Доски позора (про ПДн) - Форум по вопросам информационной безопасности

Данный закон, как и его предшественник, страдает забавной особенностью - определением ПДн через понятие "идентификация личности". При этом на текущий момент проблема однозначной и строгой идентификации субъекта в мире не решена. Это, вообще говоря, сложная криминалистическая проблема. Более того, именно наличие такой проблемы позволяет существовать преступным сообществам, скрываться беглым преступникам и работать нелегальным разведкам. И до тех пор, пока в законе о ПДн определение ПДн будет дано через бытовое понятие "идентификация личности", без строгой расшифровки. что понимать под идентификацией, неоднозначность определения останется ПРИНЦИПИАЛЬНО.

111,

Согласен с вами.

> Данный закон, как и его предшественник, страдает забавной особенностью - определением ПДн через понятие "идентификация личности".

Ну что тут поделаешь. Если вам хочется видеть в словосочетании "определенное лицо" идентификацию этого лица - это ваша и только ваша проблема.

"персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)"
- что именно можно увидеть в данном словосочетании? другими словами - кого мне считать определенным лицом, и на каком основании (закон-статья и тп) нужно считать именно так, а не иначе?

толковый словарь русского языка Т.Ф.Ефремовой - "ОПРЕДЕЛЁННЫЙ"
определённый прил. 1) а) Точно установленный, обозначенный.

чем это отличается от заморского термина "идентификация"?

> чем это отличается от заморского термина "идентификация"?

Ничем. Сами же цитируете:
- точно установленный;
- обозначенный.

Аналогично, термин "identify" означает "to establish someone's identity", где "identity" означает как возможность установить личность ("the condition of being the same with something described or asserted"), так и возможность указать на человека благодаря наличию какого-то отличительного признака ("the distinguishing character or personality of an individual").

> кого мне считать определенным лицом

Того, кого вы можете однозначно отличить от любого другого человека благодаря некоторому отличительному признаку.

> и на каком основании

На основании общего правила, предписывающего в отсутствии нормативных определений пользоваться правилами русского языка.

Так о том и речь, что при желании можно аргументированно оспаривать достаточность практически любого набора данных для "определения", т.е. установления отличия некоторого человека от любого другого человека. Не существует таких данных, которые в общем случае однозначно позволят идентифицировать и отличить любого человека от любого другого. Разве что геном, и то есть нюансы.

Например, для бытовой задачи определения соседа по дому в разговоре достаточно бывает упоминания о бородатом типе в трениках. С другой, информация о паспортных данных, законченых учебных заведениях и месте работы сама по себе недостаточна для непосредственного самостоятельного определения незнакомого человека.

Если я назначу человеку в системе уникальный номер - то я однозначно отличу его в своей системе от любого другого человека по такому признаку, но этот номер не будет являться персональными данными сам по себе.

В задаче "определения" присутствуют еще дополнительные данные - в каком контексте используются данные, кем они используются и тп.

Все это позволяет оспаривать персональность любых данных, как в известном примере с определением судом неперсональности серии и номера паспорта. И такая неопределенность останется принципиально, пока персданные будут определяться законом через "определенность индивидуума" по нормам русского языка.

> Не существует таких данных, которые в общем случае однозначно позволят идентифицировать и отличить любого человека от любого другого

Да ладно:
- реквизиты документа, удостоверяющего личность
- номер + период действия платежной карты
- фотография, соответствующая требованиям ФМС
- биометрия
- сочетание ФИО+адрес фактического места жительства
- сочетание возраст + "сын"/"дочь" + любые идентифицирующие ПД родителя и т.п.

> информация о паспортных данных, законченых учебных заведениях и месте работы сама по себе недостаточна

Противоречите "Положению о паспорте гражданина Российской Федерации"

> как в известном примере с определением судом неперсональности серии и номера паспорта

В судебной системе есть следующая процедура:
- суды первой инстанции генерят "белый шум", допуская массу ошибок;
- суды второй инстанции исправляют наиболие вопиющие из них;
- ВС и ВАС анализируют накопившуюся судебную практику и выпускают решения, которые де-фако становятся обязательными для судов всех инстанций.

Поэтому не рекомендую ориентироваться на решения судов первой инстанции.

> И такая неопределенность останется принципиально, пока персданные будут определяться законом через "определенность индивидуума" по нормам русского языка.

Спорные ситуации возможны всегда и во всех законах, тем более - в выведенных искуственно. Но я не стал бы говорить, что действующая формулировка создает какие-то проблемы. А главное - я не могу придумать формулировку, которая была бы принципиально лучше действующей.

Все приведенные реквизиты вместе взятые не позволят большинству людей надежно определить человека среди толпы в метро без дополнительной информации. Например, паспортные данные помогут только в том случае, если человек сам покажет свой паспорт.

Важно, кто определяет, какой дополнительной информацией владеет, в какой исходной выборке происходит определение и так далее.

Пример с судом был в кассу недостаточности норм русского языка для определения, не более, сам по себе тот случай очевидно нелеп и безграмотен.

Насчет же формулировки - нужно либо прямо перечислить те самые данные, либо дать точное определение, что понимается под "определенным лицом". Существующее определение никак не может мне помочь, скажем, отнести или не отнести к ИСПДн базу, содержащую только ФИО сотрудников предприятия (подобная ситуация довольно часто встречается). В рамках предприятия я могу их идентифицировать, вне рамок - нет, ПДн или не ПДн - как определить?