CC BY
47
160
ТРИБУНА МОЛОДОГО УЧЕНОГО
В
ЕСТНИК
УНИВЕРСИТЕТА
O.E. Кугафина (МПОА)
Янина Викторовна СМИРНОВА,
аспирант кафедры интеграционного и европейского права Университета имени О.Е. Кутафина (МГЮА) [email protected] 125993, Россия, г. Москва, ул. Садовая-Кудринская, д. 9
ОСОБЕННОСТИ СОДЕРЖАНИЯ ПОНЯТИЯ «БИОМЕТРИЧЕСКИЕ ДАННЫЕ» В ПРАВЕ ЕВРОПЕЙСКОГО СОЮЗА
Аннотация. В статье проводится анализ подходов, существующих в европейской и отечественной правовой доктрине, к определению понятия «биометрические данные», а также к эволюции формирования определения биометрических данных в правовых актах ЕС. Анализируются роль и место биометрических данных в системе персональных данных, их характеристика и ключевые признаки, позволяющие отнести данные физического лица к категории биометрических данных. Особое внимание уделяется перечню характеристик, подпадающих под категорию биометрических данных в соответствии с существующими научными подходами, а также положениями Общего регламента ЕС о защите персональных данных (GDPR). В статье отмечаются основные проблемы толкования категории биометрических данных в праве, предлагается собственное определение биометрических данных, отвечающее, по мнению автора, основным критериям, характеризующим данные физического лица в качестве биометрических. В заключение автором делается вывод о наличии пробелов при формировании правового определения исследуемой категории персональных данных, что впоследствии закладывает основы несовершенного правового регулирования использования таких данных.
Ключевые слова: биометрия, биометрические данные, персональные данные, генетическая информация, ДНК, регламент о защите персональных данных, Европейский Союз.
DOI: 10.17803/2311-5998.2021.83.7.160-167
© Я. В. Смирнова, 2021
Y. V. SMIRNOVA, Postgraduate student of the Integration and European Law Department, Kutafin Moscow State Law University (MSAL) [email protected] 9, ul. Sadovaya-Kudrinskaya, Moscow, Russia, 125993 SPECIFICS OF NATURE OF THE BIOMETRIC DATA DEFINITION IN LAW OF THE EUROPEAN UNION Abstract. The article offers analysis of the approaches in Russian and European legal doctrine to the definition of "biometric data", as well as the evolution of the legal definition formation of biometric data in the legislative acts of the EU. The article analyzes the role of biometric data in the personal data system, their characteristics, and the determination of a list of key features
^р)ШШп1Ш СмирноваЯ В. СЛ
L-y ) УНИВЕРСИТЕТА Особенности содержания понятия «биометрические данные» L_имени o.e. кугафина(мгюд) в праве Европейского Союза
that allow an individual's data to be classified as biometric data. Special attention is paid to the list of characteristics that fall under the category of biometric data in accordance with existing scientific approaches on personal data, as well as the provisions of the General Data Protection Regulation. The article highlights the main problems of interpretation of the category of biometric data in legal sources, and also suggests the author's legal definition of biometric data that meets, in the author's opinion, the main criteria that characterize specific data of an individual as biometric. Keywords: biometrics, biometric data, personal data, genetic information, DNA, GDPR, European Union.
Введение
В последние годы теме биометрической идентификации и аутентификации граждан уделяется в мире особое общественное и политическое внимание. Это обусловлено прежде всего динамичной цифровизацией общественных отношений, в частности развитием методов распознавания личности на основе использования уникальных характеристик человека. Такие характеристики представляют собой особую категорию данных и нуждаются в надежной правовой охране непосредственно для обеспечения прав человека, которые сегодня часто называют цифровыми правами1.
На сегодняшний день под биометрическими данными понимаются измеряемые физические характеристики индивида или его персональные поведенческие черты, имеющие достаточную стабильность на прогнозируемый период возможных измерений и существенно отличающиеся от аналогичных параметров множества других людей2. Вместе с тем на сегодняшний день отсутствует закрытый перечень таких характеристик, а вопрос об отнесении генетической информации к категории биометрических данных является одним из наиболее дискуссионных3.
Отсутствие четких границ в определении предмета регулирования, а именно уникальных по своей природе данных человека, может впоследствии создать серьезные трудности при выстраивании и обеспечении их правовой охраны. В связи с этим настоящая статья имеет целью изучение и анализ особенностей понятия «биометрические данные» с учетом уже существующих концепций и инструментов правового регулирования в Европейском Союзе.
Ч
- "0
1 См.: Гончаров И. В. Современные подходы к реализации прав человека в условиях ци-фровизации общественных отношений // Вестник Университета имени О.Е. Кутафина ^ (МГЮА). 2019. № 9. С. 98.
2 См.: Кратко о биометрических технологиях (по материалам biome-tricsGUIDE.ru) // URL: http:// www.biometricacs.com/kratko_o_bio.php // Red-path J. Biometrics and International Migration. International Organization for Migration. 2005 (International Migration Law Series. № 5). P. 6. ^
3 См., например: Рассолов И. М., Чубукова С. Г., Микурова И. В. Биометрия в контексте персональных данных и генетической информации: правовые проблемы // Lex russica. □ 2019. № 1. С. 110.
62 ТРИБУНА МОЛОДОГО УЧЕНОГО
L--^ 1
ЕСТНИК
УНИВЕРСИТЕТА
О.Е. Кугафина (МПОА)
Чтобы исследовать понятие «биометрические данные» необходимо главным образом: провести анализ эволюции положений законодательных актов и подходов в правовой доктрине к определению исследуемого понятия, определить ключевые исключительные признаки, позволяющие отнести данные физического лица именно к категории биометрических данных, выявить проблемы толкования понятия в правовых источниках и повлекшие такие проблемы факторы.
Формирование понятия «биометрические данные» в праве ЕС
Понятие биометрических данных отсутствует как в Конвенции «О защите физических лиц при автоматизированной обработке персональных данных» 1981 г.4, так и в Директиве 95/46/ЕС Европейского парламента и Европейского Союза от 24.10.1995 о защите физических лиц при обработке персональных данных и о свободном обращении таких данных (Директива 95/46/ЕС)5, действовавшей до 2018 г., — в двух европейских документах, заложивших основы защиты персональных данных еще в прошлом веке. Это обусловлено тем, что во время их принятия (в 1981 и 1995 гг., соответственно) влияние биометрических технологий на защиту данных на европейском уровне широко не обсуждалось. Только в начале 2000-х гг. этот вопрос был вынесен европейским законодателем на повестку дня.
В 2003 г. рабочей группой по вопросам защиты физических лиц при обработке персональных данных (A29WP)6 (далее — Рабочая группа) был издан документ, которым предусматривалось рассмотрение правил защиты данных при применении биометрических систем7. В рамках обсуждения вопроса о применении Директивы 95/46/ЕС в отношении использования биометрических данных такого рода данные рассматривались в качестве персональных данных. Однако выводы о характере биометрических данных на тот момент казались неясными. С одной стороны, было признано, что биометрические данные по своей природе являются именно личными данными, поскольку они всегда относятся к индивиду, которого «обычно можно идентифицировать»8, с другой стороны, предполагалось, что биометрические данные не всегда выступают в качестве личных данных человека.
4 Конвенция о защите физических лиц при автоматизированной обработке персональных данных (заключена в Страсбурге 28.01.1981) // СЗ РФ. 2014. № 5. Ст. 419.
5 Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data // OJ L 281. 23.11.1995. P. 31—50.
6 A29WP — рабочая группа по защите физических лиц при обработке персональных данных, учрежденная ст. 29 Директивы Европейского парламента и Совета Европейского Союза 95/46/ЕС от 24.10.1995 о защите физических лиц при обработке персональных данных и о свободном обращении таких данных. 25.05.2018 была заменена Европейским Советом по защите данных (EDPB) в соответствии с Общим регламентом ЕС по защите данных (GDPR) (Regulation (EU)) 2016/679.
7 A29WP. Working Document on Biometrics (2003). WP 80.
8 A29WP. WP 80.
тз
I-I
'Ш©ТГ1л][М][Ж Смирнова Я. В.
УНИВЕРСИТЕТА Особенности содержания понятия «биометрические данные» имени o.e. кугафина(мгюд) в праве Европейского Союза
Официальное определение термина «биометрические данные» было предложено Рабочей группой только в 2007 г. в заключении 4/2007. В соответствии с заключением биометрические данные определялись как «биологические свойства, физиологические характеристики, живые черты или повторяющиеся действия, являющиеся уникальными для конкретного индивида и поддающиеся измерению, даже если используемые на практике для их технического измерения закономерности включают определенную степень вероятности»9. В этом же заключении утверждалось, что биометрические данные имеют двойную природу: они одновременно являются частью информации о человеке и представляют собой уникальную связь между этим человеком и его биометрическими характеристиками10.
Таким образом, «биометрические данные» являются как техническим, так и юридическим понятием. Сам термин охватывает техническое преобразование биометрических характеристик в форматы, которые могут использоваться для биометрического распознавания. Техническое определение не требует ссылки на конкретное лицо. Напротив, в контексте защиты данных эта связь имеет решающее значение для определения того, являются ли технические биометрические данные персональными данными11.
В настоящее время ст. 4 (14) Регламента Европейского парламента и Совета о защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных и отмене Директивы 95/46/EC (далее — GDPR)12 определяет биометрические данные как «персональные данные, полученные в результате специальной технической обработки, относящиеся к физическим, физиологическим или поведенческим признакам физического лица, которые позволяют провести или подтвердить уникальную идентификацию указанного физического лица, например изображение человеческого лица или дактилоскопические данные».
Исходя из определения, биометрические данные — это прежде всего персональные данные. Это означает, что прежде чем юридически квалифицироваться в качестве биометрических данных, такой тип данных должен соответствовать критериям, применимым к общей категории персональных данных в соответствии со ст. 4 (1) GDPR.
Бросается в глаза и отсутствие в определении, наряду с относящимися к таким данным физическими, физиологическими и поведенческими признаками, биологических признаков физического лица. Приставка «био» игнорируется европейским
9 A29WP. Opinion 4/2007 on the concept of personal data (20 June 2007) 01248/07/EN WP 136. Marian A., Waldmann A. Biometric Information — A Brave New World of Regulatory Compliance. 2017 // URL: https://www.mofo.com/resources/insights/170404-biometric- ^
information-personal.pdf (дата обращения: 21.12.2020).
11 Jasserand C. Legal Nature of Biometric Data: From 'Generic' Personal Data to Sensitive Data // European Data Protection Law Abstract. Vol. 2 (2016). Is. 3. Р 297—311.
12 Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on
the free movement of such data, and repealing Directive 95/46/EC (General Data Protection □
Regulation) // Official Journal of European Communities, L 119. 04.05.2016. P. 1—88.
10
164 ТРИБУНА МОЛОДОГО УЧЕНОГО
законодателем в контексте биометрических данных и упоминается лишь в ст. 4 (13) GDPR при определении генетических данных.
Помимо этого, предлагаемый перечень характеристик физического лица не раскрывает их содержание. В качестве примера приводятся лишь изображение человеческого лица и дактилоскопические данные.
В национальном законодательстве государств — членов ЕС на современном этапе также действуют собственные нормы, содержащие определение биометрических данных, повторяющие положения нормативных актов ЕС и предусматривающие особое регулирование их обработки.
Интересно также отметить, что Княжество Монако, являющееся унитарным государством, ассоциированным с Францией, и не входящее в состав ЕС, в декабре 2019 г. впервые на законодательном уровне предусмотрело определение понятия «биометрические данные», которое в точности дублирует определение, содержащееся в ст. 4 (14) GDPR13.
Правовые проблемы определения понятия «биометрические данные»
В рамках исследования правового статуса и понятия биометрических данных нельзя оставить без внимания несколько вопросов.
Во-первых, в центре внимания в мировом научном сообществе стоит вопрос о необходимости выделения части категорий персональных данных, в том числе биометрических, и целесообразности введения специального правового регулирования использования такой категории данных. Мнения ученых в данном вопросе существенно расходятся. В то время как одни считают такое выделение нерациональным ввиду эффективного действия уже существующего законодательства в сфере защиты персональных данных (сторонником данной позиции является канадский исследователь Ю Лиу)14, в европейском научном сообществе, напротив, указывается на безусловную необходимость выделения категории биометрических персональных данных в целях учета особенностей таких сведений при осуществлении правового регулирования (данного мнения придерживается профессор Лейденского университета в Нидерландах Е. Киндт)15.
В российской научной литературе данный вопрос остается открытым. Доктор юридических наук Е. Покаместова, к примеру, считает введение специальных норм, регулирующих обработку биометрических персональных данных в отечественном законодательстве, необоснованным, поскольку «представляется более логичным относить биометрические персональные данные к одному из видов
13 Биометрические данные — это персональные данные, полученные в результате соответствующей технической обработки, определяющие физические, физиологические или поведенческие особенности физического лица, которые позволяют подтвердить его уникальную идентификацию, например изображение лица или данные отпечатков пальцев (Закон Монако № 1.483 от 17.12.2019 «О цифровой идентификации»).
14 Yue Liu N. Bio-Privacy: Privacy Regulations and the Challenge of Biometrics. New York, 2012. P. 151.
15 Kindt E. Privacy and Data Protection Issues of Biometric Applications. Leiden, 2013. P. 745.
В
ЕСТНИК
УНИВЕРСИТЕТА
O.E. КупнЬина ГМПОА1
73 i—i
'Ш©ТГ1л][М][Ж Смирнова Я. В.
УНИВЕРСИТЕТА Особенности содержания понятия «биометрические данные» имени o.e. кугафина(мгюд) в праве Европейского Союза
специальных категорий персональных данных»16. И. Вельдер, наоборот, ссылаясь на активное использование биометрических персональных данных, указывает на необходимость правового регулирования порядка их сбора и обработки17.
Во-вторых, существует неясность в определении места и статуса генетической информации в контексте биометрических данных. С одной стороны, ДНК каждого индивида уникальна и может послужить идентифицирующим признаком человека наряду с такими физиологическими характеристиками человека, как отпечатки пальцев, рисунок вен руки, радужная оболочка глаз и др. В то же время, например с молекулой ДНК, помимо ее индивидуальности, связано и другое основополагающее свойство, а именно наследственность и способ передачи наследственной информации. Так, молекула ДНК является носителем информации не только о конкретном лице, но и о его родителях и родственниках18, ввиду чего признание такой информации в качестве персональных данных конкретного индивида недопустимо. Информация подобного рода в большей мере относится к неограниченному кругу субъектов в лице родственников, предков и потомков19.
В-третьих, как отмечалось, в законодательстве ЕС под биометрическими данными понимаются физические, физиологические и поведенческие особенности человека.
Прежде всего человек — существо биосоциальное, поэтому по итогам обращения к научным работам в области биологических наук возникают сомнения относительно корректности определения биометрических данных в официальных документах ЕС. Например, к системе физиологических признаков человека главным образом относят уровни физиологических показателей крови, которые, в свою очередь, характеризуют отдельные метаболические свойства организма и принимают участие в разнообразных энергетических процессах20.
В судебной медицине и экспертизе к физиологическим признакам вообще относят поведенческие черты, характеризующие функциональные, динамические, двигательные, речевые, врожденные и приобретенные проявления человеческой личности, в то время как ст. 4 GDPR в определении биометрических данных различает физиологические и поведенческие характеристики.
Принимая во внимание определение биометрических данных, закрепленное в GDPR, и существующие доктрины в отношении круга характеристик человека, которые можно назвать физиологическими и отнести к биометрическим данным, можно сделать вывод, что единой концепции на этот счет ни у законодателей, ни у ученых не существует.
16 Покаместова Е. Ю. Правовая защита конфиденциальности персональных данных несовершеннолетних : дис. ... канд. юрид. наук. Воронеж, 2006. С. 51. ^
17 Вельдер И. А. Система правовой защиты персональных данных в Европейском Союзе: ^ дис. ... канд. юрид. наук. Казань, 2006. С. 131.
18 См.: Кубитович С. Н. ДНК как носитель информации неограниченного круга лиц // Вестник экономической безопасности. 2017. № 4. С. 186. §
19 См.: Рассолов И. М., Чубукова С. Г., Микурова И. В. Указ. соч. С. 111.
20 Гудкова Л. К. К изучению роли физиологических признаков в конституциональной типологии (популяционный подход) // Вестник Московского университета. Серия 23 : Антропо- □ логия. 2009. № 1. С. 46.
166 ТРИБУНА МОЛОДОГО УЧЕНОГО
Представляется целесообразным пересмотреть возможность отнесения к биометрическим данным предложенных в ныне действующих нормах европейского права признаков физического лица, которые по своей природе не являются биологически уникальными и, помимо прочего, менее остальных признаков устойчивы к фальсификации. Речь идет преимущественно о поведенческих и физиологических признаках. Походка или осанка, например, могут регулярно умышленно меняться преступником во избежание задержания правоохранительными органами при помощи биометрических технологий распознавания лиц и систем видеонаблюдения.
«Био» означает отношение к жизни, жизненным процессам. Таким образом, можно сделать вывод, что биометрическими данными полноправно и обоснованно может являться исключительно уникальная и неотчуждаемая информация, представляющая собой эталонный образец биоматериала (в том числе соединительной плотной волокнистой и хрящевой ткани) конкретного физического лица, полученная в результате специальной технической обработки и предназначенная исключительно для проведения уникальной идентификации физического лица (изображение лица, радужная оболочка глаза, дактилоскопические данные, рисунок вен, форма ушной раковины, голос и т.д.).
Заключение
Учитывая внушительный уровень внедрения биометрических технологий практически во все сферы жизни человека, можно утверждать, что биометрические данные, являясь особой чувствительной категорией персональных данных, в настоящее время не защищены должным образом ввиду несовершенного правового регулирования. Такое несовершенство коренится прежде всего в пробелах при формировании правового определения рассматриваемого понятия.
Отсутствие четкого и единого подхода в правовых источниках к определению перечня характеристик, подпадающих под категорию биометрических данных, может быть обосновано тем, что развитие биометрических технологий и систем биометрической идентификации столь динамично, что законодатель попросту не полагает целесообразным ограничиваться в правовых нормах закрытым перечнем таких свойств, ведь еще несколько лет назад биометрическая идентификация осуществлялась лишь по отпечатку пальца и радужной оболочке глаза, а уже сегодня — по рисунку вен и голосу. Об этом свидетельствует упоминание в GDPR о физических, физиологических и поведенческих признаках человека в качестве биометрических данных без указания на то, что под таковыми подразумевается.
Технический прогресс прежде всего должен сопровождаться совершенствованием правового регулирования в конкретной сфере, законодатель, в свою очередь, вправе устанавливать рамки при определении предмета регулирования в целях обеспечения его надлежащей правовой охраны.
В
ЕСТНИК
УНИВЕРСИТЕТА
О.Е. КупнЬина ГМПОА1
^р)ШШп1Ш Смирнова Я. В.
/ / ^ \ униВЕРСИTFTA Особенности содержания понятия «биометрические данные» |Q/
L_имени o.e. кутафина(мгюА) в праве Европейского Союза
БИБЛИОГРАФИЯ
1. Вельдер И. А. Система правовой защиты персональных данных в Европейском Союзе : дис. ... канд. юрид. наук. — Казань, 2006.
2. Гончаров И. В. Современные подходы к реализации прав человека в условиях цифровизации общественных отношений // Вестник Университета имени О.Е. Кутафина (МГЮА). — 2019. — № 9. — С. 97—102.
3. Гудкова Л. К. К изучению роли физиологических признаков в конституциональной типологии (популяционный подход) // Вестник Московского университета. — Серия 23 : Антропология. — 2009. — № 1. — С. 45—53.
4. Кубитович С. Н. ДНК как носитель информации неограниченного круга лиц // Вестник экономической безопасности. — 2017. — № 4.
5. Покаместова Е. Ю. Правовая защита конфиденциальности персональных данных несовершеннолетних : дис. ... канд. юрид. наук. — Воронеж, 2006.
6. Рассолов И. М., Чубукова С. Г., Микурова И. В. Биометрия в контексте персональных данных и генетической информации: правовые проблемы // Lex russica. — 2019. — № 1. — С. 108—118.
7. Jasserand C. Legal Nature of Biometric Data: From 'Generic' Personal Data to Sensitive Data (June, 1, 2016) // European Data Protection Law Abstract. — 2016. — Vol. 2. — Is. 3. — Р. 297—311.
8. Kindt E. Privacy and Data Protection Issues of Biometric Applications. — Leiden, 2013.
9. Marian A., Waldmann A. Biometric Information — A Brave New World of Regulatory Compliance. 2017 // URL: https://www.mofo.com/resources/insights/ 170404-biometric-information-personal.pdf (дата обращения: 15.02.2021).
10. Yue Liu N. Bio-Privacy: Privacy Regulations and the Challenge of Biometrics. — New York, 2012.
4 "0 s
m
<
i >
□ □
n □
□
УЧЕНОГО
