Банк подключил голосовую или лицевую биометрию без согласия либо не позволяет отказаться

Банк не вправе делать голосовую или лицевую биометрию обязательным условием обслуживания. Сбор и использование таких данных обычно требуют отдельного письменного согласия клиента. Разрешение можно отозвать, а банк должен предложить небиометрический способ идентификации.

Что считается банковской биометрией

Биометрическими персональными данными признаются сведения о физиологических и биологических особенностях человека, которые используются для установления его личности. Для банковского обслуживания это чаще всего изображение лица и запись голоса.

Важно учитывать цель обработки. Обычная фотография паспорта, видеозапись из офиса или запись разговора с оператором не становятся биометрией автоматически.

Запись голоса является биометрической, если банк формирует голосовой слепок и сравнивает его с новым образцом, чтобы определить конкретного клиента. Если разговор записывается только для контроля качества и разрешения споров, применяются общие правила обработки персональных данных.

Такое разграничение подробно разобрано в материале о том, когда запись телефонного разговора считается голосовой биометрией.

Нужно ли отдельное согласие клиента

По общему правилу биометрические персональные данные обрабатываются только при наличии письменного согласия. Исключения связаны с прямо названными в законе государственными, правоохранительными и иными специальными задачами. Обычное банковское обслуживание в эти исключения не входит.

Основное правило закреплено в статье 11 Федерального закона о персональных данных.

Согласие должно быть свободным, конкретным, информированным и однозначным. Клиенту необходимо сообщить:

• какие именно данные собираются;
• для какой цели они используются;
• передаются ли сведения в Единую биометрическую систему;
• кто является оператором данных;
• какие организации получат доступ;
• какие действия будут выполняться с данными;
• сколько действует согласие;
• каким способом его отозвать.

С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от договора, анкеты и других подписываемых документов. Нельзя спрятать разрешение на биометрию среди общих условий банковского обслуживания.

Подпись под договором не доказывает автоматического согласия на формирование голосового слепка. Банк обязан представить конкретный текст согласия и подтвердить, каким способом клиент его подписал.

Требования к действительному волеизъявлению рассмотрены в статье о том, когда нужно согласие на обработку персональных данных и как его оформить.

Может ли согласие быть оформлено по телефону

Само произнесённое клиентом слово «да» не всегда является надлежащим письменным согласием на биометрию. Банк должен использовать форму, позволяющую подтвердить содержание волеизъявления, личность клиента и соблюдение требований закона.

Для работы с Единой биометрической системой применяются специальные способы подписания электронных согласий. Клиент должен понимать, что разрешает не просто запись разговора, а использование голоса или лица для идентификации.

Если сотрудник сообщил: «Ваш разговор записывается», это ещё не означает согласия на создание голосового биометрического шаблона. Предупреждение о записи и согласие на биометрическую аутентификацию являются разными действиями.

ЕБС и банковская система - не одно и то же

Единая биометрическая система используется банками и другими организациями для подтверждения личности. В ней размещаются биометрические данные, а сервисы получают результат их сопоставления в установленном законом порядке.

Действующее регулирование существенно ограничивает хранение банками собственных массивов биометрических шаблонов вне ЕБС. Банк может собирать данные для размещения в государственной системе и участвовать в аутентификации, но не вправе произвольно создавать отдельную постоянную базу лиц и голосов клиентов.

Поэтому в обращении нужно выяснить:

• размещена ли биометрия в ЕБС;
• когда и кем она была собрана;
• какое согласие использовано;
• хранит ли банк исходную запись или изображение;
• создан ли биометрический шаблон;
• каким организациям передавались сведения;
• для каких операций применяется распознавание.

Может ли банк отказать в обслуживании без биометрии

Отказ от предоставления биометрии не может служить основанием для отказа в банковском обслуживании. Нельзя блокировать карту, закрывать счёт, не выдавать деньги или сокращать доступные услуги только из-за нежелания клиента использовать лицо или голос.

Банк должен предусмотреть альтернативный способ подтверждения личности. В зависимости от операции это может быть паспорт, банковская карта, кодовое слово, пароль, одноразовый код или личное обращение в офис.

Банк не обязан сохранять тот же биометрический сценарий. Например, после отключения входа по лицу клиенту могут предложить пароль. Однако сама доступная банковская услуга не должна исчезать только из-за отказа от биометрии.

Если после отказа заблокировали мобильное приложение, применяется порядок восстановления, описанный в статье о том, что делать при блокировке личного кабинета банка или другого сервиса.

Когда Face ID телефона не является биометрией банка

Вход в банковское приложение по отпечатку или лицу на смартфоне не всегда означает, что банк получил биометрические данные клиента. В некоторых системах шаблон хранится только в защищённом модуле самого устройства.

Приложение получает техническое подтверждение успешной проверки, но не фотографию лица или отпечаток. В такой ситуации биометрию обрабатывает устройство, а банк использует результат локальной аутентификации.

Перед жалобой проверьте описание функции. Формулировка «вход по биометрии телефона» может означать обычный Face ID, а не использование ЕБС или голосового шаблона банка.

Однако клиент всё равно должен иметь возможность отключить такую функцию в настройках приложения и перейти на пароль либо код доступа.

Как узнать, давал ли клиент согласие

Подайте банку письменный запрос и потребуйте предоставить сведения об обработке. Укажите, что хотите получить:

• копию согласия на биометрию;
• дату и способ его подписания;
• перечень собранных данных;
• цели обработки;
• сроки хранения;
• сведения о передаче в ЕБС;
• список получателей данных;
• информацию об использовании биометрии при операциях;
• порядок отключения и уничтожения;
• подтверждение наличия альтернативной идентификации.

Попросите сохранить записи разговоров, журналы входов и технические события. Если согласие якобы оформлялось дистанционно, банк должен подтвердить конкретную сессию, текст документа и электронную подпись.

Клиент вправе получить информацию об источнике данных, целях и способах обработки. Общего ответа «биометрия подключена по договору» недостаточно.

Как отказаться от биометрии в банке

Отказ оформите письменно, даже если функция отключается кнопкой в приложении. Это позволит доказать дату, с которой банк узнал о вашем требовании.

В готовом образце нужно уточнить, что отзывается согласие именно на сбор и использование изображения лица, записи голоса, биометрических шаблонов и результатов сопоставления. Потребуйте:

• прекратить биометрическую идентификацию;
• удалить или уничтожить данные при отсутствии другого законного основания;
• отключить передачу в сторонние системы;
• отменить ранее выданные согласия;
• предоставить небиометрический способ обслуживания;
• письменно подтвердить исполнение.

Общий документ также размещён на странице отзыва согласия на обработку персональных данных.

Отзыв согласия не требует закрытия счёта или прекращения банковского договора. Он касается конкретного способа обработки данных.

Как удалить биометрию из ЕБС

Отключение функции в приложении банка не гарантирует удаления информации из ЕБС. Это отдельное действие.

В личном кабинете Госуслуг можно проверить раздел с биометрией, удалить размещённые данные и отозвать согласия отдельных организаций. Аналогичные функции доступны через сервисы ЕБС.

Кроме того, гражданин вправе обратиться в МФЦ и подать отказ от сбора и размещения биометрических данных. Такой отказ запрещает их последующий сбор для ЕБС до момента его отзыва.

Важно различать три действия:

1. Отзыв согласия конкретному банку.
2. Удаление уже размещённых сведений из ЕБС.
3. Отказ через МФЦ от дальнейшего сбора и размещения биометрии.

Что банк может сохранить после отзыва

Отзыв биометрии не обязывает банк уничтожить все сведения о клиенте. Кредитная организация продолжает хранить договоры, сведения об операциях, идентификационные данные и документы, если это требуется банковским, налоговым или антиотмывочным законодательством.

Банк также может хранить обычную аудиозапись разговора для подтверждения распоряжений или разрешения спора, если у него остаётся самостоятельное законное основание.

Но использование записи для распознавания клиента - отдельная цель. После отзыва нельзя продолжать формировать или применять голосовой слепок только потому, что сам аудиофайл законно хранится в архиве.

При отсутствии иного основания обработка должна быть прекращена, а данные уничтожены. Общий порядок и сроки закреплены в статье 21 Федерального закона о персональных данных.

Сходный алгоритм используется, когда сайт или приложение отказывается удалить аккаунт и персональные данные.

В какие сроки банк должен ответить

Обращение клиента должно быть зарегистрировано не позднее следующего рабочего дня. По общему правилу банк обязан направить обоснованный ответ в течение 15 рабочих дней.

Если требуются дополнительные документы, срок разрешается продлить не более чем на 10 рабочих дней. Клиента должны уведомить о продлении и объяснить его причины.

После отзыва согласия обработка прекращается, а ненужные данные уничтожаются не позднее 30 дней, если у банка нет другого законного основания. При технической невозможности немедленного уничтожения данные блокируются, а завершить уничтожение нужно в пределах установленного законом предельного срока.

Что делать, если банк не отключает биометрию

Направьте в банк претензию с требованием прекратить незаконную обработку. Для этого подойдёт претензия в банк.

В документе укажите:

• когда обнаружили биометрию;
• какое согласие банк не предоставил;
• дату отзыва;
• какие функции продолжают работать;
• в чём выражается отказ в обслуживании;
• какие данные требуется уничтожить;
• какой альтернативный способ идентификации вы просите предоставить.

Если проблему создал конкретный менеджер, можно дополнительно направить жалобу на сотрудников банка. Она не заменяет основное требование к кредитной организации.

Сохраните номер обращения, скриншоты функции распознавания, ответы поддержки и сообщения о невозможности отключения.

Жалоба в Банк России

Банк России контролирует деятельность кредитных организаций и соблюдение требований к финансовому обслуживанию. Жалоба особенно уместна, если отказ от биометрии привёл к ограничению счёта, карты, приложения или другой услуги.

Используйте жалобу на банк в Центробанк.

Приложите заявление об отзыве, ответ банка, копию спорного согласия, скриншоты и доказательства отказа предоставить альтернативный способ идентификации.

Регулятор может запросить объяснения и документы у банка. Однако индивидуальную компенсацию морального вреда и убытки присуждает суд.

Жалоба в Роскомнадзор

Законность сбора, хранения и уничтожения персональных данных проверяет Роскомнадзор. Для обращения подойдёт жалоба в Роскомнадзор.

Если согласие отсутствует или составлено неправильно, дополнительно используйте жалобу на обработку персональных данных.

Попросите проверить:

• наличие письменного согласия;
• законность цели обработки;
• передачу данных в ЕБС;
• соблюдение отзыва;
• наличие собственного биометрического хранилища;
• сроки и порядок уничтожения;
• отказ в банковском обслуживании.

При раскрытии голоса, изображения или шаблона посторонним лицам направляется жалоба на утечку персональных данных.

О последствиях подобного инцидента для организации рассказано в материале о том, что делать компании при утечке персональных данных.

Можно ли взыскать компенсацию

Само обнаружение настройки «биометрический вход» не гарантирует денежную выплату. Нужно доказать, что банк действительно обрабатывал лицо или голос, а не использовал локальную функцию смартфона.

В суде можно потребовать:

• признать обработку незаконной;
• прекратить использование биометрии;
• уничтожить данные;
• предоставить альтернативное обслуживание;
• компенсировать моральный вред;
• возместить подтверждённые убытки;
• взыскать потребительский штраф при наличии оснований.

Убытками могут быть расходы, возникшие из-за незаконной блокировки доступа, срыва платежа или необходимости восстанавливать данные после утечки. Они должны подтверждаться документами и находиться в причинной связи с нарушением банка.

Для подготовки требований можно адаптировать исковое заявление о защите прав потребителей.

Подсудность и госпошлина

Требование прекратить обработку и уничтожить данные обычно рассматривает районный суд как неимущественный спор. При объединении с денежными требованиями подсудность зависит от их размера и содержания.

Если спор связан с оказанием банковской услуги и заявлен как потребительский, клиент может обратиться по месту своего жительства и воспользоваться льготой по государственной пошлине.

Когда иск не признаётся потребительским и содержит только неимущественные требования о персональных данных, пошлина для гражданина составляет 3 000 рублей.

Общий срок исковой давности по денежным требованиям составляет три года со дня, когда клиент узнал о нарушении и надлежащем ответчике. При продолжающейся незаконной обработке не следует откладывать обращение, рассчитывая только на её длящийся характер.

Практический порядок действий

1. Проверьте, действительно ли банк обрабатывает голос или лицо, а не локальную биометрию телефона.
2. Посмотрите наличие данных и согласий в личном кабинете ЕБС.
3. Запросите у банка копию согласия и сведения об обработке.
4. Отзовите согласие на банковскую биометрию.
5. Удалите данные из ЕБС и отмените согласия организаций.
6. При необходимости подайте в МФЦ отказ от будущего сбора биометрии.
7. Потребуйте альтернативный способ идентификации.
8. Зафиксируйте продолжение распознавания после отзыва.
9. Направьте жалобы в Банк России и Роскомнадзор.
10. При ущербе или длительном отказе обратитесь в суд.

Главная ошибка - ограничиться отключением кнопки в банковском приложении. Нужно отдельно проверить согласия банка, сведения в ЕБС и фактическое уничтожение созданных биометрических шаблонов.

FAQ: банк подключил биометрию без согласия

Может ли банк записывать разговор без согласия клиента?

Для обычной фиксации разговора отдельное биометрическое согласие требуется не всегда. Оно необходимо, если голос анализируется и используется для установления личности.

Можно ли отказаться только от голоса, но оставить распознавание лица?

Да. Согласие должно быть конкретным. Клиент вправе отозвать его полностью либо в части определённого вида данных или цели обработки.

Удаление биометрии закроет банковский счёт?

Нет. Отказ от биометрии сам по себе не является основанием для закрытия счёта или прекращения обслуживания.

Можно ли отказаться от биометрии через МФЦ?

Да. В МФЦ можно подать отказ от будущего сбора и размещения биометрических данных. Для удаления уже размещённых данных дополнительно используйте Госуслуги или сервис ЕБС.

Обязан ли банк выдать подтверждение удаления?

В заявлении следует прямо потребовать письменный ответ о прекращении обработки и уничтожении данных. Общей фразы об отключении функции недостаточно.