Биометрические персональные данные: что это, ЕБС и когда нужно согласие

По части 1 статьи 11 152-ФЗ биометрическими персональными данными признаются сведения, которые характеризуют физиологические и биологические особенности человека, позволяют установить его личность и которые оператор использует именно для установления личности. Норма прямо требует одновременного выполнения двух условий — сведения должны и характеризовать особенности человека, и применяться оператором как способ идентификации, а не просто храниться как факт факт.

Отсюда практический вывод: сам факт, что у оператора есть фотография, запись голоса или другие подобные сведения о человеке, ещё не делает их биометрическими персональными данными. Статус зависит от того, как именно оператор эти данные использует. Фотография в личном деле, которую никто не сверяет с человеком алгоритмически, — это обычные персональные данные; та же фотография, пропущенная через систему распознавания лиц на входе в офис, — уже биометрия оценка: прямо норма этот вывод не формулирует, он следует из буквального прочтения двух условий части 1.

Отдельно часть 3 той же статьи закрепляет: предоставление биометрических персональных данных не может быть обязательным, кроме случаев из части 2 (раздел ниже), и оператор не вправе отказать субъекту в обслуживании из-за того, что тот не предоставил биометрию, если согласие на неё не обязательно по федеральному закону факт.

Список видов биометрии в статье 11 152-ФЗ не закрыт — закон называет отпечатки пальцев, изображение лица и голос как примеры, но формально к биометрическим ПДн относится любое сведение, которое отвечает двум условиям выше. При этом закрытому перечню 572-ФЗ (и, соответственно, специальным правилам ЕБС) подчиняются только два вида — изображение лица и запись голоса.

Остальное регулируется общим режимом ст. 11, но не подпадает под требования ЕБС — обязательное размещение, запрет локального хранения и так далее.

↔ таблицу можно прокрутить вбок

Короткое правило для памяти: не всякая обработка биометрии по 152-ФЗ подпадает под 572-ФЗ. И наоборот — 572-ФЗ не заменяет общий режим согласия по статье 11, а добавляет к нему специальные требования именно для лица и голоса в контексте идентификации через ЕБС оценка.

По общему правилу биометрические персональные данные обрабатываются только при наличии письменного согласия субъекта (ч. 1 ст. 11 152-ФЗ). Реквизиты, которые обязано содержать письменное согласие, — общие для всех случаев письменной формы по 152-ФЗ и подробно разобраны на споке согласие на обработку персональных данных; здесь их не дублируем.

Без согласия обработка биометрии допускается в случаях из части 2 статьи 11 — закон связывает их с:

• реализацией международных договоров РФ о реадмиссии;
• осуществлением правосудия и исполнением судебных актов;
• обязательной государственной дактилоскопической регистрацией;
• обязательной государственной геномной регистрацией;
• законодательством об обороне, безопасности, противодействии терроризму, транспортной безопасности, противодействии коррупции, оперативно-разыскной деятельности;
• законодательством о государственной службе, уголовно-процессуальным и уголовно-исполнительным законодательством;
• законодательством о порядке выезда из РФ и въезда в РФ, о гражданстве, о правовом положении иностранных граждан, о миграционном учёте;
• законодательством о нотариате.

Практический пример из последней категории — эксперимент МВД России по обязательной сдаче биометрии для иностранных граждан, въезжающих в РФ без визы (кроме граждан Белоруссии, детей до 6 лет и дипломатов): он проводится с 1 декабря 2024 года по 30 июня 2026 года и является отдельным нормативным режимом, не относящимся ни к 152-ФЗ, ни к 572-ФЗ.

Для граждан РФ сдача биометрии в рамках этого режима не требуется оценка, по данным РБК.

Масштаб темы можно оценить косвенно: в реестре операторов ПДн Роскомнадзора на 08.07.2026 зарегистрировано более 2,6 млн операторов оценка, pd.rkn.gov.ru. Это счётчик всех операторов персональных данных, а не только тех, кто собирает биометрию, — но письменное согласие на биометрию обязан получать каждый из них, если он вообще с ней работает.

Единая биометрическая система — государственная информационная система, созданная Федеральным законом от 29.12.2022 № 572-ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных...». Основные положения закона вступили в силу 1 июня 2023 года факт.

Главное ограничение: в ЕБС размещаются и обрабатываются только два вида биометрии — изображение лица, полученное фото-видеоустройством, и запись голоса, полученная звукозаписывающим устройством (ст. 3 ч. 4 572-ФЗ). Расширить этот закрытый перечень можно только по предложению координационного совета, который формирует Правительство РФ. Отпечатки пальцев, радужка, ДНК и рисунок вен ладони в ЕБС не размещаются и специальными правилами этого закона не регулируются — для них действует только общий режим ст.

11 152-ФЗ, разобранный выше.

С 1 июня 2023 года сбор и хранение исходных биометрических образцов лица и голоса вне ЕБС для целей идентификации и аутентификации запрещены; данные, которые операторы собрали до этой даты, подлежали передаче в ЕБС и уничтожению в исходном виде — по опубликованным вторичным источникам, в срок до 30 сентября 2023 года оценка, точную статью закона с переходными положениями стоит сверить отдельно перед юридическим применением.

Отдельная норма закона (ст. 4 ч. 14–15) обязывала разместить в ЕБС и уже собранную ранее биометрию без нового согласия субъекта, но с уведомлением не менее чем за 30 дней и с правом субъекта возразить против размещения.

Для коммерческих организаций, которые работают с изображением лица или голосом в целях идентификации через ЕБС, действует запрет хранить у себя исходные образцы этих данных — они подлежат передаче в систему (см. раздел выше). Для отпечатков, радужки, ДНК и вен ладони такого запрета нет: организация, которая, например, использует отпечатки пальцев для контроля доступа в офис, действует по общему режиму ст.

11 152-ФЗ, а не по специальным требованиям 572-ФЗ оценка: прямой нормы на этот счёт нет, вывод сделан по сопоставлению разделов выше.

За нарушения в сфере ЕБС и обработки биометрии предусмотрена административная и уголовная ответственность — по двум самостоятельным нормам:

↔ таблицу можно прокрутить вбок

Статья 13.11.3 КоАП РФ касается именно нарушений в государственной информационной системе ЕБС — то есть биометрии лица и голоса. Статья 272.1 УК РФ шире: она прямо называет биометрические персональные данные (наряду с данными несовершеннолетних и специальными категориями) отягчающим признаком состава — санкции по части 2 строже, чем по базовой части 1 этой же статьи, а при трансграничной передаче таких данных или тяжких последствиях предусмотрены более длительные сроки лишения свободы.

Отдельная и более крупная категория санкций — оборотные штрафы за утечку персональных данных, включая биометрические, — разобрана на споке согласие на обработку персональных данных и в соседних материалах о штрафах за утечку.

Обработка биометрических персональных данных — и по общему режиму ст. 11 152-ФЗ, и тем более в связке с ЕБС — требует повышенных организационно-технических мер защиты: специального режима информационной системы персональных данных, как правило более высокого уровня защищённости, и применения сертифицированных средств криптографической защиты информации (класс СКЗИ) — в том числе для хранения ключей шифрования биометрических шаблонов используют аппаратные модули безопасности (HSM).

Расчёт конкретного уровня защищённости и состав обязательных мер зависят от категории и объёма обрабатываемых данных — подробный разбор на споках уровни защищённости ИСПДн и приказ ФСБ № 378, здесь эту тему не дублируем.