Закон о персональных данных и одноклассники.ру - Форум по вопросам информационной безопасности

А согласно ст.11 п.1 закона "О персональных данных" № 152-фз биометрические персональные данные,то есть,например, фотографии пользователей,могут обрабатываться ТОЛЬКО при наличии согласия в письменной форме субъекта ПД, за исключением случаев, предусмотренных ст.11 ч.2 этого же закона. Как тогда быть с этими данными? Как одноклассники могут у каждого взять письменное согласие? вообще непонятно как соответсвовать закону.

Елена,
каждому человеку, который говорит, что фотография - биометрические ПД, я задаю один и тот же вопрос. Пока никто не ответил. Может, c вами мне больше повезет?

Итак, если фотография - биометрические ПД, то по определению она должна содержать сведения об уникальных физиологическихх особенностях субъекта. Вот типичная фотография, взятая одноклассников. Скажите, пожалуйсста, о каких уникальные физиологические особенности субъекта вы можете указать на этой фотографии?

http://picasaweb.google.ru/malotavr/qeSppG#5447763691995908258

Когда (точнее, если) укажете, у вашего вопроса появится смысл :)

Alex,

> Где Вы такое прочитали на стартовой странице?

www.odnoklassniki.ru, левый нижний угол, под ссылкой на украинскую версию сайта.

В остальном вы сделали три ошибки, так что давайте по ним пройдемся.

> В обычной жизни есть хорошая аналогия подобному ресурсу - забор.

Вот именно поэтому запрещается перименять нормы закона по аналогии - это ведет к неприемлемо большому количеству ошибок. Год или два назад я придерживался той же позиции, что и вы, сделав такую же ошибку.

Видите ли, в отлдичие от ИСПД, понятие "забор" не включает в себя людей, которые на нем пишут. А вот автоматизированная ИСПД, по определению ГОСТ 34.003, является совокупностью своих пользователей и средств автоматизации их деятельности. Мы с вами сделали стандартную ошибку, исключив из понятия "автоматизированная система" людей, участвующих в информационной технологии.

> В данном случае фактическую цель и содержание обработки определяет каждый конкретный пользователь.

Вторая ошибка (уже ваша) заключается в том, что вы используете интуитивное определение понятие "обработка". То, что вы называете обработкой ПД, закон назвывает использованием ПД. Но кроме использования ПД, ИСПД "Одноклассники" обеспечивает, как минимум, хранение, систематизацию, накопление и распространение введенных пользователями персональных данных. Это - тоже обработка ПД, и за эти действия с ПД владелец ИСПД несет единоличную ответственность.

> Вы правильно заметили ВОЗМОЖНОСТЬ.

Я -то правильно заметил, но вы почему-то не сделали из этого правильный вывод. Если в ТЗ на создание системы вы пишете "система должна предоставлять возможность выполнить действие А", это означает, что разработчик должен реализовать в системе средства автоматизации, которые обеспечивают выполнение действия А.

В нашем случае владелец ИСПД заявил, что в ИСПД пользователь может выполнять поиск и просмотр персональных данных субъектов. Это - цель, которую поставили перед собой владельцы системы, реализовав автоматизированные накопление, систематизацию, хранение и распространение персональных даных. Заметьте, создатели не просто задекларировали эту цель, но и создали комплекс средств автоматизации, которые обеспечивают выполнение этих действий.

Так вот, резюмируя:
1. ИСПД "Одноклассники" в автоматическом режиме выполняет обработку ПД, заключающуюся в хранении, систематизации, накоплении и распространении ПД, причем цели этой обработки они определили сами;
2. ИСПД "Одноклассники" при непосредственном участии своих пользователей выполняет сбор, уточнение, использование, блокирование и уничтожение ПД субъектов, но цели этой обработки владелец ИСПД не определяет.

Вы правы, когда говорите о п. 2, но для темы топика важен п. 1, который вы упустили :)