Федеральный закон от 27.07.2006 №152-ФЗ «О персональных данных» в ст.11 определяет, что биометрические персональные данные – это сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность.
Биометрические персональные данные используются оператором персональных данных для установления личности субъекта персональных данных.
Биометрические персональные данные могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев:
- реализацией международных договоров Российской Федерации о реадмиссии;
- в связи с осуществлением правосудия и исполнением судебных актов;
- в случаях, предусмотренных законодательством Российской Федерации:
- об обороне;
- о безопасности;
- о противодействии терроризму;
- о транспортной безопасности;
- о противодействии коррупции;
- об оперативно-розыскной деятельности;
- о государственной службе;
- уголовно-исполнительным законодательством Российской Федерации;
- законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию;
- о гражданстве Российской Федерации.
Разъяснения Роскомнадзора «О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки» к биометрическим персональным данным относит физиологические данные (дактилоскопические данные, радужная оболочка глаз, анализы ДНК, рост, вес и другие), а также иные физиологические или биологические характеристики человека, в том числе изображение человека (фотография и видеозапись), которые позволяют установить его личность и используются оператором для установления личности субъекта.
В соответствии со ст.152.
1 Гражданского кодекса Российской Федерации обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с согласия этого гражданина. После смерти гражданина его изображение может использоваться только с согласия его законных представителей (супруги, дети, родители). Такое согласие не требуется в случаях, когда:
- использование изображения осуществляется в государственных, общественных или иных публичных интересах.
- изображение гражданина получено при съемке, которая проводится в местах, открытых для свободного посещения, или на публичных мероприятиях (собраниях, съездах, конференциях, концертах, представлениях, спортивных соревнованиях и подобных мероприятиях), за исключением случаев, когда такое изображение является основным объектом использования;
- гражданин позировал за плату.
Фотографические изображения сотрудников, посетителей государственных и муниципальных органов, предприятий (организации), содержащиеся в системе контроля управления доступа (СКУД) являются биометрическими персональными данными.
 |
| Система контроля управления доступа |
Данные изображения, характеризуют физиологические и биологические особенности человека, позволяющие установить, принадлежит ли данному лицу предъявляемый СКУД пропуск, на основе которых можно установить его личность путем сравнения фото с лицом предъявителя пропуска и указываемых владельцем пропуска фамилии, имени и отчества с указанными в СКУД, и эти данные используются оператором персональных данных для установления личности субъекта персональных данных в случае сомнения в том, что пропуск предъявляется его действительным владельцем.
Таким образом, фотографическое изображение и иные сведения, используемые для обеспечения однократного и/или многократного прохода на охраняемую территорию и установления личности гражданина, также относятся к биометрическим персональным данным.
Не считается обработкой персональных данных сканирование и (или) ксерокопирование паспорта для подтверждения осуществления определенных действий конкретным лицом (например, заключение договора на оказание услуг, в том числе банковских, медицинских и т.п.) без проведения процедур идентификации (установления личности).
Биометрическими персональными данными не являются:
- фотографическое изображение, содержащееся в личном деле работника;
- подпись лица, наличие которой в различных договорных отношениях является обязательным требованием;
- почерк, в том числе анализируемый уполномоченными органами в рамках почерковедческой экспертизы;
- рентгеновские или флюорографические снимки, характеризующие физиологические и биологические особенности человека и находящиеся в истории болезни (медицинской карте) пациента (не имеет значения, бумажной или электронной);
- материалами видеосъемки в публичных местах и на охраняемой территории.
Но в случае их передачи по запросу субъектов оперативно-розыскной деятельности, органов следствия и дознания в рамках проводимых ими мероприятий указанные сведения становятся биометрическими персональными данными, поскольку используются операторами персональных данных (органами следствия и дознания) в целях установления личности конкретного лица.
Видеонаблюдение может осуществляться только для конкретных и заранее определенных целей. Эти цели должны быть обусловлены соответствующими нормативными правовыми актами, устанавливающими правовые основания видеонаблюдения (видеосъемки).
При ведении видеонаблюдения в рабочих помещениях оператора персональных данных работники должны быть уведомлены об изменении условий трудового договора по причинам, связанным с изменением организационных или технологических условий труда (введением видеонаблюдения), под роспись.
В целях установления дополнительных гарантий соблюдения прав как потребителей (пациентов, клиентов), а также самих работников и сотрудников должны быть приняты внутренние документы, которыми должны быть предусмотрены порядок и сроки хранения видеозаписей, а также ответственные лица, имеющие доступ к системе видеонаблюдения. Также необходимо предусмотреть возможность информирования о системе видеонаблюдения путем размещения информационных табличек (о возможной фото-, видеосъемке соответствующими текстовыми и/или графическими предупреждениями) в зонах видимости камер.
Источник: https://fstec21.blogspot.com/2017/09/biometric-personal-data.html
Виды персональных данных
Предоставлять свои персональные данные и давать согласие обрабатывать их зачастую нужно в самых различных инстанциях – в банках, кредитных организациях, во время внесения информации в регистрационные формы на некоторых интернет-ресурсах.
Многие, не задумываясь, соглашаются указывать личные данные, не догадываясь при этом о последствиях, которые могут произойти при использовании этой информации недобросовестными лицами.
Поэтому важно знать, какие виды персональных данных существуют, кому и при каких обстоятельствах можно их предоставлять, чтобы не попасть в очень неприятную историю.
Законодательное регулирование
Персональные данные подпадают под действие многих государственных нормативов, основной из которых – Конституция РФ. Основополагающим законом в этой сфере считается ФЗ № 152, действующий с 27.01.06 г. В этом документе разъясняется термин «персональные данные», а также из чего состоит это понятие. Выполнение требований этого норматива – прямая обязанность юридических и частных лиц.
К персональным данным (ПД) относят сведения, характеризующие прямо или косвенно субъекта – физическое лицо. По таким данным можно наиболее точно установить личность конкретного гражданина.
Конституция РФ (ст. 23–24) гарантирует физлицам право на соблюдение тайны их частной жизни, создает все необходимые предпосылки для неприкосновенности и необходимой защиты. Владельцу ПД принадлежит все, из чего состоит это понятие, в связи с этим такая информация не должна контролироваться третьими лицами или правительственными органами.
Физлица самостоятельно распоряжаются своими данными и вольны решать – воспрепятствовать их распространению или предоставить по требованию. Государство предоставляет определенные гарантии и защиту для получения этой возможности. В з-не № 152-ФЗ указаны условия, правила и круг лиц, которые могут использовать ПД кроме их владельца.
Носитель ПД может разрешить операторам получать и осуществлять обработку его личной информации. Это позволит на законных основаниях выполнять определенные действия с ней.
Во время оформления заявлений на получение займа, при оформлении на работу, при проведении анкетирования физическое лицо самостоятельно предоставляет свое согласие, добровольно подписывая соглашение о разрешении проверять его личные данные.
Служебные лица могут воспользоваться доступом к определенному объему личной информации, необходимой для выполнения конкретных действий. У них нет права на хранение и применение ПД после достижения результата. В случае нарушения такого требования оператор отвечает за их намеренное разглашение.
В определенных случаях используется особое требование по работе с ПД, если они:
- необходимы для решения вопросов семейного или личного характера (в случае если распространение данных не приводит к ущемлению прав других лиц);
- находятся в архивной документации;
- принадлежат к данным, составляющим государственную тайну;
- должны быть предоставлены по судебному акту.
Разновидности ПД
В Федеральном з-не № 152 обозначены конкретные виды ПД. Они могут классифицироваться по степени секретности, сложности их сбора, возможности применения третьей стороной. Их подразделяют на следующие виды:
- общие;
- биометрические;
- специальные;
- обезличенные.
Общие
К общим относят персональную информацию, составляющую базовые данные о ее носителе:
- фамилию, имя, отчество;
- место регистрации и жительства;
- информацию из паспорта;
- сведения об имеющемся образовании;
- информацию о месте работы;
- сведения о получаемых доходах и др.
Взятые по отдельности данные общего характера не все могут быть отнесены к информации о человеке, которая может считаться персональной.
К примеру, в законе не содержится определенных трактовок относительно того, можно ли считать одной из составляющих ПД номер телефона физлица.
Как разъясняют в Роскомнадзоре, эти данные не являются информацией, позволяющей произвести точную идентификацию человека, номер не персонален. Но при совместном использовании с фамилией, именем, данными о прописке он составляет ПД.
Информация о человеке, являющаяся общей, указана в паспорте, ее вносят в военный билет, в документ об образовании, а также в личную карту сотрудника предприятия, трудовую книжку и др.
Чтобы использовать такие данные, не нужно брать у сотрудника письменное разрешение с целью их получить.
Достаточно того, чтобы человек косвенно, путем проставления галочки в соответствующем поле, подтвердил право на такие действия со стороны получателя этой информации в письменно составленной или онлайн-анкете.
Получить такие ПД очень просто, а это зачастую приводит к проблемам: начинают рассылать навязчивые рекламные предложения или, еще хуже, пытаются шантажировать, подделывать заявки на получение займа и др.
От неразглашения личные данные каждого физлица, содержащие в себе определенные разновидности секретных сведений (об усыновлении, наличии заболеваний и др.), защищаются ст. 137 УК РФ.
Биометрические
Есть персональные данные, которые характеризуют носителя по биологическому и физиологическому принципу. К ним относят:
- дактилоскопические;
- анализ ДНК;
- группу крови;
- рост, цвет глаз, вес и др.
К биометрическим персональным данным причисляют информацию, получаемую в результате видео- и фотозаписи с участием человека. Данные биометрии наиболее часто востребованы во время проведения лечения, при оформлении на работу в госструктуры, при изготовлении загранпаспорта и визовых документов.
Специальные
К специальным ПД отнесены национальная принадлежность и раса, а также вероисповедание, убеждения философского характера, информация о судимостях, состоянии здоровья, предпочтениях в сексуальной, интимной жизни.
Эти сведения можно найти в личных делах, медицинской документации и пр. Они необходимы во время проведения политических мероприятий, используются при вступлении в ряды вооруженных сил.
Чтобы третьи лица могли получить доступ и воспользоваться этими ПД, необходимо получить разрешение их владельца.
Обезличенные
К обезличенным данным относят ПД, имеющие общую доступность. Их можно найти в адресных книгах, справочной документации, в средствах массовой информации.
Информация, являющаяся общедоступной, может легко быть использована заинтересованными лицами.
Общедоступными являются данные о материальном положении политических деятелей, представителей власти, чиновников, занимающих руководящие посты.
Персональные данные – использование на предприятии
В главе 14 Трудового кодекса РФ раскрывается понятие ПД работника. Это данные, которые позволяют получить определенные характеристики человека в качестве сотрудника конкретной компании (стаж работы, профессиональная квалификация, заработная плата, данные по ФНС, ПФР и пр.).
Такие ПД должны храниться должным образом и применяться для того, чтобы помочь работнику выполнять его обязанности в соответствии с его должностью и профессией, продвигаться по служебной лестнице, повышать свою квалификацию и получать новые профессиональные знания. Также ПД используются с целью защиты сотрудников и имущества компании.
Личная информация сотрудника может содержать только те данные, которые относятся к его профессиональным качествам, особенностям, позволяющим ему выполнять трудовые обязанности. По Конституции Российской Федерации, личная жизнь считается неприкосновенной и конфиденциальной, ее частью являются ПД.
В Трудовом кодексе узко определено данное понятие. В нем говорится, что ПД работника являются сведениями, необходимыми руководству предприятий для выполнения им своих профессиональных обязанностей, эта информация относится к конкретному работнику.
Обработка ПД
Целью, которую преследует обработка и хранение ПД на предприятии, является необходимость правильно реализовать рабочую активность компании. Обработка ПД необходима для:
- фиксации факта приема сотрудника на работу;
- удостоверения оснований для продвижения по карьерной лестнице;
- подтверждения оснований для выплаты зарплаты;
- осуществления контроля выполнения производственных заданий и работ.
Работникам компании должна быть доступна информация о том, каким образом осуществляется хранение и обработка их личных данных, поэтому наниматель обязан ознакомить их с данной информацией. Подтверждением того, что сотрудники были уведомлены об этом, является личная подпись каждого из них.
Типы персональных данных на предприятии
На предприятии необходимо собрать два типа ПД:
- требуемых для заключения трудового договора;
- запрашиваемых и формируемых непосредственно работодателем.
ПД, которые хранятся на предприятии в личных делах по каждому работнику, обычно содержат данные:
- о семейном статусе и отдельных членах семьи (иждивенцы, дети, возрастные данные, количество, данные о состоянии здоровья и др.);
- копии документов по пенсионному государственному страхованию;
- о конкретном сотруднике (паспортные данные, профессия, квалификационные характеристики и др.).
Наниматель должен создать и утвердить внутренний нормативный акт, который описывает порядок хранения ПД в виде Положения о ПД или Инструкции. Данные нормативы должны быть доведены до сведения работников, которые ответственны за сбор и обработку персональной информации. Они должны неукоснительно соблюдать все требования, изложенные в таких документах.
При соблюдении всех формальностей на предприятии по сбору, хранению и использованию ПД они будут максимально защищенными.
Ответственность за разглашение
152-й закон, который призван защищать персональные данные физических лиц, предусматривает исключительно административный вид ответственности в случае разглашения ПД на предприятии.
Соответственно, если компания не способна предоставить своим наемным работникам полную защиту личных данных, работодатель может быть наказан только штрафом.
Данное наказание выражается незначительными суммами.
Штраф, который должен быть наложен на работодателя при выявлении нарушений такого характера, может составить в пределах 5–10 тысяч рублей. Но это касается единичного нарушения. Обычно при проверках выявляют значительное количество такого рода проблем, соответственно, и суммы штрафов при этом растут.
Но финансовые затраты – это не основное последствие неправильного использования и хранения ПД. Такие факты сказываются на репутационных показателях компании. Если сотрудники соглашаются на обработку персональной информации, они должны быть уверены, что предприятие гарантирует ее правильное хранение и использование.
Источник: https://searchinform.ru/resheniya/biznes-zadachi/zaschita-personalnykh-dannykh/vidy-personalnyh-dannyh/
Что такое биометрические данные и зачем их все собирают? — Meduza
Биометрические данные — это уникальные биологические и физиологические характеристики, которые позволяют установить личность человека. Есть пять самых распространенных типов биометрии: отпечаток пальца, изображение лица, голос, радужная оболочка глаза и рисунок вен ладони и пальца.
Как правило, биометрию используют для цифровой идентификации граждан. Например, банкам ваши биометрические данные нужны, чтобы предоставлять разные услуги удаленно. Скажем, вы хотите открыть счет или взять кредит. Раньше для этого вам нужно было идти в банк, а теперь многое из перечисленного можно сделать через интернет.
Это может помочь, например, когда вы соберетесь лететь за границу. В некоторых странах уже можно не тратить время в очередях на паспортный контроль:
достаточно подойти к специальному датчику, приложить паспорт, отсканировать сетчатку глаза и свободно выйти в город.
В магазинах уже сейчас нам помогает биометрия, правда пока посредством телефона — вы можете расплатиться за покупки просто приложив палец к своему гаджету.
Использование биометрических данных сделает проще и удобнее и получение других услуг. Мы уже рассказывали об этом подробнее вместе с Росбанком.
Нужно зарегистрироваться в Единой биометрической системе. Для этого сперва вам нужно стать клиентом банка, например, прийти и открыть счет.
Сотрудник банка поможет завести учетную запись на «Госуслугах» (если у вас ее нет), соберет ваши биометрические данные — фотографию и запись голоса, а затем отправит их в Единую биометрическую систему. После этого вы сможете дистанционно получать услуги банков, которые предоставляются по удаленной идентификации.
Нужно будет ввести логин и пароль от «Госуслуг», а потом произнести контрольную фразу, глядя в камеру смартфона или компьютера. Система вас распознает — и доступ к услугам откроется.
Сегодня регистрацию в Единой биометрической системе можно пройти в девяти российских банках. Среди них — «Росбанк», вместе с которым мы подготовили эти карточки. Адреса отделений Росбанка можно узнать вот здесь.
Биометрия — это уникальный «ключ», который нельзя потерять и практически невозможно подделать. Кроме того, система предусматривает дополнительные механизмы защиты от мошенников.
Работает это так: пользователь присылает видео для удаленной идентификации, алгоритмы обрабатывают отдельно изображение лица и голос и определяют процент схожести с биометрическим контрольным шаблоном.
Если алгоритм не распознал гражданина, в работу включается так называемый «модуль аномалий», который анализирует причины несоответствия и в случае угрозы мошенничества отправляет уведомление в банк. Такой подход позволяет блокировать мошенников в течение нескольких секунд.
Точность распознавания у биометрических алгоритмов намного выше, чем у человека. Например, если один близнец придет в банк и попробует открыть счет на имя другого — вполне возможно, что у него это получится и операционист не заметит подвоха.
С биометрической системой такое не сработает: во-первых, применяется двухфакторная идентификация — алгоритмы распознают людей не только по лицу, но и по голосу (а даже у близнецов они разные), а во-вторых, для идентификации в системе нужно знать логин и пароль от «Госуслуг» — это гарантирует дополнительную защиту данных.
Если вы отрастите бороду, наденете очки или ярко накраситесь, система все равно сможет вас распознать. Но на процесс идентификации могут повлиять серьезные изменения голоса (например, сильная охриплость) или внешности. В этом случае вам придется идти в банк, чтобы сфотографироваться и записать голос. В целом же обновлять биометрические данные нужно один раз в три года.
Крупнейшая в мире база биометрических данных существует в Индии. В системе Aadhaar зарегистрировано более 80% населения страны, и биометрия используется в разных сферах: финансах, туризме, образовании и государственных услугах.
В России биометрические технологии только развиваются: пока процедуру биометрической идентификации запустили только девять банков. Со временем Единую биометрическую систему начнут использовать в медицине, образовании, ритейле и других отраслях.
Источник: https://meduza.io/cards/chto-takoe-biometricheskie-dannye-i-zachem-ih-vse-sobirayut
Биометрический банкинг: что нужно знать при использовании биометрических персональных данных
Все больше компаний в мире используют в своей деятельности биометрию: отпечатки пальцев, радужную оболочку глаз, индивидуальные особенности голоса и даже более экзотические идентификаторы. Как это изменит банкинг в ближайшем будущем?
- В банковской сфере применение биометрических данных возможно в разных областях:
- • организация доступа клиентов в депозитарий;
- • идентификация плательщика при совершении безналичных платежей и других финансовых операций, например, через смартфон, АТС банка;
- • беспарольный доступ к информационным системам банка;
- • контроль доступа сотрудников в помещения банка, регистрация прибытия сотрудника в офис банка и убытия с целью контроля трудовой дисциплины, учета фактически отработанного времени.
31 декабря 2017 года был принят Федеральный закон № 482-ФЗ об удаленной идентификации клиентов, дающий банкам право открывать и вести счета, вклады, выдавать кредиты, осуществлять переводы денежных средств по поручению клиентов без их личного присутствия.
Идентификация клиента будет осуществляться с использованием Единой системы идентификации и аутентификации (ЕСИА) и Единой биометрической системы (ЕБС). Человеку будет достаточно один раз прийти в банк, уполномоченный на регистрацию лиц в ЕСИА и ЕБС, и предоставить для размещения в этих системах свои биометрические данные — изображение лица и голос.
После регистрации в ЕСИА и ЕБС человек сможет дистанционно получать финансовые услуги в любом банке, работающем в ЕБС.
Как же использовать биометрические данные и защитить себя и компанию от претензий контролирующих органов? Давайте разберемся с общими требованиями.
Сначала определим, что же такое биометрические персональные данные.
Согласно действующему законодательству, это сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность: например, отпечатки пальцев, радужная оболочка глаз, голос. В определенных случаях даже простая фотография человека будет считаться его биометрическими персональными данными.
Известны случаи, когда работодатели размещали на личном пропуске работника фотографию без его согласия и получали штрафы.
Так, Учебно-спортивный центр в Мурманске дошел до Верховного Суда РФ в попытке признать недействительным предписание Роскомнадзора устранить нарушение (учреждение помещало фотографии посетителей на пропуска, без их письменного согласия), но потерпел неудачу.
Суды не усомнились в том, что фотография может быть отнесена к биометрическим персональным данным, ведь она характеризует физиологические и биологические особенности человека, по ней можно установить личность, сравнив фото с лицом предъявителя пропуска.
При внедрении в компании биометрической системы первым делом нужно определиться, в каких целях с ее помощью будут обрабатываться данные: только ли для обеспечения безопасности или, скажем, также для учета времени, фактически отработанного сотрудниками.
По Закону собранные данные можно обрабатывать только в изначально установленных целях, зафиксированных, в частности, в Политике (Положении) компании в отношении обработки персональных данных, Правилах внутреннего трудового распорядка (применительно к работникам компании) и согласиях лиц на обработку их персональных данных, если их получение требуется по Закону (посетителей, клиентов, сотрудников). Если компания собирала данные только для контроля доступа сотрудников в свои помещения, то она не может потом использовать эти данные, например, для расчета заработной платы или для сбора какой-то статистики.
Цели обработки будут различаться для разных категорий лиц, которым принадлежат персональные данные: например, в отношении клиентов — идентификация для оказания им финансовых услуг, для работников — контроль трудовой дисциплины. При определении целей обработки персональных данных сотрудников важно учитывать, что перечень целей ограничен Законом.
Он включает в себя обеспечение соблюдения законов и иных нормативных правовых актов; содействие работникам в трудоустройстве, получении образования и продвижении по службе; обеспечение личной безопасности работников; контроль количества и качества выполняемой работы и обеспечения сохранности имущества.
Обработка персональных данных, не совместимая с этими целями, не допускается.
Во вторую очередь, нужно определить, какие персональные данные будут обрабатываться, и учесть это при формулировании целей обработки.
Перечень данных не должен быть избыточным по отношению к целям обработки: если система внедряется для контроля доступа в помещения определенного круга лиц, то обработка, например, отпечатков пальцев и ФИО этих лиц будет соответствовать заявленной цели, а вот обработка их контактных данных может быть признана избыточной и противозаконной. Составленный список должен быть максимально полным и учитывать технологию работы системы, в которой используется биометрия.
По Закону, компания имеет возможность не получать согласия лиц на обработку их персональных данных, когда она необходима для исполнения договора, стороной которого является такое лицо, или для выполнения возложенных на компанию функций, полномочий и обязанностей.
Проще говоря, если данные нужны для выполнения обязанностей сотрудников, условий договора, то согласие сотрудников или сторон договора не требуется.
Так, обработка работодателем персональных данных своих работников в целях контроля исполнения ими своих трудовых обязанностей, соблюдения правил внутреннего трудового распорядка, учета рабочего времени и оплаты труда или обработка банком персональных данных клиента, необходимых для заключения договора с ним и оказания финансовых услуг, по общему правилу, не требует получения согласий сотрудников или клиентов соответственно на такую обработку.
Однако в отношении обработки биометрических персональных данных это правило не действует: всегда нужно получать от лица его письменное согласие.
В согласии нужно указать фамилию, имя, отчество, адрес субъекта персональных данных и реквизиты удостоверяющего его личность документа, наименование и адрес компании-оператора и (если применимо) лица, осуществляющего обработку по ее поручению, цели обработки, перечень персональных данных и действий с ними, общее описание способов обработки и срок действия согласия. Согласие подписывает субъект персональных данных.
При решении вопроса о том, какие биометрические данные будут использоваться компанией, важно учитывать мнение контролирующих органов о допустимости использования тех или иных видов биометрии. Примечательно, что некоторые контролирующие органы считают недопустимой обработку обычными компаниями отпечатков пальцев своих работников.
По мнению Роструда, работодатель или нанятая им организация не вправе производить снятие отпечатков пальцев работников для организации пропускного режима в рабочие помещения по отпечаткам, так как Федеральный закон «О государственной дактилоскопической регистрации в Российской Федерации» определяет, в каких случаях, какими органами и для каких целей может проводиться добровольная или обязательная дактилоскопическая регистрация граждан, и не предоставляет такое право ни работодателю, ни нанятой им организации. По моему мнению, данный Федеральный закон регулирует сбор и обработку дактилоскопической информации уполномоченными государственными органами и не исключает обработку биометрических персональных данных (в том числе отпечатков пальцев) иными лицами и/или в иных целях.
Возможность использования биометрических систем контроля доступа на основе отпечатков пальцев или иной дактилоскопической информации подтверждается в том числе судебной практикой.
Так, Московский городской суд отказал истцу в восстановлении на работе: в целях обеспечения учета рабочего времени сотрудников компанией была введена обязательная регистрация прихода/ухода в офис с помощью системы сбора биометрических данных (отпечатка пальца).
Согласно выписке из системы сбора биометрических данных, работник систематически нарушал дисциплину труда, что и явилось одной из причин его увольнения.
При использовании компанией биометрических систем должное внимание нужно уделить и защите персональных данных. Требования к защите для каждой системы устанавливаются исходя из уровня защищенности персональных данных, который должен быть обеспечен компанией как оператором системы.
Уровни защищенности зависят от категорий обрабатываемых персональных данных, количества субъектов, чьи данные обрабатываются в системе, и актуальных угроз безопасности персональных данных. Выявить угрозы помогут технические специалисты в области информационных технологий и информационной безопасности.
Если компания хочет внедрить систему, использующую именно биометрические данные, то нужно учитывать, что требования к защите персональных данных в такой системе будут более жесткими.
Источник: https://bosfera.ru/bo/biometricheskiy-banking-chto-nuzhno-znat-pri-ispolzovanii-biometricheskih-personalnyh-dannyh
Персональные данные – что это такое?
Содержание
- 1 Персональные данные – что это?
- 2 Виды персональных данных
Все вопросы, связанные с персональными сведениями о частных лицах, регламентируются Федеральным законом № 152-ФЗ “О персональных данных”. Им определяется получение, хранение (систематизирование), обработка, использование и защита персональной информации, а также ее классификация. В этой обзорной статье мы дадим базовую информацию о персональных данных и о том что к ним относится.
Персональные данные – что это?
Говоря о частных лицах, под “персональными данными” понимается вся возможная информация, которая либо прямо, либо косвенно относится к определенному физическому лицу (согласно терминологии закона – субъекту персональных данных).
Согласие на получение и последующую обработку персональных данных частное лицо может предоставить только самостоятельно, выразив это в письменной форме.
При этом разрешение на любое использование личных данных может быть оформлено и как отдельным документом, так и быть пунктом договора (например, кредитного или депозитного).
Обратите внимание – любая онлайн-заявка на кредит будет недействительна при отсутствии вашего согласия (обычно требуется поставить галочку возле соответствующего пункта).
Получение либо использование любой персональной информации о частном лице без наличия на то письменного или иного согласия является незаконным. Также неправомерными считаются и случаи обработки персональных сведений после получения от частного лица заявления на отзыв согласия на такую обработку.
Тем не менее существуют исключения. Например, персональные данные могут быть получены без согласия человека для работы государственных органов, а для соблюдения обязательств по действующим договорам обработка персональной информации может быть продолжена и после отзыва согласия на ее использование.
Виды персональных данных
Согласно вышеуказанному закону, все персональные данные (ПД) разделяются на 4 категории:
- общие;
- биометрические;
- специальные;
- общедоступные (либо обезличенные).
Самым значимым видом сведений о частном лице являются общие персональные данные – именно они несут основную информацию о человеке.
К этому типу относят практически все данные личного характера – ФИО, данные паспорта, ИНН, образование, семейное положение, номер страхового пенсионного свидетельства, номер мобильного, домашнего или рабочего телефона, уровень дохода клиента, информация о трудовой занятости и прочее.
Сведения общего характера чаще всего заполняются согласно предоставленным документам, но могут быть зафиксированы и со слов самого физического лица.
Согласие на получение общих персональных данных чаще всего необходимо предоставлять для обслуживания в кредитных организациях, у оператора сотовой связи, интернет провайдера и даже в розничных магазинах (например, для оформления дисконтной карты и последующего получения информации о различных скидках или акциях).
К биометрическим персональным данным в основном относят сведения, необходимые для проведения каких-либо медицинских процедур или установления личности человека по физиологическим параметрам.
Это может быть группа крови, рост, вес, дактилоскопические данные, результаты анализов ДНК. В некоторых случая к биометрическим сведениям относят и фотографии частного лица.
Исключение – фото и видео, полученные во время проведения публичных либо массовых мероприятий.
Согласие на обработку биометрической персональной информации чаще всего необходимо оформлять для проведения медицинского обследования или лечения.
Под специальными ПД понимается информация, которая говорит о расовой принадлежности частного лица, религиозных взглядах либо философских суждениях, о состоянии психологического и физического здоровья. Такие данные заполняются согласно медицинским справкам или со слов самого частного лица.
Информация специального характера может потребоваться при трудоустройстве на новое место работы или, например, при участии в политической деятельности.
Выделяется еще один вид персональных данных – сведения, которые являются изначально общедоступными или обезличенными, а, значит, не могут быть скрыты.
К такому общедоступному типу персональной информации относится, например, доходы сотрудников государственных и муниципальных органов.
Обезличенные же сведения не принадлежат какому-либо конкретному субъекту персональной информации и находятся в свободном для всех доступе.
Источник: https://privatbankrf.ru/materialy/personalnyie-dannyie-chto-eto-takoe.html
Как работает биометрическое законодательство в России
Технологии помогают людям следить друг за другом. За вами следит государство, частные компании и госорганы используют данные, пока вы и ваши друзья их открываете.
Российские законодатели уже не раз принимались за регулирование обращения с персональными данными, но про биометрические данные упоминали вскользь, а вот теперь добрались до них подробнее.
Рассказываем, что говорят российские законы о биометрических персональных данных, что изменят новые приказы Минкомсвязи и как вам защитить свои данные.
- Что за приказы Минкомсвязи
- Что российские законы сейчас говорят о биометрических данных;
- Какие законы защищают ваши персональные данные;
- Что изменят приказы Минкомсвязи;
- Как самостоятельно защитить свои биометрические (и не только) данные.
- В Минкомсвязи готовят два проекта нормативных документов по регулированию биометрических персональных данных:
- приказ «Об утверждении методики проверки соответствия предоставленных биометрических персональных данных физического лица…»;
- приказ «Об утверждении порядка обработки, включая сбор и хранение, параметров биометрических персональных данных в целях идентификации…».
- Ведомство завершает разработку проектов нормативных актов, окончен этап проведения общественных обсуждений и независимой антикоррупционной экспертизы.
- В начало
Мы писали о том, как работают биометрические законы в других странах. В России персональные данные, в том числе биометрические, упоминаются в нескольких правовых актах.
Федеральный закон «О персональных данных» определяет, что персональные данные — это любая информация, которая прямо или косвенно относится к физическому лицу — субъекту персональных данных.
В пункте 5 постановления Правительства РФ № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» персональные данные делятся на:
— общедоступные данные (присутствуют в открытых источниках — адресных книгах и т. д.);
— специальные категории персональных данных (те, которые по общему правилу нельзя обрабатывать — о расе, религии и т .д.);
- — биометрические данные;
- — иные данные.
- У Роскомнадзора есть разъяснения «О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки» и Методические рекомендации по тому, как уведомлять уполномоченный орган о начале обработки персональных данных и о внесении изменений в ранее представленные сведения.
- К биометрическим персональным данным, по разъяснениям Роскомнадзора, относятся сведения, которые характеризуют физиологические и биологические особенности человека, уникальны, не изменяются и позволяют устанавливать личность
- — отпечатки пальцев,
- — отпечатки ладони,
- — анализы ДНК,
- — образ лица,
- — радужная оболочка глаз,
- — особенности строения тела, отдельных органов и тканей,
- — отпечатки пальцев,
- — радужная оболочка глаз,
- — анализы ДНК,
- — состояние психического здоровья,
- — рост,
- — вес,
- — фотография и видеозапись.
Фотография в системе охраны, которая позволяет идентифицировать человека при проходе на территорию организации, относится к биометрическим персональным данным. К ним же относится и фотография в паспорте.
Деление персональных данных на биометрические и остальные условно. Из тех же разъяснений Роскомнадзора мы узнаём, что рентгеновские или флюорографические снимки пациента не являются биометрическими персональными данными до тех пор, пока органы следствия и дознания не начинают использовать их для установления личности конкретного лица.
Если сотрудник банка при вашем обращении сканирует паспорт на подлинность через специальное устройство, это тоже не обработка биометрических данных, так как при этом не устанавливают личность. Обработка сведений в таких случаях, когда оператор сканирует паспорт, но личность не устанавливает, проводится по общим требованиям федерального закона «О персональных данных».
В начало
Конвенция Совета Европы № 108 «О защите физических лиц в отношении автоматизированной обработки персональных данных», которую ратифицировала Россия. Предусматривает охрану персональных данных при их автоматизированной обработке, говорит о праве субъекта на персональные данные.
Статья 23 Конституции РФ гарантирует каждому право на неприкосновенность частной жизни, личную и семейную тайну. Эта норма определяет границы, которые оператор персональных данных не вправе переступать при получении и при обработке информации о человеке.
Статьи 137 и 272 УК РФ говорят об уголовной ответственности за незаконный сбор или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, и неправомерный доступ к охраняемой законом компьютерной информации. По этим же статьям вас могут и осудить, как историка Михаила Супруна, если кому-то покажется, что вы разглашаете личную информацию. Об этом мы рассказывали в докладе о доступе к информации в России.
Закон «О персональных данных» устанавливает перечень данных, обработка которых запрещена, кроме особых случаев: о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья и интимной жизни.
Исключительные случаи, при которых такие данные могут обрабатывать: если реализуется международный договор Российской Федерации, осуществляется правосудие, исполняются судебные акты, и в других случаях, предусмотренных законодательством РФ об обороне, безопасности и противодействии терроризму.
Биометрические данные по тому же закону, могут обрабатываться только при наличии согласия в письменной форме от субъекта персональных данных. Согласие должно быть осознанным и без принуждения, быть конкретным и определенным: какие данные и кому передаются.
Например, участники гражданского и уголовного процессов могут возражать против приобщения видеозаписи к гражданскому или уголовному делу, если запись велась с нарушением закона. Работодатель должен получить письменное согласие работника на обработку персональных данных, чтобы разместить фото на пропуске.
Об этом говорит определение ВС от 05.03.2018 № 307-КГ18-101.
Организации при обработке информации о физических лицах обязаны принимать организационные и технические меры для её защиты от неправомерного или случайного доступа. Закон о персональных данных обязывает все компании–операторы персональных данных назначить лицо, ответственное за организацию их обработки.
По общему правилу, оператор не может передавать персональные данные третьим лицам без согласия субъекта персональных данных. Без согласия позволяется передавать информацию правоохранительными органам.
Из разъяснений Роскомнадзора следует, что согласие на обработку персональных данных нельзя получить по телефону или через смс-сообщения.
Персональные данные россиян, по 242-ФЗ, можно обрабатывать только с использованием размещенных в России баз данных. Сведения о месте нахождения таких баз оператор персональных данных должен направлять в Роскомнадзор. За нарушение порядка обработки информации по решению суда доступ к сайту блокируют.
Кодекс административных правонарушений (КоАП) предусматривает штраф за нарушение порядка обработки персональных данных (ст. 13.11). Юридические лица могут заплатить от 30 тысяч до 50 тысяч рублей за обработку персональных данных в непредусмотренных законом случаях и от 15 до 75 тысяч рублей за обработку персональных данных без письменного согласия.
С 25 мая все операторы данных, которые работают с персональной информацией о гражданах ЕС, должны выполнять новые правила GDPR (General Data Protection Regulation), мы уже писали о них. Они затронут многие российские компании, обрабатывающие персональные данные граждан ЕС — тех, кто не ведёт бизнес в ЕС, не затронут.
Новые правила объединяют и ужесточают все ранее существовавшие в европейских странах нормы защиты персональных данных. Компании, управляющие персональными данными, получат огромные штрафы, если не смогут обеспечить безопасность данных.
Санкции нарушителям нового европейского регламента строже, чем в КоАП: до 20 млн евро или 4 % от мирового годового оборота за финансовый год.
В начало
Приказ об утверждении порядка обработки параметров биометрических персональных данных для идентификации описывает технические моменты, которые раньше не были прописаны в нормативных документах.
Приказ Минкомсвязи определяет:
— Как будут обрабатывать параметры биометрических персональных данных для идентификации. В проекте приказа прописаны требования к качеству изображений, чтобы по ним можно было идентифицировать человека: ракурс, выражение лица, размеры, яркость, размер файла — и такие же требования к записи голоса: частота дискретизации, код сжатия, длительность, эмоционально-психологическое состояние.
— Как будут размещать и обновлять биометрические персональные данные в новой единой биометрической системе.Биометрические персональные данные будут хранить в новой системе три года, затем образцы придется обновлять.
— Какими должны быть технологии и технические средства, чтобы обрабатывать биометрические персональные данные для идентификации Например, они должны защищать от подбора.
Проект приказа «Об утверждении методики проверки соответствия предоставленных биометрических персональных данных физического лица» описывает возможность идентификации человека через сравнение его биометрических данных с теми, которые содержатся в единой системе (ЕБС).
Человек предоставляет свою биометрию в госорган, банк или другую организацию, а организация через оператора ЕБС проверяет, можно ли по этим данным его идентифицировать. Методика описывает алгоритм определения степени соответствия данных, которые предоставил человек при обращении, тем, которые уже содержатся в ЕБС.
Степень взаимного соответствия данных для применения удаленной идентификации должна составлять 0,99996.
Её понесёт уполномоченное лицо органа или организации, которое допустит ошибку.
Хотя они носят абстрактный характер и применимы и в других сферах.
ЦБ уже заявил, что банки будут регистрировать клиентов, передавших свои изображение лица и голос в единой биометрической системе (ЕБС) и в единой системе идентификации и аутентификации (ЕСИА).
Клиент сможет пользоваться удалённой идентификацией и получать банковские услуги, не заходя в банк. Удалённая идентификация должна заработать уже с 30 июня 2018 года по всей России, когда вступят в силу положения нового федерального закона.
Идентифицировать личность по биометрическим особенностям возможно, только если есть система учёта данных с достоверными результатами первичной идентификации. Именно такую систему и собираются создать.
Есть мнение, что создание таких систем настолько глубоко затрагивает права граждан, включая право на семейную тайну, тайну усыновления, медицинскую тайну, неприкосновенность личности, что лучше такие базы вообще не создавать и запретить.
У них и так есть доступ не только в государственные, но и коммерческие базы данных.
В начало
Очевидно, вы не сможете остановить создание баз данных, которое запланировало государство, и не сможете помешать правоохранителям знать про вас практически всё. Но если вы хотите защитить свои биометрические данные, насколько это вообще возможно, вам помогут те же советы, что и с другими видами персональных данных.
Помните, что вы сами решаете, что и кому о себе рассказывать. Будьте внимательны, когда называете своё имя, фамилию, отчество, паспортные данные, телефон, адрес, возраст, дату рождения, отдаёте фотографию, образец голоса, логинитесь с помощью отпечатка пальца или Face ID. Такие данные позволяют установить местонахождение человека, его маршруты, распорядок дня, любимые места.
Источник: https://team29.org/knowhow/facetouchid/
Правовой режим использования биометрических персональных данных при удаленной идентификации физических лиц банками
Попкова, А. Р. Правовой режим использования биометрических персональных данных при удаленной идентификации физических лиц банками / А. Р. Попкова. — Текст : непосредственный, электронный // Молодой ученый. — 2020. — № 1 (291). — С. 183-185. — URL: https://moluch.ru/archive/291/66011/ (дата обращения: 13.04.2020).
Обеспечение защиты биометрических персональных данных в настоящий момент становится важной и, вместе с тем, исключительно сложной для решения задачей, что обусловлено интенсивным развитием информационного общества.
Актуальность исследования обусловлена следующим.
Во-первых, угрозой безопасности хранения в базах данных банка информации о человеке, которая в процессе жизни не изменяется. Кроме того, банки предлагают использовать смартфоны для осуществления банковских операций удаленно, что говорит о том, что такие данные могут быть перехвачены третьими лицами.
В случае, если биометрические данные перехвачены и используются не по назначению возникает риск доказывания в судебном порядке факта непричастности конкретного лица к тому или иному деянию.
По словам Эрика Шмидта, главы Alphabet: «Постепенно вы, как реальный человек, будете интересовать мир все меньше и меньше, а значение вашего цифрового аватара, наоборот, станет неуклонно повышаться, поскольку он очень многое о вас может сказать.
Всех будет интересовать ваша цифровая копия, которая хранится на облаках, а не вы. При этом важно понимать, что все мы будем абсолютно прозрачны для цифрового мира… это ключевой тренд на ближайшие годы».
Во-вторых, существует угроза нарушения принципа неприкосновенности частной жизни со стороны нарушителей, в связи с накоплением биометрической информации в базах данных.
По своей природе информация, содержащая биометрические данные является составляющим элементом личной, семейной тайны человека и тайны частной жизни, следовательно должна защищаться на основании статьи 150 ГК РФ, как нематериальное благо, а также нормы защиты содержатся в уголовном законодательстве (137 УК).
Важно отметить, что установившееся правовое регулирование на данный промежуток времени не обеспечивает эффективную защиту данных личности от неправомерного завладения и использования.
Понятие биометрических персональных данных
В настоящее время все чаще начинают использоваться такие методы идентификации личности, как биометрия. Данный факт вызывает множество опасений относительно защиты персональных биометрических данных от постороннего использования.
Легальная дефиниция биометрии отражена в ГОСТ Р ИСО/ТО 13569–2007, так под биометрией понимаются автоматические методы, которые используются для распознавания личности или подтверждения заявленной личности человека на основе физиологических или поведенческих характеристик.
Биометрия–анатомические, поведенческие, физиологические характеристики, которые используются для идентификации личности. Согласно, ст.
11 Федерального закона «О персональных данных» к биометрическим данным относятся сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором в указанных целях [1].
Данная правовая дефиниция подвергается критике в научной литературе. Дело в том, что физиология является составной частью биологии, а биология в свою очередь составляет систему наук, которая изучает живых существ и их взаимодействие с иными объектами. По мнению Платоновой Н. И.
более полно и ясно институт биометрических персональных данных раскрывает подход, применяемый в Аргентине. Так, к таким данным относятся: сведения о физиологических особенностях человека (дактилоскопическая информация, ДНК, группа крови, строение сетчатки глаза, радужной оболочки и. т.д.); сведения о физических особенностях человека (рост, вес, возраст, татуировки, пирсинг, шрамы и т. д.); сведения о поведенческих особенностях(походка, жестикуляция, мимика, речь, голос и т. д.)
Важно отметить, что в российской и зарубежной научной литературе нет однозначной позиции по поводу отнесения биометрических персональных данных в отдельную категорию персональных данных [4]. Европейский регламент GDPR, который вступил в силу уже с мая 2018 года признает биометрические данные особыми говоря, что они наиболее уязвимы в современном обществе.
Большинство стран Совета Европы до начала массового распространения биометрических технологий в 1981 году ратифицировали Конвенцию № 108 «О защите физических лиц при автоматизированной обработке персональных данных, а входящие в Европейский Союз страны спустя 14 лет, а именно в 1995 году ратифицировали Директиву 95/46/ЕС «О защите физических лиц при обработке персональных данных и о свободном обращении таких данных». Только в Италии, Словении и в России было внесено в законодательство до появления соответствующей судебной практики обособленное регулирования для биометрических персональных данных. Биометрические технологии в России начали свое распространение в начале 21 века, а именно в 2006 году с введением ФЗ «О персональных данных». С выходом восьмой редакции Федерального закона под биометрическими персональными данными начали пониматься не только физиологические, но и биологические особенности человека. В свою очередь удаленная биометрическая идентификация начала свое развитие с появлением Федерального закона от 31.12.2017 № 482-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации», который вступил в силу с 30 июня 2018 г. Данный федеральный закон предусматривает внесение изменений в № 115-ФЗ;№ 149 ФЗ; № 395–1ФЗ.Кроме того он предусматривает создание Единой биометрической системы(ЕБС) и проведение удаленной идентификации. На основе анализа главы 3, разделу 2.2, пункту 2.2.1 «Основные направления развития финансовых технологий на период 2018–2020» можно предположить, что удаленная идентификация представляет собой процесс, который дает возможность физическим лицам получить финансовые услуги дистанционно, при условии использования своих биометрических данных(лицо и голос).Реализацией этого проекта занимается Банк России совместно с заинтересованными государственными органами в рамках программы «Цифровая экономика» и других проектов в сфере финансовых технологий.
- Последствия применения:
- Начнем с положительных последствий:
- – во-первых, не нужно запоминать пароли;
- – во-вторых, удобство, так как не нужно постоянно ходить в банк, чтобы совершить ту или иную операцию.
- Теперь перейдем к отрицательным последствиям:
- – Во-первых, невозможно изменить некоторые биометрические характеристики (отпечатки пальцев, ДНК);
- – Во-вторых, в случае, если биометрические данные лица попали в руки третьему лицу существует сложность доказывания в суде того, что потерпевшая сторона не осуществляла тех или иных операций;
- – В-третьих, пока банки не обладают высоким уровнем защиты, чтобы клиенты банка могли не беспокоиться.
Автором был проведен социальный опрос среди студентов таких вузов, как МГУ, МГЮА, МГЛУ. В опросе приняло участие 101 человек.
Так, опрашиваемым был поставлен следующий вопрос: как они относятся к сдаче биометрических персональных данных (лицо, голос) в банках? Были предоставлены следующие варианты ответа: положительно, отрицательно, нейтрально.
Положительный ответ дали 21 человек, отрицательный 36 человек (причем молодые люди доминировали), нейтральный 44 человека (большинство девушек). Таким образом, из приведённого исследования можно сделать следующие выводы:
Во-первых, студенты, которые ответили нейтрально отличаются непросвещенностью в том, что происходит в стране. Во-вторых, тот факт, что 2 ой по популярности был вариант отрицательный говорит о том, что некоторые студенты обеспокоены защищенностью своих данных.
- Таким образом, проделанный анализ позволяет сделать следующие выводы:
- – Во-первых, в связи с тем, что обработка биометрических персональных данных в банках является не полностью надежным явлением, законодатель должен помимо предварительного обсуждения в Государственной Думе и Совете Федерации нововведений в сфере применения биометрических данных, хранить такие данные в зашифрованном виде с использованием криптографического алгоритма на серверах компании;
- – Во-вторых, представляется обоснованным предложить внести изменения в статью 11 ФЗ «О персональных данных», дополнив ее физиологическими, физическими и поведенческими особенностями;
- – В-третьих, в силу непросвещенности некоторой части граждан в вопросах, связанных с биометрическими персональными данными законодателю следует прежде чем обязывать всех граждан к сдаче своих биометрических данных проводить общественное обсуждение и, возможно, социальные опросы для того, чтобы наше государство действительно было бы демократическим.
- – В-четвертых, прежде чем внедрять сдачу биометрических данных, нужно, чтобы была надлежащая защита данных, чтобы минимизировать риски утечки биометрических данных.
- Литература:
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» // СЗ РФ. № 31. Ст. 3451;
- «Основные направления развития финансовых технологий на 2018–2020 годы» https://cbr.ru/StaticHtml/File/36231/ON_FinTex_2017.pdf ;
- Роскомнадзора «О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки»
- Кривогин М. С. Особенности правового регулирования биометрических персональных данных // Право. Журнал Высшей школы экономики. 2017. № 2;
- Заболотный Е. Ю. Перспективы развития средств аутентификации в банковской сфере // Право. Журнал Инновационная наука. 2019. № 1.
Основные термины (генерируются автоматически): данные, лицо, частная жизнь, биологическая особенность человека, GDPR, Россия, внесение изменений, удаленная идентификация, том, банк.
Источник: https://moluch.ru/archive/291/66011/