Не только паспорта: где еще будут применяться биометрические данные

Согласие на обработку данных, разрешенных к распространению

Теперь согласие на распространение персональных данных оформляется отдельно от всех прочих соглашений, связанных с обработкой персональных данных. То есть получить согласие гражданина на предоставление неограниченного доступа к его личной информации в рамках разрешения на обработку персданных нельзя. 

Для этого необходимо заключить отдельное соглашение, в котором гражданин четко дает понять, к каким конкретно сведениям и в каком объеме он разрешает неограниченный доступ третьих лиц.

Получение такого согласия автоматом и по умолчанию также не допускается. В этих целях закон прямо установил правило, согласно которому молчание или бездействие физлица ни при каких обстоятельствах не может считаться согласием на обработку его персональных данных, разрешенных для распространения (ч. 8 ст. 10.1 Федерального закона от 27.07.2006 № 152-ФЗ).

Согласие должно быть конкретным, информированным и сознательным. Согласие во всех случаях должно содержать перечень сведений, разрешенных к распространению среди неограниченного круга лиц. Причем компании, получающие такое согласие, должны обеспечить физлицу возможность самостоятельно определить содержание данного перечня персональных данных. Это значит, что теперь любой магазин, кредитная организация, новостной портал и прочие операторы персданных, запрашивающие согласие на их передачу, обязаны уточнять у гражданина, какие именно сведения о нем можно публиковать и распространять для неограниченного доступа.

Конкретные требования к содержанию согласия на обработку данных, разрешенных для распространения, будут установлены отдельным приказом Роскомнадзора (п. 3 ст. 1 Федерального закона № 519-ФЗ от 30.12.2020).

В согласии гражданин вправе установить запрет на передачу (кроме предоставления доступа) своих общедоступных данных неограниченному кругу лиц. Это значит, что если в согласии будет установлен подобный запрет, то третьи лица будут иметь доступ к личным данным физлица, но не смогут их передавать другим лицам для дальнейшего использования, обработки и распространения.

Право на установление такого запрета является безусловным. Отказ оператора в установлении данного запрета не допускается (п. 3 ст. 1 Федерального закона № 519-ФЗ от 30.12.2020). Если гражданин установит в согласии запрет на дальнейшую обработку и распространение своих общедоступных сведений, оператор, первоначально получивший согласие, обязан будет публично уведомить о таком запрете всех третьих лиц.

Информацию об условиях обработки и о наличии запретов в отношении общедоступных сведений оператор персональных данных обязан публиковать не позднее 3 рабочих дней с момента получения согласия на обработку и передачу таких данных неограниченным кругом лиц (п. 10 ст. 10.1 Федерального закона от 27.07.2006 № 152-ФЗ). 

Персональные данные − это прямо или косвенно относящаяся к физическому лицу информация, с помощью которой он может быть идентифицирован. К персональным данным относятся  ФИО, паспортные данные, ИНН, СНИЛС, дата рождения, адрес (регион, город, улица, дом, квартира), образование, место работы, семейное и социальное положение, сведения о здоровье, уровень дохода и т.д., то есть, любые сведения, по которым можно идентифицировать человека. При этом, чтобы считать данные персональными, их необходимо использовать в совокупности, так как только лишь по фамилии или по данным об образовании идентифицировать личность невозможно.  

Если в полученном оператором согласии отсутствует прямое волеизъявление физлица на возможность использования его личных данных неограниченным кругом лиц, то персональные данные могут обрабатываться только самим оператором без права их публикации в открытом доступе (п. 4 ст. 10.1 Федерального закона от 27.07.2006 № 152-ФЗ).

При этом само согласие на обработку и передачу общедоступных персональных данных должно передаваться непосредственно компании, запрашивающей такое согласие. С 1 июля подобное согласие можно будет передавать через специальный электронный сервис Роскомнадзора.

Защита средств идентификации

Мы все знаем, что пароль нельзя никому передавать и следует хранить в тайне, обязательным является периодическая смена паролей. Спрятать лицо или голос не получится, человека нельзя запереть в сейф, чтобы никто не мог скопировать его биометрические данные.

С учетом современного развития Интернета и социальных сетей, телефонии и мессенджеров получить фотографию человека и образец голоса не представляет никакой сложности. И регулярно менять лицо и голос не получится. Наоборот, биометрическая идентификация тем и привлекательна, что идентификатор не меняется или слабо меняется в течение жизни человека. Это одна из серьезных проблем систем биометрической идентификации. Какой бы способ биометрической идентификации ни был выбран, всегда надо исходить из того, что идентификатор может быть получен и использован злоумышленниками. Определенной защитой является проверка на «лайфность» предъявляемого идентификатора. Но более перспективным видится одновременное использование статических и динамических методов биометрической идентификации.

Статические методы идентифицируют по тому, чем человек обладает: отпечатку пальца, лицу, радужной оболочке глаза и т. д. Динамические методы идентифицируют человека по тому, как он что-то делает: по почерку, по работе на клавиатуре компьютера, по походке и т.д.

Например, если система биометрической аутентификации не просто анализирует лицо и голос, а еще и мимику лица при произнесении человеком конкретных выражений, такую систему обмануть будет значительно сложнее.

Следует отметить, что технологии динамической биометрической идентификации сложнее использовать, потому что эти биометрические параметры могут существенно меняться на протяжении жизни человека. Кроме того, при их использовании требуется больше времени для проведения идентификации, т.к. необходимо набрать достаточный объем данных для проведения идентификации.

С учетом того, что постоянно совершенствующиеся современные технологии позволяют провести атаку на любую технологию биометрической аутентификации, наиболее перспективным видится применение биометрической аутентификации одновременно по нескольким параметрам (технологиям) либо многофакторных систем аутентификации, одним из факторов в которых является биометрия.

На данный момент использование биометрии ограничивается отсутствием у пользователя устройств, позволяющих снять биометрические данные. Биометрические сканеры в виде отдельных устройств на данный момент достаточно дороги для большинства технологий биометрической идентификации.

Следует также отметить, что во многих странах биометрические данные человека относятся к особо охраняемой категории персональных данных, что требует применения серьезных средств защиты при их сборе, передаче и хранении.

Давайте подведем итоги: какие же плюсы и минусы есть у существующих систем биометрической идентификации?

Плюсы

1. Идентификатор неотделим от человека, его нельзя забыть, потерять, передать. Проверив идентификатор, можно с высокой долей уверенности говорить о том, что был идентифицирован именно этот человек.
2. Воссоздать (подделать) идентификатор достаточно сложно.
3. Биометрическая идентификация удобна в использовании.
4. Идентификация может проводиться прозрачно (незаметно) для человека.

Минусы

1. Доступность биометрических идентификаторов для копирования и проведения атаки в большинстве систем биометрической идентификации.
2. Необходимость наличия определенных окружающих условий для проведения биометрической идентификации.
3. Могут возникать ситуации, когда биометрические идентификаторы повреждены или недоступны для считывания.
4. Наличие ошибок первого и второго рода.
5. Для многих систем биометрической идентификации биометрические сканеры достаточно дорогие.
6. Необходимо обеспечивать требования регуляторов по защите биометрических персональных данных.

Персональный шоппер в каждом зале

Биометрия начинает применяться в качестве маркетингового инструмента, причем для работы как с постоянными, так и новыми клиентами. Первой ласточкой подобных сервисов в России можно считать проект оплаты покупок при помощи биометрической верификации, стартовавший в конце прошлого года в «Азбуке вкуса».

Биометрия вообще отлично сочетается с ритейлом. Например, магазины одежды в условиях жесткой конкуренции сильнее всего нуждаются в биометрической идентификации и аналитике поведения клиентов. Владельцы розничного бизнеса и сами будут рады навсегда избавить вас от назойливых продавцов, ведь теперь камеры смогут запомнить посетителя и проанализировать его вкусы, зафиксировав время, проведенное у стойки с той или иной моделью одежды. На основании этих данных можно будет сразу предложить релевантные товары или заинтересовать промоакциями, например, скидкой на одежду, которой клиент многократно интересовался, но так и не купил.

Фото: Getty

Уже при повторном посещении магазина вы получите конкретные рекомендации на основании прошлых покупок и интересов. Часто примеряете яркие платья? Приложение в смартфоне или консультант сразу покажут новую коллекцию. Приобрели пиджак и строгую рубашку? В следующий раз промоэкраны магазина покажут вам другие элементы делового стиля. И вам больше не придется предъявлять карту магазина или называть свой телефонный номер, ведь ваш ID в CRM-системе магазина появится на экране менеджера спустя всего пару секунд после входа в магазин.

Собранные таким образом данные пригодятся магазину и при составлении новых коллекций. Никакие исследования, фокус-группы и опросы с небольшой выборкой не смогут заменить настоящие большие данные от биометрической идентификации. По сути, маркетинговое исследование будет проводиться непрерывно, а его самые последние результаты можно будет посмотреть в любой момент. Биометрическая идентификация и аналитика перевернут сферу маркетинга и маркетинговых исследований.

Конфиденциальны ли биометрические данные?

Когда речь заходит о биометрических данных, существует серьезная озабоченность по поводу конфиденциальности. Некоторые из основных проблем, выявленных с помощью биометрических данных, включают в себя следующие:

• Любой сбор данных в конечном итоге может быть взломан. Некоторые данные могут быть особенно привлекательной мишенью для хакеров.
• Биометрия может стать настолько обычным делом, что люди могут потерять бдительность. Многие перестанут использовать те меры безопасности, которые они используют сегодня, потому что будут думать, что биометрия решит все их проблемы безопасности.
• Данные, хранящиеся в биометрической базе данных, могут быть более уязвимыми, чем любые другие виды данных. Вы можете изменить пароли, но не сможете изменить свой отпечаток пальца или радужную оболочку. Это означает, что после взлома биометрических данных они могут находиться под контролем других людей.
• Некоторые фрагменты вашей физической личности могут быть продублированы. Например, преступник может сделать снимок вашего уха с высоким разрешением издалека или скопировать ваши отпечатки пальцев со стакана, который вы оставли в кафе. Эта информация может быть использована для взлома ваших устройств или учетных записей.

Как защитить биометрические данные?

Для защиты биометрических данных, вы можете принять ряд мер по обеспечению их безопасности на основе здравого смысла:

• Надежный пароль. Это означает, что будет сложнее украсть ваши данные. Хранение биометрической информации в ограниченном количестве мест дает хакеру меньше возможностей для взлома.
• Если вы беспокоитесь о безопасности ваших биометрических данных, то можете отказаться от их применения. На различных девайсах эту функцию можно отключить.

Биометрические данные могут сделать мир более безопасным и удобным. Соблюдение принципов здравого смысла в области безопасности может сыграть важную роль в защите вашей частной жизни.

Спрос на услугу населения и первые прогнозы банков

Хотя банки и хотели получить право на более качественную идентификацию своих клиентов посредством биометрии, однако, многие понимают, что помимо их желания есть нежелание граждан. Современная молодежь, которая только приветствует различные новации и адекватно воспринимает цифровизацию нашего мира, практически в большинстве поддерживают подобную инициативу. Особенно это касается тех, кто активно использует в своей деятельности интернет и удаленное обслуживание.

Проблемой же, по мнению сотрудников Сбербанка, станут люди среднего и более старшего поколения. Они негативно воспринимают все что непонятно. А особенно это касается пенсионеров, которые и так видят во всем подвох, а тут еще и хотят получить их биометрические данные. По предварительным предположениям, в первое время (1-2 года) люди будут неохотно предоставлять свои данные, но со временем это процесс станет необходимым.

А вот ВТБ отметил, что это реальный способ повысить число клиентов, выбирающих удаленное обслуживание. На сегодняшний день доля цифровых продаж в объеме оборота банка составляет около 40%. А по оптимистичным прогнозам она может достигнуть 60% уже к концу 2019 года.

Альфа-банк, присоединившись к глобальной программе, на первых парах начал принимать биометрические данные только в 2 центральных отделения. После того как персонал пройдет обучение, постепенно будет внедряться эта система и в других отделения. Уже к концу года получится охватить 87 отделений банка. Банк видит в этой системе реальную возможность для развития своей деятельности и упрощения процесс получения услуг для клиентов. А, помимо этого, таким образом получиться освободить часть сотрудников для развития других приоритетных направлений деятельности банка.

Специалисты по развитию в «Открытии» отмечают, что за столь короткий срок времени им уже удалось собрать более 40 тыс. фотографий. Использовать ее запланировано при большинстве проводимых операций, в том числе при переводах с карты банка. Отмечено, что такой способ идентификации упростит процесс оформления документов, ведь основная информация будет подтягиваться автоматически.

Мобильная биометрия

Сейчас многие из нас проводят свое свободное время со смартфонами в руках. И для смартфонов ученые и инженеры тоже придумывают различные виды биометрий. Приложения для мобильного банка уже давно оснащаются классическими видами поведенческой биометрии, такими как клавиатурный почерк и биометрия по данным датчиков тачскрина (аналог биометрии по движению мышки).

Но в смартфоне есть много и других датчиков, с которых можно собирать поведенческие данные. Например, акселерометр, гироскоп, магнитометр, датчик температуры и т.д. Эти данные также используются для разработки поведенческой биометрии, которая получила название Sensor Fusion.

Помимо высокой точности у Sensor Fusion есть важное преимущество – сбор данных с датчиков незаметен для пользователя, поэтому это становится удобным видом биометрии для владельца смартфона.

Мобильная биометрия

Клавиатурный почерк, тачскрин и Sensor Fusion – все это интересные альтернативные биометрии для смартфонов, если бы данные, используемые для этих технологий, были хорошо защищены. Например, данные с датчиков смартфона хранятся в незащищенном контуре, т.е. могут собираться любым авторизованным приложением.

Взлом PIN-кода на телефоне

В 2017 году инженеры по кибербезопасности разработали нейронную сеть, которая по данным датчиков смартфона распознает PIN-код владельца телефона. Основная идея данного подхода заключается в том, что при введении PIN-кода для разблокировки телефона мы держим смартфон определенным образом. То есть у каждого человека свой уникальный паттерн ввода PIN-кода.

Используя эту особенность, ученые собрали данные с шести открытых датчиков: акселерометра, гироскопа, магнитометра и др. Далее на собранных данных они обучили нейросеть, которая угадывает PIN-код по данным датчиков смартфона с точностью 84%.

В кибербезопасности такой взлом называется атакой по сторонним (побочным) каналам – Side-channel attack.

Сбор данные со смартфона

Взлом PIN-кода по незащищенным данным наталкивает на мысль, что в биометрической гонке должны победить технологии, использующие хорошо защищенные данные, недоступные в открытых источниках. К таким видам биометрий относятся отпечатки пальцев, рисунки вен и радужная оболочка глаза

Важно знать: Закон о защите персональных данных №152-ФЗ: сфера регулирования, требования, штрафы.

Эксперты по кибербезопасности из вьетнамской компании Bkav (которые взломали FaceID на iPhone X) считают, что на сегодняшний день самым защищенным видом биометрии является отпечаток пальца.

Защита информации

Организации и индивидуальные предприниматели, взаимодействуя с сотрудниками, получают доступ к их персональных данным. Полученные сведения хранятся в личных карточках, которые заводят на работников. Также подобные сведения содержатся в личных делах сотрудников, при условии их ведения работодателем.

По закону организация, получившая доступ к персданным, должна обеспечить их хранение и конфиденциальность. Обычно источником информации о себе является сам работник. Однако в некоторых случаях сведения о конкретном сотруднике могут быть запрошены у третьих лиц. В такой ситуации нужно получить письменное согласие сотрудника. Для этого компания должна проинформировать сотрудника (п. 3 ч. 1 ст. 86 ТК РФ):

• о целях получения данных и характере информации;
• источнике данных и способе получения;
• последствиях отказа от предоставления согласия на их получение.

Основные правила работы с персданными фиксируются в специальном внутреннем локальном акте – Положении о работе с персональными данными. Фотография работника к ним относится?

Обзор документа

Биометрические персональные данные граждан обрабатываются с их согласия (за исключением некоторых случаев, связанных, в частности, с реадмиссией, осуществлением правосудия, госслужбой, транспортной безопасностью, ОРД).

К таким данным относятся физиологические и биологические характеристики человека, которые используются оператором, чтобы установить его личность. В частности, это могут быть отпечатки пальцев, радужная оболочка глаз, анализы ДНК, рост, вес, изображение человека (фотография и видеозапись).

Изображение гражданина может использоваться без его согласия в государственных, общественных или иных публичных интересах. Причем это не любой интерес, проявляемый аудиторией, а, например, потребность общества в обнаружении и раскрытии угрозы демократическому правовому государству и гражданскому обществу, общественной безопасности, окружающей среде. В частности, речь может идти об информации, связанной с исполнением должностными лицами и общественными деятелями своих функций.  Соответственно, сообщать подробности частной жизни лица, не занимающегося какой-либо публичной деятельностью, запрещено без его согласия.

Последнее не требуется, если изображение гражданина получено при съемке, которая проводится в местах, открытых для свободного посещения, или на публичных мероприятиях. Исключение — такое изображение является основным объектом использования. Согласия также не спросят, если лицо позировало за плату.

Таким образом, для опубликования, в т. ч. редакцией СМИ, фотографии гражданина в вышеуказанных случаях, а также если изображение получено из общедоступных источников, согласие лица не нужно.

Если опубликование фотографий (видеозаписи) реально угрожает жизни и здоровью гражданина либо наносит ему моральные страдания, то на основании его мотивированного обращения распространение (демонстрация) данной информации должно быть прекращено.

К биометрическим персональным данным относятся фотоизображение и иные сведения, используемые для обеспечения прохода на охраняемую территорию и установления личности гражданина. В то же время ими не являются фотография из личного дела работника, а также подпись лица, наличие которой в различных договорных отношениях является обязательным, и почерк, в т. ч. анализируемый в рамках почерковедческой экспертизы.

Не могут считаться обработкой биометрических персональных данных ксерокопирование и сканирование паспорта для подтверждения совершения определенных действий конкретным лицом (например, заключение договора на оказание услуг) без проведения процедур идентификации (установления личности).

О видеонаблюдении в рабочих помещениях сотрудники должны предупреждаться под роспись.

Для просмотра актуального текста документа и получения полной информации о вступлении в силу, изменениях и порядке применения документа, воспользуйтесь поиском в Интернет-версии системы ГАРАНТ:

Госуслуги в обмен на улыбку

Совсем недавно министр связи и массовых коммуникаций России Николай Никифоров в интервью «Известиям» отметил, что уже начаты работы по интеграции биометрической идентификации в портал госуслуг. Прогресс наблюдается колоссальный — многие крупные банки запустили несколько пилотных проектов и сообщают об успехе, другие планируют получить первый опыт в этой области до конца текущего года. В это время компания RecFaces идет еще дальше, предлагая клиентам не просто алгоритм, а универсальную платформу многофакторной идентификации.

На государственном уровне уже анонсирован запуск работы над концепцией национальной биометрической платформы (НБП) — базы с личными биометрическими данными граждан.

НБП интегрируют с интернет-порталом госуслуг, а это значит, что наши данные заменят паспорт при совершении юридически значимых операций. На текущей стадии Центробанк совместно с Минкомсвязи готовят пилотный проект в 10 банках, силами которых начнется наполнение НБП биометрическими образцами. Если тестирование пройдет удачно, в будущем авторизацию через НБП можно будет использовать при получении государственных, банковских и прочих услуг.

Фото: Getty

Где бы вы ни оказались, биометрические метрики подтвердят вашу личность, даже если с собой у вас не окажется ни одного документа.

Более того, биометрическая авторизация откроет возможности для получения полного спектра банковских услуг в любом банке без необходимости посещать отделение. Двухмодальная верификация не только ускорит процесс получения услуг, но и повысит уровень их надежности, в том числе в дистанционных и мобильных каналах.

Как работает биометрия?

Если вы когда-либо вставляли свой отпечаток пальца в устройство, то у вас возможно сложилось смутное представление о том, как работает биометрия. В основном, вы записываете свои биометрические данные в устройство, в данном случае отпечатки пальцев. Эта информация сохраняется, и к устройству можно будет получить доступ только после сравнения вашего отпечатка и сохраненного. Любой человек в мире может прикоснуться пальцем к сенсорному кругу вашего смартфона и вряд ли сможет разблокировать его.

Отпечатки пальцев — это всего лишь одна из форм биометрических данных. Одной из новых форм биометрической технологии является сканирование глаз. Обычно сканируют радужную оболочку. Почерк и голосовые отпечатки — это другие биометрические данные, которые являются исключительно вашими и иногда необходимы для обеспечения безопасности.

Биометрическая система состоит из трех различных компонентов:

1. Сенсор. Это то, что записывает вашу информацию, а также считывает ее, когда ваша биометрическая информация должна быть распознана.
2. Компьютер. Независимо от того, используете ли вы биометрическую информацию для доступа к компьютеру или к чему-либо еще, компьютер должен хранить эту информацию для сравнения.
3. Программное обеспечение. ПО — это то, что соединяет компьютерное оборудование с сенсором (датчиком).

Биометрические данные широко распространены на смартфонах, таких как iPhone Apple и некоторых устройств Android. Ноутбуки и другие вычислительные устройства все больше полагаются на биометрические системы, и эта тенденция только начинается. Биометрическая аутентификация и идентификация являются безопасным способом входа на устройства и в различные службы. Кроме того, это может снять трудности с запоминанием десятков паролей учетных записей.

Биометрия – путь в безопасное будущее?

Но существует обратная сторона.

Многие считают, что биометрия во многом упростит нашу жизнь:

• Некоторые устройства умеют распознавать человека по отпечаткам, а последние изобретения идентифицируют личность по лицу. Скоро благодаря биометрии можно будет взять кредит, получить персональную скидку в магазине.
• Многие государства собирают данные о человеке, привязывая к заграничным паспортам. На чипы записывают различную информацию, начиная от радужной оболочки глаз, заканчивая отпечатками. Сейчас эти сведения используют службы безопасности. Проверка данных на чипе не отнимет много времени.
• Сейчас для открытия счета или получения кредита в основном нужно посещать офис. После введения единой биометрической системы все изменится. Она позволит определить личность удаленно – при помощи голоса, видео, в котором будет ваше лицо.
• Биометрия найдет свое назначение и на сайте госуслуг. Получить услуги станет существенно проще и быстрее. Вам не придется посещать МФЦ, пенсионные фонды. Все просто – заказал услугу или документ через сайт. И главное – никакой бумажной волокиты и траты собственного времени. Таким новшествам порадуются пенсионеры, инвалиды и жители удаленных деревень.
• Биометрия станет подтверждением личности при посещении медицинских учреждений. Можно дистанционно записаться к врачу, а тот получит вашу карту через базу данных.
• Не придется восстанавливать пароли. В каждой учетке, которая создана нами, указывается пароль. К нему предъявляют ряд требований – он должен быть длинным, сложным, совмещать буквы и цифры, а также символы. Менять его нужно часто, но из памяти постоянно вылетают эти длинные комбинации. Благодаря системе распознавания личности ваши аккаунты будут находиться в безопасности.
• Пойдя в магазин, вы сможете расплачиваться простым нажатием пальца на экран специального адаптированного терминала, который оснащен биометрическим сканером. Уже сейчас вы можете рассчитываться через свой смартфон.
• Распознавание лиц сделает безопасными массовые мероприятия. Например, на матч пришел неадекватный и агрессивный болельщик. Система установила его личность и уже на следующие игры его не впустят и не продадут билет. Опасные люди заносятся в черные списки.

Представьте такую ситуацию – вы заходите в метро, у вас выхватывают телефон из рук. Злоумышленник убегает, как его отыскать? При введении системы распознавания лиц найти вора будет гораздо проще. Это актуально при квартирных кражах, угоне машины. Но у этого плюса существует некоторый недостаток, а точнее, обратная сторона. Произойдет снижение уровня приватности.