Ксерокопии фото на паспортах для 115-ФЗ

[NGBank]

Интенсивно изучаю последнее время указанный в заголовке темы вопрос, в т.ч. прочитал все касающееся и на этом форуме, а итогового ответа не нашел.

Найденные варианты:

1) пытаться уводить из-под биометрии, ссылаясь на качество сканирования (контраргумент: были суды, заявившие ксерокопию биометрией);

2) пытаться оперировать ч.2 ст.11 (контраргумент: на мой субъективный взгляд 115-ФЗ под указанный перечень не попадает);

3) пытаться оперировать ч.2 ст.9 (на мой взгляд - самый перспективный, т.к. 115-ФЗ четко попадает в условия, а в "преамбуле" статьи не указано, на какие категории она распространяется)

4) пытаться оперировать ч.2.1 ст.6 (контраргумент: ниже в этой же статье есть отсылка на то, что для биометрии есть особые условия, а следовательно ч.2.1 на них не распространяется)

5) не хранить фото, исходя из изменений от 2007 года в 115-ФЗ и последовавших за ними соответствующих изменений в 28-И и аналогичные документы ЦБ РФ, т.к. похоже они были предприняты именно по анализу ситуации со 152-ФЗ.

Ваше мнение (Ваш путь), коллеги ?

[Людмила Кулагина]

Мне близка идея, что 152-ФЗ определяет свою сферу действия как:

Настоящим Федеральным законом регулируются отношения, связанные с обработкой персональных данных ... с использованием средств автоматизации или без использования таких средств, ЕСЛИ ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ БЕЗ ИСПОЛЬЗОВАНИЯ ТАКИХ СРЕДСТВ СООТВЕТСТВУЕТ ХАРАКТЕРУ ДЕЙСТВИЙ (ОПЕРАЦИЙ), СОВЕРШАЕМЫХ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ С ИСПОЛЬЗОВАНИЕМ СРЕДСТВ АВТОМАТИЗАЦИИ.

Вот выделенное место мне не очень понятно, однако, хранение ксерокопий фото, как и фотографий сотрудников в личных делах, скорее всего, под действие 152-ФЗ не подпадают.
И буду так же пытаться уходить от биометрии ссылаясь на ГОСТ. Но, у меня только ксерокопии.

[Алексей Лукацкий]

Вот выделенное место мне не очень понятно, однако, хранение ксерокопий фото, как и фотографий сотрудников в личных делах, скорее всего, под действие 152-ФЗ не подпадают.

Этот фрагмент говорит о том, что под ФЗ-152 подпадают картотеки и т.п. систематизированные хранилища даже бумажных ПДн.

[Людмила Кулагина]

Алексей Лукацкий, т.е. если ксерокопии подшиваются к Документам дня (платежным документам), то на картотеку это не тянет...

[Toparenko]

Вот выделенное место мне не очень понятно, однако, хранение ксерокопий фото, как и фотографий сотрудников в личных делах, скорее всего, под действие 152-ФЗ не подпадают.
И буду так же пытаться уходить от биометрии ссылаясь на ГОСТ. Но, у меня только ксерокопии.

Хранилище личных дел можно классифицировать как картотеку, особенно если они у Вас будут по алфавиту расставлены

[Алексей Лукацкий]

Алексей Лукацкий, т.е. если ксерокопии подшиваются к Документам дня (платежным документам), то на картотеку это не тянет...

Если вы их не систематизируете...

[Людмила Кулагина]

Про картотеку личных дел понятно ) Уберем оттуда фотографии )))

[Toparenko]

Про картотеку личных дел понятно ) Уберем оттуда фотографии )))

И что это даст?

Лучше сразу определяйте, что у Вас изображение гражданина по 152.1 ГК РФ, а на ГОСТ данные изображения нифига не тянут (тем более если они в бумажной, а не электронной форме - тогда и ПП512 пофигу). Будет претензия пишите сразу, начиная с акта проверки, особое мнение.

В суде доказать, что это биометрия будет обязанностью проверяющих, а не Вас.

Тем более, что для изображения гражданина (пока не доказан вопрос биометрии) вопрос конклюдентного согласия и т.п. регулируется все тем же ГК РФ

[agmalov]

Согласно пункту 1.8 главы 1 Инструкции ЦБР от 14 сентября 2006 г. N 28-И "Об открытии и закрытии банковских счетов, счетов по вкладам (депозитам)" «Банк обязан располагать копиями документов (либо сведениями об их реквизитах), удостоверяющих личность клиента или лица, личность которого необходимо установить при открытии банковского счета, счета по вкладу (депозиту). При изготовлении копии документа, удостоверяющего личность, допускается копирование отдельных страниц, содержащих сведения, необходимые для идентификации клиента (установления личности лица, личность которого необходимо установить при открытии банковского счета, счета по вкладу (депозиту).»
Итого банк не виноват, что ЦБ РФ требует копии документов. Они лицензию выдают, правила работы определяют - пусть и отвечают. И не важно биометрия это или нет... только в электронный вид не переводите (хотя при наличии согласия тоже можно), и обеспечьте режимность допуска к данным.

[ost]

Итого банк не виноват, что ЦБ РФ требует копии документов. Они лицензию выдают, правила работы определяют - пусть и отвечают. И не важно биометрия это или нет... только в электронный вид не переводите (хотя при наличии согласия тоже можно), и обеспечьте режимность допуска к данным.

Коллега, обрабатывать вам никто не запрещает, только вас заставляют соблюдать соответствующие условия обработки, почуствуйте разницу.

На самом деле я не нашел ни одного нормативного акта, который бы относил обычную фотографию к биометрическим данным. У нас в стране единственным документом, который содержит биометрические данные является биометрический загранпаспорт, там на чипе записана биометрическая фотография. (Ну и пусть там на чипе и остаётся, никто этот чип читать не собирается).

Другое дело, если вы у себя утвердите перечень ПДн с категорями и сами напишете, что данные видеонаблюдения и фото относятся к биометрическим ПДн. (А это сделано во всех шаблонах, которые доступны в и-нете.)

В рекомендациях АРБ, кстати, в окончательной редакции, фото и записи видеонаблюдения выбросили из категории биометрических данных. И правильно сделали, ИМХО.

[Toparenko]

В рекомендациях АРБ, кстати, в окончательной редакции, фото и записи видеонаблюдения выбросили из категории биометрических данных.

Обосновывал по алгоритму второй ссылки, остальные подтверждения появились уже позже.
Тыц, тыц, тыц, тыц,

Однако в Европах Рабочая группа 29 статьи относит фото к биометрии...
Но в Евродирективе есть интересный момент:

(16) Whereas the processing of sound and image data, such as in cases of video surveillance, does not come within the scope of this Directive if it is carried out for the purposes of public security, defence, national security or in the course of State activities relating to the area of criminal law or of other activities which do not come within the scope of Community law;

[ost]

Но в Евродирективе есть интересный момент:

Он, ИМХО, идентичен ст. 152.1 ГК изображение гражданина.
Суть простая, -- не фоткать без согласия, кроме как ...

[Toparenko]

Он, ИМХО, идентичен ст. 152.1 ГК изображение гражданина.

Вот и я о том же (в отличии от мнения Рабочей группы).

[В.Травников]

Хочется услышать итоговое мнение...
Допустим есть некое количество ксерокопий паспортов и фото сотрудников в личных делах.
1. Допустим я соглашаюсь с 152ФЗ и вношу их в перечень ИС как биометрические. Тогда дальнейшие действия такие: исходя из п 3б ПП512 я к ним не применяю требования этого ПП, не классифицирую ИС как ИСПДн-Б, и рассматриваю эту ИС в рамках ПП687.
Следовательно, согласно ФЗ152 я должен взять согласие с субъекта + обеспечить сохранность и отсутствие НСД к ПД, согласно ПП687.
2. Допустим я не соглашаюсь, что это биометрические ПД. В таком случае чем я мотивирую свое несогласие? Ссылкой на ГК? Но тогда должен ли я брать с субъекта согласие (согласно 152.1 ГК РФ), ведь я не "обнародую" его изображение?

[Toparenko]

Хочется услышать итоговое мнение...

Отдельного согласия на обработку по 115-ФЗ Вы не берете в любом случае т.к. имеется запрет на информирование о действиях по противодействию легализации (ст.4 115-ФЗ)

Кроме того, если принимаете, что это не биометрия, а изображение гражданина (по ст. 152.1 ГК РФ), Вам не требуется письменное согласие (не требуются действия по преодолению ""презумции виновности" оператора ПДн по ЗоПД), а достаточно конклюдентных действий (субъект дал паспорт и позволил/не запретил его ксерокоприовть/сканировать) выразивших его согласие.

[В.Травников]

А не могли бы Вы подсказать, где именно в ГК говорится про достаточность конклюдентности?

[Toparenko]

А не могли бы Вы подсказать, где именно в ГК говорится про достаточность конклюдентности?

Учитывая, что согласие - это действия субъекта, направленные на установление, изменение или прекращение гражданских прав и обязанностей оно подходит под понятие сделки. Соответственно см. главу 9 ГК РФ.
Кроме того ГК РФ устанавливает равенство участников (ч.1 ст.1 ГК РФ) и обязанности сторон определяются исходя из требований добросовестности, разумности и справедливости (ч.2 ст.6 ГК РФ).

К сожалению в ЗоПД заложена вообще-то антиконституционная норма презумпции виновности оператора ПДн - т.е. обязанность доказательства наличия согласия

Ну и вообще-то Верховный суд даже для ПДн транслировал конклюдентное согласие... Другой вопрос, что регуляторы его так и не хотят принимать.
См. Постановление Пленума Верховного Суда Российской Федерации от 15 июня 2010 г. N 16 г. Москва "О практике применения судами Закона Российской Федерации "О средствах массовой информации""

21.
С учетом этого положения правил аккредитации журналистов, которые обязывают предоставить необходимые для извещения сведения, согласуются с положениями Закона Российской Федерации "О средствах массовой информации", в силу которых аккредитация журналиста возможна только на основании его волеизъявления, в связи с чем предполагается и согласие журналиста на передачу редакцией определенных сведений о нем