Отнесение изображения лица к биометрическим персональным данным

Ответ: В данном случае фотография лица человека не является биометрическими персональными данными.

Согласно ст. 1 Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон о защите персональных данных) биометрические персональные данные – это информация, характеризующая физиологические и биологические особенности человека, которая используется для его уникальной идентификации (отпечатки пальцев рук, ладоней, радужная оболочка глаза, характеристики лица и его изображение и др.).

Для отнесения персональных данных к биометрическим данным необходимо, чтобы одновременно выполнялись два условия:

• эта информация характеризует физиологические и биологические особенности человека;
• эта информация используется для уникальной идентификации такого лица.

Важно. 
Уникальная идентификация предполагает наличие специальных технических средств, обеспечивающих уникальное сопоставление изображения человека, отпечатков пальцев рук и др. с имеющимся в базе образцом.

Отнесение к биометрическим персональным данным любого изображения лица человека (например, скан-копия паспорта, фотография работника для пропуска и т.п., когда идентификация происходит не с использованием специальных технических средств, а путем только визуального сличения) ‒ достаточно распространенная ошибка.

Фото- и видеоизображения человека (в том числе на сайте, в аккаунте в соцсетях, в постах) также не являются специальными биометрическими персональными данными.

Вместе с тем такие изображения лица человека остаются персональными данными и подпадают под действие Закона о защите персональных данных.

Указанная позиция подтверждается в комментариях к Закону о защите персональных данных под авторством руководства и сотрудников НЦЗПД (далее – комментарий) (комментарий к ст. 1).

Постатейный комментарий к Закону о защите персональных данных доступен по ссылке.

Следует отметить, что в п. 51 преамбулы к Общему регламенту Европейского союза о защите персональных данных № 2016/679 (GDPR) также указано, что обработка фотографий не должна считаться обработкой особых категорий персональных данных, поскольку они охвачены определением понятия «биометрические данные», только когда они обрабатываются посредством особых технических средств, позволяющих провести уникальную идентификацию или аутентичность физического лица (комментарий к ст. 1).

Таким образом, фотографии работников, переданные ими нанимателю при приеме на работу, не относятся к биометрическим персональным данным, и порядок обработки специальных персональных данных на них не распространяется.

Иная ситуация складывается, например, когда работнику выдается пропуск и при прохождении проходной с использованием специального программного обеспечения осуществляется распознавание лица посетителя и сопоставление его с образцом, сохраненным в базе данных. В такой ситуации имеет место обработка биометрических персональных данных (комментарий к ст. 1).

Другими примерами обработки биометрических персональных данных являются включение телефона по отпечатку пальца, сканирование радужной оболочки глаз и др. (комментарий к ст. 1).

Отнесение сведений к персональным данным или биометрическим персональным данным имеет важное практическое значение. Так, в ст. 8 Закона о защите персональных данных установлен более ограниченный круг оснований для их обработки по сравнению с обычными персональными данными. Кроме того, согласно п. 3 ст. 8 Закона обработка специальных персональных данных допускается лишь при условии принятия комплекса мер, направленных на предупреждение рисков, которые могут возникнуть при обработке таких персональных данных для прав и свобод субъектов персональных данных. Наконец, к информационным ресурсам (системам), содержащим специальные персональные данные, предъявляются более серьезные требования с точки зрения технической защиты информации, что влияет на стоимость выполнения соответствующих мероприятий (комментарий к ст. 1).