Об этой услуге
Изображение лица, отпечаток пальца, характеристика голоса, рисунок радужки — биометрические данные являются сильнейшим средством идентификации человека и одновременно одной из самых чувствительных категорий данных. Их утечку нельзя исправить сменой пароля: биометрия сопровождает человека всю жизнь. Именно поэтому грузинский закон о защите персональных данных помещает биометрические данные в режим особой категории и подчиняет их обработку специальным условиям. Наша услуга помогает организациям, которые используют или планируют использовать биометрию — от контроля доступа до верификации клиентов.
Что такое биометрические данные
Статья 3 закона даёт точное определение: биометрические данные — обрабатываемые техническими средствами данные, связанные с физическими, физиологическими или поведенческими характеристиками субъекта, которые дают возможность его уникальной идентификации или подтверждения личности. Здесь решающи два элемента: техническая обработка и возможность уникальной идентификации. Фотография, просто хранящаяся в архиве, обычно не биометрические данные; та же фотография, использованная алгоритмом для распознавания человека, уже подпадает под биометрический режим. Биометрические данные входят в перечень особой категории, когда целью является уникальная идентификация, — квалификация с немедленными практическими последствиями.
Когда допустима биометрическая обработка
Статья 9 закона устанавливает правило допустимости. Обработка биометрических данных возможна лишь в определённых случаях: когда это необходимо для целей ведения деятельности, безопасности, защиты собственности и предотвращения разглашения секретной информации и когда достижение этих целей иными средствами невозможно или требует непропорционально больших усилий, — биометрия должна быть последним средством, а не первым выбором. Помимо этого, обработка допустима в целях выдачи удостоверяющих личность документов в установленном законом порядке, идентификации лица, пересекающего границу, борьбы с незаконной миграцией, предотвращения и расследования преступлений, оперативно-розыскной деятельности и иных установленных целей. Перечень закрыт: использование биометрии «потому что удобно» законным основанием не является.
Письменное определение до обработки
Специфика биометрических данных и в том, что закон требует предварительного документирования: ответственное лицо обязано до обработки, в соответствии с принципами, письменно определить цель и объём обработки биометрических данных, срок их хранения, порядок и условия хранения и уничтожения, а также механизмы защиты прав субъекта. Это требование возвращает биометрические проекты на уровень планирования: ни одна камера или сканер не может быть законно включена, пока этого документа нет. Более того, из-за режима особой категории, когда основанием служит согласие, оно должно иметь письменную форму — как определяет статья 6 закона.
Оценка воздействия
Биометрические проекты нередко означают масштабный мониторинг — и это активирует оценку воздействия, установленную статьёй 31 закона: она обязательна, если с учётом новых технологий с высокой вероятностью возникает риск нарушения прав, а дополнительно — при систематическом и масштабном мониторинге поведения субъектов. Оценка фиксируется письменным документом, который хранится весь период обработки, а после прекращения — не менее 1 года. Системы распознавания лиц почти всегда отвечают этим критериям, поэтому оценка — неотъемлемая часть проекта.
Реальные случаи
Примеры показывают границы. Дверь офиса, открываемая отпечатком пальца: цель — защита деятельности и имущества, и для правомерности нужно установить, что вход по карте или коду не даёт той же защиты. Видеоверификация клиента в банковском приложении: если лицо используется для подтверждения личности, это биометрический режим — с письменным определением и оценкой. Камеры магазина, сравнивающие прохожих с фотографиями в удостоверениях: это распознавание лиц, требующее строгой оценки. В каждом случае пояснение одно: какова цель, какова альтернатива и где начинается граница биометрии.
Отдельно отметим частую ошибку: организации считают, что если биометрия собирается «только для учёта рабочего времени», спецрежим не применяется. Это не так — как только отпечаток или лицо используются для уникальной идентификации конкретного человека, включается вся конструкция: закрытое основание, письменное определение, оценка, меры безопасности. Назначение системы не освобождает от режима; от режима освобождает лишь отказ от уникальной идентификации.
И последнее: биометрические проекты стоит сверять с горизонтом. Технологии распознавания развиваются быстро, а данные, однажды собранные, остаются в системах надолго. Правильно спроектированное решение включает и путь выхода: срок хранения, порядок уничтожения и переход на иные средства контроля — чтобы через годы организация не осталась заложником когда-то удобного решения.
Чем мы можем помочь
Наши специалисты определят, подпадает ли ваша планируемая система под биометрический режим; оценят, какое основание допустимости ей соответствует и существует ли менее вмешивающая альтернатива; подготовят письменное определение — цель, объём, срок хранения, порядок уничтожения, механизмы прав субъекта; при необходимости проведут оценку воздействия. Итог — проект, который работает технически и стоит юридически. Обратитесь к нам и получите конкретную оценку вашей системы — от первой идеи до работающего и юридически безупречного решения. Мы говорим на языке и инженеров, и юристов — и потому наш результат одинаково пригоден и для внедрения, и для предъявления надзору.