Положение об обработке биометрических персональных данных: что включить, штрафы

Статус обязательный при обработке биометрических персональных данных
Основание ч. 1 ст. 11 152-ФЗ
Публичность внутренний документ, не подлежит публичному размещению
Кто утверждает утверждает руководитель организации приказом
Обновлено июль 2026
Область применения регламент для сбора, хранения и использования биометрических персональных данных сотрудников, клиентов и посетителей в системах организации
Срок хранения хранение не дольше, чем требуется для цели обработки; по завершении цели уничтожение не позднее 30 дней
Требования к защите применяются уровни защищённости ИСПДн и меры управления средствами аутентификации и доступа

01 Назначение

Положение об обработке биометрических персональных данных

Регламент сбора, хранения, использования и защиты биометрии внутри организации

Назначение и область применения. Документ устанавливает правила обработки биометрических персональных данных при работе в информационных системах организации и при использовании стационарных и мобильных терминалов сбора. Применяется к сотрудникам, клиентам и посетителям, а также к подразделениям, эксплуатирующим устройства распознавания и базы биометрических образцов. Утверждается руководителем организации приказом, документ имеет внутренний статус и не подлежит публичному размещению.

Сбор и правовая основа согласия. Сбор биометрии возможен только при наличии письменного информированного согласия субъекта; форма согласия должна фиксировать цель, объём данных, срок обработки, порядок отзыва и контакт ответственного лица. Предоставление биометрических данных не должно быть обязательным, отказ не может служить основанием для отказа в обслуживании. Для операций с правовым исключением применяются положения, установленные законом.

Хранение, доступ и уничтожение. Хранение данных ограничивается достижением цели обработки; для каждого набора биометрии указывается максимально допустимый срок хранения и основание. Обязательны классификация данных, разграничение прав доступа, шифрование при хранении и резервном копировании, а также журналирование доступа и операций с записями. По достижении цели обработки запись прекращается и уничтожается с документированием процедуры в журнале уничтожения, срок уничтожения не должен превышать установленный законом предел.

Требования по защите и контроль исполнений. ИСПДн с биометрическими данными подлежат классификации по уровням защищённости и применению комплементарных мер: управление средствами аутентификации, защита каналов передачи, контроль целостности и резервирование. Необходимо вести реестр мест установки средств сбора, регистр операций обработки и журналы доступа, проводить периодические проверки и тесты на уязвимости, а также предусмотреть план реагирования на инциденты и процедуру уведомления. Запрещена неправомерная передача биометрии, за исполнение отвечает назначенный ответственный за организацию обработки с закреплёнными обязанностями и правами доступа.

Раскрыть полностью

02 Ответственность

Ответственность за неправомерную передачу биометрических персональных данных

ч. 17 ст. 13.11 КоАП РФ, неправомерная передача биометрических данных

Юридическое лицо 15 000 000 - 20 000 000 ₽
Должностное лицо 1 300 000 - 1 500 000 ₽
Физическое лицо (гражданин) 400 000 - 500 000 ₽

Наличие неполного или отсутствующего Положения об обработке биометрии повышает риск привлечения по ч. 17 ст. 13.11 КоАП. Частые нарушения, ведущие к штрафам - передача биометрии третьим лицам без правовой основы и письменного согласия, несоблюдение сроков уничтожения данных после достижения цели, отсутствие контроля доступа и реестра передач. Рекомендация операторам - привести порядок обработки в соответствие с положениями ст. 11 и ст. 21 152-ФЗ, документировать правовые основания и процедуры удаления, проверить взаимодействие с подрядчиками.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Короткие названия, которые ищут на практике при подготовке внутреннего регламента по биометрии. Подходящие запросы включают варианты по порядку обработки, хранению и правилам доступа к биометрическим данным.

Положение об обработке биометрических персональных данных
Положение о биометрических данных
Порядок обработки биометрии
Правила обработки биометрических персональных данных
Регламент обработки биометрии
Положение о системе контроля доступа с биометрией
Регламент работы с отпечатками пальцев
Положение по распознаванию лиц
Порядок хранения и уничтожения биометрических данных
Образец положения об обработке биометрических данных

04 Обязательное содержание

Ключевые элементы Положения об обработке биометрии

Чеклист разделов и элементов документа, необходимых чтобы Положение работало при внутренней проверке и покрывало основные риски обработки биометрических персональных данных.

Область применения и терминология Чёткое перечисление субъектов и категорий биометрических данных (сотрудники, клиенты, посетители), систем и сценариев обработки (СКУД, аутентификация, база для учёта), а также определения терминов, используемых в документе.
Правовые основания обработки Перечень оснований обработки с указанием, что основное основание - письменное согласие субъекта, и описание случаев исключений, когда согласие не требуется.
Порядок получения, оформления и хранения согласий Процедура получения и фиксации письменного добровольного согласия, форма и место хранения подтверждений, период хранения доказательств согласия и механизм документирования отказа от согласия.
Периоды хранения и уничтожение данных Критерии достижения цели обработки, таблица сроков хранения для разных категорий данных и процедура уничтожения или обезличивания данных с указанием максимального срока на уничтожение после прекращения цели.
Роли, ответственность и контроль доступа Список ролей с обязанностями и правами (ответственный за организацию обработки, администраторы систем, операторы и т.д.), а также требование о таблице прав доступа и порядке их назначения и отзывa.
Требования к защите информации и уровням защищённости ИСПДн Перечень технических и организационных мер по защите биометрических данных, требования к классификации и уровням защищённости используемых систем, управление средствами аутентификации и логирование доступа.
Передача третьим лицам и реагирование на инциденты Процедура оценки и оформления передачи данных третьим лицам, требования к договорам и реестру передач, а также план действий при утечке и порядок уведомления уполномоченных подразделений.

05 Применимость

Контур применимости Положения об обработке биометрических ПД

Краткие рекомендации, кому и в каких случаях целесообразно применять внутреннее Положение об обработке биометрических персональных данных. Указаны границы применения, связанные документы и ключевые правовые требования.

Кому нужен документ Внутреннее Положение обязательно для подразделений и юридических лиц, которые собирают, хранят или используют биометрические персональные данные сотрудников, клиентов или посетителей в информационных системах организации. Документ служит регламентом процессов сбора согласий, хранения, доступа и удаления данных и утверждается руководителем организации приказом.
Границы применимости и исключения Положение применяется только к биометрическим данным как особой категории персональных данных. Не применяется в случаях, прямо перечисленных в федеральном законе как исключения из общих правил обработки биометрии.
Правовые основания и добровольность Обработка биометрических данных в основном возможна на основании письменного согласия субъектов данных; предоставление биометрии не должно быть обязательным, отказ не может служить причиной отказа в обслуживании или ущемления прав.
Сроки хранения и прекращение обработки Положение должно устанавливать принцип хранения «не дольше, чем этого требует цель обработки» и процедурное требование прекращать обработку и уничтожать биометрические данные в установленный законом срок после достижения цели.
Требования к защите и ответственность за нарушение В Положении указываются уровни и меры защиты информационной системы, управление средствами аутентификации и порядок работы с подрядчиками. За неправомерную передачу биометрических данных возможна административная ответственность.
Связь с иными внутренними документами Положение должно ссылаться на сопутствующие документы: порядок оформления письменных согласий, реестр операций обработки, регламенты по соглашениям с подрядчиками и журналы доступа. При наличии смешанной обработки персональных данных сохраняется совместимость с общим регламентом по обработке персональных данных организации.

06 Нормативная база

Нормативная основа для Положения об обработке биометрии

ч. 1 ст. 11 152-ФЗ Определяет, какие сведения признаются биометрическими, поэтому в Положении нужно точно обозначить виды обрабатываемых биометрических данных и границы понятия для правильной квалификации информационных баз и мер защиты.
ч. 2 ст. 11 152-ФЗ Устанавливает, что обработка биометрии допускается при наличии письменного согласия за исключением случаев, перечисленных в законе; в Положении требуется процедура оформления, хранение и отзыв письменных согласий, а также документирование и обоснование случаев без согласия.
ч. 3 ст. 11 152-ФЗ Запрещает делать предоставление биометрии обязательным условием для оказания услуг, поэтому Положение должно предусмотреть альтернативные способы идентификации и регламентировать информирование субъектов об их правах при отказе от биометрии.
п. 7 ч. 1 ст. 5 152-ФЗ Фиксирует принцип минимизации хранения - не дольше, чем требует цель обработки; Положение должно содержать план сроков хранения, регулярные проверки необходимости хранения и механизм удаления избыточных данных.
ч. 4 ст. 21 152-ФЗ Обязывает прекращать обработку и уничтожать биометрические данные по достижении цели, в срок не более 30 дней; Положение обязано описать способы безопасного уничтожения, ответственных лиц и учёт факта уничтожения.
ПП РФ № 1119 Определяет требования по уровням защищённости ИСПДн, следовательно, Положение должно классифицировать системы, обрабатывать биометрию с назначенным уровнем защищённости и документировать выбор уровня и сопутствующие требования к защите.
приказ ФСТЭК № 21 Содержит требования к мерам информационной безопасности, в том числе управление средствами аутентификации; Положение должно определить требования к учётным записям, управлению идентификацией и аутентификацией, процедурам выдачи и прекращения доступа при работе с биометрией.
ч. 17 ст. 13.11 КоАП Касается неправомерной передачи биометрических данных; Положение должно предусматривать запреты на несанкционированную передачу, порядок согласования внешних передач, требования к договорам с обработчиками и порядок фиксации и реагирования на факты передачи.

Образец документа

Положение об обработке биометрических персональных данных

Внутренний регламент по сбору, хранению и использованию биометрических персональных данных; утверждается руководителем, ведёт исполнение служба информационной безопасности или ответственный за организацию обработки. Описывает порядок получения согласия, сроки хранения и уничтожения, меры контроля доступа и защиты биометрических моделей, а также документы и записи, на которые обращают внимание при…

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Этапы внедрения Положения об обработке биометрических ПДн

Пошаговый план от решения о необходимости Положения до рабочего контура и первой проверки. В каждом шаге указан ответственный и конкретный результат на выходе.

1. Принятие решения и назначение ответственных Руководитель организации принимает решение об оформлении Положения и издает приказ о создании рабочей группы; в приказе назначается ответственный за организацию обработки ПДн и устанавливается срок подготовки проекта. Результат: приказ о создании рабочей группы и назначении ответственных.
2. Подготовка проекта Положения и сопутствующих форм Рабочая группа разрабатывает проект Положения, типовую форму письменного согласия на обработку биометрии и проект модели угроз для используемых ИСПДн; оформляет реестр категорий биометрических данных и перечень целей обработки. Результаты: проект Положения (файл), форма согласия (файл), модель угроз (файл).
3. Юридическая и нормативная проверка проекта Юрист и специалист по защите информации проверяют проект на соответствие требованиям о добровольности согласия, исключениях и условиям хранения; вносят правки по обязанностям ответственных и по процедурам передачи данных. Результат: согласованная редакция проекта Положения и подготовленный проект приказа об утверждении.
4. Утверждение и техническая реализация Руководитель утверждает Положение приказом; отдел информационной безопасности реализует технические меры контроля доступа, настройку ИСПДн и ведение журнала согласий, а также вносит запись в реестр обработок. Результаты: приказ об утверждении, утверждённое Положение (PDF), запись в реестре обработок, журнал учёта согласий.
5. Внутренняя проверка и порядок прекращения обработки Проводится внутренняя проверка соответствия Положения и настроек ИСПДн; по результатам составляется протокол проверки и план корректирующих действий. Утверждаются процедуры прекращения обработки и уничтожения биометрии при достижении цели обработки. Результаты: протокол внутренней проверки, акт уничтожения данных или акт передачи на уничтожение, план корректирующих действий.

09 Актуализация

Поводы для обновления Положения об обработке биометрии

Конкретные события и изменения, при которых нужно править документ или выполнить его положения в части хранения, доступа и уничтожения биометрических ПДн. Для каждого повода указан ожидаемый результат и рекомендованное действие.

Внедрение новой биометрической системы или функции Появление распознавания лиц, голосовой аутентификации, входа по отпечатку или иной новой функциональности означает новую цель обработки, новые категории данных и новые лица, чьи данные обрабатываются. Это меняет требования к описанию целей, срокам хранения и перечню допущенных пользователей. Обновить разделы Положения с описанием цели обработки, основанием (необходимо письменное согласие), перечнем субъектов доступа и сроками хранения; при необходимости внести изменения в формы согласий и реестр операций обработки.
Смена формата хранения или способа представления биометрии Переход от исходных изображений к математическим шаблонам, изменение алгоритмов вендора или конвертация архивов изменяют риск обратимой идентификации и требования к защите. Описание форматов в Положении и сопутствующие меры защиты должны соответствовать фактической реализации. Уточнить в Положении формат и структуру хранимых данных, пересмотреть меры криптозащиты и управления доступом, зафиксировать порядок тестирования обратимости и обновить классификацию ИСПДн согласно требованиям по уровням защищённости.
Смена поставщика решения или размещение у подрядчика Передача обработки или хранение у нового подрядчика меняют физическое место хранения, состав лиц с доступом и правовые условия обработки. Это повышает риск несанкционированного доступа и требует проверки договорных обязательств. Внести в Положение актуальные сведения о месте обработки и допущенных лицах; потребовать от подрядчика гарантий защиты, приложить обновлённые соглашения об обработке и провести проверку доступа подрядчика.
Инцидент безопасности или подозрение на неправомерную передачу биометрии Утечка, несанкционированный доступ или подтверждённая передача биометрических данных требуют скорого реагирования и могут влечь административную ответственность. Положение должно содержать процедуры реакции и контроля последствий. Актуализировать раздел о порядке расследования инцидентов, восстановлении целостности и уведомлениях, зафиксировать корректирующие мероприятия и контроль их исполнения.
Изменение цели обработки, массовое увольнение или завершение проекта Достижение цели обработки, закрытие проекта или массовый уход сотрудников означают отсутствие оснований для дальнейшего хранения конкретных биометрических данных. В таких случаях Положение должно быть применено - данные подлежат уничтожению в установленные сроки. Исполнить требования Положения по прекращению обработки и уничтожению данных, оформить акт уничтожения и при необходимости внести в документ уточнения по процедурам удаления и подтверждению удаления.

10 Проверка

Инспектор проверит: Положение об обработке биометрических персональных данных

Документы и материалы проверки Положения об обработке биометрических ПДн, которые инспектор запросит при документарной или выездной проверке. Вопросы фокусируются на утверждении документа, согласиях, исключениях, сроках хранения и мерах защиты ИСПДн.

Вопрос 01 «Предъявите приказ об утверждении Положения и уточните область его применения.»
Вопрос 02 «Предъявите документы, подтверждающие получение письменных согласий на обработку биометрии.»
Вопрос 03 «Документы, подтверждающие применение исключений из запрета на обработку биометрии.»
Вопрос 04 «Какие записи подтверждают соблюдение сроков хранения и порядок уничтожения биометрии после достижения цели?»
Вопрос 05 «Предъявите материалы по применённым мерам защиты ИСПДн, где хранятся и обрабатываются биометрические данные.»

Инспектор при проверке, может запросить:

приказ руководителя об утверждении Положения; текст Положения об обработке биометрических персональных данных с разделом «Область применения»
индивидуальные письменные согласия на обработку биометрических ПДн; образцы форм согласий и регистр учёта полученных согласий; инструкции по сбору и хранению согласий
правовые основания и приказы, подтверждающие применение исключений; служебные акты или иные документы, обосновывающие необходимость обработки без согласия
регламенты по хранению и уничтожению биометрических ПДн; журналы удаления или акты уничтожения данных; таблицы сроков хранения, указанные в Положении
перечень технических и организационных мер защиты для ИСПДн; отчёт об уровне защищённости ИСПДн; журналы доступа и настройки управления средствами аутентификации

11 Экспертная позиция

Практический риск и оперативные меры при биометрии

Частая ошибка - внедрять биометрическую идентификацию как единственный способ доступа, что создает риск принуждения и жалоб. Рекомендуем хранить только биометрические шаблоны и разделять их от идентификаторов в разных системах с разными правами доступа и журналированием операций, применять шифрование и ротацию ключей. Обязательно вести документированный учёт добровольных письменных согласий и отказов без дискриминации. Пропишите регламент прекращения обработки и уничтожения данных по достижении цели, а также процедуру оценки и контроля передачи данных третьим лицам.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Часто задаваемые вопросы по Положению об обработке биометрии

Да. При обработке биометрических персональных данных организация обязана иметь внутренний регламент, который описывает цели и правовую основу обработки, порядок получения согласий и применяемые меры защиты. Положение должно быть утверждено приказом руководителя и храниться как внутренний документ.

Заказать Положение об обработке биометрических персональных данных в комплекте

Положение под ключ с комплектом внутренних документов: шаблон приказа об утверждении, образцы письменных согласий субъектов, журнал регистрации доступа и выдачи биометрических данных, порядок хранения и уничтожения при достижении цели, образцы записей и рекомендации по уровням защиты и управлению средствами аутентификации. Адаптация под профиль организации и сопровождение при вводе в эксплуатацию. Документ внутренний, не подлежит публичному размещению.

Скачать образец Заказать положение в комплекте

Положение об обработке биометрических персональных данных