Прошу оценить применимость статьи 15 Федерального закона от 29.12.2022 № 572-ФЗ и статьи 10.1 152-ФЗ к описанной ниже ситуации. Это главные вопросы, от ответа на которые зависит, продолжать проект или останавливать и удалять накопленное. КТО СПРАШИВАЕТ. Небольшой интернет-проект — сайт спортивного сообщества (совместные любительские велопоездки). Оператор персональных данных — физическое лицо, самозанятый (плательщик НПД). Проект принимает добровольные членские взносы через платёжный сервис, то есть признак предпринимательской деятельности присутствует. 432 зарегистрированных пользователя, из них 75 активных за последние 90 дней. Всё в России. Регистрация пользователей — через мессенджеры, паспортных данных мы не собираем. ЧТО ДЕЛАЕТ СИСТЕМА (фактически, без юридических квалификаций). Уже работает, пользователям пока не видно: 1. Участники поездок загружают фотографии в общие галереи. В базе 48 526 фотографий. 2. Программа автоматически находит на фотографиях лица. Найдено 58 101 лицо на 17 866 фотографиях. 3. Для каждого лица вычисляется массив из 512 чисел (результат работы нейросети). Восстановить по нему фотографию нельзя, но два массива можно сравнить и получить оценку «вероятно, это один человек». 4. Массивы хранятся в нашей базе на нашем сервере, наружу не передаются ни в каком виде. 5. Похожие массивы автоматически группируются в наборы (сейчас 1921 набор). Наборы безымянные: система не знает, кто на них изображён. Планируется добавить: 6. Экран, где зарегистрированный пользователь смотрит на предложенный набор фотографий с одним лицом и подтверждает «да, это я» либо «нет, это не я». 7. После подтверждения человек видит список СВОИХ фотографий со всех поездок сообщества. 8. Настройку видимости, которой управляет сам человек: показывать ли другим, что он изображён на фотографии. Три состояния — никому (по умолчанию), только взаимным подписчикам («друзьям»), всем. Настройка отзывается в любой момент. Технические ограничения: нет возможности загрузить произвольное фото и найти по нему человека, единственный вход — подтверждение собственного набора; фотография, предъявленная для подтверждения, не сохраняется. Сейчас результат виден только самому человеку, и пункт 8 — это как раз планируемый отход от этого правила, ради которого и задан вопрос 6 ниже. ОТДЕЛЬНО ВАЖНО: на групповых фотографиях неизбежно оказываются люди, не зарегистрированные в сервисе (гости поездок, случайные прохожие, иногда дети). Их лица программа тоже находит, и для них тоже вычисляются массивы чисел. Согласия у них нет и получить его практически неоткуда. ВОПРОСЫ. Часть 1 статьи 15 ФЗ № 572-ФЗ устанавливает, что в информационных системах «организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц, организаций финансового рынка, иных организаций, индивидуальных предпринимателей, нотариусов» запрещена обработка, включая сбор и хранение, используемых в целях идентификации биометрических персональных данных, кроме обработки для размещения в единой биометрической системе. При этом статья 2 того же закона определяет идентификацию как установление личности из неограниченного круга лиц. 1. Распространяется ли этот запрет на закрытую систему, которая сравнивает лица только между фотографиями своих собственных зарегистрированных пользователей и не оказывает услуг идентификации кому-либо третьему? 2. Является ли поиск среди заведомо ограниченного и известного круга (432 зарегистрированных пользователя) идентификацией в смысле определения, привязанного к неограниченному кругу лиц? 3. Распространяется ли норма на оператора — физическое лицо, самозанятого? В тексте нормы перечислены организации, индивидуальные предприниматели и нотариусы. 4. Меняется ли ответ в зависимости от того, что делает пользователь: подтверждает, что набор фотографий — это он сам, в своём же аккаунте, либо система ищет его лицо среди всех фотографий? 5. Какая статья КоАП применима при нарушении в нашем случае — 13.11 часть 2 или 13.11.3? Разница принципиальная: в первом случае для граждан 10 000–15 000 рублей, во втором суммы на порядок больше. Ограничен ли круг субъектов статьи 13.11.3 участниками единой биометрической системы и аккредитованными организациями, или слова «иных информационных системах» охватывают любого оператора? 6. Требуется ли отдельное согласие на распространение персональных данных (статья 10.1 152-ФЗ) сверх согласия на обработку, если человек САМ включает настройку из пункта 8 и разрешает показывать другим пользователям, что он изображён на фотографии? Достаточно ли для этого его собственного согласия — с учётом того, что на том же снимке присутствуют другие люди, чьи лица не подписываются, но сам факт совместного присутствия становится виден? И меняется ли ответ, если показ ограничен только взаимными подписчиками, а не всеми посетителями сайта? 7. Законно ли автоматическое вычисление массивов чисел для лиц людей, не давших согласия (см. абзац выше), если результат никому не показывается и служит только для того, чтобы отделить их лица от лиц согласившихся пользователей? Статья 152.1 ГК РФ допускает обнародование изображения гражданина без согласия при съёмке в местах, открытых для свободного посещения, — распространяется ли это исключение на биометрическую обработку того же изображения, или это разные режимы? ЧТО МЫ УЖЕ ЗНАЕМ, подтверждать не нужно: обработка биометрии требует согласия в письменной форме по части 1 статьи 11 152-ФЗ, исключения части 2 к нам не относятся; фотография сама по себе биометрическими данными не является и становится ими при использовании для установления личности; цель обработки должна быть конкретной и заранее определённой по части 2 статьи 5 152-ФЗ. Нас устроит любой из трёх ответов: можно (тогда при каких условиях); можно, но не в таком виде (тогда что именно изменить); нельзя (тогда мы останавливаем сбор и удаляем накопленное, процедура удаления у нас готова).

Добрый день! Я зарегистрирован в качестве ИП и оказываю бухгалтерские услуги различным юридическим лицам и ИП по гражданско-правовым договорам. В рамках этих договоров мне иногда передают данные работников этих компаний для составления отчетности. Вопросы по персональным данным: 1. Должен ли я находиться в реестре операторов персональных данных? 2. Возникает ли ответственность у моих контрагентов, если они передали мне данные своих сотрудников, но я не являюсь оператором персональных данных? Кто в данном случае несёт ответственность?

Добрый день! В разработанном компанией №1 онлайн сервисе используются персональные данные физического лица. Эти данные получаем не от физ.лица, а от компании №2 с которой это физ.лицо в договорных отношениях. Вопрос: как необходимо защититься компании № 1 от возможных претензий по использованию персональных данных? Спасибо.

Добрый день. Мы являемся разработчиком онлайн системы управления гостиницей. К нам обратился наш клиент - владелец гостиницы. Он хочет зарегистрироваться в Роскомнадзоре в качестве оператора персональных данных. Т.к. он использует наше программное обеспечение для хранения данных его гостей (клиентов), то просит предоставить сведения о местонахождении нашей базы данных и описание мер, предусмотренных статьями 18.1 и 19 ФЗ "О персональных данных" чтобы указать это в анкете при регистрации. Но судя по данной статье https://vc.ru/ask/15994-problem-14877 по аналогии с CRM мы не являемся оператором персональных данных в части клиентов гостиницы, гостиница сама является оператором персональных данных. Так ли это и должны ли мы предоставлять какие-то наши данные гостинице? Заранее благодарю!

1) В 152-ФЗ от от 27.07.2006 используются понятие "средства автоматизации". Что относится к этим средствам? 2) В п. 8 ч. 2 ст. 22 152-ФЗ есть фраза "исключительно без использования средств автоматизации". Означает ли слово "исключительно", что при обработке ПДн не используются никакие ЭВМ или электронные сети? 3) Необходимо ли уведомлять РКН в соответствии со ст. 22 152-ФЗ в случае, если сбор ПДн происходит через электронную форму на сайте и передается оператору ПДн через сеть интернет?