Биометрические персональные данные закон 2026

Статья посвящена правовой природе, видам биометрических персональных данных и порядку их обработки по состоянию на II квартал 2026 года. Издание предназначено для специалистов по комплаенсу, кадровиков и собственников бизнеса, осуществляющих обработку биометрии.

Определение и состав биометрии в ФЗ-152

Биометрические персональные данные (БПД) — это сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность. К ним относятся: фотография, видеозапись, изображение радужной оболочки глаз, запись голоса, параметры лица при 3D‑съёмке.

Ключевая норма содержится в ст. 1 ФЗ-152 «О персональных данных»: к биометрии относят сведения о признаках, позволяющих идентифицировать субъекта. При этом ст. 10 того же закона прямо указывает на необходимость получения отдельного письменного согласия для обработки БПД (за исключением случаев, установленных законом). Срок действия такого согласия не может превышать трёх лет с даты его получения; по истечении срока требуется повторное согласие или обновление биометрического шаблона.3

Сведения о лицах с особым статусом и «цифровой двойник»

С 1 марта 2024 года введён институт так называемых «допущенных к управлению» субъектов (госслужащие, военнослужащие, сотрудники силовых структур). Для их идентификации используется биометрия в рамках единой информационной системы персональных данных. Сведения о таких лицах обрабатываются в автоматическом и полуавтоматическом режиме; оператор обязан иметь аккредитацию Минцифры РФ.

С 1 января 2026 года действует механизм «цифрового двойника»: гражданин, предоставивший согласие на обработку БПД, вправе получить цифровой паспорт (электронный профиль) в ЕСИА. Для получения цифрового паспорта необходимо наличие действующей ЭЦП и согласия по форме из перечня Минцифры; срок хранения цифрового профиля — бессрочно.

Требования к порядку получения согласия

Согласно ст. 9 ФЗ-152, оператор обязан получить письменное согласие на обработку БПД. С 1 октября 2024 года вступает в силу требование: типовая форма согласия должна быть утверждена Минцифры РФ и размещена на сайте оператора не позднее чем за 30 дней до начала обработки.

В тексте согласия обязательно указываются: — цель, состав и срок хранения биометрических данных; — перечень действий с БПД (сбор, запись, хранение, уточнение, распространение); — сведения об операторе и его аккредитации.

Нарушение порядка получения согласия влечёт штраф по ч. 2 ст. 13.11 КоАП РФ: для юрлиц от 70 тыс. до 150 тыс. руб.; при повторном нарушении — от 150 тыс. до 300 тыс. руб.

Обработка биометрии без согласия

Обработка БПД допускается без получения отдельного согласия в случаях, предусмотренных ст. 6 ФЗ-152 и профильным постановлением Правительства РФ: — для исполнения договора, если обязанность предоставить БПД возложена на гражданина (например, получение госуслуг); — для защиты жизни или здоровья субъекта, когда он не может выразить волю; — при исполнении судебного решения.

В этих случаях срок обработки ограничен сроком, необходимым для достижения целей обработки, но не более трёх лет с момента прекращения оснований. Если обработка производится в целях исполнения договора, оператор обязан обеспечить обезличивание данных по истечении срока действия договора (ст. 18.1 ФЗ-152).

Ответственность и ограничения: ст. 14 ФЗ «О персональных данных»

Сведения о БПД не подлежат распространению без согласия субъекта (за исключением случаев, установленных законом). Запрещается обезличивать биометрические данные с целью их использования в рекламных и иных целях, не связанных с обеспечением безопасности.

За нарушение требований по обработке БПД предусмотрена административная ответственность по ст. 13.11 КоАП РФ: штраф от 50 тыс. до 100 тыс. руб.; при повторном нарушении — до 200 тыс. руб.

Санкции применяются ко всем субъектам, в том числе к государственным органам и операторам ЕГИСО (единой государственной информационной системы социального обеспечения), если иное не установлено специальным законом.

Что важно запомнить

• Биометрические данные — это ФИО и признаки, позволяющие установить личность; требуют отдельного согласия по утверждённой форме.
• Срок действия согласия на БПД составляет до трёх лет с момента получения; для цифрового паспорта Минцифры согласие бессрочное, но подлежит периодическому актуализации (раз в год).
• Оператор обязан иметь аккредитацию Минцифры РФ и разместить типовую форму согласия не менее чем за 30 дней до обработки.
• Без отдельного согласия можно обрабатывать БПД только в рамках исполнения договора или для защиты жизни/судебных решений, но срок ограничен.
• Нарушение порядка ведёт к штрафам по ст. 13.11 КоАП РФ: от 50 тыс. до 200 тыс. руб.; при обработке БПД без согласия — дополнительный риск административной ответственности.

Для минимизации рисков рекомендуется внедрить внутренний регламент обработки БПД, обучить сотрудников требованиям закона и использовать сертифицированные средства защиты информации при хранении шаблонов лица и голоса.3