Коротко: Согласие на обработку биометрии нужно почти всегда, кроме случаев реадмиссии, правосудия и обязательной государственной регистрации. Оно должно быть письменным, конкретным и информированным, а отказ в услуге без него незаконен.
Согласие на обработку биометрических персональных данных – это не просто галочка в договоре. Закон предъявляет к нему особые требования, и ошибка здесь может стоить бизнесу репутации и серьёзных штрафов. В этой статье разберём, когда такое согласие нужно, как его правильно оформить, какие данные считаются биометрическими и что делать, если человек отказывается его давать.
Что такое биометрические персональные данные по 152-ФЗ
Биометрические персональные данные – это сведения, которые характеризуют физиологические и биологические особенности человека. По ним можно однозначно идентифицировать личность. К ним относятся:
- Изображение лица (фотография, видеозапись)
- Отпечатки пальцев
- Голос
- Радужная оболочка глаза
- Генетическая информация (ДНК)
- Особенности походки, жестов
Важно: не всякая фотография сотрудника в базе – биометрия. Если фото используется только для внутреннего пропуска и не связано с автоматической идентификацией, это может считаться обычными персональными данными. Но если вы используете систему распознавания лиц по камерам – это уже биометрия.
Когда требуется согласие на обработку биометрических персональных данных
По закону (ст. 11 152-ФЗ) согласие на обработку биометрических персональных данных нужно всегда, кроме нескольких исключений. Основное правило: обрабатываются ТОЛЬКО с письменным согласием субъекта.
Без согласия биометрию можно обрабатывать только в случаях ч. 2 ст. 11: реадмиссия по международным договорам, правосудие и исполнение судебных актов, обязательная государственная дактилоскопическая и геномная регистрация, а также случаи, предусмотренные законодательством об обороне, безопасности, противодействии терроризму, транспортной безопасности, противодействии коррупции, о выезде и въезде, гражданстве, правовом положении иностранцев и др.
Для обычного бизнеса таких исключений нет. Во всех остальных случаях – работаете ли вы с биометрией сотрудников (пропускная система с отпечатками пальцев) или клиентов (биометрия в банке, распознавание лиц в отеле) – нужно получать отдельное письменное согласие.
Согласие требуется, кроме случаев, перечисленных в ч. 2 ст. 11.
| Ситуация | Нужно ли согласие |
|---|---|
| Реадмиссия по международным договорам | Нет |
| Отправление правосудия / исполнение судебных актов | Нет |
| Обязательная государственная дактилоскопическая / геномная регистрация | Нет |
| Биометрия сотрудников (пропускная система с отпечатками пальцев) | Да |
| Биометрия клиентов (банк, распознавание лиц в отеле) | Да |
Как правильно оформить согласие на обработку биометрических персональных данных
Согласие на обработку биометрических персональных данных должно быть:
- Конкретным – указано, какие именно данные собираются (фото, голос, отпечатки)
- Предметным – для какой цели (например, для прохода в офис)
- Информированным – человек понимает, что происходит
- Сознательным и однозначным – без двусмысленностей
Форма: письменная. Это не обязательно бумажный документ – подойдёт электронный документ, подписанный электронной подписью по 63-ФЗ (простая подпись – только если есть соглашение об этом, например код из СМС по договору). Просто галочки в чекбоксе недостаточно.
Что должно быть в тексте согласия
В согласии на обработку биометрических персональных данных обязательно указать:
- ФИО и адрес субъекта, номер основного документа, удостоверяющего личность, сведения о дате выдачи документа и выдавшем его органе
- Данные представителя и реквизиты документа о его полномочиях (если согласие даёт представитель)
- Наименование (ФИО) и адрес оператора, получающего согласие
- Цель обработки (зачем вам эти данные)
- Перечень конкретных биометрических данных (какие именно)
- Наименование (ФИО) и адрес лица, обрабатывающего данные по вашему поручению, если обработка будет ему поручена
- Перечень действий с данными и общее описание используемых способов обработки
- Срок действия согласия и способ его отзыва
- Подпись субъекта (электронная подпись – для электронного документа)
Состав определён ч. 4 ст. 9 152-ФЗ.
Если согласие даёт законный представитель (родитель ребёнка, опекун), в нём указывают его ФИО, адрес, номер документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе, а также реквизиты доверенности или иного документа, подтверждающего полномочия (п. 2 ч. 4 ст. 9).
Согласие на обработку биометрических персональных данных несовершеннолетних
Особый случай – дети. 152-ФЗ прямо не фиксирует возрастной порог для согласия на биометрию. По аналогии со ст. 28 и 26 ГК РФ:
- До 14 лет – согласие даёт один из родителей или иной законный представитель
- С 14 до 18 лет – безопаснее получать и согласие подростка, и согласие родителя (кроме эмансипированных)
Можно ли отказать в услуге, если человек не даёт согласие на биометрию
Это один из самых частых вопросов. Ответ: нет, нельзя. Закон (ч. 3 ст. 11 152-ФЗ) прямо говорит: оператор НЕ вправе отказать в услуге при отказе субъекта дать биометрию или согласие, если по закону это согласие не обязательно.
То есть:
- Если вы продаёте товары в интернет-магазине – вы не можете требовать селфи с паспортом для оформления заказа
- Если вы сдаёте квартиру – не можете требовать отпечатки пальцев для ключей
- Если вы оказываете медицинские услуги – не можете требовать биометрию для записи
Исключение – случаи ч. 2 ст. 11 (например, обязательная дактилоскопическая регистрация, миграционный учёт). Но в обычном бизнесе – отказ в услуге из-за отсутствия согласия на биометрию незаконен.
Как долго хранить согласие на обработку биометрических персональных данных
После того как согласие отозвано или истёк срок его действия, оператор обязан уничтожить данные в течение 30 дней (ст. 21 152-ФЗ). Если уничтожить данные в этот срок невозможно, их блокируют и уничтожают не позднее чем через 6 месяцев (ч. 6 ст. 21 152-ФЗ).
Само согласие как документ нужно хранить 3 года с момента истечения или отзыва (приказ Росархива № 236). Это важно для подтверждения законности обработки в случае проверки Роскомнадзора.
Что будет за нарушение правил обработки биометрии
Нарушение требований к согласию на обработку биометрических персональных данных – это административное правонарушение. Штрафы по КоАП (ст. 13.11) могут быть значительными. Точные суммы зависят от конкретного состава нарушения и могут меняться – уточняйте актуальный размер на момент обращения.
Кроме того, если утечка биометрических данных произошла из-за отсутствия надлежащего согласия или нарушения правил обработки, возможны:
- Штраф для организаций 15–20 млн ₽ за утечку биометрии (ч. 17 ст. 13.11 КоАП, 420-ФЗ, с 30.05.2025)
- Оборотный штраф при повторной утечке – 1–3% годовой выручки, но не менее 25 млн ₽ для биометрии и не более 500 млн ₽ (ч. 18 ст. 13.11 КоАП)
В особо тяжёлых случаях – уголовная ответственность (ст. 272.1 УК РФ, действует с 11.12.2024): штраф до 300 000 ₽, принудительные работы или лишение свободы до 4 лет.
Как отозвать согласие на обработку биометрических персональных данных
Субъект имеет право отозвать согласие в любой момент. Процедура:
- Направить оператору отзыв согласия – удобнее письменно, чтобы остался след
- Оператор обязан прекратить обработку и уничтожить данные в течение 30 дней
- Если оператор не уничтожил данные – можно жаловаться в Роскомнадзор
Важно: отзыв согласия на биометрию не означает автоматического отзыва согласия на обработку других персональных данных. Это отдельные документы.
Практические рекомендации для бизнеса
- Разделяйте согласия – согласие на обработку биометрических персональных данных должно быть отдельным документом, а не пунктом в общем договоре
- Используйте письменную форму – электронная подпись или бумажный документ
- Указывайте цель – чётко и конкретно
- Не требуйте биометрию без необходимости – если можно обойтись без неё, не собирайте
- Храните согласия 3 года после окончания обработки
- Уничтожайте данные после отзыва согласия в течение 30 дней
- Проверяйте законность – если вы не уверены, нужно ли согласие в вашем случае, проконсультируйтесь с юристом
Главное
Согласие на обработку биометрических персональных данных – это строго регламентированная процедура. Оно должно быть письменным, конкретным, информированным и добровольным. Отказ клиента дать биометрию не может быть основанием для отказа в услуге. Нарушение правил грозит серьёзными штрафами и даже уголовной ответственностью. Если вы работаете с биометрией – убедитесь, что ваше согласие на обработку биометрических персональных данных оформлено правильно и соответствует всем требованиям закона.
Частые вопросы
Что относится к биометрическим персональным данным?
К ним относятся изображение лица (фотография, видеозапись), отпечатки пальцев, голос, радужная оболочка глаза, генетическая информация (ДНК), особенности походки и жестов. Это сведения, которые характеризуют физиологические и биологические особенности человека и позволяют однозначно идентифицировать личность.
Можно ли отказать клиенту в услуге, если он не даёт согласие на биометрию?
Нет, нельзя. Оператор не вправе отказать в услуге при отказе субъекта дать биометрию или согласие, если по закону это согласие не обязательно. Исключение – случаи, когда биометрия обязательна по закону (ч. 2 ст. 11), например обязательная дактилоскопическая регистрация.
Как быстро нужно уничтожить биометрические данные после отзыва согласия?
Оператор обязан уничтожить данные в течение 30 дней после отзыва согласия или истечения срока его действия, если нет другого законного основания хранить их. Если уничтожить данные в этот срок невозможно, их блокируют и уничтожают не позднее чем через 6 месяцев.
Сколько хранить само согласие на обработку биометрии?
Согласие как документ нужно хранить 3 года с момента истечения или отзыва. Это важно для подтверждения законности обработки в случае проверки Роскомнадзора.
Кто даёт согласие на биометрию за ребёнка?
До 14 лет согласие даёт один из родителей или иной законный представитель (по аналогии со ст. 28 ГК РФ). С 14 до 18 лет, по аналогии со ст. 26 ГК РФ, безопаснее получать и согласие подростка, и согласие родителя, кроме эмансипированных.
На что опираемся
- 152-ФЗ «О персональных данных» – ст. 11 (согласие на обработку биометрических персональных данных)
- 152-ФЗ «О персональных данных» – ч. 3 ст. 11 (запрет отказа в услуге при отказе дать биометрию)
- 152-ФЗ «О персональных данных» – ч. 4 ст. 9 (содержание письменного согласия)
- КоАП РФ – ст. 13.11 (штрафы за нарушение правил обработки персональных данных)
- УК РФ – ст. 272.1 (уголовная ответственность за незаконный оборот персональных данных)
- Приказ Росархива № 236 (срок хранения согласия)
- Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
- Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
- Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.