Как выстроить рабочую альтернативу без конфликта?
Как мы уже знаем, биометрические персональные данные — это сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность, и которые используются оператором именно для установления личности.
Ключевой здесь критерий — цель обработки персональных данных. Роскомнадзор последовательно разъясняет: не каждое фото является биометрией.
Если фотография не используется для установления личности, то правовой режим по ст. 11 здесь не применяется.
И наоборот: если изображение используется в контуре допуска, прохода, это уже биометрические персональные данные.
В частности, как пишет Роскомнадзор:
В соответствии с п. 6 Перечня персональных данных, записываемых на электронные носители информации, содержащиеся в основных документах, удостоверяющих личность гражданина Российской Федерации, по которым граждане Российской Федерации осуществляют выезд из Российской Федерации и въезд в Российскую Федерацию, утвержденного постановлением Правительства Российской Федерации 04.03.2010 N 125, цветное цифровое фотографическое изображение лица владельца документа является биометрическими персональными данными владельца документа.
Другой пример:
В деле № А42-342/2017 суды поддержали подход, по которому фотографии, использовавшиеся в пропускном контуре, были признаны биометрическими персональными данными, а отсутствие письменного согласия — нарушением. Верховный Суд РФ отказал в передаче кассационной жалобы.
Таким образом, если лицо работника используется для прохода на объект, учета рабочего времени или доступа к системе как инструмент установления личности, то здесь действует специальный режим статьи 11 Закона № 152-ФЗ, а также общий принцип статьи 5: содержание и объем обрабатываемых персональных данных не должны быть избыточными по отношению к заявленной цели.
Что это означает на практике для HR?
1️⃣ Биометрию нельзя внедрять как единственный маршрут по умолчанию, если прямой федеральный закон этого не требует;
2️⃣ Отказ от биометрии не должен превращаться в отказ от исполнения трудовых обязанностей;
3️⃣ У работодателя должен быть альтернативный способ допуска работника;
4️⃣ Порядок прекращения обработки биометрических персональных данных нужно проектировать заранее, а не после жалобы субъекта или проверки.
