Сбор биометрии на примере Авито
Изучая прецеденты сбора биометрии, я наткнулся на стетейку на Хабре, которую хочу откомментировать применительно к Авито.
Выдержка оттуда:
Чаще всего вопрос возникает относительно фотографии человека. В каких случаях ее можно отнести к БДн? Роскомнадзор в своем письме от 29.08.2022 № 08-78032 напоминает, что некоторые фото являются БДн по закону — например, фото в загранпаспорте. Кроме того, фотографии, относящееся к биометрическим персональным данным, должны соответствовать требованиям ГОСТ Р ИСО/МЭК 19794-5-2013. Иначе фото не получится использовать для корректной идентификации.Таким образом, не любое фото относится к биометрии. Зачастую для отнесения фотографии к биометрии необходим положительный ответ на следующие вопросы.
- По фотографии можно идентифицировать человека, т. е. она достаточно четкая и человек на ней один?
- Фотография используется для установления личности, в том числе ее подтверждения?
- Установление личности происходит с использованием технологий / системы / оборудования, используется математический шаблон?
И что мы имеем у Авито?
1) Да, можно. И они ТРЕБУЮТ, чтобы человек на видео был один.
2) Да, используется, т.к. при проверке они СРАВНИВАЮТ видео с паспортом, тем самым идентифицируя личность однозначным образом.
3) Используется ли технология? Ну еще бы! Ведь Liveness detection - это распространенная технология, позволяющая снять и сохранить в цифровом виде все метрики лица, позволяющие в дальнейшем использовать их для идентификации.
Последний пункт можно еще немного развернуть, вспомнив, что гражданам блокировали аккаунты по подозрению, что они уже прошли идентификацию в другом аккаунте, и их метрики совпали с какими-то другими. Причем, что это за другой аккаунт, сервис не говорит.
Чему это грозит Авито? Читаем дальше:,
Согласно статье 152-ФЗ, для обработки биометрических персональных данных клиентов или работников компании нужно получить согласие в письменной форме. Его отсутствие может обойтись компании в копеечку — штраф до 700 тысяч рублей.
.....
Как и в случае с обычными персональными данными, человек может отказаться от их предоставления или от согласия на их обработку. При этом оператор не вправе в ответ отказывать ему в обслуживании.
Многие компании перешли на современные охранные системы, где вместо пропуска используется отпечаток пальца или снимок лица человека. При этом нельзя обязать всех работников и иных посетителей предоставлять свои биометрические персональные данные. Таким образом, необходимо предусмотреть альтернативу. Например, производить идентификацию по паспорту, при этом не использовать сканеры или камеры для идентификации, а также не вносить фото в базы данных.
Дает ли Авито альтернативу? Нет. Нарушение ли это закона РФ? Однозначно.
Читаем дальше:
С 30 сентября 2023 года организации должны обеспечить размещение биометрических данных в ЕБС. Для этого необходимо выполнить следующие действия.
- Подключиться к ЕБС (об этом расскажем далее).
- Конвертировать имеющиеся биометрические персональные данные в требуемый формат.
- Загрузить их в ЕБС.
- Уничтожить оставшиеся артефакты или то, что не удалось конвертировать.
Если вы не хотите взаимодействовать с ЕБС, по закону вам следует прекратить обработку биометрических персональных данных на внутренних ресурсах компании.
Подключен ли Авито к ЕБС? Нет, т.к. Авито утверждает, что не занимается сбором биометрии, тем самым осуществляя преступную подмену понятий.
Чтобы Роскомнадзор этим заинтересовался всерьез, а не на уровне кухонных разговоров, что да, мол, мы знаем, но как-то не до того, необходимо
1) Писать обращения. Чем больше, тем лучше. Чем грамотнее, тем лучше.
2) Освещать случаи в прессе, чтобы это не оставалось глупой перепиской между вами и ботами службы поддержки.
Продолжение следует...