Фотографии, материалы видеосъемки или данные об узорах отпечатков пальцев гражданина — все эти сведения относятся к биометрическим персональным данным, для использования которых требуется письменное согласие гражданина. Но только при условии, что такое использование имеет целью установление личности человека. Правда, видеосъемка в общественном месте, на идентификацию личности не направленная, тоже требует согласия граждан, попавших в кадр. По мнению Роскомндазора, такое согласие предполагается, если в помещении были размещены соответствующие информационные таблички.
На официальном сайте Роскомнадзора www.rkn.gov.ru, уполномоченного органа по защите прав субъектов персональных данных, несколько дней назад были размещены разъяснения по вопросам отнесения фото- и видеоизображений, дактилоскопических данных к биометрическим персональным данным и особенностям их обработки (абз. 2 п. 1 Положения, утв. постановлением Правительства РФ от 16.03.2009 № 228). Разъяснения подготовлены по результатам совместного обсуждения с экспертным сообществом.
К биометрическим персональным данным относятся сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных (ч. 1 ст. 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее — Закон). Оператором биометрических персональных данных признается государственный или муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели их обработки, состав подлежащих обработке сведений, действия (операции), совершаемые с ними (п. 2 ст. 3 Закона). По сути оператором может быть любое лицо, имеющее доступ к персональным данным того или иного субъекта.
В разъяснениях Роскомнадзор выделил три основных признака, при наличии которых сведения могут быть отнесены к биометрическим персональным данным (далее — БПД):
- сведения характеризуют физиологические и биологические особенности человека (дактилоскопическая информация, радужная оболочка глаз, анализы ДНК, рост, вес и другие), а также иные физиологические или биологические характеристики человека (в том числе фотография и видеозапись человека);
- сведения являются основанием для установления личности человека;
- сведения используются оператором именно с целью установления личности субъекта таких данных.
Отнесение сведений персонального характера к БПД и их последующая обработка должны рассматриваться в рамках проводимых оператором мероприятий, направленных на установление личности конкретного лица, по общему правилу только при наличии на то его письменного согласия (ч. 1 ст. 11 Закона). Но есть и исключения, связанные с реализацией международных договоров РФ о реадмиссии, с осуществлением правосудия и исполнением судебных актов, а также в некоторых иных случаях (ч. 2 ст. 11 Закона, ст. 152.1 ГК РФ).
Фотографии могут быть биометрическими данными лишь один раз
В ряде нормативных актов фотографическое изображение относится к БПД, например, цветное цифровое фотографическое изображение лица владельца документа (п. 6 Перечня персональных данных, записываемых на электронные носители информации, содержащиеся в основных документах, удостоверяющих личность гражданина РФ, по которым граждане РФ пересекают границу РФ, утв. постановлением Правительства РФ от 04.03.2010 № 125).
Роскомнадзор разъясняет, что к БПД относятся фотографические изображения сотрудников и посетителей и иные сведения, используемые для обеспечения однократного и (или) многократного прохода на охраняемую территорию и установления личности гражданина при использовании системы контроля управления доступа (СКУД). Действия по обработке таких данных должны осуществляться только при наличии письменного согласия сотрудников и посетителей.
Когда же сканирование или ксерокопирование паспорта осуществляется оператором для подтверждения осуществления определенных действий конкретным лицом (например, заключение договора на оказание услуг, в том числе банковских, медицинских и др.) без проведения процедур идентификации (установления личности), данные действия не могут считаться обработкой БПД, и согласия на их обработку не требуется.
Также не требуется согласия на обработку таких данных, как фотографическое изображение, содержащееся в личном деле работника, или подпись лица, наличие которой в документе является обязательным требованием. Все они не могут рассматриваться как БПД, поскольку действия с использованием указанных данных направлены не на установление личности человека, а на факт их принадлежности конкретному лицу, чьи персональные данные у оператора уже имеются. По той же причине не требует письменного согласия субъекта персональных данных на опубликование, в том числе редакцией СМИ, фотографического изображения в случаях, предусмотренных ст. 152.1 ГК РФ (см. подробнее материал на с. 13), а также полученного из общедоступных источников.
Таким образом, использование БПД для установления личности, которое проводится при первичном посещении органов власти, организаций и предпринимателей, за некоторыми исключениями, требует письменного согласия субъекта персональных данных. При повторном предъявлении гражданином удостоверяющего личность документа такого согласия получать уже не нужно.
О видеосъемке в публичных местах необходимо предупреждать работников и посетителей
Видеонаблюдение может осуществляться только для конкретных и заранее определенных целей, которые должны соответствовать положениям нормативных актов, устанавливающих правовые основания видеонаблюдения (видеосъемки). К ним, например, относится постановление ЦИК России от 26.09.2012 № 142/1076-6 «О Порядке применения средств видеонаблюдения и трансляции изображения в помещениях для голосования на выборах и референдумах, проводимых в Российской Федерации» и др. На сегодняшний день видеокамеры могут быть размещены и в других общественных местах, например, в супермаркетах или даже на рабочем месте. Поскольку четких границ такого использования видеокамер законодательством не установлено, Роскомнадзор дал разъяснения и по этому вопросу.
Материалы видеосъемки в публичных местах и на охраняемой территории до передачи их для установления личности снятого человека не являются БПД, обработка которых регулируется общими положениями Закона, поскольку не используются владельцем видеокамеры или лицом, организовавшим ее эксплуатацию, для установления личности гражданина (граждан). Но как только указанные материалы передаются органам оперативно-разыскной деятельности, дознания и следствия, они становятся БПД при наличии вышеуказанной цели. Но для обработки этих данных не требуется письменное согласие гражданина (см. ч. 2 ст. 11 Закона).
Роскомнадзор дал интересные и для работодателей разъяснения относительно ведения видеонаблюдения в рабочих помещениях с целью фиксации возможных действий противоправного характера. В таких случаях работники должны быть уведомлены письменно под роспись за два месяца до начала ведения видеосъемки об изменении условий трудового договора (ст. 74 ТК РФ). Правда, данная статья ТК РФ регулирует порядок изменения условий трудового договора, избежать которого невозможно в силу изменения организационных или технологических условий труда (например, введение в эксплуатацию нового оборудования, которое влечет изменение должностных обязанностей сотрудников). Но не всегда видеонаблюдение в рабочих помещениях можно назвать изменением организационных или технологических условий труда. Все зависит от конкретных обстоятельств. Следует отметить, что отказ работника от работы в условиях видеосъемки может служить основанием для его увольнения по п. 7 ч. 1 ст. 77 ТК РФ (абз. 4 ст. 74 ТК РФ), если другой подходящей работы для него в компании не найдется.
Если же съемка в публичных помещениях ведется открыто (скажем, в зале общего обслуживания в ресторане или в операционном зале банка), то владелец соответствующего помещения обязан разместить в нем информационные текстовые или графические предупреждения о ведении фото-, видеосъемки. В этом случае согласие субъектов персональных данных не потребуется.
В разъяснениях отдельно отмечены случаи видеонаблюдения за рабочим местом сотрудника для контроля качества предоставляемых услуг. Для этого работодателю необходимо принять локальные нормативные акты, которыми должны быть предусмотрены порядок и сроки хранения видеозаписей, а также ответственные лица, имеющие доступ к системе видеонаблюдения. Необходимо также разместить информационные таблички в зонах видимости камер.
Также Роскомнадзор уделил внимание и обработке дактилоскопической информации (ДИ), к которой относятся отпечатки пальцев и (или) ладоней рук человека, позволяющие установить его личность (абз. 3 ст. 1 Федерального закона от 25.07.98 № 128-ФЗ «О государственной дактилоскопической регистрации в Российской Федерации»). Здесь никаких оговорок нет — для использования отпечатков пальцев граждан необходимо их письменное согласие, за исключением случаев, прямо установленных в Законе (ч. 2 ст. 11).