Обработка биометрических данных несовершеннолетних не тот случай, где можно ограничиться типовой формой согласия.
Риск в том, что 152-ФЗ не закрепляет прямого порядка для обработки биометрии детей. Закон отдельно говорит о недееспособных лицах, но не раскрывает, как действовать с малолетними лицами от 6 до 14 лет и несовершеннолетними от 14 до 18 лет. Особенно спорным становится вопрос: кто вправе дать согласие на обработку биометрических ПДн ребенка?
Суды в отдельных делах допускали обработку биометрических данных несовершеннолетних с согласия законного представителя. Такой подход встречается, например, в Постановлении Шестого кассационного суда общей юрисдикции от 11.12.2023 № 16-6349/2023 и Постановлении Седьмого кассационного суда общей юрисдикции от 24.07.2020 № 16-2185/2020. В этих актах суды ссылались на ч. 1, п. 2 ч. 4, ч. 6 ст. 9 и ч. 1 ст. 11 152-ФЗ и приходили к выводу о том, что письменное согласие может быть дано представителем субъекта, включая законного представителя. Но для оператора это не снимает риск полностью.
Проблема в том, что ч. 6 ст. 9 152-ФЗ регулирует обработку персональных данных категории недееспособных лиц. А несовершеннолетние не всегда являются недееспособными: ГК РФ отдельно выделяет дееспособность малолетних от 6 до 14 лет и несовершеннолетних от 14 до 18 лет.
Позиция регуляторов осторожнее. В письме Минцифры от 17.07.2020 № ОП-П24-070-19433 и письме Роскомнадзора от 10.02.2020 № 08АП-6782 указано, что: по ч. 1 ст. 11 152-ФЗ согласие на обработку биометрических персональных данных должно предоставляться именно субъектом персональных данных. Возможность делегировать это право законному представителю прямо не установлена.
Что это значит на практике?
Перед обработкой биометрии несовершеннолетних оператору нужно проверить не форму согласия, а всю правовую модель.
ЧТО ПРОВЕРИТЬ:
1️⃣Есть ли прямое основание в законе
Если обработка биометрии предусмотрена законом, она допустима и без получения согласия.
Такие случаи указаны в ч. 2 ст. 11 152-ФЗ: например, обработка в связи с правосудием, исполнением судебных актов, обязательной дактилоскопической или геномной регистрацией, вопросами обороны, безопасности, противодействия терроризму, транспортной безопасности, коррупции, ОРД, госслужбы, миграционного учета, нотариата и другими прямо указанными основаниями.
2️⃣Какой возраст у субъекта
Для несовершеннолетних от 14 до 18 лет нужно оценить, может ли лицо вступать в соответствующие правоотношения в пределах своей дееспособности по ГК РФ.
Если может — более безопасной выглядит модель, где согласие дает сам несовершеннолетний субъект данных.
Если не может — обработка биометрии становится рискованной.
3️⃣Есть ли малолетние лица от 6 до 14 лет
С учетом позиции регуляторов такие лица в любом случае не могут самостоятельно представлять согласия на обработку их данных.
А поскольку возможность заменить такое согласие согласием законного представителя прямо не предусмотрена и даже отвергается регуляторами, безопаснее исключать обработку биометрических данных малолетних, если нет специального законного основания.
4️⃣Не относится ли процесс к ЕБС
Для Единой биометрической системы действует специальное регулирование. Распоряжение Правительства РФ от 30.06.2018 № 1322-р предусматривает возможность предоставления согласия законным представителем. Подробнее о регулировании ЕБС.
5️⃣Можно ли достичь цели без биометрии
Даже при наличии основания оператору нужно проверить неизбыточность обработки.
Если цель можно достигнуть иным менее чувствительным способом, биометрия может выглядеть избыточной.
Также нужно предусмотреть альтернативу на случай отказа субъекта от предоставления согласия.
Биометрия несовершеннолетних — это про правовую модель. Проверьте с Б-152, кто дает согласие, есть ли основание и можно ли обойтись без биометрии.
