Скан паспорта в 1С: это биометрия или обычные персональные данные?

Скан паспорта содержит персональные данные, и в обычном учёте это общие, не биометрические данные: ФИО, серия и номер, адрес регистрации, фото в составе документа. Биометрией фото становится, когда компания сверяет его с лицом человека, чтобы установить личность. Для заполнения карточки в 1С такая сверка не нужна.

Директор спрашивает: «Это же биометрия?» 🧐

Небольшая московская компания заводит нового подрядчика-физлицо. Бухгалтер сканирует разворот с фото и загружает файл в карточку в 1С. Тем же утром директор читает новость про биометрию и спрашивает юриста: нужно ли теперь отдельное согласие, уведомление и хранилище с особым режимом?

Путаница понятна. На развороте есть лицо, а слово «биометрия» ассоциируется именно с лицом. Но закон определяет биометрию не по тому, что изображено на файле, а по тому, зачем компания эти данные использует. Поэтому одни и те же сведения у одного оператора остаются обычными персональными данными, а у другого становятся биометрическими.

Ошибка дорога в обе стороны. Если объявить биометрией всё, компания тратит время на лишние документы и закрывает бухгалтерам доступ к карточкам, без которых не закрыть месяц. Если не заметить момент, когда фото действительно стало биометрией, проверяющий найдёт обработку без нужного согласия.

Что лежит в скане и к какой категории относится 📄

Статья 3 152-ФЗ называет персональными любые сведения, которые прямо или косвенно относятся к определённому человеку. Скан разворота с фото даёт такой набор:

• ✓ФИО, дата и место рождения. Общие персональные данные.
• ✓Серия и номер паспорта, кем и когда выдан, код подразделения. Тоже общие, но при утечке именно по ним можно оформить договор от чужого имени.
• ✓Адрес регистрации. Общие.
• ✓Фотография. Общие, пока компания не использует её для установления личности.
• ✓Отметки о браке и детях, если страница попала в скан. Общие, но для договора и учёта в 1С не нужны.

Специальных категорий по статье 10 (сведения о здоровье, убеждениях, интимной жизни) в паспорте нет. Отдельного режима для скана закон не вводит, зато весь остальной 152-ФЗ действует полностью: у обработки должны быть цель, основание, срок и защита.

Принцип минимизации из статьи 5 даёт практический вывод. Если для договора хватает ФИО, паспортных данных и адреса, страницы с отметками сканировать незачем. Меньше полей в карточке, меньше то, что можно потерять.

Когда фото превращается в биометрию 🔍

Статья 11 относит к биометрическим сведения о физиологических особенностях человека, которые позволяют установить личность и которые оператор использует именно для этого. Нужны оба признака сразу.

Фото в карточке контрагента лежит как часть документа. Никто не сравнивает его с живым лицом, поэтому биометрии нет. Картина меняется в двух случаях:

• ✓сотрудник или приложение сверяет селфи клиента с фото из паспорта, чтобы подтвердить личность;
• ✓система контроля доступа берёт фото из скана паспорта как эталон для распознавания лиц.

Тогда действует статья 11 целиком: согласие субъекта нужно почти всегда, а исключений меньше, чем для обычных данных. Для учёта в 1С такой сценарий встречается редко. Распознавание паспорта в 1С читает текстовые поля: ФИО, серию, номер, даты. Если подрядчик заодно «проверяет лицо», это другая услуга с другими требованиями, и спросить об этом стоит до подключения.

Куда уходит скан: цена ошибки ⚠️

Менеджер фотографирует паспорт клиента-физлица и отправляет снимок в рабочий чат. Бухгалтер скачивает файл и загружает в первый попавшийся онлайн-распознаватель. Через месяц клиент просит удалить свои данные, а компания не может сказать, где лежат копии: в чате, в загрузках на двух ноутбуках или на чужом сервере.

Категория данных здесь вторична. Первый вопрос: где хранится скан и кто его видит. Закон на него отвечает жёстко.

• ✓После инцидента с персональными данными оператор уведомляет Роскомнадзор в течение 24 часов и ещё раз в течение 72 часов сообщает о результатах внутреннего расследования (статья 21). Если неизвестно, где лежат копии, в эти сроки не уложиться.
• ✓Часть 5 статьи 18 требует записывать и хранить персональные данные граждан России в базах на территории России. Зарубежный облачный распознаватель, который оставляет файлы у себя, этому не соответствует, а ответственность предусмотрена статьёй 13.11 КоАП.

Просьба клиента удалить данные сводится к тому же вопросу: без реестра копий ответить нечем.

Для малого бизнеса последствия чаще выглядят скромнее громких штрафов: жалоба одного клиента, проверка и переписка с надзорным органом вместо работы. Но разговор о том, где лежат сканы, лучше провести до проверки, а не во время неё.

Четыре способа обработать скан паспорта 📊

Способ определяет, какие требования к вам применяются и кто отвечает за копии. Сравнение по тому, что проверяет надзорный орган:

Зарубежный распознаватель выглядит самым быстрым, пока не дойдёт до проверки локализации. Российский облачный сервис требует поручения обработки: подрядчик действует по вашему заданию, а ответственность перед человеком остаётся на вас. Решение внутри 1С убирает передачу файла третьим лицам, но тогда вы сами отвечаете за доступ и сроки хранения в базе. Это решается настройкой, и о ней ниже.

Сколько хранить скан: единого срока нет ⏳

Ни 152-ФЗ, ни другие законы не называют одного срока для скана паспорта. Статья 5 задаёт правило: хранить данные не дольше, чем требует цель обработки, а когда цель достигнута, уничтожить, если закон или договор не требуют иного.

На практике срок скана привязывают к документу, ради которого он собран. Скан подрядчика живёт, пока действует договор и идут расчёты по нему. Скан покупателя-физлица для разовой сделки нужен до её исполнения. Сроки хранения самих договоров и первичных документов определяют отдельные нормы, их стоит сверить с юристом или главным бухгалтером. Главное, чтобы срок был записан в карточке, а скан не оставался в базе, пока про него не вспомнят.

Как настроить 1С, чтобы скан не стал проблемой 🛠️

Четвёртый вариант снимает вопрос о третьих лицах, но не снимает ответственность за то, что происходит в базе. Типовая конфигурация не знает, на каком основании вы храните паспорт и когда его пора удалять. Это добавляется доработкой:

• ✓в карточку физлица вносятся реквизиты «основание обработки» (договор или согласие), «дата согласия» и «срок хранения скана»;
• ✓доступ к вложению с паспортом получают только роли, которым он нужен для работы, например кадры и бухгалтер по расчётам;
• ✓по истечении срока файл помечается к удалению;
• ✓журнал фиксирует, кто и когда открывал скан.

Такая доработка 1С считается в часах. Час сопровождения 1С у нас стоит 3800 руб, объём работ мы оцениваем после просмотра конфигурации.

Сам ввод данных тоже можно убрать из ручной работы. Распознавание паспорта в 1С загружает скан и заполняет поля карточки, проверить результат остаётся человеку. Для бухгалтерии есть отдельное решение, Паспортный сервис для 1С:Бухгалтерии. Стоимость смотрите в разделе цены и тарифы. Перед подключением задайте нам те же вопросы, что и любому подрядчику: они в чек-листе ниже.

Чек-лист: шесть вопросов себе и подрядчику ✅

1. ✓Какие поля нужны для договора и учёта? Страницы, где их нет, не сканируются.
2. ✓На каком основании вы обрабатываете паспорт: договор с человеком или согласие? Основание записано в карточке.
3. ✓В какой стране стоит сервер, на котором лежит файл и на котором он распознаётся?
4. ✓Остаётся ли файл у подрядчика после распознавания и сколько он там хранится?
5. ✓Сервис читает только текст или анализирует лицо? Во втором случае добавляется статья 11 и согласие на биометрию.
6. ✓Кто в компании открывает скан и как за один день удалить все копии по запросу человека?

Вопрос без ответа превращается в задачу. Юридическую часть закрывает юрист, настройку 1С и подключение распознавания мы берём на себя.

❓ Частые вопросы

Скан паспорта — это биометрические персональные данные?

Нет, как правило. Биометрия по статье 11 152-ФЗ — это физиологические особенности, которые используются для установления личности. Если фото в скане просто хранится в карточке контрагента и никто не сверяет его с лицом человека, данные остаются обычными персональными. Сверка селфи с фото из паспорта уже биометрия.

Можно ли отправлять скан паспорта в зарубежный облачный распознаватель?

Для паспортов граждан России это рискованно. Часть 5 статьи 18 152-ФЗ требует записывать и хранить такие данные в базах на территории России, а передача за границу подчиняется статье 12. Если сервис сохраняет файлы у себя за рубежом, требование нарушено. Надёжнее распознавать скан в России или внутри своей 1С.

Нужно ли согласие на обработку скана паспорта подрядчика?

Зависит от основания. Для заключения и исполнения договора с физлицом согласие не требуется: основанием служит сам договор (статья 6, часть 1). Согласие нужно там, где договора как основания нет или обработка выходит за его цели. Основание записывают в карточку. Сомнения решает юрист.

Как долго хранить скан паспорта в 1С?

Единого срока закон не называет. По статье 5 152-ФЗ данные хранят не дольше, чем требует цель, и уничтожают после её достижения. Скан обычно живёт, пока действует договор с человеком и идут расчёты по нему. Срок записывают в карточке, а доработанная 1С напоминает об удалении после его окончания.

Что делать, если скан паспорта утёк?

Уведомить Роскомнадзор в течение 24 часов с момента выявления инцидента и в течение 72 часов сообщить результаты внутреннего расследования (статья 21 152-ФЗ). Заранее заведите реестр: где лежат копии паспортов и кто имеет к ним доступ. Без него собрать данные для уведомления за сутки почти невозможно.