Письмо Минцифры России от 15.10.2025 № П24-16856-ОГ

<По вопросу о биометрических персональных данных>

Департамент развития технологий цифровой идентификации Минцифры России в рамках компетенции рассмотрел обращение и в рамках компетенции по вопросам, отнесенным к сфере ведения Минцифры России, сообщает следующее.

Минцифры России является федеральным органом исполнительной власти, осуществляющим регулирование в сфере идентификации и аутентификации физических лиц на основе биометрических персональных данных согласно абзацу шестому пункта 1 Положения о Министерстве цифрового развития, связи и массовых коммуникаций Российской Федерации, утвержденного постановлением Правительства Российской Федерации от 2 июня 2008 г. № 418 (далее — Положение).

1. В части вопросов № 1 и № 3 сообщаем следующее.

Под биометрическими персональными данными в соответствии с частью 1 статьи 11 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее — Закон № 152) понимаются сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность.

Под обработкой персональных данных согласно пункту 3 статьи 3 Закона № 152 понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Исходя из указанных определений, отпечатки пальцев (папиллярные узоры пальцев и (или) ладоней рук человека), хранящиеся и использующиеся в системе контроля и управления доступом организации в целях прохода физических лиц в помещение или на территорию организации, относятся к биометрическим персональным данным, а их использование — к обработке биометрических персональных данных.

Обработка биометрических персональных данных в целях идентификации и (или) аутентификации физических лиц автоматизированным способом регулируется Федеральным законом от 29 декабря 2022 г. № 572-ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации» (далее — Закон № 572).

При этом действие Закона № 572 распространяется на виды биометрических персональных данных, соответствующие всем видам или только одному из видов, размещаемых в единой биометрической системе (изображение лица человека, полученное с помощью фотовидеоустройств, запись голоса человека, полученная с помощью звукозаписывающих устройств).

На отношения, связанные с обработкой видов биометрических персональных данных, отличных от вышеуказанных, действие Закона № 572 в настоящее время не распространяется.

Согласно абзацу третьему статьи 1 Федерального закона от 25 июля 1998 г. № 128-ФЗ «О государственной дактилоскопической регистрации в Российской Федерации» (далее — Закон № 128) под дактилоскопической информацией понимаются биометрические персональные данные об особенностях строения папиллярных узоров пальцев и (или) ладоней рук человека, позволяющие установить его личность.

Вместе с тем в соответствии с преамбулой указанный федеральный закон определяет цели, принципы и виды государственной дактилоскопической регистрации в Российской Федерации, которая в соответствии со статьей 1 указанного федерального закона осуществляется органами исполнительной власти и федеральными государственными учреждениями, а также устанавливает основные требования к проведению государственной дактилоскопической регистрации, хранению и использованию дактилоскопической информации и возможность ее получения за пределами Российской Федерации.

Таким образом, обработка биометрических персональных данных, не относящихся к сфере регулирования Закона № 572 и Закона № 128, должна осуществляться в соответствии с общими нормами законодательства Российской Федерации в области персональных данных.

2. В части вопроса № 2 сообщаем следующее.

Биометрические персональные данные, используемые оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 статьи 11 Закона № 152.

Общие требования к согласию на обработку персональных данных предусмотрены статьей 9 Закона № 152. Так, согласно части 1 статьи 9 Закона № 152 согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным и предоставляется субъектом персональных данных свободно, своей волей и в своем интересе. Субъекту персональных данных до предоставления согласия должна быть предоставлена необходимая, достоверная и достаточная информация, в том числе об операторах и целях обработки его персональных данных, включая биометрические персональные данные.

В части 4 статьи 9 Закона № 152 содержатся общие требования к согласию в письменной форме, включая минимальный состав сведений, которые должны включаться в такое согласие.

Отмечаем, что частью 3 статьи 11 Закона № 152 предусмотрено, что предоставление биометрических персональных данных не может быть обязательным, за исключением случаев, предусмотренных частью 2 указанной статьи, а равно предусмотрен запрет оператору отказывать в обслуживании в случае отказа субъекта персональных данных предоставить биометрические персональные данные и (или) дать согласие на обработку персональных данных, если в соответствии с федеральным законом получение оператором согласия на обработку персональных данных не является обязательным.

В соответствии со статьей 24 Закона № 152 лица, виновные в нарушении требований указанного федерального закона, несут предусмотренную законодательством Российской Федерации ответственность.

Также отмечаем, что в соответствии с частью 1 статьи 23, частью 1 статьи 23.1 Закона № 152, пунктом 1 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного постановлением Правительства Российской Федерации от 16 марта 2009 г. № 228, уполномоченным органом по защите прав субъектов персональных данных, а также осуществляющим функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных является Роскомнадзор. Вы также вправе дополнительно обратиться в Роскомнадзор для получения позиции ведомства по обозначенным вопросам.

Обращаем внимание, что, исходя из закрепленного подпунктом 6.6 Положения права «давать государственным органам, органам местного самоуправления, юридическим и физическим лицам разъяснения по вопросам, отнесенным к сфере ведения Министерства», настоящее письмо не является нормативным правовым актом, не содержит правовых норм или общих правил, конкретизирующих нормативные предписания, носит информационно-разъяснительный характер по вопросам, относящимся к компетенции Министерства.

Заместитель директора

---