Фотографические изображения обучающихся, сотрудников и посетителей организации относят к биометрическим персональным данным?
Изображения сотрудников, учеников и посетителей организации могут быть отнесены к категории биометрических персональных данных, но не всегда. Ключевым фактором для определения их статуса является цель использования оператором.
Федеральный закон от 27.07.2006 №152-ФЗ «О персональных данных» (Закон №152-ФЗ) определяет биометрические персональные данные как информацию, которая отражает физиологические и биологические особенности человека и позволяет установить его личность. Эти данные используются оператором для идентификации субъекта.
Рассмотрим различные сценарии использования изображений:
- Идентификация личности. Если организация использует фотографии сотрудников для контроля доступа (например, система распознавания лиц), то эти фотографии считаются биометрическими персональными данными. В этом случае обработка таких данных должна соответствовать строгим требованиям Закона №152-ФЗ, включая необходимость получения согласия субъекта на обработку биометрических данных.
- Использование в других целях. Если фотографии используются, например, для оформления стенда с фотографиями сотрудников, размещения в корпоративной газете или для создания фотоархива для внутренних целей без использования для идентификации личности (например, просто для опознания сотрудника на общем собрании, без автоматической сверки с базой данных), то они, скорее всего, не будут считаться биометрическими персональными данными. В этом случае также нужно учитывать требования Закона №152-ФЗ и соблюдать права субъектов на защиту персональных данных, но требования к обработке будут менее строгими, чем для биометрических данных. В частности, согласие на обработку персональных данных (в данном случае изображений) может быть неявным (например, фотография сотрудника размещается на стенде с фото всех сотрудников после уведомления об этом сотрудников).
- Использование видеонаблюдения. Записи с камер видеонаблюдения, содержащие изображения лиц, могут рассматриваться как биометрические данные, если используется программное обеспечение для распознавания лиц. Если же записи используются только для обеспечения безопасности и просмотра в случае инцидентов без автоматического распознавания лиц, квалификация как биометрические данные будет спорной.
Гражданский кодекс РФ (статья 152.1) регулирует обнародование и использование изображения гражданина. Он не противоречит Закону №152-ФЗ, а дополняет его, устанавливая необходимость согласия на использование изображения. Это согласие обязательно в любом случае использования фотографии, вне зависимости от того, квалифицируется ли она как биометрические данные или нет.
Минкомсвязи России от 28.08.2020 №ЛБ-С-074-24059 «О методических рекомендациях», а также с Разъяснения Роскомнадзора "О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки" подтверждают возможность отнесения фотографий к биометрическим данным при их использовании для идентификации личности.
Сами по себе фотографии не являются автоматически биометрическими данными. Для их квалификации как таковых необходимо учитывать контекст использования: если оператор использует их для установления личности субъекта, то это биометрические персональные данные. Если же использование не связано с идентификацией личности, то, скорее всего, таким образом квалифицировать их нельзя, хотя общие правила обработки персональных данных, предусмотренные Законом №152-ФЗ, остаются обязательными. Во всех случаях необходимо соблюдать требования Гражданского кодекса РФ о получении согласия на использование изображения. При сомнениях рекомендуется обратиться за консультацией к специалистам в области защиты персональных данных.