Нужно ли письменное согласие на обработку биометрических данных в сервисе генерации иллюстраций?

1. Считается ли это обработкой биометрии и какое нужно согласие?

Скорее нет. В определении из ч. 1 ст. 11 152-ФЗ: биометрическими считаются сведения, которые характеризуют физиологические особенности человека и используются для установления его личности. В вашем случае цель другая — стилизация лица для генерации иллюстрации, а не идентификация пользователя в системе или в жизни. Нейросеть извлекает признаки не для того, чтобы «узнать» человека, а чтобы адаптировать художественный стиль под его внешность. Поэтому такую обработку, как правило, не относят к биометрической в смысле этой статьи.

Какое согласие достаточно?

Поскольку это не биометрия в строгом смысле, отдельного письменного согласия (с собственноручной или квалифицированной электронной подписью) не требуется. Достаточно электронного согласия — например, через галочку в веб-форме при загрузке фото. Но есть важные нюансы. Галочка должна быть пустой по умолчанию — пользователь должен активно её поставить. Лучше сделать её отдельной от галочки «Я принимаю оферту». Смешивать цели обработки в одном чекбоксе нельзя: согласие должно быть конкретным.

Рядом с чекбоксом чётко укажите цель (генерация иллюстрации) и дайте ссылку на Политику конфиденциальности, где подробно расписано, какие данные собираются, как хранятся и уничтожаются после генерации.

2. Как оформить загрузку фото детей?

Одной лишь гарантии в пользовательском соглашении недостаточно. В соответствии со ст. 152.1 ГК РФ) за несовершеннолетних согласие дают их законные представители — родители, опекуны. Поэтому в сервисе нужно предусмотреть механизм, где представитель явно выражает согласие.

Я рекомендую такой подход: при загрузке фото ребёнка система должна запросить у пользователя (представителя) отдельное явное согласие. Это может быть дополнительный чекбокс с текстом вроде «Я являюсь законным представителем ребёнка и даю согласие на обработку его изображения для генерации сказочной иллюстрации». В Политике конфиденциальности подробно пропишите, как именно вы будете защищать данные ребёнка и что сделаете после завершения задачи (например, удалите исходное фото). Так вы снизите риски: у представителя будет чёткое понимание, что и как обрабатывается, а у вас — документальное подтверждение волеизъявления.

3. Уведомление в Роскомнадзор и пакет документов

Да, как самозанятый вы становитесь оператором персональных данных (п. 2 ст. 3 152-ФЗ). Поэтому до начала обработки (то есть до запуска сервиса) нужно подать в Роскомнадзор уведомление о намерении осуществлять обработку. В уведомлении опишите цели, способы обработки (автоматизированная), меры защиты данных и правовое основание.

Если возникнут вопросы, пишите.