Являются ли созданные Банком в рамках волонтерского мероприятия фотоизображения работников биометрическими персональными данными.

Мнение консультантов.

Согласно пункту 1 статьи 1259 ГК РФ фотографические произведения и произведения, полученные способами, аналогичными фотографии, являются объектами авторских прав.

Автором произведения науки, литературы или искусства признается гражданин, творческим трудом которого оно создано. Лицо, указанное в качестве автора на оригинале или экземпляре произведения либо иным образом в соответствии с пунктом 1 статьи 1300 настоящего Кодекса, считается его автором, если не доказано иное (статьи 1257 ГК РФ).

В силу пункта 2 статьи 1255 ГК РФ автору произведения принадлежат следующие права: 1) исключительное право на произведение; 2) право авторства; 3) право автора на имя; 4) право на неприкосновенность произведения; 5) право на обнародование произведения. Согласно пункту 1 статьи 1268 ГК РФ автору принадлежит право на обнародование своего произведения, то есть право осуществить действие или дать согласие на осуществление действия, которое впервые делает произведение доступным для всеобщего сведения путем его опубликования, публичного показа, публичного исполнения, сообщения в эфир или по кабелю либо любым другим способом. Автор, передавший другому лицу по договору произведение для использования, считается согласившимся на обнародование этого произведения (пункт 2 статьи 1268 ГК РФ).

Одновременно в соответствии с нормами статьи 152.1 ГК РФ:

- обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с согласия этого гражданина. После смерти гражданина его изображение может использоваться только с согласия детей и пережившего супруга, а при их отсутствии - с согласия родителей. Такое согласие не требуется в случаях, когда (пункт 1):

1) использование изображения осуществляется в государственных, общественных или иных публичных интересах;

2) изображение гражданина получено при съемке, которая проводится в местах, открытых для свободного посещения, или на публичных мероприятиях (собраниях, съездах, конференциях, концертах, представлениях, спортивных соревнованиях и подобных мероприятиях), за исключением случаев, когда такое изображение является основным объектом использования;

3) гражданин позировал за плату;

- изготовленные в целях введения в гражданский оборот, а также находящиеся в обороте экземпляры материальных носителей, содержащих изображение гражданина, полученное или используемое с нарушением пункта 1 настоящей статьи, подлежат на основании судебного решения изъятию из оборота и уничтожению без какой бы то ни было компенсации (пункт 2);

- если изображение гражданина, полученное или используемое с нарушением пункта 1 настоящей статьи, распространено в сети Интернет, гражданин вправе требовать удаления этого изображения, а также пресечения или запрещения дальнейшего его распространения (пункт 3).

В Постановлении Пленума ВС РФ от 23.06.2015г. № 25 указывается:

- «под обнародованием изображения гражданина по аналогии с положениями статьи 1268 ГК РФ необходимо понимать осуществление действия, которое впервые делает данное изображение доступным для всеобщего сведения путем его опубликования, публичного показа либо любым другим способом, включая размещение его в сети "Интернет".

За исключением случаев, предусмотренных подпунктами 1 - 3 пункта 1 статьи 152.1 ГК РФ, обнародование изображения гражданина, в том числе размещение его самим гражданином в сети "Интернет", и общедоступность такого изображения сами по себе не дают иным лицам права на свободное использование такого изображения без получения согласия изображенного лица.

Вместе с тем, обстоятельства размещения гражданином своего изображения в сети "Интернет" могут свидетельствовать о выражении таким лицом согласия на дальнейшее использование данного изображения, например, если это предусмотрено условиями пользования сайтом, на котором гражданином размещено такое изображение» (пункт 43);

- «Без согласия гражданина обнародование и использование его изображения допустимо в силу подпункта 1 пункта 1 статьи 152.1 ГК РФ, то есть когда имеет место публичный интерес, в частности если такой гражданин является публичной фигурой (занимает государственную или муниципальную должность, играет существенную роль в общественной жизни в сфере политики, экономики, искусства, спорта или любой иной области), а обнародование и использование изображения осуществляется в связи с политической или общественной дискуссией или интерес к данному лицу является общественно значимым» (пункт 44);

- «Согласие на обнародование и использование изображения гражданина представляет собой сделку (статья 153 ГК РФ).

Форма согласия определяется общими правилами ГК РФ о форме сделки, которая может быть совершена в письменной или устной форме, а также путем совершения конклюдентных действий (статья 158 ГК РФ), если иное не установлено законом (например, использование в агитационных материалах кандидата, избирательного объединения изображения физического лица допускается только с письменного согласия данного физического лица в соответствии с пунктом 9 статьи 48 Федерального закона от 12 июня 2002 года N 67-ФЗ "Об основных гарантиях избирательных прав и права на участие в референдуме граждан Российской Федерации") (пункт 46);

- «Ранее данное согласие гражданина на использование его изображения может быть отозвано в любое время. При этом лицо, которое обладало правом на использование данного изображения, может потребовать возмещения причиненных ему таким отзывом убытков (статья 15 ГК РФ)» (пункт 49).

Таким образом, на основании норм ГК РФ Банк, являясь автором фотографий сотрудников, вправе передать указанные фотографии третьему лицу (в том числе, своему иностранному аффилированному лицу) для обнародования (в том числе, для размещения на странице в сети LinkedIn в сети Интернет) только при получении согласия сотрудника на такое размещение.

Отношения, связанные с обработкой персональных данных, регулируются Законом № 152-ФЗ, в соответствии с пунктом 1.1 которого положения настоящего Федерального закона применяются к обработке персональных данных граждан Российской Федерации, осуществляемой иностранными юридическими лицами или иностранными физическими лицами, на основании договора, стороной которого являются граждане Российской Федерации, иных соглашений между иностранными юридическими лицами, иностранными физическими лицами и гражданами Российской Федерации либо на основании согласия гражданина Российской Федерации на обработку его персональных данных.

Согласно статье 3 Закона № 152-ФЗ:

- персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (пункт 1);

- оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (пункт 2);

- обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (пункт 3).

На основании части 1 статьи 11 Закона № 152-ФЗ биометрическими персональными данными являются сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных.  Биометрические персональные данные могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.

Частью 2 статьи 11 Закона № 152-ФЗ предусмотрено, что обработка биометрических персональных данных может осуществляться без согласия субъекта персональных данных в связи с реализацией международных договоров Российской Федерации о реадмиссии, в связи с осуществлением правосудия и исполнением судебных актов, в связи с проведением обязательной государственной дактилоскопической регистрации, обязательной государственной геномной регистрации, а также в случаях, предусмотренных законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-разыскной деятельности, о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию, о гражданстве Российской Федерации, законодательством Российской Федерации о нотариате.

В Письме Роскомнадзора от 01.08.2024г. № 62450-02-11/77 отмечается, что «Как правило, возможность отнесения тех или иных сведений к биометрическим персональным данным регулируется законодательными и иными нормативными правовыми актами.

В частности, в соответствии с п. 6 Перечня персональных данных, записываемых на электронные носители информации, содержащиеся в основных документах, удостоверяющих личность гражданина Российской Федерации, по которым граждане Российской Федерации осуществляют выезд из Российской Федерации и въезд в Российскую Федерацию, утвержденного постановлением Правительства Российской Федерации 04.03.2010 N 125, цветное цифровое фотографическое изображение лица владельца документа является биометрическими персональными данными владельца документа.

Требования к формату изображения лица, предназначенного для хранения представлений лица в записи биометрических данных, установлены Национальным стандартом Российской Федерации ГОСТ Р ИСО/МЭК 19794-5-2013, утвержденным приказом Федерального агентства по техническому регулированию и метрологии Российской Федерации от 06.09.2013 N 987-ст.

Обработка видеозаписи/фотоизображения, которые законодательным актом Российской Федерации отнесены к биометрическим персональным данным, должна осуществляться с согласия в письменной форме, с соблюдением требований, предусмотренных ч. 4 ст. 9 Закона. В иных случаях обработка видеозаписи/фотоизображения может осуществлять в соответствии с условиями, установленными ст. 6 Закона».

В свою очередь, согласно части 4 статьи 9 Закона № 152-ФЗ в случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности:

1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);

3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;

4) цель обработки персональных данных;

5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;

7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;

8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;

9) подпись субъекта персональных данных.

Письмом Роскомнадзора от 10.02.2020г. № 08АП-6782 доведены до сведения «Практические рекомендации по применению положений Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» при обработке биометрических персональных данных несовершеннолетних» (далее по тексту – Рекомендации), в соответствии с которыми «к биометрическим персональным данным относятся физиологические данные (дактилоскопические данные, радужная оболочка глаз, голос, анализы ДНК и другие), а также иные физиологические или биологические характеристики человека, в том числе, изображение человека (фотография и видеозапись).

Биометрические персональные данные будут являться таковыми при наличии условий:

- они признаны таковыми в силу положений нормативных правовых актов;

- они характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность;

- они используются оператором для установления личности субъекта персональных данных».

В Рекомендациях отмечается, что «Фотографические изображения посетителей организации, содержащиеся в системе контроля управления доступа (СКУД), будут являться биометрическими персональными данными, поскольку они характеризуют физиологические и биологические особенности человека, позволяют установить, принадлежит ли данному лицу предъявляемый СКУД пропуск, на основе которого можно установить его личность путем сравнения фото с лицом предъявителя пропуска и указываемых владельцем пропуска фамилии, имени и отчества с указанными в СКУД.

Таким образом, фотографическое изображение и иные сведения, используемые для обеспечения однократного и/или многократного прохода на охраняемую территорию и установления личности гражданина, также относятся к биометрическим персональным данным».

На основании изложенного приходим к следующим выводам.

В общем случае фотография может быть отнесена к сведениям, представляющим собой биометрические персональные данные, если по ней можно установить личность изображенного на ней человека.

Вместе с тем, для признания фотографии биометрическими персональными данными необходимо, чтобы выполнялись следующие условия:

1)   создание фотографии осуществляется в соответствии с требованиями законодательных и иных нормативных правовых актов, например, в случаях, установленных в части 2 статьи 11 Закона № 152-ФЗ, в случаях, установленных внутренними нормативными документами Банка;

2)   использование фотографии осуществляется в целях установления личности изображенного на ней человека.

Таким образом, в рассматриваемой в тексте вопроса ситуации Банку следует определить, создавалась ли фотография работника – волонтера на основании требования какого-либо нормативного документа в целях установления личности изображенного на ней лица или нет.

Если вышеуказанные условия выполняются, то фотография относится к биометрическим персональным данным работника – волонтера, и для ее обработки (передачи иностранному аффилированному лицу для размещения на странице в сети LinkedIn в сети Интернет) необходимо получение согласия работника в письменной форме  с соблюдением требований, предусмотренных частью 4 статьи  9 Закона № 152-ФЗ.

При необходимости получения согласия Работника на обработку биометрических персональных данных такое согласие может быть объединено с согласием на обработку персональных данных, либо получено в форме отдельного документа в письменной форме.

По нашему мнению, согласие на использование изображения гражданина в соответствии с гражданским законодательством должно составляться и представляться  Работником отдельно от согласия в рамках Закона № 152-ФЗ. Такое согласие может включать в себя дополнительные условия, например срок и пределы использования. Причем работник может отозвать свое согласие в любой момент.

Документы и литература.

1. ГК РФ – Гражданский кодекс Российской Федерации (ч.I) от 30.11.1994г. № 51-ФЗ,  (ч.II) от 26.01.1996г. № 14-ФЗ, (ч. III) от 26.11.2001г. № 146-ФЗ, (ч. IV) от 18.12.2006г. № 230-ФЗ;
2. Закон № 152-ФЗ  - Федеральный закон Российской Федерации от 27.07.2006г. №  152-ФЗ «О персональных данных».

Ответы на самые интересные вопросы на нашем телеграм-канале knk_banki