Биометрия сотрудников на проходной какие документы оформить по 152-ФЗ

Компания меняет пропуска на сканер лица или отпечатка пальца и становится оператором биометрических персональных данных. Разбираем, какое согласие получить у сотрудников, какие документы подготовить по 152-ФЗ и что делать с шаблоном при увольнении.

Компания меняет пропуска на проходной. Вместо карты сотрудник прикладывает палец к сканеру, система сверяет отпечаток с базой и открывает турникет. Так собираются биометрические персональные данные, и 152-ФЗ регулирует их отдельно от обычных данных вроде ФИО или номера телефона.

Почему биометрия отдельная категория данных

Статья 11 152-ФЗ выделяет биометрические персональные данные в отдельную категорию. Это сведения, которые характеризуют физиологические и биологические особенности человека и позволяют установить его личность: отпечаток пальца, рисунок вен ладони, черты лица со сканера. Работодатель, который ставит такую систему на проходной или для учёта рабочего времени, становится оператором биометрических персональных данных со всеми обязанностями по 152-ФЗ.

Какое согласие нужно получить

Обработка биометрических данных требует письменного согласия сотрудника. Его оформляют отдельно от согласия на обработку обычных персональных данных. В нём указывают, какую именно биометрию собирают, для какой цели, кто её обрабатывает и сколько хранят.

Согласие должно быть добровольным. Если сотрудник отказывается сдавать биометрию, работодатель обязан предложить сотруднику другой способ идентификации, например пропуск, карту или код у охраны. Уволить или наказать сотрудника за отказ нельзя. Трудовые инспекции и суды уже разбирали похожие споры и вставали на сторону работника.

Локальный акт с формулировкой «биометрия обязательна для всех» создаёт риск для компании. Согласие, полученное под давлением, не считается свободным. Обработка данных без действительного согласия подпадает под статью 13.11 КоАП РФ.

Какие документы подготовить

Для законной работы биометрической системы компании нужен пакет документов.

• Письменное согласие сотрудника на обработку биометрических персональных данных. Оформляют как отдельный документ, а не пункт трудового договора.
• Положение об обработке персональных данных с разделом про биометрию. В нём прописано, кто отвечает за систему, где хранится шаблон и кто имеет к нему доступ.
• Уведомление сотрудников о целях сбора и сроке хранения биометрии. Готовят до того, как система заработает.
• Приказ о назначении ответственного за обработку и защиту персональных данных.
• Модель угроз безопасности информации для системы, которая хранит биометрические шаблоны. Обычно её готовит интегратор системы или специалист по информационной безопасности.

Что делать при увольнении

Биометрический шаблон сотрудника нельзя хранить дольше, чем нужно для целей обработки. При увольнении шаблон удаляют из базы системы контроля доступа. Это делает тот, кто администрирует систему, обычно IT-служба или служба безопасности. Дату удаления фиксируют в журнале. При проверке Роскомнадзора эта запись подтверждает, что компания не хранит данные уволенных сотрудников без оснований.

Проверить, готова ли компания к визиту инспектора по этому и другим пунктам, поможет

Чек-лист готовности к проверке Роскомнадзора

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд

Частые вопросы

Нужно ли согласие, если камера просто распознаёт лицо для видеонаблюдения, без привязки к личности?

Нет. Если система не сопоставляет лицо с конкретным человеком и не сохраняет шаблон для идентификации, это обычное видеонаблюдение. Как только систему настраивают на распознавание конкретных сотрудников, начинают действовать требования статьи 11 152-ФЗ.

Можно ли использовать один скан отпечатка сразу для входа и для оплаты в столовой?

Да, если обе цели указаны в согласии сотрудника. Каждую цель перечисляют явно. Расширение использования данных без согласия на новую цель нарушает закон.

Кто отвечает, если биометрическую базу ведёт подрядчик, который поставил систему?

Отвечает работодатель как оператор персональных данных, даже если техническую часть обслуживает подрядчик. Поручение подрядчику на обработку данных оформляют договором. Договор устанавливает, что подрядчик обязан делать для защиты биометрии.

Обязательно ли получать согласие в бумажном виде?

Нет. Закон допускает электронную форму, если она подтверждает, что согласие дал именно этот человек. Например, подписание в кадровой системе с электронной подписью или аналогом собственноручной подписи.