Законодательное регулирование использования биометрических данных личности

Цифровизация постепенно проникает во все сферы жизни общества. Законодатель предлагает новые возможности использования биометрических данных личности, но хорошая ли это идея? Рассмотрим этот вопрос подробнее. 

 Усы, лапы…биометрия – вот мои документы 

В соответствии со статьей 11 ФЗ «О персональных данных», к биометрическим персональным данным относятся сведения, которые указывают физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные). Также они могут быть использованы для установления личности субъекта персональных данных. 

 Исходя из Разъяснений Роскомнадзора "О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки", к биометрическим персональным относятся отпечатки пальцев, радужная оболочка глаз, анализы ДНК, рост, вес, а также фотография и видеозапись. 

 В каких же сферах применяются персональные биометрические данные? Например, сейчас крупнейшей в мире системой био-идентификации считается индийская Aadhaar, которая присваивает уникальный идентификационный номер на основе отпечатков пальцев и фотографий радужной оболочки глаза. База содержит данные более миллиарда человек. Такая система позволяет идентифицировать людей при оплате покупок, бронировании отелей и т.д. Подобным образом власти Индии стараются контролировать теневой сектор экономики и уклонение от уплаты налогов. 

 Что касается России, то использование биометрических данных уже можно видеть: 

 • в заграничном паспорте, который содержит электронный электронный чип (введен в действие Указом Президента Российской Федерации от 19 октября 2005 г. № 1222). С целью усиления степени его защиты в паспорт был введен биометрический параметр - изображение папиллярных узоров указательных пальцев рук заявителя; 

• в некоторых школах страны реализуется программа "Ладошки» - система аутентификации, которая идентифицирует пользователя по рисунку вен ладони, полученного в диапазоне, близкому к инфракрасному. Приходя в столовую на обед, ребенок подносит ладонь к экрану платежного терминала для идентификации, а родители оплачивают стоимость покупки. Интересно, что подобная система вызвала судебный спор: прокуратура настаивала на том, что в таком случае необходимо было получить согласия на обработку персональных данных от детей. Однако суд верно установил, что для обработки биометрических данных детей достаточно письменного согласия родителей, являющихся законными представителями (постановление Восьмого арбитражного апелляционного суда от 14.09.2017 по делу N А70-2034/2017); 

• на пропусках с фотографиями для прохода в помещения. Так, сбор данных, их хранение, систематизация и т.п. для изготовления пропуска в бассейн не допускается без письменного согласия субъекта биометрических персональных данных (Определение Верховного Суда РФ от 05.03.2018 N 307-КГ18-101 по делу N А42-342/2017); 

• наибольшее распространение система биометрической идентификации получила в банковской сфере. Так, на данный момент существует Единая биометрическая система (ЕБС), оператором которой является «Ростелеком». Она представляет собой базу, где хранятся биометрические персональные данные (фотография, запись голоса), номер телефона, адрес электронной почты лица, идентификатор учетной записи клиента в ЕСИА «Госуслуги», СНИЛС сотрудника банка, который разместил данные (постановление Правительства РФ от 30.06.2018 N 772). Введение ЕБС объясняется целями удобства получения финансовых услуг: благодаря данной системе клиенты получили возможность в любое время и из любого места с использованием сети «Интернет» открывать вклады и счета, получать кредиты и осуществлять денежные переводы. 

 Как это работает? 

 Остановимся подробнее на том, как работает эта система в банках. В соответствии с ч. 1 ст. 14.1 ФЗ "Об информации, информационных технологиях и о защите информации» госорганы, банки и иные организации в предусмотренных законом случаях вправе проводить удаленную идентификацию физлиц, основанную на использовании их биометрических персональных данных. Сбор таких данных сегодня осуществляется на добровольной и безвозмездной основе, поэтому если в банке вам настойчиво предлагают сдать биометрию при отсутствии вашего желания, вы имеете право отказаться. 

 Не все банки могут оказывать подобные услуги, а лишь входящие в перечень уполномоченных банков (этот список размещает ЦБ РФ на официальном сайте). Как же они проводят сбор биометрических данных? Приказом Минкомсвязи России от 13.04.2012 N 107 установлен порядок регистрации в ЕБС. При личном посещении одного из присутствующих в перечне банков, тот регистрирует клиента в ЕСИА «Госуслуги» (если клиент не зарегистрирован), фотографирует и записывает образцы голоса, направляя в ЕБС. Затем клиент может зайти на сайт банка, выбрать раздел, позволяющий получить услуги с использованием удаленной идентификации, пройти авторизацию в ЕСИА и произнести на камеру последовательность цифр/букв. 

 Однако возможности банков по предоставлению услуг с использованием удаленной идентификации могут быть ограничены Центральным банком (п. 5.10 ст. 7 Федерального закона от 7 августа 2001 г. № 115-ФЗ "О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма"): например, по общему количеству счетов или общей сумме кредитов для таких клиентов. 

 Без биометрии скоро будет не обойтись 

 Сейчас в первом чтении принят законопроект № 750699-7 «О внесении изменений в Основы законодательства Российской Федерации о нотариате». В нем предлагается наделить нотариуса правом по установлению личности гражданина, его представителя или представителя юридического лица при отсутствии паспорта или при наличии сомнений в личности гражданина, предъявившего паспорт, посредством уже действующей единой биометрической системы. 

 Проект Федерального закона N 809868-7 "О внесении изменения в статью 12 Федерального закона "О микрофинансовой деятельности и микрофинансовых организациях" предлагает обязать МФО идентифицировать заемщиков по изображениям лиц и записям голосов, которые хранятся в единой биометрической системе. Соответственно, пока процедура сдачи биометрических данных не является обязательной, не прошедшие ее лица не смогут получить микрозаймы. В пояснительной записке к законопроекту такая необходимость объясняется целями противодействия мошенникам, которые могут обращаться в микрофинансовые организации от имени граждан, получив их персональные данные незаконным путем. 

Законодательство достаточно четко регулирует вопросы безопасности базы биометрических данных. Так, Постановление Правительства РФ от 06.07.2008 N 512 закрепляет требования к материальным носителям биометрических персональных данных. В частности, они должны обеспечивать защиту от несанкционированной повторной и дополнительной записи информации после ее извлечения из системы персональных данных; невозможность несанкционированного доступа к биометрическим персональным данным, содержащимся на материальном носителе. 

Приказ Министерства цифрового развития, связи и массовых коммуникаций РФ от 25 июня 2018 г. N 321 предусматривает, что банки должны информировать Банк России о выявленных инцидентах, связанных с нарушениями требований к обеспечению защиты информации при обработке (включая сбор и хранение) параметров биометрических персональных данных в целях идентификации, которые привели или могут привести к нарушению или попыткам нарушения целостности, конфиденциальности и (или) доступности защищаемой информации. 

Однако на практике возникают вопросы в надежности такой системы, ведь буквально каждую неделю мы узнаем об утечках информации о клиентах крупных банков. Более того, в некоторых странах биометрические данные являются инструментом для контроля действий граждан.