Правовые риски при обработке фото лиц и номеров авто сервисом для бизнеса

Сергей, здравствуйте! Разберу по Вашим вопросам, а в конце дам вывод по схемам.

   1. Биометрия. Решает цель обработки, а не факт наличия лица на снимке. Биометрическими по ч. 1 ст. 11 Федерального закона № 152-ФЗ являются сведения о физиологических особенностях, на основании которых можно установить личность и которые оператор использует для установления личности. Роскомнадзор в своих разъяснениях по фото- и видеоизображениям придерживается того же подхода: изображение становится биометрией, когда оно используется для идентификации. Если сервис только находит лицо, чтобы его закрасить, и ни с какой базой не сравнивает, это не биометрия. Но это нужно прямо закрепить в документах (оферта, политика обработки), чтобы цель была видна при проверке.

   2. Обычные ПДн. Исходный кадр с узнаваемым лицом, по которому человека можно определить, относится к обычным персональным данным. После размытия, если человека уже нельзя узнать, это по общему правилу уже не ПДн. Госномер без привязки к владельцу сервис не идентифицирует, но в связке с другими сведениями его относят к ПДн, поэтому безопаснее закрашивать номера так же, как лица.

   3. Изображение (ст. 152.1 ГК РФ). Согласие нужно на обнародование и использование изображения, по которому человек узнаваем. Если лицо закрашено и человека нельзя узнать, согласие по этой статье не требуется. За публикацию отвечает тот, кто публикует, то есть предприниматель. В оферте стоит закрепить, что пользователь отвечает за содержание присланных фото и окончательно согласует пост.

   4. Оператор и обработчик. Цели и средства определяет предприниматель, поэтому оператор он, а Вы обрабатываете ПДн по его поручению (ч. 3 ст. 6 152-ФЗ). В поручении (оферте или отдельном соглашении) обязательно указать перечень действий с ПДн и цели, обязанность соблюдать конфиденциальность и меры защиты по ст. 19, требования ч. 5 ст. 18 о локализации, а также порядок удаления. Иностранный провайдер API в такой схеме становится еще одним лицом, которому передаются данные, и такая передача должна быть предусмотрена поручением оператора.

   5. Трансграничная передача (ст. 12). Отправка оригинала с лицами в иностранный API является трансграничной передачей. До начала передачи нужно уведомить Роскомнадзор и провести оценку получателя. В государства, которые не входят в перечень стран с адекватной защитой (приказ Роскомнадзора № 128, статус каждой страны проверяется на дату передачи), передавать нельзя до истечения 10 рабочих дней рассмотрения уведомления. Обязанность по уведомлению лежит на операторе, то есть на каждом Вашем клиенте, что на практике почти невыполнимо. Изменения ст. 12 Федеральным законом от 26.07.2026 № 265-ФЗ касаются в основном критериев формирования перечня стран, порядок уведомления сохранен. Отправка копии, на которой лица и номера уже закрашены и людей нельзя определить, трансграничной передачей ПДн не является, если на снимке не осталось других идентифицирующих сведений.

   6. Локализация (ч. 5 ст. 18). С 01.07.2025 запись, систематизация, накопление, хранение, уточнение и извлечение ПДн граждан РФ с использованием баз данных за рубежом не допускаются. Поэтому хранение исходников с лицами на VPS в Германии является главным риском Вашей текущей схемы, независимо от выбора API. Исходники нужно хранить в РФ, а передача за рубеж возможна только после этого и по правилам ст. 12.

   Вывод по схемам: вариант (а) рискованный (трансграничная передача от имени каждого клиента, плюс локализация); вариант (б) допустим, если детектор работает на сервере в РФ, а за рубеж уходит только обезличенная копия; вариант (в) самый безопасный. В первую очередь: перенос хранения исходников в РФ, оферта с поручением на обработку, политика обработки ПДн и регламент удаления исходников.

Здесь много решает формулировка оферты и поручения: от нее зависит, кто отвечает перед Роскомнадзором и перед людьми в кадре. Если будет удобно, могу в личном чате здесь, на Правоведе, разобрать Вашу архитектуру подробнее и подготовить письменное заключение по рискам, оферту с поручением на обработку ПДн и политику обработки.

С уважением,
Лучников Константин,
юрист, партнер адвокатского бюро

Здравствуйте! Для вашего сервиса рекомендую архитектуру, при которой исходные фотографии обрабатываются и хранятся на территории РФ, лица и автомобильные номера скрываются локально, а иностранному AI-провайдеру передаются только предварительно очищенные изображения. Однако даже такая схема требует проверки, действительно ли передаваемые фотографии перестали содержать персональные данные.

1. Биометрические персональные данные

Само наличие лица на фотографии не означает, что оператор обрабатывает биометрические персональные данные в специальном режиме. Существенное значение имеет использование изображения для установления личности.

Часть 1 статьи 11 Федерального закона № 152-ФЗ:

Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.

В вашем случае алгоритм обнаруживает области изображения, содержащие лица, исключительно для последующего размытия. Он не устанавливает личность, не сравнивает изображения с базами и не формирует биометрические шаблоны для идентификации.

Поэтому есть правовые основания не относить такую обработку к биометрической. При этом важно, чтобы фактическая функциональность соответствовала заявленной цели.

Существуют и разъяснения государственных органов. Например, в письме Минцифры от 17.07.2020 рассматривается использование фотографий для идентификации в системах контроля доступа. Вместе с тем письмо Роскомнадзора от 01.08.2024 № 62450-02-11/77 демонстрирует более строгий подход к фотографиям работников.

Таким образом, квалификация не абсолютно бесспорна. Для вашего сервиса целесообразно документально закрепить отсутствие функций идентификации. Письма ведомств не являются нормативными правовыми актами.

2. Обычные персональные данные и обезличивание

Даже если изображение не является биометрическими персональными данными, оно может содержать обычные персональные данные.

Пункт 1 статьи 3 Федерального закона № 152-ФЗ:

персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

Узнаваемое лицо посетителя или сотрудника может относиться к таким данным независимо от того, знает ли ваш сервис его ФИО.

Автомобильный номер не всегда позволяет получателю самостоятельно установить владельца, однако в совокупности с другими сведениями может обеспечивать косвенную идентификацию физического лица. Поэтому номера разумно скрывать.

Размытие лица также не всегда исключает идентификацию. Человек может оставаться узнаваемым по одежде, татуировкам, обстановке, месту работы или другим признакам.

При этом обезличивание означает:

Пункт 9 статьи 3 Федерального закона № 152-ФЗ:

обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

Следовательно, размытая фотография не становится автоматически информацией, на которую законодательство о персональных данных не распространяется.

Особенно важно, что сохранённый у вас оригинал продолжает содержать персональные данные, даже если опубликованная копия надлежащим образом обезличена.