согласие на обработку персональных данных, но в тоже время не разрешить их распространять. Попробую на примерах и в схемах объяснить нюансы.
Обработка — это любое действие с персональными данными, в том числе:
- сбор, запись, систематизация;
- накопление, хранение;
- уточнение (обновление, изменение);
- извлечение;
- использование;
- передача (распространение, предоставление, доступ);
- обезличивание;
- блокирование, удаление, уничтожение персональных данных.
Примеры распространения персональных данных
Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц. По сути — это их публикация:
- размещение профилей в соцсетях;
- публикация данных о сотрудниках на корпоративных сайтах, форумы;
- сайты с объявлениями, отзывами, вакансиями.
- публикации в газетах, журналах;
- печатные рекламные буклеты с контактами, ФИО и фото сотрудников;
- публикация результатов спортивных мероприятий на интерактивных мониторах;
- визитки, возможно.
Принятие этого закона должно интенсифицировать (и будет интенсифицировать!) наполнение ЕБС. Но это — фактически принудительное направление данных без каких-либо дополнительных разрешений со стороны человека.
Конечно, государство обязывает банки (а именно они чаще всего и собирают биометрию) уведомлять граждан о передаче этой чувствительной информации в госсистему. Но, по большому счету, это лишает большую часть россиян свободно распоряжаться своими ПД.
Так как единственным исключением из установленных законом правил является запрет на передачу биометрии для тех, кто находится под государственной защитой, или если биометрия составляет государственную тайну (бывают и такие случаи).
Во всех остальных вариантах простому человеку останется только надеяться, что его ПД не утекут к злоумышленникам. В противном случае воспользовавшись технологиями дипфейка*, мошенники смогут производить практически любые операции от имени человека.
*Дипфейк — технология, которая позволяет лицо одного человека подменять другим при помощи алгоритмов машинного обучения. Также подобные технологии позволяют подделывать голос.