Все больше компаний в мире используют в своей деятельности биометрию: отпечатки пальцев, радужную оболочку глаз, индивидуальные особенности голоса и даже более экзотические идентификаторы. Как это изменит банкинг в ближайшем будущем?

В банковской сфере применение биометрических данных возможно в разных областях:

• организация доступа клиентов в депозитарий;
• идентификация плательщика при совершении безналичных платежей и других финансовых операций, например, через смартфон, АТС банка;
• беспарольный доступ к информационным системам банка;
• контроль доступа сотрудников в помещения банка, регистрация прибытия сотрудника в офис банка и убытия с целью контроля трудовой дисциплины, учета фактически отработанного времени.

31 декабря 2017 года был принят Федеральный закон № 482-ФЗ об удаленной идентификации клиентов, дающий банкам право открывать и вести счета, вклады, выдавать кредиты, осуществлять переводы денежных средств по поручению клиентов без их личного присутствия. Идентификация клиента будет осуществляться с использованием Единой системы идентификации и аутентификации (ЕСИА) и Единой биометрической системы (ЕБС). Человеку будет достаточно один раз прийти в банк, уполномоченный на регистрацию лиц в ЕСИА и ЕБС, и предоставить для размещения в этих системах свои биометрические данные — изображение лица и голос. После регистрации в ЕСИА и ЕБС человек сможет дистанционно получать финансовые услуги в любом банке, работающем в ЕБС.

Как же использовать биометрические данные и защитить себя и компанию от претензий контролирующих органов? Давайте разберемся с общими требованиями.

Сначала определим, что же такое биометрические персональные данные. Согласно действующему законодательству, это сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность: например, отпечатки пальцев, радужная оболочка глаз, голос. В определенных случаях даже простая фотография человека будет считаться его биометрическими персональными данными.

Известны случаи, когда работодатели размещали на личном пропуске работника фотографию без его согласия и получали штрафы. Так, Учебно-спортивный центр в Мурманске дошел до Верховного Суда РФ в попытке признать недействительным предписание Роскомнадзора устранить нарушение (учреждение помещало фотографии посетителей на пропуска, без их письменного согласия), но потерпел неудачу. Суды не усомнились в том, что фотография может быть отнесена к биометрическим персональным данным, ведь она характеризует физиологические и биологические особенности человека, по ней можно установить личность, сравнив фото с лицом предъявителя пропуска.

При внедрении в компании биометрической системы первым делом нужно определиться, в каких целях с ее помощью будут обрабатываться данные: только ли для обеспечения безопасности или, скажем, также для учета времени, фактически отработанного сотрудниками. По Закону собранные данные можно обрабатывать только в изначально установленных целях, зафиксированных, в частности, в Политике (Положении) компании в отношении обработки персональных данных, Правилах внутреннего трудового распорядка (применительно к работникам компании) и согласиях лиц на обработку их персональных данных, если их получение требуется по Закону (посетителей, клиентов, сотрудников). Если компания собирала данные только для контроля доступа сотрудников в свои помещения, то она не может потом использовать эти данные, например, для расчета заработной платы или для сбора какой-то статистики.

Цели обработки будут различаться для разных категорий лиц, которым принадлежат персональные данные: например, в отношении клиентов — идентификация для оказания им финансовых услуг, для работников — контроль трудовой дисциплины. При определении целей обработки персональных данных сотрудников важно учитывать, что перечень целей ограничен Законом. Он включает в себя обеспечение соблюдения законов и иных нормативных правовых актов; содействие работникам в трудоустройстве, получении образования и продвижении по службе; обеспечение личной безопасности работников; контроль количества и качества выполняемой работы и обеспечения сохранности имущества. Обработка персональных данных, не совместимая с этими целями, не допускается.

Автор: Елена Квартникова, юрист практики слияний и поглощений и корпоративного права

С полным текстом статьи можно ознакомиться по ссылке.