Новые разъяснения Роскомнадзора – теперь про биометрические персональные данные

В обстановке «строгой конспирации и секретности», конечно же, поздним вечером пятницы, на сайте Роскомнадзора опубликован второй документ, подготовленный уполномоченным органом с участием экспертной группы, куда вхожу и я. На этот раз разъяснения касаются вопросов отнесения фото- и видео- изображений, дактилоскопических данных и иной информации к биометрическим персональным данным и особенностей их обработки.

Судя по количеству прочтений, тема биометрии – самая популярная среди читателей моего блога. На персональной страничке прямых заходов на пост «Биометрические персональные данные: что это?» – более 7200, на портале Security Lab, где есть зеркало блога, – без малого 3000 прочтений. Если к ним добавить те посты, где я так или иначе писал про проблемы обработки биометрических персональных данных (здесь и здесь, например), общее число посещений страниц только с этой тематикой уже превысило 20 тысяч.

Поскольку в написании текста разъяснений я принимал самое непосредственное участие, позволю себе выделить главное, что в них отражено.

С самого начала я настаивал на формулировке «биометрические персональные данные, обработка которых регламентируется 152-ФЗ», но поддержки у коллег не нашел. Тем не менее, крайне важным представляется, что в разъяснении четко указаны три признака, при которых на работу с этой категорий сведений распространяются ограничения, определенные ст.11 152-ФЗ. Это сведения, которые:

·         характеризуют физиологические и биологические особенности человека;

·         на основании которых можно установить его личность;

·         которые используются оператором для установления личности субъекта персональных данных.

Все три признака должны присутствовать одновременно! Из чего следует логичный вывод, что «отнесение сведений персонального характера к биометрическим персональным данным и их последующая обработка должны рассматриваться в рамках проводимых оператором мероприятий, направленных на установление личности конкретного лица». Нет идентификации – нет биометрии в понимании Федерального закона «О персональных данных».

Поэтому рентгеновские снимки или результаты биохимического анализа крови в поликлинике – не биометрические персональные данные. Как и результаты видеосъемки в офисе или фотография в личном деле работника. Все они не используются для идентификации субъекта медицинским учреждением, кадровым органом или службой безопасности. Но как только они попадут в органы следствия, дознания или исполнения судебных актов для розыска или установления личности, они становятся именно биометрическими персональными данными. А оператором в отношении этих биометрических данных будут как раз следственные и исполнительные органы.

Исходя их этих же соображений, цифровое фото, зашитое в чип загранпаспорта или пропуска, используемого в СКУД, – биометрия, поскольку используется оно как раз при установлении личности владельца пропуска, предъявившего его на входе, паче чаяния у охранника возникнут сомнения, что молодой человек, проходящий через трипод, похож на пожилую даму, чей портрет в этот момент появился на экране монитора.

К чему это я? А к тому, что в соответствии с законом, организации, поставившие у себя СКУД, использующие фотографии и уж тем более дактилоскопическую систему идентификации, должны получить у владельцев пропусков или лиц, прислоняющих свои пальчики к считывателю, согласие на обработку персональных данных в письменной форме, предусмотренной частью 4 ст.9 Федерального закона. И никак по-другому. А вот ФМС, выдающей биометрические загранпаспорта, никаких согласий получать не надо. Часть 2 ст.11: «Обработка биометрических персональных данных может осуществляться без согласия субъекта персональных данных… в случаях, предусмотренных законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию».

Можно, наконец, вздохнуть с облегчением банкам, которых Управление Роскомнадзора по Краснодарскому краю и республике Адыгея и некоторые его коллеги-единомышленники постоянно штрафуют за ксерокопирование паспортов без письменного согласия клиентов. Теперь всем будет ясно, что «В иных случаях, когда сканирование паспорта осуществляется оператором для подтверждения осуществления определенных действий конкретным лицом (например, заключение договора на оказание услуг, в том числе банковских, медицинских и т.п.) без проведения процедур идентификации (установления личности), данные действия не могут считаться обработкой биометрических персональных данных и ст. 11 Федерального закона «О персональных данных» не регулируются. Соответственно, обработка сведений, в данных случаях, осуществляется в соответствии с общими требованиями, установленными Федеральным законом «О персональных данных». Аналогичный подход следует применять при осуществлении ксерокопирования документа, удостоверяющего личность».

Конечно, всех сложных проблем, связанных с биометрией, данное разъяснение решить не может. Остается, например, просто неприличное несоответствие оснований для обработки биометрических данных без согласия субъектов в федеральных законах «О персональных данных» и «О геномной регистрации». Но все равно такие разъяснения представляются крайне важными для создания единой практики правоприменения. И не надо в очередной раз писать, что толкование законов – вне компетенции Роскомнадзора. Оно уж тем более не в компетенции авторов таких высказываний.

Считаю, что надо радикально менять определение биометрии в 152-ФЗ. В рамках рабочей группы, созданной при Совете Федерации, я предложил следующее: «Биометрические персональные данные – это зафиксированные по определенным правилам параметры, характеризующие биологические особенности человека и используемые в системах автоматической идентификации (распознавания), такие, как изображения папиллярных узоров пальцев, сетчатки глаза и т.п. Само по себе фотографическое изображение человека, в том числе и в цифровой форме, к биометрическим данным не относится, если не используется для его автоматической идентификации».

С обратной связью пока трудно, но можно обсудить и усовершенствовать это определение прямо на блоге. При случае передам заинтересованным и компетентным.

В старинном городе Обломове

На Достоевской стороне живет мальчишка (©Сергей «Чиж» Чиграков) Петька, а у него еще есть братик Андрюша и сестренка Татьяна. Петька в третьем классе учится, Андрюша – в первом, а Татьяна – большая, уже в восьмом. Живут они с мамой, а на соседней улице живет любимая бабушка, Елизавета Николаевна, папина мама, которая во внуках души не чает и невестку очень любит. Папу они давно не видели. Петька с Андрюшей думают, что папа деньги где-то далеко на их жизнь зарабатывает, а взрослой Татьяне мама сказала, что папа он них ушел. Навсегда.

Ушел папа и помогать детям перестал, совсем.И где он, ни мама, ни бабушка не знают. Маме посоветовали в суд заявление написать, чтобы папу помог найти и деньги с него на детей взыскать – не просто все же одной троих ребятишек содержать. Суд помог, решение о взыскании алиментов принял, а так как местонахождение папы неизвестно, передал для принудительного исполнения судебным приставам.

Тут как нельзя вовремя и разъяснение из Роскомнадзора про фото должников пришло, мол, развешивайте, где хотите, закон позволяет. Ну, приставы и постарались. А что – современно очень. И единственная в Обломове компания, занимающаяся наружной рекламой, охотно навстречу приставам пошла и плакат о розыске должника разместила.

Первыми о переменах в семье Петьке сообщили одноклассники. «Ага, Петька, теперь ясно, почему у тебя брюки всегда протертые и кроссовки такие старые. От вас папка-то давно ушел, и денег вам не платит!». Новость разнеслась по школе быстро, непосредственные первоклассники придумали речевку для Андрюши и скандировали ее на переменах. Мудрые восьмиклассники Татьяне не говорили вообще ничего. Но смотрели искоса, низко голову наклоня, шушукались и громко хихикали. Конечно, несчастные Череззаборногузадирищенские были не единственными учениками школы, в семье которых не было папы и которым не платили алименты. Но уникальность фамилии в Обломове и огромное фото папы сделали свое дело.

Елизавете Николаевне от места на скамеечке у подъезда подруги-старушки отказали. Более того, теперь она сумерках выглядывает в  в окно, и, если скамеечка свободна, совершает стремительный марш-бросок до магазина и обратно, раз в месяц – на соседнюю улицу к невестке,чтобы поделиться своей трудовой пенсией с внуками. Всем стало «хорошо». Папашу пропавшего, нехороший он человек, конечно, видели в Обломове года три назад.Теперь – каждое утро на трех щитах в центре города, один – аккурат напротив школы.

Все имена, фамилии, названия городов изменены. Любые совпадения случайны. Петьку, Андрюшу и Татьяну жалко. Их маму и бабушку тоже. Но приставы ищут. Говорят, к концу месяца еще два билборда повесят– в горсаду напротив доски почета и у фабрики, где трудится мама.

Кстати, и раньше безо всяких разъяснений в отношении должников не очень стеснялись. Нафото двухгодичной (!) давности – должник, в отношении которого судебногорешения нет. А чего ждать-то? Ясно, что антисоциальный элемент. Кстати, компания в этом городе обломове сопровождалась слоганом «За долги «повесят»».

Приставы развернулись. Они и раньше в школы любили захаживать, чтобы про единоутробного папашу поспрашивать. Год назад, 30 августа 2011 г. «Российская газета» жизнерадостно сообщила, что «находчивый розыскник обнаружил в известной социальной сети страничку сына должника, где было указано место обучения ребенка. Затем приставы разузнали в школе адрес родителей и номера их телефонов». Методичка ФССП уверенно сообщает, что «определение фактического местопребывания должника-гражданина через образовательное учреждение, в котором обучаются его несовершеннолетние дети, является одним из перспективных методов в случае, если должник не проживает по месту своей регистрации». Ага, ага.

А уж теперь – совсем хорошо стало. И вот стройные ряды любителей познакомить общественность с частной жизнью не самых благополучных российских семей дружно пополняют судебные приставы. В Хабаровске, где планируют разместить фото с прочими данными на баннерах и мониторах в местах массового скопления людей, в общественном транспорте. В Набережных Челнах, где для этого подобрали неплохое место – мост Пединститута и при доброй воле типографии (а куда она денется?) собираются выпустить листовки про должников, на Ставрополье, где собираются использовать весь спектр возможностей публикации фото, от СМИ до Интернета, и еще во многих других городах и весях.

Бог в помощь.

Вот только подумайте про семью Череззаборногузадирищенских, мучительно ищущих способ продажи квартирки в Обломове и переезда в другой город, подальше от добрых дядей-приставов и детей-одноклассников, как известно, в определенном возрасте и в стае не знающих жалости.

Я уже писал об этой проблеме и высказывал свою точку зрения. И не надо обвинять меня в сочувствии должникам и уклонистам. Я их не люблю и никоим образом не оправдываю. Но у них есть семьи, которым жить, может быть, иногда – отдельно. Любая служба допускает ошибки, и ФССП тоже. Не все решения правосудны.

А пока из текста, цитируемого в Интернете, можно построить следующую цепочку:

· обработка биометрии (фото) (часть 2 ст.11 ФЗ-152) может осуществляться без согласия субъекта персональных данных в связи с исполнением судебных актов;

· обработка персональных данных в соответствии с п.3 ст.3 того же закона включает распространение - раскрытие персональных данных неопределенному кругу лиц;

· судебные приставы могут распространять без ограничений (публиковать) фото должников;

· в соответствии с п.5 части 1 ст.6 ФЗ-152 обработка персональных данных без дополнительного согласия необходима для исполнения договора, стороной которого является субъект;

· обработка включает распространение;

· сторона, с которой субъект заключил договор, вправе распространять его данные без ограничений;

· и так далее, включая распространение особых категорий персональных данных во всех допустимых случаях обработки.

То есть, если можно обрабатывать – значит, можно и распространять. Между тем, для для распространения персональных данных закон предусматривает всего 3 допустимых случая:

· доступ к данным предоставлен субъектом или по его просьбе;

· данные подлежат опубликованию в соответствии с федеральным законом;

· данные подлежат обязательному раскрытию в соответствии с федеральным законом.

Может быть, все-таки опубликовать открыто это самое разъяснение про фото должников, чтобы все понимали о чем речь. Мы так далеко можем пойти. Но почему-то не хочется.

Опять про фото, биометрию и исполнительное производство

На сайте Службы судебных приставов вчера появилась интересная публикация.

В ней сообщается, что Роскомнадзор в ответ на обращение директора Федеральной службы судебных приставов А.О.Парфенчикова дал заключение, что судебные приставы имеют право распространять фотографии должников. Попутно там же сообщается, что фотографии относятся к  биометрическим персональным данным, поскольку характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность.

На сайте Роскомнадзора и портале «Персональные данные» найти следов этого ответа судебным приставам не удалось.

Между тем сообщение весьма знаковое. В нем содержится целый ряд серьезных выводов, применение которых на практике может иметь значительные последствия.

Первое. Фотография – не важно какая - цифровая или аналоговая на бумаге – это биометрические персональные данные. Я, собственно, давно в этом был уверен при одной оговорке – это биометрия, оборот которой регулируется ФЗ-152 «О персональных данных» только в случаях, когда фото используется оператором для установления личности субъекта. Поэтому паспорт (не биометрический в том числе), пропуск с фотографией и листовка «Разыскивается» - суть носители биометрических персональных данных.

Второе. ГОСТ Р ИСО\МЭК 19794-5-2006, на который так любят ссылаться некоторые оппоненты, проводя границу между фото-биометрией и фото-не биометрией, абсолютно не при чем. Можно по фото опознать человека (установить личность) и оно используется именно для этого – значит, биометрические персданные.

Третье. Фото, подпадающее под это определение, может быть абсолютно любым - из документа, личного дела, бытовое, в том числе выложенное в социальной сети самим субъектом. Про использование социальных сетей для поиска должников приставами уже написано-переписано много чего. Какое найдут приставы фото – то и будут использовать для размещения там, где посчитают нужным. И это мне также представляется совершенно очевидным.

И, наконец, самое важное – четвертое. И с ним далеко не так просто, как с первыми тремя выводами. Приставы ссылаются на часть 2 ст.11 ФЗ-152, допускающую обработку биометрических персональных данных без согласия субъекта в связи с исполнением судебных актов. Вопросов нет – приставам согласия должника на использование (вид обработки по закону) его фото, конечно,  получатьне надо. Но, как известно, в ФЗ-152 содержится масса норм, допускающих сколь угодно широкое их толкование. К способам обработки персданных относится, в том числе, и их распространение – действия, направленные на раскрытие персональных данных неопределенному кругу лиц. Т.е. формально все вроде бы пока правильно.

Но, с другой стороны, опубликование персональных данных в том смысле, как оно видится в сообщении Службы судебных приставов – это включение биометрических персональных данных в общедоступные источники, типа доски почета за территорией завода, но только наоборот. А на это надо уже письменное согласие субъекта, которое может быть в любое время отозвано. Исключение из этого правила – в п.11 части 1 ст.6: обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с Федеральным законом. А вот тут - загвоздка. С 1 января этого года вступили в силу изменения в Федеральный закон от 02.10.2007 N 229-ФЗ «Об исполнительном производстве», предусматривающие создание и ведение Федеральной службой судебных приставов, в том числе в электронном виде, банка данных, содержащего сведения, необходимые для осуществления задач по принудительному исполнению судебных актов, актов других органов и должностных лиц.

Проблема же в том, что закон (статья 6.1) определяет исчерпывающий, закрытый перечень сведений этой самой базы данных, которые являются общедоступными. Ну, и вы, конечно, уже догадались – фото в этом перечне нет. Совсем.

Не в первый раз органы исполнительной власти расширили сферу применения федерального закона на основании своего мнения, писем и заключений. Но что-то подсказывает, в этот раз просто не получится. 

Биометрические персональные данные. Я все сказал. Но это не точка

«Хао! Я все сказал!» - про биометрические персональные данные. Все, что думал. Все что хотел. Но на этой неделе пост про биометрию неожиданно стал самым читаемым из моих постов за все время существования блога. И самым обсуждаемым. В копилку аргументов, что считать, а что не считать этими самыми биометрическими персональными данными, добавляю несколько относительно свежих примеров.

На сайте Управления Роскомнадзора по Республике Татарстан на простой вопрос «Является ли снимок веб-камерой биометрическими данными?» дается сложный ответ. Привожу его почти полностью, он того стоит: «Описанный Вами пример - это не автоматическая идентификация. Для того, чтобы она таковой стала, на рабочем месте сотрудника банка нужно поставить систему распознавания лиц, в которую, нужно загрузить данные биометрии (фотографию), соответствующую ГОСТу. Тогда система автоматически будет считывать лица клиентов банка, распознавать и идентифицировать их. Сотрудником банка веб-камерой делается снимок, изображение сверяется с владельцем документа (удостоверяющего личность – паспорта, водительского удостоверения и т.п.), с целью аутентификации (подтверждения), т.е. всё, что касается собственно личности. Идентификации в Вашем случае не происходит. В данном случае снимок веб-камерой биометрическими данными не является (снимок не соответствует ГОСТу)».

Я, если честно, не знаю, где в законе написано про автоматическую идентификацию. Про использование данных для установления личности субъекта, которое подробно и описывается в ответе – читал и понял. И про ГОСТ ничего в законе я тоже не нашел.

Практика же правоприменения идет своим путем. К позиции краснодарских коллег: «ОАО «ОТП Банк» не было представлено письменное согласие гр. А. на обработку его биометрических персональных данных, обработка которых осуществляется ОАО «ОТП Банк» путем предоставления копии паспорта гр. А. при заполнении заявления на получение потребительского кредита», невзирая на мнение центрального аппарата и коллег из Татарстана, примкнули инспекторы из Марий Эл: «При снятии ксерокопии паспорта гражданина они [сотрудники «МПБ Идельбанк»], не получив его согласия, изготовили с паспорта копию его фотографического изображения. Обработка этих персональных данных без согласия гражданина запрещена законом».

И они не одиноки. Считают фотографию биометрическим персональными данными в Управлении Роскомнадзора по Приморскому краю, Владимирской области , похоже (точно утверждать не могу), - в области Ивановской.

И про ГОСТ ни в одном из актов-предписаний – ни гу-гу.

Ничего не буду комментировать. Думайте и решайте сами.

И считайте это еще одной иллюстрацией к проблеме выработки единого подхода к применению законодательства в странах с непрецедентной правовой системой.