Применимость закона о биометрии к интернет-сервису с распознаванием лиц на фотографиях

Здравствуйте.

Подготовка расширенного заключения, каковым является ответ на этот весь перечень Ваших вопросов является отдельным видом правовой помощи, Вы можете обратиться в чат, чтобы договориться о стоимости и сроках данной работы.

При этом для начала стоит вероятно разобраться с вот этим:

Оператор персональных данных — физическое лицо, самозанятый (плательщик НПД). Проект принимает добровольные членские взносы через платёжный сервис, то есть признак предпринимательской деятельности присутствует.

Какие такие членские взносы принимает самозанятый? Такие взносы это признак некоммерческой организации (ст. 50 ГК РФ), которая действует на основании положений Федерального закона от 12.01.1996 N 7-ФЗ «О некоммерческих организациях» и других специальных законов. 

Доброго времени суток!

Соглашусь с коллегой, что указанный перечень вопрос подразумевает дачу правового заключения и требует отдельного временного затратата и дополнительных ресурсов и в рамках данной стоимости консультации не оказывается, такая договоренность уже дополнительно осуществляется.

В целом же, отмечу, что закон дает понятие идентифиакции, что как раз Вас интересует.

По статье 2 федерального закона «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации» от 29.12.2022 №572-ФЗ

идентификация — совокупность мероприятий по установлению сведений о лице и их проверке, осуществляемых в соответствии с федеральными законами и принимаемыми в соответствии с ними нормативными правовыми актами, и сопоставлению данных сведений с идентификатором

Как видно, здесь нет разграничения на «закрытый» и «незакрытый».

Закон при этом не упоминает, что в данных правоотношениях субъектом могут выступать самозанятые, в данном контексте и случае это следует расценивать как запрет для самозанятых.

Более детальная оценка Вашей ситуации с ответом на каждый вопрос возможна в рамках правового заключения, что является отдельной услугой из-за объемности задачи и необходимости дополнительного времени и затрат для всестороннего анализа ситуации, в том числе, сегмента вопроса в рамках административного и гражданского права.

С уважением, Артем Гагикович!

Уважаемый Алик!

С коллегами соглашусь в том, что поставленные Вами вопросы требуют отдельного правового заключения с анализом технической архитектуры сервиса. Однако уже из описания следует, что запускать функционал в существующем виде рискованно.

Закрытый характер системы и отсутствие услуг по идентификации третьим лицам сами по себе не исключают применение законодательства о биометрии. Значение имеет фактическая цель обработки: используется ли изображение лица и полученный из него цифровой шаблон для установления личности либо проверки принадлежности лица определённому аккаунту.
При этом действующее определение идентификации в статье 2 Федерального закона № 572-ФЗ не содержит критерия «из неограниченного круга лиц». Поэтому ограничение базы 432 зарегистрированными пользователями не исключает квалификацию операции как идентификации. 

Физическое лицо -  плательщик НПД, не зарегистрированное как индивидуальный предприниматель, прямо в части 1 статьи 15 Федерального закона № 572-ФЗ не указано. При буквальном толковании установленный этой нормой запрет непосредственно распространяется на организации, индивидуальных предпринимателей и нотариусов.

Однако Федеральный закон № 152-ФЗ распространяется и на физических лиц: физическое лицо может являться оператором персональных данных независимо от регистрации в качестве ИП. Поэтому отсутствие статуса ИП не освобождает от требований к обработке биометрических персональных данных. 

Подтверждение пользователем в уже авторизованном аккаунте того, что предложенный набор фотографий относится к нему, само по себе скорее не является биометрической аутентификацией, поскольку доступ к аккаунту предоставляется через мессенджер, а не по лицу.

Но связывание безымянного биометрического шаблона с конкретным аккаунтом и дальнейший автоматический поиск этого лица среди всех фотографий фактически направлены на установление личности изображённого человека. Поэтому такая обработка с высокой вероятностью будет признана биометрической идентификацией.

Статья 13.11.3 КоАП РФ в основном регулирует нарушения, связанные с ЕБС и информационными системами, обеспечивающими биометрическую аутентификацию. В описанной системе основная функция — поиск и идентификация лиц, а не допуск пользователя в аккаунт по биометрии.

При отсутствии письменного согласия наиболее прямой состав, на мой взгляд — часть 2 статьи 13.11 КоАП РФ. Вместе с тем при неправомерном предоставлении, распространении или открытии доступа к биометрическим персональным данным может применяться часть 17 статьи 13.11 КоАП РФ: штраф для граждан составляет от 400 000 до 500 000 рублей. Поэтому полагаю, что риски не ограничиваются суммой 10 000-15 000 рублей. 

При предоставлении доступа всем посетителям сайта требуется отдельное согласие на обработку персональных данных, разрешённых субъектом для распространения, по статье 10.1 Федерального закона № 152-ФЗ. По моему мнению, простого переключателя в настройках без надлежащего оформления согласия недостаточно.

Если доступ предоставляется только взаимным подписчикам, речь идёт не о распространении неопределённому кругу лиц, а о предоставлении данных определённому кругу лиц. Отдельное согласие по статье 10.1 может не требоваться, но письменное согласие на обработку биометрических данных должно прямо предусматривать такое предоставление и круг получателей. 

Согласие одного пользователя распространяется только на его данные. Оно не легализует обработку изображений, биометрических данных и иных сведений о других людях, находящихся на той же фотографии.

Автоматическое создание и длительное хранение 512-мерных шаблонов лиц незарегистрированных граждан без их согласия является наиболее рискованной частью проекта. Отсутствие имени у набора не гарантирует обезличивания, поскольку шаблон позволяет выделить одного человека, сопоставить его изображения между собой, а в дальнейшем связать с конкретной личностью.

Статья 152.1 ГК РФ регулирует использование и обнародование изображения гражданина. Она не заменяет письменного согласия на автоматизированную обработку биометрических персональных данных по статье 11 Федерального закона № 152-ФЗ. Это два самостоятельных правовых режима. 

Наиболее безопасный вариант: прекратить вычисление и хранение шаблонов лиц людей, не предоставивших письменное согласие. Для них допустимо использовать только обнаружение области лица без распознавания, сопоставления и создания постоянного шаблона, например для размытия изображения.

Вывод:

Продолжать проект в описанном виде не рекомендую. Для его сохранения потребуется как минимум исключить обработку лиц посторонних граждан, определить, не подпадает ли выбранная модель под запрет статьи 15 Федерального закона № 572-ФЗ, получить надлежащие письменные согласия участников и отдельно оформить режим предоставления или распространения результатов распознавания.

Для окончательного ответа необходимо проанализировать техническую схему обработки, способы авторизации, содержание базы, документы оператора и механизм получения согласий. Вы можете обратиться ко мне в чат для подготовки подробного правового заключения и безопасной модели работы сервиса. Практикой в сфере защиты персональных данных занимаюсь более 5 лет.