[07/09/22] Роскомнадзор пояснил, относится ли фотография гражданина к биометрическим персональным данным

В связи с поступившим обращением ведомство напомнило, что биометрическими персональными данными признаются сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность (ч. 1 ст. 11 Федерального закона от 27 июля 2006 г. № 152-ФЗ "О персональных данных"). По общему правилу возможность отнесения тех или иных сведений к биометрическим ПД определяется законодательством. В частности, это цифровая фотография лица владельца загранпаспорта нового поколения, записываемая на содержащийся в нем электронный носитель (п. 6 Перечня, утв. постановлением Правительства РФ от 4 марта 2010 г. № 125) (Письмо Роскомнадзора от 29 августа 2022 г. № 08-78032).

Требования к формату изображения лица, предназначенного для хранения в записи биометрических данных, установлены Национальным стандартом РФ ГОСТ Р ИСО/МЭК 19794-5-2013, утв. приказом Росстандарта от 6 сентября 2013 г. № 987-ст.

С учетом изложенного Роскомнадзор сообщает, что обработка фотографических изображений, которые отнесены к биометрическим ПД законодательным актом, должна осуществляться с письменного согласия субъекта, соответствующего установленным требованиям (ч. 4 ст. 9 Закона о персональных данных). В остальных случаях фотографии граждан могут обрабатываться с соблюдением общих условий, предъявляемых к обработке ПД (ст. 6 названного закона).

Напомним, что ранее ведомство уже давало разъяснения по поводу отнесения некоторых категорий сведений о физических лицах к биометрическим ПД. Например, в числе таковых назывались фотоизображения, содержащиеся в системах пропускного режима организаций, - в отличие от копий паспортов, снимаемых в связи с заключением договоров, фотографий в личных делах работников и т. п. случаев, когда идентификация личности не является непосредственной целью обработки ПД (см. разъяснения Роскомнадзора от 30 августа 2013 г.). Однако в конце прошлого года этот документ был признан утратившим актуальность.

Отметим также, что совсем недавно Закон о персональных данных был дополнен новой нормой, которая предусматривает, что предоставление биометрических ПД не может быть обязательным, за исключением прямо предусмотренных этим законом случаев. Гражданину не может быть отказано в обслуживании по той причине, что он не предоставил биометрические ПД или согласие на их обработку, если в соответствии с законом получение оператором такого согласия не является обязательным.