РКН Аудит
Биометрические персональные данные несовершеннолетних — особо чувствительная категория ПДн, регулируемая частью 1 статьи 11 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных». Биометрия по части 1 статьи 11 152-ФЗ — это сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность, и которые используются оператором для установления личности. Второй признак обязателен: фотография лица, видеозапись, отпечатки пальцев, голос, рисунок радужки становятся биометрией тогда, когда учреждение применяет их, чтобы опознать конкретного ребёнка. Для ребёнка обработка биометрии возможна только с письменного согласия родителя (законного представителя). С 29.12.2022 — действует отдельный закон №572-ФЗ «Об осуществлении идентификации и (или) аутентификации с использованием биометрических ПДн», который запрещает регистрацию несовершеннолетних до 14 лет в Единой биометрической системе (ЕБС) и регулирует особые требования к биометрии. Нарушения в обработке ПДн ребёнка, включая биометрию, могут быть выявлены при автоматизированном мониторинге РКН, по жалобам родителей и при проверках. За обработку биометрии без согласия предусмотрен повышенный штраф для юрлица по части 2 статьи 13.11 КоАП — 300 000 — 700 000 ₽, а при повторном нарушении по части 2.1 — 1 000 000 — 1 500 000 ₽; за утечку биометрии (части 12–18 статьи 13.11 КоАП) штрафы существенно выше, а при повторной утечке применяется оборотный штраф. Эта статья — что считать биометрией ребёнка, когда нужно согласие, разбор Единой биометрической системы, видеонаблюдение в школе, биометрические турникеты, чек-лист и штрафы. Источники: 152-ФЗ, 572-ФЗ, КоАП РФ.
Получить пакет с согласиями на биометрию ребёнка — 499 ₽ ←
Что точно является биометрией ребёнка
По части 1 статьи 11 152-ФЗ биометрические ПДн — «сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных». Признака два, и второй решающий: пока учреждение не применяет изображение для опознания, режим биометрии не включается. Применительно к ребёнку:
Точно биометрия:
- Фотография лица, если учреждение использует её, чтобы опознать ребёнка (сверка на турникете, в системе доступа)
- Изображение, загруженное в систему распознавания как образец
- Видеозапись, которую сопоставляют с образцом, чтобы установить личность ребёнка
- Отпечатки пальцев (биометрический браслет в школе, турникет, замок шкафчика)
- Голос на аудиозаписи, если по нему идентифицируют ребёнка
- Рисунок радужки глаза (новые системы доступа в школах с повышенной безопасностью)
- Геометрия лица (трёхмерные модели, используются в видеоаналитике)
Точно НЕ биометрия:
- Изображение со спины
- Фото ребёнка на сайте или в группе, которое никто не сверяет с лицом для опознания
- Размытое или обрезанное лицо (без возможности опознания)
- Имя и фамилия без фото (это обычные ПДн, не биометрия)
- ФИО на грамоте, дипломе (не биометрия)
- СНИЛС, дата рождения (обычные ПДн)
Спорные случаи:
- Подпись ребёнка — обычные ПДн, не биометрия (хотя графологически идентифицирует личность)
- Рост, вес, размер обуви — не биометрия (эти данные слишком общие)
- ИНН — не биометрия (это идентификационные ПДн)
Закон №572-ФЗ от 29.12.2022 — главное о биометрии детей
Федеральный закон от 29.12.2022 №572-ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных» — отдельный нормативный акт, регулирующий именно биометрию (помимо общего 152-ФЗ).
Ключевые нормы для несовершеннолетних:
- Регистрация в ЕБС (Единой биометрической системе, оператор АО «Центр биометрических технологий» — ЦБТ): - До 14 лет — запрещена (часть 4 статьи 4 572-ФЗ) - С 14 до 18 лет — только с согласия родителя в письменной форме (часть 3 статьи 4) - С 18 лет — самостоятельно
- Удаление данных из ЕБС — по заявлению субъекта или родителя в любой момент (часть 5 статьи 4).
- Передача биометрии в коммерческих целях (банкам, операторам связи) — для несовершеннолетних запрещена даже с согласия родителей.
- Государственные услуги с биометрией для детей — только через альтернативные способы идентификации (паспорт, свидетельство о рождении, СНИЛС).
Если детский сад, школа или родитель столкнулись с предложением «зарегистрировать ребёнка в ЕБС для удобства входа в систему» — это нарушение 572-ФЗ. ЦБТ не имеет права принимать биометрию ребёнка до 14 лет.
Когда МБДОУ или МБОУ собирает биометрию
Типичные ситуации в МБДОУ / МБОУ:
| Ситуация | Является ли биометрией? | Нужно согласие? |
|---|---|---|
| Фото ребёнка для уголка группы | Да (фото лица) | Да, отдельное |
| Фото на сайте детского сада / школы | Да | Да, отдельное |
| Видеосъёмка утренника, выпускного | Да (видео с лицом) | Да, отдельное |
| Видеонаблюдение в коридорах, классах | Да (если опознаваемо) | Да, при зачислении |
| Биометрический турникет (распознавание лица) | Да | Да, обязательно |
| Биометрический браслет (отпечаток пальца) | Да | Да, обязательно |
| Запись телефонных разговоров с родителями (если голос ребёнка слышен) | Да | Да |
| Фото со спины / в маске | Нет | Не нужно |
| Силуэтное изображение | Нет | Не нужно |
В каждом случае, где есть биометрия, согласие родителя должно быть:
- В письменной форме (живая подпись или КЭП через ЕСИА)
- Отдельным от общего согласия на обработку ПДн (нельзя «спрятать» в общем согласии)
- Конкретным — с указанием конкретной биометрии (фото, видео, отпечатки), цели, ресурсов
Видеонаблюдение в детском саду и школе — как делать правильно
Видеонаблюдение в образовательной организации становится обработкой биометрии тогда, когда запись используют, чтобы установить личность ребёнка, — например при сверке лица с образцом. Пока запись ведётся ради безопасности и никто не сопоставляет её с конкретным человеком, биометрии нет, но это обычные персональные данные ребёнка, и требования ниже выполнять всё равно нужно.
Требования для законного видеонаблюдения:
- Согласие родителей при зачислении ребёнка — в общем согласии на обработку ПДн отдельный пункт о видеонаблюдении.
- Информирование — табличка «Ведётся видеонаблюдение» на входе и в местах съёмки (часть 1 статьи 11 152-ФЗ).
- Цели конкретные: - Обеспечение безопасности воспитанников и сотрудников - Предотвращение и пресечение правонарушений - Контроль за организацией питания - Контроль за организацией образовательного процесса Размытые цели «общая безопасность» не подходят.
- Срок хранения — обычно 30 дней. Дольше — только при особых основаниях (расследование инцидента).
- Доступ — только ответственный за безопасность по приказу руководителя. Сотрудники и сотрудницы не должны иметь свободного доступа к архиву.
- Хранение записей — на сервере в РФ (часть 5 статьи 18 152-ФЗ).
- Защита — пароль доступа, антивирус, отключение записи в раздевалках и санузлах.
Что нельзя:
- Размещение камер в раздевалках, санузлах, спальных комнатах — статья 137 УК РФ (нарушение неприкосновенности частной жизни)
- Запись звука без отдельного согласия (нарушение части 1 статьи 24 Конституции РФ)
- Передача записей в коммерческих целях
- Хранение записей вечно (нарушение принципа минимальности)
Запись инцидента (драка, травма) можно хранить до окончания административного / уголовного производства, но не более необходимого.
Биометрические турникеты и браслеты в школе
Современные школы устанавливают турникеты с распознаванием лица или отпечатков пальцев. Юридически — это законно при соблюдении 3 условий:
1. Письменное согласие каждого родителя
В согласии: - ФИО ребёнка - Реквизиты оператора (школа) - Цель — контроль доступа в учреждение, безопасность - Категория биометрии — фото лица для распознавания, или отпечатки пальцев - Срок действия — до окончания обучения - Способ отзыва — письмо в школу
2. Альтернатива для отказавшихся
Если родитель не даёт согласие, школа обязана предоставить альтернативу: - Карта-пропуск с фото (без биометрии, обычные ПДн) - Сопровождение классного руководителя или дежурного при входе - Список «без биометрии» с проверкой по журналу
Без альтернативы система незаконна — фактически принуждает родителей соглашаться.
3. Уведомление РКН
В уведомлении в Роскомнадзор школа указывает обработку биометрии с целью контроля доступа и обеспечения безопасности.
Хранение биометрии: жёсткие требования
По части 5 статьи 18 152-ФЗ ПДн должны храниться на серверах в РФ. Для биометрии требования ужесточены:
-
Аттестация ИСПДн — система обработки биометрии должна соответствовать требованиям ФСТЭК по защищённости. Для МБДОУ это сложно и затратно: требуется аттестация и регулярная поддержка средств защиты.
-
Сертифицированные СЗИ — антивирус, межсетевой экран, средства защиты от НСД — только из реестра сертифицированных средств ФСТЭК и ФСБ.
-
Журнал доступа — все обращения к биометрии логируются с указанием кто, когда, с какой целью.
-
Шифрование хранения — биометрия хранится в зашифрованном виде, ключи отдельно от данных.
-
Резервное копирование — но не в облако иностранных провайдеров (Google Drive, Dropbox запрещены).
Практический вывод: для большинства МБДОУ и МБОУ обеспечить эти требования самостоятельно нереально. Рекомендация — собирать минимум биометрии или использовать только профессиональные решения с аттестованной ИСПДн (видеонаблюдение через подрядчика с лицензией, биометрические турникеты от лицензированных операторов).
Утечка биометрии: страшные штрафы
С 30.05.2025 в КоАП введены утяжелённые штрафы за утечку ПДн. Для биометрии — самые серьёзные:
| Объём утечки | Норма | Штраф для юрлица (первичный) |
|---|---|---|
| 1 000 — 10 000 субъектов | ч.12 ст.13.11 КоАП | 3 000 000 — 5 000 000 ₽ |
| 10 000 — 100 000 | ч.13 ст.13.11 КоАП | 5 000 000 — 10 000 000 ₽ |
| Свыше 100 000 | ч.14 ст.13.11 КоАП | 10 000 000 — 15 000 000 ₽ |
Для утечки специальных категорий и биометрии предусмотрены повышенные части (ч.16 — 10–15 млн ₽, ч.17 — 15–20 млн ₽). При повторной утечке применяется оборотный штраф 1–3% годовой выручки: минимум 20 млн ₽ (для биометрии и спецкатегорий — 25 млн ₽), максимум 500 млн ₽.
Помимо штрафа РКН:
- Уголовное дело по статье 272.1 УК РФ (незаконные использование и (или) передача, сбор и хранение ПДн; введена 421-ФЗ от 30.11.2024) — до 10 лет лишения свободы
- Уголовное дело по статье 137 УК РФ (нарушение неприкосновенности частной жизни) — до 4 лет лишения свободы по квалифицированным составам
- Иски от родителей — компенсация морального вреда (по статье 17 152-ФЗ + ст. 152.1 ГК РФ)
- Гражданский иск на восстановление прав и удаление утечки из открытого доступа
Поэтому МБДОУ и МБОУ должны очень тщательно подходить к биометрии: либо обеспечивать высокий уровень защиты, либо не собирать вообще.
Чек-лист для МБДОУ / МБОУ
- ✅ Провести аудит: какая биометрия фактически собирается (фото, видео, отпечатки)
- ✅ Для каждого вида биометрии — собрать отдельные согласия родителей в письменной форме
- ✅ Установить таблички «Ведётся видеонаблюдение» в зонах съёмки
- ✅ Назначить ответственного за биометрию приказом руководителя
- ✅ Подать уведомление в РКН с указанием биометрии и целей
- ✅ Подключить альтернативный способ доступа для отказавшихся от биометрии
- ✅ Установить срок хранения видеозаписей не более 30 дней
- ✅ Запретить хранение биометрии в облаке (Google, Dropbox), только в РФ
- ✅ Установить пароли, ограничить доступ
- ✅ Подписать NDA с подрядчиком (если видеонаблюдение / турникеты обслуживает внешняя организация)
- ✅ Регулярно проверять, что записи не утекли (мониторинг утечек)
- ✅ В случае утечки — немедленное уведомление РКН в течение 24 часов (часть 9 статьи 18.1 152-ФЗ с 30.05.2025)
Готовый пакет с согласиями (биометрия, фото, общее) — 499 ₽ для бюджетных учреждений.