Биометрия или какой класс ИСПДн? - Форум по вопросам информационной безопасности

И не услышите, поскольку, согласно законодательству (ФЗ N 294-ФЗ от 26 декабря 2008 г.) вы, как надзорный орган, обязаны сперва аргументированно обосновать, почему фотография - биометрические ПД.

Виноват, меня название топика сбило с толку.
Соответственно, вам как регулятору, придется сперва аргументированно обосновать, что фотографии содержат сведения о расовой или национальной принадлежности. А это весьма проблематично.

Статья 11 о 152-ФЗ говорит не об информации о расовой принадлежнсти вообще, а к таковой информации, находящейся в составе ПДн - иначе, боюсь, под 1 класс попадали бы все литературные произведения Джека Лондона, не говоря уе про "хижину дяди Тома" и школьне учебники биологии. Более того, он так и называется - "Биометрические ПЕРСОНАЛЬНЫЕ ДАННЫЕ".
Персональные же данные, по определению, это "любая информация, относящаяся к ОПРЕДЕЛЕННОМУ или ОПРЕДЕЛЯЕМОМУ НА ОСНОВАНИИ ТАКОЙ ИНФОРМАЦИИ физическому лицу ", т.е. информация, на основании которой субъект может быть определен. Иначе у нас получится, что персональными данными будет вообще любая информация, т.к она к какому-нибудь субъекту хоть как-то относится (как минимум кто-то ее разместил или узнал). Регуляторы вроде не особо препятствуют такому подходу.
Таким образом, ИМХО, если вместе с фото не хранить информации, кторая в совокупности с фото позволит определить конкретного субъекта, то это не ПДн вообще, в силу чего и не биометрия.

=Таким образом, ИМХО, если вместе с фото не хранить информации, кторая в совокупности с фото позволит определить конкретного субъекта, то это не ПДн вообще, в силу чего и не биометрия.=
AIB т.е. по вашему заключению если с фото хранить информацию которая позврлит идентифицировать конкретного субъекта, то это фото выполненное не по ГОСТу будет являться биометрическими данными. Абсурдикс получается. Согласен, что фото способствует установлению (определению) субъекта, но... как уже сказано ранее.

Вовсе из того, что я написал, так не следует. Там описано, как хранить фото так, чтобы максимально защититься от подобных претензий. Если это не персданные - то у нас есть 2 статьи, интепретаций которых защищаемся (что не персданне вообще, и что по данному фото нельзя установить личность). В составе персданных отказаться от биометрии будет уже труднее, т.к. о ГОСТ напрямую в законе не сказано, а сказано неопределенное "можно установить личность", и больше вероятность того, что придется доказываться через суд, возможно не один.
Абсурд - это весь 152-ФЗ и иже с ним, с его формулировками, за два года можно к этому было уже привыкнуть :)

> Иначе у нас получится, что персональными данными будет вообще любая информация, т.к она к какому-нибудь субъекту хоть как-то относится (как минимум кто-то ее разместил или узнал).

А разве не так? Какого цвета носит галстук гражданин N - это разве не ПДн?

Что касается рас. Глянул я в википедию. Какие там 3 или 5? Там их много десятков! Поэтому нереально по фотографии 3*4 что-то определенное сказать.

>А разве не так? Какого цвета носит галстук гражданин N - это разве не ПДн?
ПДн по этому определению получается и информация о том, что где-то существует галстук определенного цвета, а также информация о существовании галстуков вообще (как минимум в том ключе, что разместивший информацию о галстуках в курсе их существования). Или, скажем, информация о погоде в г. Н-ске. Вы знаете, насколько сегодня на улице мерзнут определенные лица - жители данного города ;)

Разве?
К какому лицу относится информация о существовании галстука определенного цвета? IMHO, ни к какому. Ну размещу я здесь информацию, что в природе существуют галстуки желтого цвета - разве после этого эта информация станет моей персональной? Нет. Ибо она не относится ко мне, как к определенному лицу (я такие галстуки не ношу и носить не собираюсь). И меня нельзя определить на основе такой информации. Так что под определение ПДн эта информация не подпадает.

> И меня нельзя определить на основе такой информации
Так про то и писал, что информация не просто "относящаяся", а на основании которой можно определить, причем без привлечения дополнительных данных.
Вообще же информация о существовани галстуков желтого цвета, озвученная Вами, относится к Вам как минимум в той мере, что вы знаете о существовании галстуков. Также Вы понимаете, что это такое (как минимум знаете, что это объект, обладающий определенным цветом), по тексту можно сказать, что вы знаете руский язык, по стилистике текста можно притянуть особенности Вашего построения предложений - мы уже почти подошли к биометрии ;) Как видите, при желании можно по этому определению гулять очень широко. Где-то уже размещали замечательное постановлене суда о непризнании паспортных данных за ПДн.

Я правильно понял, что в данном примере сами галстуки вы не считаете персональной информацией? А вот информация, что я знаю о их существовании, знаю "с чем их едят", знаю русский язык и т.п. - уже персональная, да? В принципе логично.

Но остается еще одна деталь. ПДн - это "информация, относящаяся к ОПРЕДЕЛЕННОМУ лицу...". IMHO, здесь "определенное лицо" используется не в значении "некий экземпляр homo sapiens в единственном, а не множественном числе", а в значении антонима понятия "неопределенное лицо". В пользу этого говорит и продолжение - "... или ОПРЕДЕЛЯЕМОМУ НА ОСНОВАНИИ ТАКОЙ ИНФОРМАЦИИ физическому лицу". Т.е. речь явно крутится вокруг привязки к установленной или устанавливаемой личности.
Так вот пока я для вас остаюсь лицом неизвестным/неопределенным, полученные вами данные о моих знаниях о галстуках не являются персональными. Т.е. "Некое конкретное, но неопределенное лицо знает о существовании желтых галстуков" - это еще не ПДн. Лично я так понял. Поправьте, если я неправ.