3. Работа с биометрическими данными и видеозаписями
Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность, называются биометрические персональные данные.
Согласно ст. 11 Закона о персональных данных биометрические персональные данные, которые используются оператором (в трудовых отношениях оператором является как работодатель, так и (в отдельных случаях) лицо, которому переданы персональные данные работников работодателя и которое их обрабатывает в соответствии с законом или на ином законном основании) для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных законом.
Фотографии работников.
К биометрическим персональным данным, используемым работодателем, можно отнести, в частности, фотографии. Фотографии часто просят принести в отдел кадров для оформления пропусков (как бумажных, так и электронных, хранящихся в системе автоматического контроля и учета доступа). Соответственно, для получения, хранения, использования фотографий работников работодатель обязан получить согласие последних, в противном случае велик риск привлечения к ответственности за нарушение порядка обработки персональных данных.
По мнению Роскомнадзора (разъяснения "О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки"), фотографии относятся к биометрическим персональным данным только в случае использования их для идентификации личности (например, на пропуске). При этом не является биометрическими персональными данными фотографическое изображение, содержащееся в личном деле работника, а также подпись лица, наличие которой в различных договорных отношениях является обязательным требованием, и почерк, в том числе анализируемый уполномоченными органами в рамках почерковедческой экспертизы. Все они не могут рассматриваться как биометрические персональные данные, поскольку действия с использованием указанных данных направлены на подтверждение их принадлежности конкретному физическому лицу, чья личность уже определена и чьи персональные данные уже имеются в распоряжении оператора.
В тех же разъяснениях Роскомнадзор указывает, что существуют положения нормативных правовых актов, прямо относящих фотографическое изображение к биометрическим персональным данным. Согласно п. 6 Перечня персональных данных, записываемых на электронные носители информации, содержащиеся в основных документах, удостоверяющих личность гражданина Российской Федерации, по которым граждане Российской Федерации осуществляют выезд из Российской Федерации и въезд в Российскую Федерацию, утвержденного Постановлением Правительства РФ от 04.03.2010 N 125, цветное цифровое фотографическое изображение лица владельца документа является биометрическими персональными данными владельца документа.
В то же время необходимо принимать во внимание цель, которую преследует оператор при осуществлении действий, связанных с обработкой персональных данных, в том числе фотографического изображения, содержащихся в паспорте.
В случае если они используются оператором для установления личности субъекта персональных данных (в том числе в случае проведения такой процедуры представителями операторов, имеющими полномочия на установление личности владельца паспорта), то данная обработка должна осуществляться в строгом соответствии со ст. 11 Закона о персональных данных.
Аналогичная ситуация с фотографическими изображениями сотрудников, посетителей государственных и муниципальных органов, предприятий (организации), содержащимися в системе контроля управления доступа (далее - СКУД), которые являются биометрическими персональными данными, поскольку характеризуют физиологические и биологические особенности человека, позволяющие установить, принадлежит ли данному лицу предъявляемый СКУД пропуск, на основе которых можно установить его личность путем сравнения фото с лицом предъявителя пропуска и указываемых владельцем пропуска Ф.И.О. с указанными в СКУД, и эти данные используются оператором для установления личности субъекта персональных данных в случае сомнения в том, что пропуск предъявляется его действительным владельцем.
Таким образом, подчеркивает Роскомнадзор, фотографическое изображение и иные сведения, используемые для обеспечения однократного и (или) многократного прохода на охраняемую территорию и установления личности гражданина, также относятся к биометрическим персональным данным.
В соответствии с ч. 1 ст. 11 Закона о персональных данных обработка биометрических персональных данных в подобных случаях может осуществляться только при наличии согласия в письменной форме субъекта персональных данных.
Аналогичной позиции придерживаются и суды.
В частности, Верховный Суд РФ в Определении от 05.03.2018 N 307-КГ18-101 поддержал нижестоящие суды, признавшие правомерной выдачу предписания об устранении нарушений, допущенных оператором персональных данных, не получившим согласие граждан на обработку их фотографий.
Видеосъемка на рабочем месте.
Вторым вариантом получения работодателем персональных данных работников является введение весьма распространенной на настоящий момент практики видеосъемки на рабочих местах. Цели, которые преследует работодатель при введении видеосъемки, могут быть совершенно разными: от контроля использования рабочего времени работниками, контроля соблюдения ими трудовой дисциплины до искоренения воровства. Впрочем, целью видеосъемки может быть вовсе и не рабочий процесс и не наблюдение за работниками, а, допустим, контроль за посетителями торгового зала. Однако при этом в поле записи видеокамер попадают и сотрудники магазина.
В какой момент видеозапись из простой фиксации событий превращается в носитель персональных данных?
Роскомнадзор отмечает, что до передачи материалов видеосъемки в публичных местах и на охраняемой территории для установления личности снятого человека они не являются биометрическими персональными данными, обработка которых регулируется общими положениями Закона о персональных данных, поскольку не используются оператором (владельцем видеокамеры или лицом, организовавшим ее эксплуатацию) для установления личности. Однако указанные материалы, используемые органами, осуществляющими оперативно-розыскную деятельность, дознание и следствие в рамках проводимых мероприятий, являются биометрическими персональными данными в случае, если целью их обработки является установление личности конкретного физического лица.
В связи с этим при ведении видеонаблюдения в рабочих помещениях оператора с целью фиксации возможных действий противоправного характера согласно ст. 74 ТК РФ работники должны быть уведомлены об изменении условий трудового договора по причинам, связанным с изменением организационных или технологических условий труда (введением видеонаблюдения), под роспись.
Вместе с тем посетители указанных публичных мест должны заранее предупреждаться их администрацией о возможной фото-, видеосъемке соответствующими текстовыми и (или) графическими предупреждениями. При соблюдении указанных условий согласие субъектов на проведение указанных мероприятий не требуется.
Видеонаблюдение может осуществляться только для конкретных и заранее определенных целей. Эти цели должны быть обусловлены соответствующими нормативными правовыми актами, устанавливающими правовые основания видеонаблюдения (видеосъемки).
Кроме этого, необходимо отдельно отметить случаи открытого наблюдения, которое ведется в целях обеспечения прав пациентов, клиентов, потребителей при осуществлении тех или иных услуг населению (например, медицинских или по производству продуктов питания), путем установления видеокамер, направленных на рабочие места сотрудников с целью осуществления контроля качества предоставляемых услуг.
В целях установления дополнительных гарантий соблюдения прав потребителей (пациентов, клиентов), самих работников и сотрудников должны быть приняты внутренние документы, которыми должны быть предусмотрены порядок и сроки хранения видеозаписей, а также ответственные лица, имеющие доступ к системе видеонаблюдения. Также необходимо предусмотреть возможность информирования о системе видеонаблюдения путем размещения информационных табличек в зонах видимости камер.
Из рекомендаций Роскомнадзора неясно, должны ли быть получены согласия работников на видеосъемку рабочего процесса или достаточно их уведомить о ведущейся съемке, а также о порядке обращения работодателем с записями.
Формально, поскольку видеозаписи, по общему правилу, не используются для идентификации работников, они не являются биометрическими персональными данными по факту своего существования. Но возникает вопрос: к моменту, когда они могут понадобиться для идентификации (допустим, нарушения конкретным работником своих должностных обязанностей, зафиксированного на видео), следует ли работодателю озаботиться получением отдельного согласия работника на это? Как видим, вопрос достаточно неоднозначен. Во избежание потенциальных проблем рекомендуем правоприменителям в процессе составления документов о ведении видеосъемки на рабочих местах и уведомлении об этом работников одновременно получить от них согласие на использование указанных записей в рамках трудовых отношений, кадрового учета и обеспечения соблюдения трудовой дисциплины.
