Рынок коммерческой биометрии умер или есть нюансы, которые требуют разъяснений?
Все мы с вами знаем, что 29 декабря 2022 г. был одобрен закон 572-ФЗ "Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации".
Основные положения этого закона уже вступили в силу 1 июня 2023 г. Давайте разберемся в основных положениях 572-ФЗ и к каким изменениям он должен привести при использовании биометрии в коммерческих организациях.
В настоящее время биометрия широко используется в различных сферах: пропускные системы доступа для сотрудников и клиентов в различных организациях, доступ по лицу в современных многоквартирных домах и жилых центрах, доступ в образовательные и учебные заведения.
Отдельной статьей использование биометрии можно выделить банковской сектор и государственные информационные системы. Но этот сегмент мы разбирать в данной статье не будем, т.к. у них достаточно своих юристов и они в настоящее время владеют большей информацией, чем остальная общественность.
А что делать нам? Вендорам биометрических систем, руководителям коммерческих организаций, использующих в своей работе биометрические данные клиентов и сотрудникам, монтажным организациям и всем тем, кто в той или иной степени обрабатывает персональные данные?
Основные положения 572-ФЗ
Мы, конечно, не будем разбирать весь текст закона, с ним вы можете ознакомиться по ссылке, а постараемся выделить ключевые моменты, дальнейшая проработка которых, а также возможные поправки, к которым, позволят снять все вопросы и организовать работу, согласно государственным требованием по обработке биометрических данных.
Ключевые положения 572-ФЗ «О единой биометрической системе»
- Все организации, которые на своем предприятии занимаются обработкой биометрических персональных данных должны с 1 июня 2023 г. начать передавать данные своих клиентов и сотрудников в систему ГИС ЕБС (Единая биометрическая система).
- Единая биометрическая система (ЕБС) - создана в рамках нацпрограммы «Цифровая экономика РФ» для того, чтобы повысить доступность услуг и сервисов, в том числе для маломобильных или проживающих в отдалённых регионах граждан. Функции оператора ГИС «Единая биометрическая система» возложены на АО «Центр биометрических технологий» (ЦБТ), созданное в соответствии с указом Президента РФ № 693 от 30.09.2022. Важно! Система обрабатывает два типа биометрии: голос и лицо. Причем эти параметры обрабатываются не по отдельности, а вместе.
- Вводится новое понятие «Вектор единой биометрической системы» - персональные данные, полученные в результате математического преобразования биометрических персональных данных физического лица, содержащихся в единой биометрической системе, которое произведено с использованием информационных технологий и технических средств, соответствующих требованиям, определенным в соответствии с подпунктом "е" пункта 1 части 2 статьи 6 настоящего Федерального закона;
- Биометрические параметры физического лица могут обрабатываться только с использованием вектора единой биометрической системы. Для возможности использования биометрических данных, физическое лицо должно сдать свои биометрические данные в одном их отделений аккредитованных банков или отделений МФЦ.
- С 1 января 2024 г. на портале государственных услуг физическое лицо сможет управлять своим согласием на обработку своих биометрических персональных данных.
- Любая коммерческая организация не вправе отказать физическому лицу в оказании услуг, при отказе физического лица предоставить согласие на обработку его биометрических персональных данных.
Общая схема работы с персональными биометрическими данными на основе 572-ФЗ.
Если описать схему обработки персональных биометрических данных, которую подразумевает 572-ФЗ, то она выглядит следующим образом: на основе уже существующего опыта работы с персональными данными, который практикуется несколько лет в банковской схеме и различных государственных организаций, сервисов создается единая система хранения биометрических данных физических лиц.
Под биометрическими персональными данными подразумевается хранить и обрабатывать пару: лицо+голос. Доступ к данной системе получат только уполномоченные и аккредитованные организации, соблюдающие все необходимые требования, описанные в 572-ФЗ. Если организация хочет работать с персональными данными своих клиентов и сотрудников, то она должна пройти определенную аккредитацию и подключиться к ЕБС.
Согласно закону, все организациям нужно будет работать с единым вектором биометрических персональных данных, который появляется после сдачи гражданином своих биометрических данных в одном из отделений МФЦ. Работа с альтернативными биометрическими данными пока остается под вопросом.
Сроки вступления в силу 572-ФЗ и возможные штрафы за нарушение.
Повторимся, что закон вступил в силу 1 июня 2023 года. Правительство дало время на переходной период. Всем не аккредитованным организациям запрещается сбор биометрических персональных данных. Уже собранные биометрические персональные данные должны быть отправлены в ЕБС до 30 сентября 2023 г. С 1 декабря 2023 г. начинают действовать штрафные санкции.
При выявлении нарушений 572-ФЗ действуют штрафы от 60000 рублей, за каждый выявленный случай. С 1 января 2024 г. для граждан должна появиться возможность управлять своим согласием на обработку своих биометрических персональных данных.
Вопросы по федеральному закону 572-ФЗ
Разбор положений закона начался профильными компаниями, только в начале 2023 г. Основной интерес к закону со стороны бизнеса возник только после его вступления в силу 1 июня 2023 г. Сейчас закон требует проработку юристами, составление необходимых поправок и дополнений, получения разъяснений от государственных органах.
Основные вопросы, которые уже задает бизнес:
- Биометрические отпечатки пальцев относятся к 572-ФЗ? Нет, закон распространяется только на биометрические данные: голос, лицо.
- Как обрабатывать биометрические персональные данные иностранцев? В банках будет предусмотрена специальная процедура сдачи биометрических данных для иностранцев
- Как обрабатывать биометрические персональные данные детей до 18 лет? Закон 572-ФЗ допускает возможность обработки биометрических данных детей при получении согласия от законного представителя.
- Нужно ли передавать в ЕБС биометрические данные сотрудников (хранится только лицо), которые используются во внутренней локальной системе СКУД? Да, нужно.
- Нужно ли передавать фотографии клиентов и сотрудников, если они не обрабатываются автоматической системой СКУД, а проверяются сотрудником охраны (рецепции)? Нет. На вас действие 572-ФЗ не распространяется. В законе идет речь об обработки биометрических данных автоматизированными системами.
- Если у нас в организации установлено видеонаблюдение, нужно ли нам соответствовать 572-ФЗ и передавать данные в ЕБС? Нет. На вас действие 572-ФЗ не распространяется. В законе идет речь об обработке биометрических данных автоматизированными системами.
- Попадает ли использование только фотографии лица гражданина под определение обработки биометрических персональных данных, которые упоминаются в 572-ФЗ или это уже просто персональные данные или математическая модель персональных данных. Ждем разъяснений от юристов.
Для возможности использования биометрии по старой схеме, бизнесом на разных уровнях влияния, прорабатываются различные варианты соблюдения закона 572-ФЗ. Весь закон основан на требованиях к обработке биометрических персональных данных физических лиц. Если вам удастся доказать, что вы не обрабатываете биометрические данные (математическая модель которых, способы хранения и передачи прописаны в законе), то требования 572-ФЗ на вашу организацию не распространяется.
В ближайшее время предстоит коллективная работа юристов всех уровней: организаций, разрабатывающих математические алгоритмы для обработки биометрических данных, подрядчиков систем СКУД (прописывающих в договорах поставку не биометрических систем, а систем обработки персональных данных), юристов конкретного бизнеса, которые должны внести поправки в трудовые договора и внутренние акты организации.
Что нужно делать сейчас, чтобы не попасть под штрафы 572-ФЗ?
Если вы уже используете на своем предприятии биометрическую систему контроля доступа, то из положений закона 572-ФЗ следует организовать работу следующим образом:
- 1. С 1 июня 2023 г. собирать биометрию вне ЕБС запрещается! Организации необходимо остановить сбор биометрических персональных данных клиентов и сотрудников, до получения аккредитации.
- 2. Уже полученные биометрические персональные данные физических лиц нужно до 30 сентября 2023 г. передать в ЕБС и уничтожить, уведомив Роскомнадзор.
По текущей ситуации:
До 1 декабря 2023 г. установлен переходный период. Пока можно работать в текущем режиме.
Альтернативные системы СКУД на базе динамических QR-кодов
Скорее всего разъяснения по 572-ФЗ последуют в ближайшее время. Если рассматривать самый пессимистичный сценарий, при котором действие закона распространится на все варианты обработки биометрических данных в любых организациях, то скорее всего о биометрических системах Face ID контроля доступа можно будет забыть. Трудно представить, что клиенты фитнес клубов массового побегут в МФЦ для сдачи своих персональных данных.
В настоящее время наша компания разработала альтернативный вариант установки систем контроля доступа на основе формирования и считывания динамического QR-кода.
В целом данная система имеет аналогичный уровень защиты доступа на объект, исключающий различные варианты не санкционированного прохода. Если в вашей организации остро стоит система внедрения системы СКУД и вы не готовы ждать ясности в использовании биометрических систем, то мы с уверенностью можем предложить вам такой метод построения СКУД.
Послесловие
Конечно, нововведения государства носят благие цели, во всех странах применяется аналогичная практика по единому хранении биометрических персональных данных граждан. Обработка биометрических данных должна контролироваться и быть надежно защищена государством. Главное, как в любом деле, не перегнуть и здраво относится к распространению закона на отдельные виды деятельности, варианты использования биометрии и задачи бизнеса.
Со своей стороны мы следим за всеми изменениями в 572-ФЗ и будем корректировать материал в данной статье по мере получения новой информации.