Управление Роскомнадзора по Приволжскому федеральному округу (далее – Управление) по существу Вашего обращения (вх. от № ), сообщает следующее.
В соответствии со ст. 23 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон) Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является уполномоченным органом по защите прав субъектов персональных данных.
Согласно пункту 12.4 Типового регламента внутренней организации федеральных органов исполнительной власти, утвержденного постановлением Правительства Российской Федерации от 28.07.2005 № 452, разъяснение законодательства Российской Федерации, практики его применения, а также толкование норм, терминов и понятий осуществляются федеральными органами исполнительной власти по обращениям граждан и организаций в случаях, если на них возложена соответствующая обязанность или если это необходимо для обоснования решения, принятого по обращению гражданина (организации).
Учитывая, что указанные в Вашем обращении вопросы не относятся к контрольно-надзорным полномочиям Управления в области персональных данных, предоставить разъяснения по существу приведенных доводов не представляется возможным.
Обращаем внимание, что федеральным органом исполнительной власти, осуществляющим функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере обработки персональных данных согласно пункту 1 Положения о Министерстве цифрового развития, связи и массовых коммуникаций Российской Федерации, утвержденного постановлением Правительства Российской Федерации от 02.06.2008 № 418, является Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации.
Вместе с тем, считаем возможным разъяснить следующее.
Согласно положениям ст. 3 Закона персональные данные - это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
В соответствии с ч. 1 ст. 11 Закона к биометрическим персональным данным относятся сведения, а также иные физиологические или биологические характеристики человека (дактилоскопические данные, радужная оболочка глаз, анализы ДНК, рост, вес и другие), в том числе изображение человека (фотография и видеозапись), которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных.
Соответственно, отнесение сведений персонального характера к биометрическим персональным данным и их последующая обработка должны рассматриваться в рамках проводимых оператором мероприятий, направленных на установление личности конкретного лица, если иное не предусмотрено федеральными законами и принятыми на их основе нормативными правовыми актами.
Биометрические персональные данные будут являться таковыми при наличии следующих условий:
- они признаны таковыми в силу положений нормативно-правовых актов;
- они характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность;
- они используются оператором для установления личности субъекта персональных данных.
Персональные данные признаны биометрическими в соответствии с нормативно-правовыми актами, в частности:
- п. «а» Состава сведений, размещаемых в единой информационной системе персональных данных, обеспечивающей обработку, включая сбор и хранение, биометрических персональных данных, их проверку и передачу информации о степени их соответствия предоставленным биометрическим персональным данным гражданина Российской Федерации, включая вид биометрических персональных данных, утвержденного Постановлением Правительства РФ от 30.06.2018 № 772;
- пп. 6, 7 Перечня персональных данных, записываемых на электронные носители информации, содержащиеся в основных документах, удостоверяющих личность гражданина Российской Федерации, по которым граждане Российской Федерации осуществляют выезд из Российской Федерации и въезд в Российскую Федерацию, утвержденного Постановлением Правительства РФ от 04.03.2010 № 125;
- ст. 1 Федерального закона от 25.07.1998 № 128-ФЗ «О государственной дактилоскопической регистрации в Российской Федерации»; - Указом Президента Российской Федерации от 24.11.2014 № 735 «О сборе биометрических персональных данных иностранных граждан и лиц без гражданства»;
- п. 4 Порядка обработки, включая сбор и хранение параметров биометрических персональных данных в целях идентификации, порядка размещения и обновления биометрических персональных данных в единой биометрической системе, а также требований к информационным технологиям и техническим средствам, предназначенным для обработки биометрических персональных данных в целях проведения идентификации, утвержденного Приказом Министерства цифрового развития, связи и массовых коммуникаций РФ от 25.06.2018 № 321;
- национальным стандартом Российской Федерации ГОСТ Р ИСО/МЭК 19794-5-2013 «Информационные технологии. Биометрия. Форматы обмена биометрическими данными. Часть 5. Данные изображения лица», утвержденном приказом Федерального агентства по техническому регулированию и метрологии от 06.09.2013№ 987-ст «Об утверждении национального стандарта».
Таким образом, в том случае, если оператором обработки персональных данных не осуществляется идентификация субъекта персональных данных посредством фотоизображения, и у оператора обработки персональных данных отсутствует возможность установления личности такого субъекта персональных данных по фотоизображению, а также оператор не обладает данными и технологиями, позволяющими по изображению человека получить о нем какие-либо сведения, то обработка таких фотоизображений не является обработкой биометрических персональных данных.
Согласно абз. 4 п. 5 Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», информационная система является информационной системой, обрабатывающей иные категории персональных данных, если в ней не обрабатываются персональные данные, указанные в абзацах первом - третьем настоящего пункта: специальные категории персональных данных (персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни субъектов персональных данных), биометрические персональные данные, общедоступные персональные данные.
Обращаем Ваше внимание, что проверку достоверности письма, подписанного электронной подписью, можно осуществить на Портале уполномоченного федерального органа в сфере использования электронной подписи по ссылке https://e-trust.gosuslugi.ru/check/sign, выбрав для проверки сервис «Отсоединенная ЭП (CMS)».
