Защита приватности в эпоху цифровых технологий

Защита биометрических персональных данных

Биометрические персональные данные – сведения, которые характеризуют физиологические и биологические особенности человека. На основании этих особенностей можно установить личность человека, а также они используются оператором для установления личности субъекта персональных данных (ч. 1 ст. 11 Федерального закона от 27 июля 2006 г. № 152-ФЗ "О персональных данных", далее – Закон о персональных данных).

Обработка биометрических персональных данных должна осуществляться с письменного согласия субъекта (п. 1 ч. 1 ст. 6 Закона о персональных данных). Предоставление биометрических персональных данных не может быть обязательным, за исключением прямо предусмотренных этим законом случаев (ч. 3 ст. 11 Закона о персональных данных).

Невозможно собирать биометрию:

• с камер наблюдения
• из других источников, которые не предусматривают предварительного получения согласия.

К исключениям относятся:

- реализация международных договоров РФ о реадмиссии;
- осуществление правосудия и исполнение судебных актов;
- проведение обязательной государственной дактилоскопической или геномной регистрации;
- в случаях, предусмотренных законодательством РФ:

• об обороне;
• о безопасности;
• о противодействии терроризму;
• о транспортной безопасности;
• о противодействии коррупции;
• об оперативно-разыскной деятельности;
• о государственной службе;
• о порядке выезда из России и въезда в нее;
• о гражданстве;
• о нотариате;
• уголовно-исполнительным законодательством.

Что относится к биометрическим персональным данным?

Роскомнадзор периодически дает разъяснения, какие сведения являются биометрическими персональными данными. Так, к биомерическим персональным данным относится цифровая фотография лица владельца загранпаспорта нового поколения, записываемая на содержащийся в нем электронный носитель (п. 6 Перечня, утв. постановлением Правительства РФ от 4 марта 2010 г. № 125) (Письмо Роскомнадзора от 29 августа 2022 г. № 08-78032). Ранее ГАРАНТ.РУ подробнее разбирался в данном вопросе, читайте в нашем материале: Биометрические персональные данные и технологии идентификации: какие правовые проблемы могут возникнуть?

Минцифры России давало подробное разъяснение в отношении того, какие сведения о человеке могут быть биометрическими персональными данными (Письмо Минцифры России от 28 августа 2020 г. № ЛБ-С-074-24059 "О методических рекомендациях").

При соблюдении следующих трех условий персональные данные признаются биометрическими:

1.  Признаны такими в силу положений НПА
2.  Характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность

    Физиологические параметры:

• дактилоскопические данные – отпечатки пальцев человека, обработка осуществляется только на основании Федерального закона от 25 июля 1998 г. № 128-ФЗ "О государственной дактилоскопической регистрации в Российской Федерации";
• радужная оболочка глаз;
• анализы ДНК;
• рост;
• вес и др.

Иные физиологические или биологические характеристики: изображения (фотография и видеозапись), в частности фотографические изображения обучающихся, сотрудников и посетителей организации.

3. Используются оператором для установления личности субъекта персональных данных

Не относятся к биометрическим персональным данным:

• данные, полученные при сканировании паспорта без проведения процедур идентификации, а только для подтверждения осуществления определенных действий конкретным лицом – например, заключение договора на оказание услуг, в том числе банковских, медицинских;
• данные, полученные при осуществлении ксерокопирования документа, удостоверяющего личность;
• фотография в личном деле работника;
• подпись лица, наличие которой в различных договорных отношениях является обязательным требованием, и почерк, в том числе анализируемый уполномоченными органами в рамках почерковедческой экспертизы;
• рентгеновские или флюорографические снимки в истории болезни (медицинской карте) пациента, поскольку они не используются медицинским учреждением для установления личности пациента;
• материалы видеосъемки в публичных местах и на охраняемой территории.

Для понимания риска утечек персональных данных также следует рассмотреть техническую сторону вопроса. Биометрические персональные делятся на две категории:

1. непосредственно "сырые" биометрические данные – фотография в системе контроля и управления (СКУД), снятая в соответствии с ГОСТом, следы отпечатков пальцев, запись голоса и т. д.;
2. результаты математических вычислений.

Непосредственно биометрические данные

Утечка данного типа биометрии могут повлечь за собой создание дипфейков для различных целей – поддельных видео, аудио, фотографий, объяснил эксперт. Такими целями могут быть: компрометация личной или рабочей переписки, беспрепятственное проникновение в охраняемые помещения, заем денежных средств от имени другого человека, угрозы и т. д.

Банки и клиенты банков тоже могут столкнуться с проблемами: слепок голоса (голосовой след), сохраненный мошенником именно как звук, может использоваться для совершения финансовых операций удаленно, добавила юрист, преподаватель Департамента права цифровых технологий и биоправа НИУ ВШЭ Алена Геращенко. В совокупности с другими необходимыми персональными данными (Ф. И. О., номера счетов, номера телефонов, пароли, логины) слепок голос может повысить успех проведения мошеннических действий.

Дипфейки также могут быть задействованы наряду с другими приемами и технологиями при реализации комплексных атак на малые и средние предприятия, доля которых, по оценкам RTM Group, за последний год выросла почти на 150%. В частности, может быть создан аудио-дипфейк с голосом руководителя. С помощью подделки можно позвонить в банк или крупному клиенту и авторизовать ту или иную операцию (например, на перевод денежных средств).

Сейчас подобные инциденты реализуются нечасто, но уже в следующем году  эксперты прогнозируют их резкий рост.
Эксперт считает, что появление возможности "оплаты голосом" или "лицом" спровоцирует злоумышленников воспользоваться данной возможностью с помощью дипфейков. Именно утечки биометрических персональных данных будут куда более критичными.

Математические модели, которые хранятся в системе распознавания.

Утечка таких данных несет риск использования их только при взломе самой системы распознавания, объяснил эксперт. Если преступник не смог взломать систему, то компрометация математически моделей интереса не представляет.

Биометрию как математические вычисления в виде формулы использовать сложно, согласился другой эксперт. Гипотетический риск может быть связан с созданием цифрового образа человека не им самим, а тем, кто эти данные украл. Перспективы практического использования таких образов, в данный момент, сомнительны, считают эксперты.

Риски утечек биометрических персональных данных

Утечки персональных данных можно разделить на две группы.

Утечки вследствие нарушения внутренних процессов (инцидентов) компании, которая является оператором персональных данных (в соответствии с п. 2 ст. 3 Закона о персональных данных), а также других лиц, обрабатывающих данных по поручению оператора. Сюда относятся некомпетентные действия со стороны сотрудников компании и технические проблемы, связанные с уязвимостями информационных систем.
Преднамеренные "утечки". Они происходят в соответствии с бизнес-моделью компании, которая занимается продажей данных.

Ключевой риск, связанный с обработкой именно биометрических персональных данных, вытекает из самого определения. Так как закон допускает использование биометрии для идентификации человека, поэтому в случае их кражи злоумышленники будут иметь возможность "подделать" личность человека, и совершать от его имени юридически значимые действия.

Другой риск вытекает из практических особенностей обработки персональных данных. На практике для обеспечения обработки биометрических персональных данных создаются машиночитаемые базы данных, которые могут "утечь", обеспечив доступ к биометрии не только мошенникам, но и всем остальным, желающим ознакомиться с подробностями чужой личной жизни. Прочие собираемые и обрабатываемые персональные данные (например, номера телефона и Ф. И. О., адрес регистрации) неоднократно являлись предметом различных утечек, напомнила эксперт.

На данный момент вероятность утечек биометрических персональных данных ничтожно мала, считают эксперты. Мошенники в большинстве случаев используют биометрию в открытом доступе – например, образцы голоса и фотографии из соцсетей.

Есть ли надежный способ защиты биометрических данных?

С технической точки зрения обеспечить абсолютную защиту данных представляется маловероятным, считают эксперты. Развитие технологий совершенствует не только законные виды деятельности, но и расширяет возможности мошенников, хакеров и иных недобросовестных лиц. Причем введение требований об обеспечении адекватной и достаточной защиты данных предусмотрено большинством законов в сфере персональных данных в разных странах, включая Россию.

Однако на практике полностью исключить возможность утечек невозможно, даже в компаниях, которые тратят значительные ресурсы на защиту, заметил эксперт. Он считает, что это связано и с наращиванием активности хакеров, и с человеческим фактором внутри компаний. В последнем случае известны случаи утечек как в связи с незаконными действиями работников, сливающих данные, так и с банальной небрежностью, к примеру, открытие фишинговых сообщений. 

Можно обезопасить данные с определенным уровнем вероятности сохранения их конфиденциальности – для биометрии они не отличаются от медицинских сведений или личной переписки, считают эксперты. Но риски исключать нельзя, пока есть самое слабое звено – человек.

Правовое регулирование сферы IT в области персональных данных

Государство неоднократно предпринимало попытки по регулированию сферы IT, в частности в отношении защиты персональных данных. Рассмотрим наиболее важные с точки зрения защиты приватности.

Создание Единой биометрической системы (ЕБС) – Федеральный закон от 29 декабря 2022 г. № 572-ФЗ "Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации" (далее – Закон № 572-ФЗ).

Большинство экспертов выделили Закон № 572-ФЗ как наиболее значимый в сфере защиты данных за последние два года. Они считают его так же самым важным нормативным актом для бизнеса. Он урегулирует новые правоотношения, складывающиеся между физическими и юридическими лицами, взаимодействующими с ЕБС, – в ней регистрируется и хранится биометрия, а также происходит идентификация или аутентификация физических лиц.
Ответом государства на рассмотренные риски является замыкание процессов, связанных с идентификацией по биометрии в рамках единой биометрической системы, создаваемой государством. Размещение в указанной системе обрабатываемых биометрических данных является обязательным для банков и МФЦ. Аутентификация с использованием биометрии возможна только для аккредитованных государством организаций. Еще одним способом нивелирования рисков, предусмотренным государством, является запрет на обработку биометрии иностранными организациями.

На текущий момент этот закон касается только изображения и записи голоса, но с 1 сентября 2024 года этот перечень биометрических данных может расшириться.

Постановлением Правительства РФ от 25 мая 2023 года № 815 определены случаи, когда запрещена аутентификация с использованием биометрии.

 К ним относятся:

• проведение вступительных испытаний, а также промежуточных и итоговых аттестаций в образовательных организациях;
• медицинская помощь с использованием технологий телемедицины;
• отпуск лекарственных средств, в том числе дистанционный;
• государственные и муниципальные услуги;
• доступ к государственным информационным системам;
• получение информационного добровольного согласия на медицинское вмешательство;
• проведение медосмотров работников с использованием персональных медицинских помощников.

Новые правила подтверждения уничтожения и трансграничной передачи персональных данных – изменения в Закон о персональных данных

С 1 марта 2023 года подтверждать уничтожение персональных данных нужно в соответствии с требованиями, установленными Роскомнадзором. Также до передачи любых персональных данных за границу необходимо провести оценку получателя персональных данных и подать уведомление в Роскомнадзор.


***
Использование Интернета неизбежно несет риски оставления цифровых следов. Как справедливо заметили эксперты, если есть устройство с выходом в Интернет, то получить нужную о вас информацию – это вопрос времени и денег. Реализация мер по безопасности не гарантирует полной конфиденциальности, но может снизить риски утечки данных. Большинство экспертов сходятся во мнении, что по вопросу риска использования биометрии пользователям в первую очередь нужно обезопасить себя самостоятельно: придерживаться ряда советов по минимизации цифрового следа. Чтобы снизить риски утечки биометрии, нужно рассчитывать не столько на правовое регулирование, сколько на просвещение пользователей по вопросам цифровой гигиены. Мошенникам даже не надо ничего воровать – все в открытом доступе..

// По материалам Гарант ру

Теги: цифровая реальность, технологии, IT технологии, цифровой след