Документ
Письмо Минцифры России от 15.10.2025 № П24-16856-ОГ
Комментарий
Некоторые работодатели для обеспечения пропускного режима применяют автоматизированные системы контроля и управления доступом (СКУД), в которых используются биометрические технологии.
Из письма Минцифры России от 15.10.2025 № П24-16856-ОГ следует, что отпечатки пальцев (папиллярные узоры пальцев и (или) ладоней), которые хранятся и используются в системе контроля и управления доступом организации для прохода физических лиц в помещение или на территорию организации, относятся к биометрическим персональным данным, а их использование – к обработке биометрических персональных данных. Следовательно, обработка биометрии в таких случаях должна осуществляться по нормам законодательства РФ в области персональных данных.
Биометрическими персональными данными являются сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность. Такие персональные данные можно обрабатывать только при наличии согласия в письменной форме субъекта персональных данных, за исключением некоторых случаев, установленных законом (ч. 1 ст. 11 Федерального закона от 27.07.2006 № 152-ФЗ, далее – Закон № 152-ФЗ). Пропускной режим среди этих случаев не назван, т. е. согласие обязательно. Такой вывод следует из комментируемого письма Минцифры России. Подробнее о том, как оформить согласие, читайте в статье.
Отметим, предоставление биометрических персональных данных не может быть обязательным для работника, кроме случаев, предусмотренных ч. 2 ст. 11 Закона № 152-ФЗ (например, в связи с осуществлением правосудия и исполнением судебных актов, в связи с проведением государственной дактилоскопической регистрации и пр.). Иными словами, работник вправе не давать согласие на обработку биометрических персональных данных. В этом случае ведение пропускной системы с применением биометрии (например, СКУД) в отношении работника незаконно. Это подтверждают специалисты Роструда на сайте онлайнинспекция.рф. Работодатель должен организовать иной порядок доступа сотрудника в организацию, например, по паспорту или пропуску без фотографии. При этом работодатель не вправе привлечь работника к дисциплинарной ответственности за отказ предоставить свои биометрические данные, за отзыв согласия на их обработку (см. определение Второго КСОЮ от 01.11.2022 по делу № 88-24328/2022).
Помимо получения согласия работника при организации пропускного режима по отпечаткам пальцев работодатель должен:
- закрепить в локальном нормативном акте точную цель обработки таких данных (например, обеспечение пропускного и внутриобъектового режима);
- обеспечить меры безопасности персональных данных при их обработке, предусмотренные ст. 19 Закона № 152-ФЗ (подробнее см. статью);
- исключить передачу отпечатков пальцев третьим лицам и использовать их исключительно внутри организации.
Отметим, по вопросу о правомерности использования биометрических персональных данных при обеспечении в организации пропускного режима есть противоположная точка зрения.
Например, некоторые специалисты Роструда считают, что работодатели не вправе снимать отпечатки пальцев работников для организации пропускного режима (ответ 1, ответ 2). Свою точку зрения они обосновывают тем, что Федеральным законом от 25.07.1998 № 128-ФЗ определено, кто и в каких случаях может проводить добровольную и обязательную дактилоскопическую регистрацию граждан. Ее проводят федеральные органы исполнительной власти (МВД России, ФСБ России, МЧС России и т. д.) и подведомственные организации.
Федеральный закон от 29.12.2022 № 572-ФЗ регулирует использование биометрических персональных данных в Единой биометрической системе (ЕБС) для получения государственных и муниципальных услуг и удаленной идентификации в банках. При этом законом не предоставлено право ни работодателю, ни нанятой им организации снимать отпечатки пальцев работников для целей организации пропускного режима на предприятие.
Аналогичной точки зрения придерживаются эксперты Роскомнадзора. Они считают, что положения ст. 14 Федерального закона от 25.07.1998 № 128-ФЗ закрепляют исключительное право государственных органов на проведение дактилоскопической регистрации в определенных случаях (розыск пропавших без вести, предупреждение и раскрытие преступлений и пр.). Использование отпечатков пальцев для пропуска на территорию в число таких случаев не входит. Следовательно, в таком случае осуществляется обработка биометрических персональных данных, не предусмотренная законом, что грозит привлечением к ответственности по ч. 1 ст. 13.11 КоАП РФ (письмо Роскомнадзора от 10.02.2020 № 08АП-6782).