CC BY
52
к ПОНЯТИЮ БИОМЕТРИЧЕСКИХ ПЕРСОНАЛЬНЫХ
ДАННЫХ
TO THE CONCEPT OF BIOMETRIC PERSONAL DATA
УДК 343.9
адъюнкт
(Белгородский юридический институт МВД России имени И.Д. Путилина, Россия, Белгород) [email protected]
А.В. КАРПУШИНА,
ANNA V. KARPUSHINA,
Postgraduate
(Putilin Belgorod Law Institute of Ministry of the Interior of Russia, Belgorod, Russia)
Аннотация: актуальность исследования обусловлена стремительным развитием общественных отношений, связанных с использованием биометрических персональных данных. В условиях формирующегося цифрового общества необходимо на высшем законодательном уровне обеспечить безопасность и соблюдение прав граждан, предоставляющих для обработки и хранения биометрические данные. В статье автор рассматривает современные подходы к определению сущности и признаков биометрических персональных данных. Система признаков строится на выделении двух групп: общих и специальных. При определении специальных признаков использована авторская интерпретация, предложенная с учетом особенностей биометрических персональных данных, подлежащих сбору, обработке и хранению. Автором исследован международный опыт в правовом регулировании биометрических персональных данных. Проведен сравнительный анализ понятий «биометрические персональные данные», используемых в Российской Федерации и Индии. Для более широкого понимания сущности биометрики определены допустимые цели ее использования. С учетом проблематики, определенной в процессе исследования правовой защиты биометрических персональных данных, автором разработаны предложения по совершенствованию определения «биометрические персональные данные». Предлагается включить в определение «поведенческие особенности человека», характеризующиеся высокой степенью уникальности и используемые во многих странах для идентификации. Также особое внимание обращено на необходимость соблюдения конфиденциальности в целях недопущения использования биометрических персональных данных в коммерческом контексте.
Ключевые слова: цифровизация, биометрические персональные данные, физиологические, биологические и поведенческие особенности человека, идентификация, аутентификация, признаки биометрических персональных данных, единая биометрическая система.
Для цитирования: Карпушина А.В. К понятию биометрических персональных данных // Вестник Белгородского юридического института МВД России имени И.Д. Путилина. - 2023. - № 4. - С. 118-123.
Abstract: the relevance of the study is due to the rapid development of social relations associated with the use of biometric personal data. In the context of the emerging digital society, it is necessary at the highest legislative level to ensure the security and observance of the rights of citizens who provide biometric data for processing and storage. In the article, the author considers modern approaches to the definition of the essence and features of biometric personal data. The system of signs is based on the allocation of two groups: general and special. When defining special features, the author's interpretation was used, proposed taking into account the characteristics of biometric personal data to be collected, processed and stored. The author studied international experience in the legal regulation of biometric personal data. A comparative analysis of the concepts of «biometric personal data» used in the Russian Federation and India has been carried out. For a broader understanding of the essence of biometrics, the permissible purposes of its use are defined. Taking into account the issues identified in the process of studying the legal protection of biometric personal data, the author developed proposals for improving the definition of «biometric personal data». It is proposed to include in the definition «human behavioral characteristics», characterized by a high degree of uniqueness and used in many countries for identification. Also, special attention is paid to the need for confidentiality in order to prevent the use of biometric personal data in a commercial context.
Keywords: digitalization of society, biometric personal data, physiological, biological and behavioral characteristics of a person, identification, authentication, signs of biometric personal data.
For citation: Karpushina A.V. To the concept of biometric personal data // Vestnik of Putilin Belgorod Law Institute of Ministry of the Interior of Russia. - 2023. - № 4. - P. 118-123.
В условиях стремительного социально-культурного развития общества отмечается негативная тенденция в области права, которая заключается в том, что зачастую при внедрении нового социального явления его правовое регулирование осуществляется значительно позже, когда уже есть юридические последствия. Сегодня такая ситуация в первую очередь свойственна процессу цифро-визации общества. Цифровые технологии прочно вошли во все сферы жизни, однако юридические пробелы в регулировании общественных отношений в данной области имеют место.
Развитие цифровизации привело к широкому использованию таких уникальных персональных данных, как биометрические. Сегодня биометрика становится неким ключом к многочисленным благам цифровизации. А как известно, то, что пользуется спросом, зачастую становится объектом мошеннических действий. Исследуя опыт обработки персональных данных, мы можем сделать вывод, что в свое время и биометрические персональные данные могут быть вовлечены в процесс коммерциализации, что по своей сути недопустимо, так как это приведет к утрате их уникальности. И здесь законодателю необходимо уже сейчас более детально проработать вопрос о сущности биометрики, подлежащей административно-правовой защите, и определить допустимые цели для ее сбора.
На эту проблему уже обращалось внимание авторов, которые предлагали свое видение определения «биометрические персональные данные» посредством анализа сущности и выделения определенных характеристик биометрии человека. В частности, такую проблематику освещала в своей работе Н.И. Платонова. Ею проведено исследование с целью уточнения понятия «биометрические данные».
Н.И. Платонова изложила свое определение в следующей редакции: «Сведения, которые характеризуют физиологические, физические и поведенческие особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления и подтверждения личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных [8, с. 26].
В свою очередь, более лаконичное определение биометрических персональных данных предложил авторский коллектив: С.В. Баженов, В.Е. Дивольд, А.А. Морозов и др. Авторы предложили следующую трактовку: «Биометрические персональные данные - сведения, которые характеризуют физиологические, биологические и поведенческие осо-
бенности человека, на основании которых можно установить его личность» [2, с. 46].
Оба приведенных авторами определения объединяет важный аспект, который не нашел своего отражения в понятии «биометрических персональных данных», закрепленном в Федеральном законе о персональных данных1. В каждом авторском определении указана особая характеристика, которая ранее оставалась неисследуемой - поведенческие особенности. Исторически сложилось, что биометрия использовалась для идентификации и аутентификации достаточно давно. Одной из первых процедур по сбору, обработке, хранению биометрических персональных данных стала дактилоскопия, которая получила свое широкое распространение в XX веке и долгое время оставалась вне конкуренции. Однако в условиях цифровиза-ции общества происходила автоматизация процессов сбора, обработки и хранения биометрических персональных данных, что позволило расширить перечень сведений, которые характеризуют физиологические, биологические и поведенческие особенности человека, позволяющие реализовать главные цели получения таких данных. Постепенно стало возможным произвести идентификацию и аутентификацию не только по отпечаткам пальцев, но и по изображению человека, его походке, строению ушной раковины. Ранее это казалось невозможным из-за объема полученной информации, но процесс цифровизации решил эту проблему. И, таким образом, сегодня мы смело можем говорить о том, что поведенческие особенности могут являться биометрическими данными.
На сегодняшний день, несмотря на очевидный факт необходимости совершенствования правового механизма защиты биометрики, законодатель не устанавливает строгий перечень данных, признаваемых таковыми. Однако, исследуя перспективу разработки и законодательного определения перечня физиологических и поведенческих особенностей человека как биометрических данных, необходимо определить признаки, по которым возможно формирование такого перечня. Их разделяют на две группы: общие и специальные.
К общим относятся следующие признаки:
- биометрические данные присущи физическому лицу;
- цель сбора и использования биометрических персональных данных - идентификация человека;
- фиксированность полученных в результате сбора биометрических персональных данных [8, с. 23].
1 Федеральный закон от 27.07.2006 № 152-ФЗ (ред. от 06.02.2023) «О персональных данных» // Собрание законодательства Российской Федерации. - 2006. - № 31 (Часть 1). - Ст. 3451.
Общие признаки носят более «технический» характер, обрисовывая процедуру обращения с биометрическими персональными данными, а вот специальные признаки отражают непосредственно сущность биометрики. И как показывают исследования, эти специальные признаки носят уникальный характер, как и исследуемый объект.
К специальным признакам биометрических персональных данных можно отнести следующие.
1. Уникальность. Бесспорно, этот признак является базовым и основополагающим в определении биометрических данных человека. Каждая характеристика может быть отнесена к определенной группе, объединенной по общему признаку, однако при схожести не теряет своей уникальности.
2. Универсальность. Ранее мы говорили об уникальности - в «противоположность» ей выделяем такой признак, как универсальность. Аутентификация и идентификация человека производится чаще всего по универсальным характеристикам, имеющим свои особенности. Например, на сегодняшний день в целях аутентификации и идентификации применяются фотоизображение и запись голоса человека. Эти признаки универсальны для каждого индивида, но именно в них заключаются особенности, позволяющие осуществить аутентификацию и идентификацию личности по уникальным признакам.
3. Изменчивость и невозможность изменений. Этот признак подчеркивает уникальность биометрических персональных данных. Так, мы можем сказать, что биометрические персональные данные, такие как дактилоскопическая информация, ДНК, не изменяются в течение жизни человека, и нет средств, способных их изменить, но фотоизображение на сегодняшний день не может удовлетворять признаку «неизменчивости», а наоборот, оно с большой долей вероятности подвержено изменениям (благодаря достижениям пластической хирургии, которая является общедоступной, возможно колоссальное преображение индивида по сравнению с исходным фотоизображением).
4. Невозможность восстановления утраченных данных. Рассмотрим данный признак на примере таких биометрических персональных данных, как геномная информация. Совсем недавно законодатель разрешил многолетний спор ученых о том, относится ли геномная информация к биометрическим данным. И согласно последним законотворческим изменениям геномная информация признается биометрическими персональными данными. И именно этот вид биометрики наиболее уязвим. В случае неправомерной утечки геномная информация не подлежит восстановлению. При взломе, например, пароля от компьютера благодаря техническим средствам его можно заменить и восстановить утраченные данные, но в отношении
геномной информации средств для ее восстановления нет. Если рассмотреть биометрическую характеристику, уникальность которой теоретически возможно восстановить посредством изменения вследствие операционного вмешательства, то необходимо учесть, что в настоящее время правовых оснований для проведения такой процедуры нет.
По перечисленным признакам в России к биометрическим персональным данным относят следующие характеристики: дактилоскопические данные, радужную оболочку глаз, анализы ДНК, рост, вес, фотографию, видеозапись и др. Однако в мире сегодня этот перечень не может быть исчерпывающим. Еще в 2018 году в проведенном Центральным банком Российской Федерации обзоре международного рынка биометрических технологий и их применения в финансовом секторе приводилось следующее соотношение по использованию биометрических персональных данных: отпечатки пальцев (составляют более 50% всего объема рынка); изображение лица (21,6%); изображение радужной оболочки глаза (10,2%); голос (4%); рисунок вен (3%); геометрия ладони, ДНК и иное (около 7%)2. Но сегодня, в 2023 году, этот перечень значительно расширился. Этому в первую очередь способствовала ситуация с распространением COVID-19, которая послужила катализатором в развитии рынка систем, использующих биометрические персональные данные. Наибольшее развитие в области использования таких данных отмечено в Китае. Так, при идентификации и аутентификации личности в КНР получило распространение сканирование ушных раковин, геометрической формы руки, рисунка вен [1]. И вслед за Китаем многими странами начинают использоваться эти биометрические параметры, например в Индии, США, Южной Корее и др.
И, говоря о конкретных биометрических персональных данных, хотелось бы отметить опыт Индии в данном вопросе. Несмотря на одно из лидирующих в мире мест по использованию биометрики, в этой стране нет законодательного акта о защите данных. Но в других актах по вопросам регулирования биометрических данных можно встретить такое определение: биометрические данные - изображение лица, отпечатки пальцев, радужная оболочка или любые аналогичные персональные данные, полученные в результате измерений или операций технической обработки физических, физиологических или поведенческих характеристик субъекта данных, которые отражают уникальные характеристики субъекта данных. Таким образом, в Индии в самом определении закладывают перечень дан-
2 Обзор Международного рынка биометрических технологий и их применение в финансовом секторе [Электронный ресурс]. - URL: https://cbr.ru/content/document/file/36012/rev_ bio.pdf (дата обращения: 26.06.2023).
ТРИБУНА
молодого ученого
ных, относящихся к биометрии, однако, как и в России, допускают иные характеристики, которые на усмотрение судебного органа могут быть отнесены к биометрическим. Отличным в определении биометрических данных между Индией и Россией является и тот факт, что Индия законодательно признает поведенческие особенности биометрикой, а в России этот вопрос остается в «законодательной тени». В определении биометрических данных в Индии можно отметить другое несовершенство: так, в нем отсутствует упоминание цели получения таких данных. В нашем же определении целью указано установление личности субъекта персональных данных. Дополнительно Правительством Российской Федерации утвержден перечень случаев, при которых аутентификация с использованием информационных систем организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц, не допускается, и при которых допускается использование биометрических персональных данных при определенных условиях3.
Указанные перечни утверждены во исполнение положений частей 2 и 17 статьи 16 Федерального закона № 572-ФЗ4 «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации» (далее - Федеральный закон № 572-ФЗ).
К числу операций, включенных в перечень разрешенных случаев, при которых допускается использование биометрических персональных данных физического лица при аутентификации, в частности, отнесены:
3 Постановление Правительства Российской Федерации от 25.05.2023 № 815 «Об утверждении перечня случаев, при которых аутентификация с использованием информационных систем организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц, не допускается, и перечня случаев, при которых допускается использование биометрических персональных данных, согласие физического лица на обработку которых подписано простой электронной подписью, правом создания (замены) и выдачи ключа которой в порядке, предусмотренном законодательством Российской Федерации в области использования электронных подписей, обладает организация, осуществляющая аутентификацию на основе биометрических персональных данных физических лиц» // Собрание законодательства Российской Федерации. - 2023. - № 22. - Ст. 3950.
4 Федеральный закон от 29.12.2022 № 572-ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации» // Собрание законодательства Российской Федерации. - 2023. - № 1 (Часть I). - Ст. 19.
1. Осуществление безналичных расчетов в сумме, не превышающей 5000 рублей, включая налог на добавленную стоимость.
2. Осуществление кредитными организациями, некредитными финансовыми организациями, субъектами национальной платежной системы (далее - организация финансового рынка) дополнительной аутентификации клиента - физического лица при его личном присутствии, а также при дистанционном обслуживании.
3. Выплата почтовых переводов денежных средств адресатам (уполномоченным представителям) в отделениях почтовой связи АО «Почта России» в случаях, если сумма почтовых переводов денежных средств не превышает 2 500 рублей.
Таким образом, законодатель в Российской Федерации стремится найти баланс между обеспечением безопасности при использовании биометрических персональных данных и их доступностью для граждан. Доступность выражается в том факте, что в декабре 2022 года принятый Федеральный закон № 572-ФЗ предусматривает возможность самостоятельной регистрации биометрических данных в Единой биометрической системе с помощью защищенного мобильного приложения, что предоставляет право на самоопределение граждан в этом вопросе.
Если рассмотреть вопрос правового регулирования биометрических персональных данных в России за последние три года, то можно отметить, что сегодня это одно из самых динамично развивающихся направлений. Принят целый ряд правотворческих актов по регулированию вопросов сбора, обработки и хранению биометрики граждан. Активное участие в этом принимает и Центральный банк Российской Федерации. Так, Банком России разрабатываются указания о перечне угроз безопасности, актуальных при обработке биометрических персональных данных, их проверке и передаче информации о степени их соответствия предоставленным биометрическим персональным данным физического лица, при взаимодействии организаций финансового рынка с единой биометрической системой, что говорит о важности совершенствования системы правовой защиты биометрики граждан. Почему же такое внимание уделяется данному направлению? Выше в статье перечислены специальные признаки биометрических персональных данных, именно в них отражена сущность биометрики, которая требует высокого уровня правовой и технической защиты. Если посмотреть на опыт работы с персональными данными, то необходимо учесть, что данные, подвергнутые автоматической обработке, принимают на себя роль актива, за который возможно получение прибыли при передаче их третьим лицам. Такая процедура имеет в науке уже закрепленный термин - «коммерциализация
персональных данных». Это понятие не представляет собой что-то новое, и на протяжении многих лет в судебном порядке рассматриваются дела о преступных посягательствах в отношении персональных данных граждан. А увеличение сбора биометрики человека может спровоцировать такую же тенденцию. Но в отношении биометрических данных коммерциализация приобретает совершенно новое значение, и в обществе формируется новый взгляд на данный процесс. Утрата конфиденциальности биометрикой сродни катастрофе, учитывая те признаки, которые подчеркивают ее уникальность и невозможность восстановления. Поэтому сегодня важно исследовать не только вопрос совершенствования системы правовой защиты биометрики, но и предусмотреть ответственность за правонарушения в данной области. Сейчас это небольшие штрафы, но не рассматривается вопрос о моральной компенсации гражданам, чьи права могут быть жестоко нарушены. На современной этапе в России действует «мягкая» система правового регулирования и контроля со стороны государства, но, учитывая риски возможной коммерциализации биометрических персональных данных, необходимо усиление роли государства в этом вопросе.
И, конечно же, говоря о правовой защите, невозможно не отметить необходимость в «модернизации» самого понятия биометрических персональных данных. В начале статьи нами приводились наиболее допустимые определения. Позже были затронуты проблемы, не нашедшие своего отражения в законодательно закрепленном понятии, которые создают пробелы в правовом поле биометрики.
Подводя итог, можно отметить, что в действующей редакции определения «биометрические персональные данные» отсутствует важный блок -поведенческие особенности, которые, в свою очередь, обладают высокой уникальностью и все чаще используются при идентификации личности. Пото-
му, как ранее уже отмечалось Н.И. Платоновой и другими авторами, было бы целесообразно включить такие особенности человека в законодательное определение биометрических данных [2; 8].
Также необходимо обратить внимание на формулирование в понятии биометрических персональных данных цели их сбора. Приводя выдержку из закона: «сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных...», - отметим, что законодатель сделал акцент на установлении личности, употребив его дважды в определении. Возможно, допустимо закрепление на законодательном уровне признаков биометрических данных, отсылающих к ним при формировании определения биометрики. Или же сформулировать цель в более современных и чаще используемых в правовом контексте понятиях «идентификация» и «аутентификация».
При совершенствовании определения биометрических персональных данных целесообразно было бы сделать дополнительный акцент на соблюдении норм конфиденциальности при обращении с персональными данными, т.е. исключить возможность передачи биометрики граждан третьим лицам, если иное не предусмотрено нормативными актами.
Внесение изменений в определение биометрических персональных данных позволит сформировать их перечень и выстроить более эффективную систему правовой защиты этих уникальных данных. В свою очередь, при формировании достаточного уровня правовой защищенности в обществе возрастет доверие к вопросам цифровизации, что в будущем позволит во многом упростить процедуры получения гражданами государственных услуг.
Литература
1. Афанасьев С.Д., Терещенко И.А., Яцкевич Д.А. Биометрическая идентификация и права человека: демаркационная линия // Закон. - 2022. - № 3. - С. 33-46.
2. Баженов С.В., Дивольд В.Е., Морозов А.А., Попов Д.В., Сафронов Д.М., Серов А.В. Создание Концепции национальной системы биометрической идентификации личности // Труды Академии управления МВД России. - 2020. - № 2 (54). - С. 41-53.
3. Галиуллина Д.Р. Биометрические персональные данные // Документ. Архив. История. Современность. - 2015. - Т. 15. -С. 264-268.
4. ЖуковМ.Н. Обоснованность использования биометрических данных в криминалистической науке: история вопроса и проблемы правовой защиты персональных данных // Международный научно-исследовательский журнал. - 2021. - № 12-4 (114). - С. 164-167.
5. Золоева З.Т., Койбаев Б.Г., Золоев С.Т. Правовые основы использования биометрических персональных данных / Новеллы права и политики 2018: материалы Международной научно-практической конференции, Гатчина, 30 ноября 2018 года. - Гатчина: Государственный институт экономики, финансов, права и технологий, 2019. С. 70-74.
6. Королева Я.Ю. Изменения в законодательстве, касающиеся персональных данных // Руководитель бюджетной организации. - 2022. - № 8. - С. 42-49.
7. Минбалеев А.В. Понятие и правовая природа цифрового профиля человека // Вестник Южно-Уральского государственного университета. Серия: Право. - 2022. - Т. 22. - № 1. - С. 110-116.
8. Платонова Н.И. Современные правовые подходы к пониманию биометрических данных // Информационное право. -2018. - № 1. - С. 22-26.
ТРИБУНА
2023'4
9. Полякова Т.А. Цифровизация и синергия правового обеспечения информационной безопасности // Информационное право. - 2019. - № 2. - С. 4-7.
10. Степкин С.П. Проблемы идентификации граждан при подаче обращений // Конституционное и муниципальное право. -2022. - № 6. - С. 47-50.
References
1. Afanas'ev S.D., Tereshchenko I.A., YAckevich D.A. Biometricheskaya identifikaciya i prava cheloveka: demarkacionnaya liniya // Zakon. - 2022. - № 3. - S. 33-46.
2. Bazhenov S.V., Divol'd V.E., Morozov A.A., Popov D.V., Safronov D.M., Serov A.V. Sozdanie Koncepcii nacional'noj sistemy biometricheskoj identifikacii lichnosti // Trudy Akademii upravleniya MVD Rossii. - 2020. - № 2 (54). - S. 41-53.
3. Galiullina D.R. Biometricheskie personal'nye dannye // Dokument. Arhiv. Istoriya. Sovremennost'. - 2015. - T. 15. - S. 264-268.
4. ZHukov M.N. Obosnovannost' ispol'zovaniya biometricheskih dannyh v kriminalisticheskoj nauke: istoriya voprosa i problemy pravovoj zashchity personal'nyh dannyh // Mezhdunarodnyj nauchno-issledovatel'skij zhurnal. - 2021. - № 12-4 (114). - S. 164-167.
5. Zoloeva Z.T., Kojbaev B.G., Zoloev S.T. Pravovye osnovy ispol'zovaniya biometricheskih personal'nyh dannyh / Novelly prava i politiki 2018: materialy Mezhdunarodnoj nauchno-prakticheskoj konferencii, Gatchina, 30 noyabrya 2018 goda. - Gatchina: Gosudarstvennyj institut ekonomiki, finansov, prava i tekhnologij, 2019. S. 70-74.
6. Koroleva YA.YU. Izmeneniya v zakonodatel'stve, kasayushchiesya personal'nyh dannyh // Rukovoditel' byudzhetnoj organizacii.
- 2022. - № 8. - S. 42-49.
7. MinbaleevA.V. Ponyatie i pravovaya priroda cifrovogo profilya cheloveka // Vestnik YUzhno-Ural'skogo gosudarstvennogo universiteta. Seriya: Pravo. - 2022. - T. 22. - № 1. - S. 110-116.
8. Platonova N.I. Sovremennye pravovye podhody k ponimaniyu biometricheskih dannyh // Informacionnoe pravo. - 2018. - № 1.
- S. 22-26.
9. Polyakova T.A. Cifrovizaciya i sinergiya pravovogo obespecheniya informacionnoj bezopasnosti // Informacionnoe pravo. - 2019. -№ 2. - S. 4-7.
10. Stepkin S.P. Problemy identifikacii grazhdan pri podache obrashchenij // Konstitucionnoe i municipal'noe pravo. - 2022. - № 6. -S. 47-50.
(статья сдана в редакцию 18.07.2023)
480130315332
