Нужно ли письменное согласие на обработку биометрических данных в сервисе генерации иллюстраций?

1. Считается ли это обработкой биометрии и какое нужно согласие?

Скорее нет. В определении из ч. 1 ст. 11 152-ФЗ: биометрическими считаются сведения, которые характеризуют физиологические особенности человека и используются для установления его личности. В вашем случае цель другая — стилизация лица для генерации иллюстрации, а не идентификация пользователя в системе или в жизни. Нейросеть извлекает признаки не для того, чтобы «узнать» человека, а чтобы адаптировать художественный стиль под его внешность. Поэтому такую обработку, как правило, не относят к биометрической в смысле этой статьи.

Какое согласие достаточно?

Поскольку это не биометрия в строгом смысле, отдельного письменного согласия (с собственноручной или квалифицированной электронной подписью) не требуется. Достаточно электронного согласия — например, через галочку в веб-форме при загрузке фото. Но есть важные нюансы. Галочка должна быть пустой по умолчанию — пользователь должен активно её поставить. Лучше сделать её отдельной от галочки «Я принимаю оферту». Смешивать цели обработки в одном чекбоксе нельзя: согласие должно быть конкретным.

Рядом с чекбоксом чётко укажите цель (генерация иллюстрации) и дайте ссылку на Политику конфиденциальности, где подробно расписано, какие данные собираются, как хранятся и уничтожаются после генерации.

2. Как оформить загрузку фото детей?

Одной лишь гарантии в пользовательском соглашении недостаточно. В соответствии со ст. 152.1 ГК РФ) за несовершеннолетних согласие дают их законные представители — родители, опекуны. Поэтому в сервисе нужно предусмотреть механизм, где представитель явно выражает согласие.

Я рекомендую такой подход: при загрузке фото ребёнка система должна запросить у пользователя (представителя) отдельное явное согласие. Это может быть дополнительный чекбокс с текстом вроде «Я являюсь законным представителем ребёнка и даю согласие на обработку его изображения для генерации сказочной иллюстрации». В Политике конфиденциальности подробно пропишите, как именно вы будете защищать данные ребёнка и что сделаете после завершения задачи (например, удалите исходное фото). Так вы снизите риски: у представителя будет чёткое понимание, что и как обрабатывается, а у вас — документальное подтверждение волеизъявления.

3. Уведомление в Роскомнадзор и пакет документов

Да, как самозанятый вы становитесь оператором персональных данных (п. 2 ст. 3 152-ФЗ). Поэтому до начала обработки (то есть до запуска сервиса) нужно подать в Роскомнадзор уведомление о намерении осуществлять обработку. В уведомлении опишите цели, способы обработки (автоматизированная), меры защиты данных и правовое основание.

Если возникнут вопросы, пишите.

Здравствуйте, Максим!

.

➡️ Ситуация ясна. Ст. 11 Закона о персональных данных полностью защитит вас. ФЗ-152 на вашей стороне, если правильно применить. Но проверяющие часто нагло ловят людей. Роскомнадзор откровенно хитрит. Оппонент ждет глупую ошибку. Вы посчитаете обычную стилизацию лица сложной биометрией. Это главная ловушка. Сервис просто нагло закроют из за отсутствия нужных документов. Вы имеете полное право работать по электронной оферте.

.

➡️ В чем главная интрига?

Есть скрытые нюансы. Обычные статьи молчат. Стилизация фотографии без установления личности не является биометрией. Простая электронная галочка под текстом о наличии согласования на обработку пд со ссылкой на политику конфиденциальности законна. С загрузкой детских фотографий ситуация обстоит гораздо жестче. Пункт в оферте с гарантиями пользователя полностью законен. Но именно за отсутствие проверки возраста пользователей зацепится оппонент. Начнется жесткий административный шантаж. Это чистый развод. Риски надо блокировать намертво сейчас. Завтра будет поздно.

.

➡️ Что важно понимать?

Мой опыт огромный. Целых 16 лет в том числе в судах. Подвохи вижу сразу. Результат всегда зависит от дыр. Инспекторы ведомства ждут ваш сильный испуг. Уведомление в Роскомнадзор подавать нужно обязательно до запуска. Статус самозанятого не освобождает от этой важной обязанности. На сайте должны быть вывешены три обязательных документа. Вам необходимы пользовательское соглашение, политика конфиденциальности и согласие. Штука сложная и вообще необъятная. Запуск сервиса без официального уведомления властей это просто игра. Контролеры тупо тянут резину. Время уходит.

.

✅ Если возникают сложности или не знаете, как обойти ловушки, то пишите в личные сообщения любому юристу. Разберемся.

.

С уважением и готовностью помочь,

юрист Квон Дмитрий Викторович

Согласно ч. 1 ст. 11 Федерального закона № 152-ФЗ «О персональных данных», к биометрическим персональным данным относятся сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность.