С 30 мая вступил в силу новый закон о хранении и передаче персональных данных. Особенно ужесточились штрафы за утечку биометрических данных — до 15–20 миллионов рублей. Однако в промышленности отпечатки пальцев или сканы лица активно применяются, к примеру, для доступа на режимные объекты.
В статье вместе с Евгением Семёновым, заместителем генерального директора Центра биометрических технологий (ЦБТ) — оператора государственной Единой биометрической системы (ЕБС), узнаем: почему биометрия улучшает показатели в производстве и работает даже на удалённых объектах. Разберёмся, как грамотно её организовать и как хранить и передавать данные так, чтобы не получить штраф.
Как применяют биометрию в производстве
Сканы отпечатка пальца или сетчатки глаза давно перестали быть областью фантастики и стали частью обыденности на производстве. Такие технологии повышают безопасность на объекте, помогают улучшать условия труда, экономят время и исключают возможность мошенничества.
Что относится к биометрическим персональным данным:
- дактилоскопия;
- рисунок сетчатки глаза;
- информация о ДНК;
- изображения человека (фотографии и видеозаписи);
- голос;
- параметры (рост и вес);
- рисунок вен ладони.
Технологии, которые сейчас тестируют или уже применяют на производствах по всему миру
В России уже работают контрольно-пропускные пункты с биометрической идентификацией: система автоматически подсчитывает количество рабочих часов, выявляет опоздавших и не пускает на территорию посторонних — это особенно важно для режимных объектов.
В промышленности основная и наиболее массово применяемая технология — распознавание лиц. Она используется на проходных, в удалённых точках контроля доступа, а также может выступать как второй фактор к карте или QR-коду.
Остальные технологии внедряются точечно и пока не имеют массового применения. Однако ведётся активная работа над внедрением новой модальности — распознавания рисунка вен или дактилокарты ладони.
Ещё одна сфера применения биометрии — предрейсовые осмотры. Компания «Специальные технологии контроля» в 2023 году разработала предрейсовый комплекс для прохождения медосмотров в удалённом режиме. Сначала комплекс через ЕБС идентифицирует работника, а затем собирает данные о его состоянии: пульс, температуру тела и давление. Врач дистанционно принимает решение о допуске к работе. Так работник может на месте пройти осмотр, а руководитель будет уверен в том, что данные не подделаны.
Как биометрия работает без связи на удалённых объектах
Биометрическим системам необходима связь с сервером для обработки, синхронизации и обновления информации. Системе пропусков по скану лица или глаза требуется связь, в том числе и для загрузки актуальных правил доступа и списков разрешённых на объекте лиц.
Мы уже рассказывали, как работает связь на удалённых объектах: даже в самых суровых условиях в этом помогают спутники. Биометрические системы, которые применяют на таких объектах, адаптированы и к погоде, и к отсутствию стабильной связи, и к другим особенностям.
Системы распознавания лиц есть и на удалённых объектах — в вахтовых посёлках, буровых и временных базах. Такие системы позволяют контролировать доступ даже при отсутствии постоянной охраны. ЦБТ, к примеру, предлагает оборудование, которое соответствует классам для работы в разных средах: в условиях низких температур, влаги, пыли и ограниченной инфраструктуры.
Передача данных на удалённых объектах возможна через минимальный канал связи: мобильный, радиоканал, спутник. Это предпочтительнее переноса на физических носителях — безопаснее, быстрее и снижает риск устаревания информации. Объём передаваемых данных невелик — векторы занимают считаные килобайты.
Какие законы регулируют работу с биометрией
Законодательство в России не предписывает обязательное использование биометрии на производствах. Руководство компаний самостоятельно принимает решение о введении таких технологий, чтобы улучшить и упростить рабочие процессы.
Использование биометрии на предприятиях, особенно на удалённых и режимных объектах, строго регламентировано. Согласно 572-ФЗ, биометрические персональные данные можно хранить только в ЕБС.
Если компания не относится ни к одной перечисленной отрасли, она может использовать коммерческие биометрические системы (КБС). Такие услуги предлагают аккредитованные коммерческие провайдеры (АКП).
Подключение к ЕБС через аккредитованную организацию похоже на другие бизнес-процессы, которые требуют привлечения уполномоченных посредников. Если компания хочет подключиться напрямую, она должна быть подкована в области информационной безопасности, а также быть готовой выполнять жёсткие требования. ЦБТ предоставляет таким компаниям типовые решения, чтобы существенно упростить интеграцию.
Как организовать работу с биометрией на производстве
Для работы с биометрическими данными руководитель обязан разработать локальный нормативный акт (ЛНА) в отношении обработки персональных данных. Это требование прописано в Статье 13.11 КоАП РФ. В документ включают правила обработки, хранения и использования персональных данных, перечень лиц с доступом к данным и список документов, содержащих такие данные. Также в ЛНА должен быть порядок передачи данных внутри организации и третьим лицам и ответственность за нарушения.
Руководитель назначает сотрудника, который отвечает за процесс работы с персональными данными. Также он составляет список тех работников, которым необходим доступ к этим сведениям: для работы с данными они обязаны подписать документ о неразглашении.
Кроме того, каждый, кто будет проходить биометрию, должен подписать письменное согласие. Шаблон такого документа составляется руководством предприятия с учётом требований № 152-ФЗ от 27.07.2006.
До начала обработки биометрических данных руководитель подаёт заявление на портале Роскомнадзора о своём намерении.
Какие ошибки допускают чаще всего при работе с биометрией
Отсутствие альтернатив
Работодатель обязан дать сотрудникам выбор: использовать биометрию в работе или нет. Если работника не пускают на объект без скана лица, он может обратиться в суд.
Избыточный сбор данных
Работодатель обязан собирать только те данные, которые нужны для конкретных целей. К примеру, для пропускной системы достаточно устройства распознавания лиц, и скан отпечатка пальцев будет избыточен.
Хранение данных дольше, чем необходимо
Согласно новому закону, данные нужно уничтожать после достижения целей обработки. Если с данными работали вручную, то составляют акт об уничтожении. Если обработка была автоматической, оператору достаточно добавить отчёт из журнала регистрации событий в системе персональных данных. Это можно сделать как в электронном виде, так и на бумажном носителе — его хранят три года.
Отсутствие мер защиты
Биометрические персональные данные можно передавать только в ЕБС через защищённые каналы. Закон обязывает операторов применять организационные и технические меры по защите данных: шифрование и контроль доступа. Это снижает до минимума возможность утечки данных.