Биометрия или какой класс ИСПДн? - Форум по вопросам информационной безопасности

Я просто продемонстрировал, как можно было бы рассуждать за "сторону регулятора", оставаясь в рамках текста закона и правил русского языка ) . Определение персданных настолько размытое, что под них пожно притянуть почти все. Опять-же информация о погоде в городе относится к ОПРЕДЕЛЕННЫМ лицам - жителям данного города. Истины же "что такое ПДн" в рамках сегодняшних законов не существует, иначе и не было бы вечного вопроса "что же туда отнести. Не надо путать закон и житейскую логику ) . Понятия "правота или неправота" тут в принципе не применимы, и заменяются на "прошли проверку - запоролись", "защитились в суде - не удалось" и тп. Все определяется только в ходе проверки и живого общения, причем в разных регионах результаты могут быть противоположными.

Со стороны же оператора я предпочитаю по возможности использовать определение "относящаяся к определенному или определяемому на основании такой информации" читать не как перечисление "или информация, относящаяся к уже определенному, или информация, на основании которой можно определить", а как единое определение "на основании этой информации лицо уже было определено ранее или может быть определено в дальнейшем", т.е. "определенному на основании тако информации или определяемому на основании такой информации".

> ... а как единое определение "на основании этой информации лицо уже было определено ранее или может быть определено в дальнейшем", т.е. "определенному на основании тако информации или определяемому на основании такой информации".

IMHO, это уже перебор в другую сторону - в сторону существенного уменьшения информации, относящейся к ПДн. Потому что в этом случае к ПДн можно отнести лишь идентификаторы личности - ведь только на основе них можно определить лицо ранее или определить его в дальнейшем.

Пример:
Сегодня мы знаем у конкретного человека ФИО, дату и место рождения. На основании этой информации может быть лицо определено? Да. Значит, это ПДн.
Завтра мы узнали, какое у него образование. Информация об образовании относится к ПДн? По-вашему получается, что нет. Потому что на основании информации об образовании:
а) лицо не было определено ранее (оно было определено на основе ФИО, даты и места рождения)
б) не может быть определено в дальнейшем (знание об образовании недостаточно для определении лица).

Думаю, регуляторы вряд ли согласятся с такой узкой трактовкой.

Ну у нас как-бы и стоит цель "максимально сузить" ) К сожалению, в существующем виде законодательство по ПДн в основном приходится рассматривать всего-лишь как угрозу. Меры реальной защиты отдельно, соответствие отдельно. В этих условиях желательным результатом является как можно меньше попадать под данный закон, чтобы он не мешал работать (а иногда - не мешал и защите, такое тоже возможно).

Еще раз повторю: Вы рассматриваете закон с точки зрения житейской логики. Это порочный подход. Мы в данном случае не справедливость ищем, а пытаемся защититься от юридических рисков.
Убедить регулятора в свей правоте - это и есть большая комплексная задача ) . Поэтому я и утверждаю, что любой ответ на вопрос по классификации системы и т.п., заданный человеком, слаборазбирающимся в теме, будет ему малополезен - для общения с регулятором надо понимать, какие ответы возможны, почему мы выбрали этот ответ, как он связан с другими, как мы все это будем обосновывать и т.п.
А с такой трактовкой, кстати, уже соглашались ;) . Естественно, это возможно не всегда и не без усилий.

> А с такой трактовкой, кстати, уже соглашались ;) .

А соглашался кто? Неужели регулятор?
В определении ПДн написано же "... - любая информация ..., в том числе ..., ОБРАЗОВАНИЕ, ...". Поэтому я и привел пример с образованием - показать, что приведенный пример узкой трактовки ПРЯМО ПРОТИВОРЕЧИТ закону.
Собственная трактовка - это, конечно, хорошо, но до тех пор, пока:
а) не противоречит русскому языку
б) не противоречит нормативным актам.
В данном случае условие б) не выполняется. Поэтому защититься с помощью нее вряд ли удастся.

Что касается более широкой трактовки, приведенной ранее, то она не противоречит ни а), ни б). Поэтому теоретически "докопаться" регулятор может, даже несмотря на то, что в результате такой трактовки получается полная ерунда.

> А соглашался кто? Неужели регулятор?

А по контексту могло иметься в виду еще чье-то согласие? ) Естественно регулятор.

По определению ПДн - не совсем так, там написано "... - любая информация, ОТНОСЯЩАЯСЯ К ОПРЕДЕЛЕННОМУ ИЛИ ОПРЕДЕЛЯЕМОМУ НА ОСНОВАНИИ ТАКОЙ информации физическому лицу ..., в том числе ... образование, ..., другая информация"
Таким образом, возможна точка зрения, что образование, как и "другая информация", будет ПДн только тогда, когда мы на ее основании (с ее помощью) можем определить человека ;) . Нет противоречия ни закону, ни языку.
Естественно, что если мы просто напишем по такой трактовке "у нас нет ПДн", на этом остановимся и ничего не будем дальше делать, то возможность прийти к консенсусу сомнительна. Без большой и коплексной работы обойтись не получится. Наоборот, чем более спорные формулировки мы используем, тем больше будет работы ;) . Если же вся наша аргументация будет строиться только на такой трактовке, то перспективы пройти проверку туманны - может и прокатит, но сильно сомневаюсь.
Впрочем, это далеко не единственное место в законах с возможностью разных интересных трактовок.

Теоретически же в этой области регулятор может докопаться до любого участника, незавсимо от его действий, в силу противоречия законов по ПДн с элементарной логикой и здравым смыслом. Хотя статистика по решениям судов в этом смысле несколько обнадеживает.

> Нет противоречия ни закону, ни языку.

Увы, есть противоречие русскому языку. Союз "или" дает регулятору право выбрать ЛЮБОЙ из вариантов, связанных этим союзом.
Например, в русском языке определение "Запрещенный шар - любой шар синего или зеленого цвета" говорит о том, что выполнение даже одного варианта цвета (например, синего) УЖЕ ДОСТАТОЧНО для отнесения шара к запрещенным. Грубо говоря, в случае синего шара можно уже не смотреть на то, что там указано после союза "или". Это равносильно работе усеченного варианта (без "или") - "запрещенный шар - любой шар синего цвета".

В случае ПДн усеченный вариант звучит как "... - любая информация, ОТНОСЯЩАЯСЯ К ОПРЕДЕЛЕННОМУ физическому лицу, в том числе ... образование, ..., другая информация". Подходит образование под такое определение? Подходит. Значит, относим к ПДн.

Подходит, конечно. Есл мы уже определили лиц на основании ЭТОЙ информации ранее - значит, ПДн. Если можем определить в дальнейшем - значит, ПДн. Любой из двух вариантов, или-или. В чем противоречие? Мы всецело за русский язык, великий и могучий, да продлятся дни его :) . Мы ведь не союз трактуем, мы вообще за всяческие союзы, даже рождены в Союзе :) . Мы слово "определенный" трактуем.

> В чем противоречие?

В усеченном варианте (см. последний абзац моего предыдущего сообщения) НИЧЕГО НЕ ГОВОРИТСЯ про то, что информация обязательно должна относиться к той, на основе которой определяется лицо. А раз так, то согласно русскому языку (см. мое разъяснение работы союза "или") данные об образовании относятся к ПДн в ЛЮБОМ случае - независимо от того, участвуют ли они или не участвуют в определение лица. А упомянутая вами узкая трактовка утверждает, что их можно не считать относящимися к ПДн - т.е. противоречит русскому языку.

Вы рассматриваете текст следующим образом:
"любая информация, относящаяся к (ОПРЕДЕЛЕННОМУ) ИЛИ (ОПРЕДЕЛЯЕМОМУ НА ОСНОВАНИИ ТАКОЙ ИНФРМАЦИИ) - физическому лицу" .
Можно и по другому:
"любая информация, относящаяся к (ОПРЕДЕЛЕННОМУ ИЛИ ОПРЕДЕЛЯЕМОМУ) - на оновании такой информации - физическому лицу".
Во втором же случае вы вырезали текст "на оновании такой информации", почему-то решив, что он связан только со словом "определяемой". Я же утверждаю, что он связан с обоими словами, скрепленными союзом "или" ;) .

> Можно и по другому:
"любая информация, относящаяся к (ОПРЕДЕЛЕННОМУ ИЛИ ОПРЕДЕЛЯЕМОМУ) - на оновании такой информации - физическому лицу".

Согласен - с точки зрения русского языка можно и так. Но тогда наступает противоречие такого варианта трактовки с последующим перечислением "в том числе ...". Ведь данные об образовании не являются:
- ни информацией, относящейся к определенному на основе этой информации физическому лицу
- ни информацией, относящейся к определяемому на основе этой информации физическому лицу
но, тем не менее, почему-то указаны как примеры ПДн.