Фотография: персональные данные работника
Много вопросов связано с персональными данными. Фотография относится к персданным сотрудника? Может быть, это общедоступная информация? Так как за нарушение работы с персональными сведениями установлена ответственность, такие вопросы отнюдь не праздные. Конечно, бывают ситуации, интересные только для теоретиков. Однако вопрос: является ли фотография персональными данными, сугубо практический.
Защита информации
Организации и индивидуальные предприниматели, взаимодействуя с сотрудниками, получают доступ к их персональных данным. Полученные сведения хранятся в личных карточках, которые заводят на работников. Также подобные сведения содержатся в личных делах сотрудников, при условии их ведения работодателем.
Под персональными данными понимается любая информация, касающаяся конкретного работника и необходимая работодателю в рамках трудовых отношений с ним (п. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ).
По закону организация, получившая доступ к персданным, должна обеспечить их хранение и конфиденциальность. Обычно источником информации о себе является сам работник. Однако в некоторых случаях сведения о конкретном сотруднике могут быть запрошены у третьих лиц. В такой ситуации нужно получить письменное согласие сотрудника. Для этого компания должна проинформировать сотрудника (п. 3 ч. 1 ст. 86 ТК РФ):
- о целях получения данных и характере информации;
- источнике данных и способе получения;
- последствиях отказа от предоставления согласия на их получение.
Основные правила работы с персданными фиксируются в специальном внутреннем локальном акте – Положении о работе с персональными данными. Фотография работника к ним относится?
Получив доступ к персональным данным, компания-работодатель должна хранить, не распространять и не раскрывать третьим лицам без согласия работника (ст. 7 Федерального закона от 27.07.2006 № 152-ФЗ).
Относится или нет
Разбираясь в вопросе: фотография это персональные данные или нет, нужно помнить, что под персданными понимается любая информация, прямо или косвенно относящаяся к конкретному физическому лицу, говоря языком закона – субъекту персональных данных (п. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ).
Понятно, что по фотоизображению можно идентифицировать человека, так как фотография является способом подачи информации путем визуального восприятия. Получается, что фотография является персональными данными по закону. Следовательно, работая с фото сотрудников, нужно придерживаться обязательных правил работы с данной информацией.
На практике компания должна получить разрешение на манипуляции с фотографией работника. Например, размещая информацию о нем на официальном сайте организации в интернете, на доске почета или бейджике. Ведь фотография – это биометрические данные (определение Верховного суда от 05.03.2018 № 307-КГ18-101). Таким образом, мы разобрались с вопросом: фотография персональные данные или нет.
- в государственных или общественных целях;
- фотографии сделаны в рамках публичных и массовых мероприятий;
- фотографии оплачены.
Роскомнадзор пояснил, относится ли фотография гражданина к биометрическим персональным данным
В связи с поступившим обращением ведомство напомнило, что биометрическими персональными данными признаются сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность (ч. 1 ст. 11 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных»). По общему правилу возможность отнесения тех или иных сведений к биометрическим ПД определяется законодательством. В частности, это цифровая фотография лица владельца загранпаспорта нового поколения, записываемая на содержащийся в нем электронный носитель (п. 6 Перечня, утв. постановлением Правительства РФ от 4 марта 2010 г. № 125) (Письмо Роскомнадзора от 29 августа 2022 г. № 08-78032).
Требования к формату изображения лица, предназначенного для хранения в записи биометрических данных, установлены Национальным стандартом РФ ГОСТ Р ИСО/МЭК 19794-5-2013, утв. приказом Росстандарта от 6 сентября 2013 г. № 987-ст.
С учетом изложенного Роскомнадзор сообщает, что обработка фотографических изображений, которые отнесены к биометрическим ПД законодательным актом, должна осуществляться с письменного согласия субъекта, соответствующего установленным требованиям (ч. 4 ст. 9 Закона о персональных данных). В остальных случаях фотографии граждан могут обрабатываться с соблюдением общих условий, предъявляемых к обработке ПД (ст. 6 названного закона).
Напомним, что ранее ведомство уже давало разъяснения по поводу отнесения некоторых категорий сведений о физических лицах к биометрическим ПД. Например, в числе таковых назывались фотоизображения, содержащиеся в системах пропускного режима организаций, — в отличие от копий паспортов, снимаемых в связи с заключением договоров, фотографий в личных делах работников и т. п. случаев, когда идентификация личности не является непосредственной целью обработки ПД (см. разъяснения Роскомнадзора от 30 августа 2013 г.). Однако в конце прошлого года этот документ был признан утратившим актуальность.
Отметим также, что совсем недавно Закон о персональных данных был дополнен новой нормой, которая предусматривает, что предоставление биометрических ПД не может быть обязательным, за исключением прямо предусмотренных этим законом случаев. Гражданину не может быть отказано в обслуживании по той причине, что он не предоставил биометрические ПД или согласие на их обработку, если в соответствии с законом получение оператором такого согласия не является обязательным.
Защита персональных данных. Часть 1. Законы и требования
Требования по защите персональных данных в России существуют уже более 16 лет и с этого времени было выпущено большое количество различных документов и нормативных актов. Я думаю, мало кто будет спорить с тем, что в России требования нормативки традиционно являются драйвером рынка ИБ. Это верно как для защиты персональных данных, так и для защиты критической информационной инфраструктуры и других направлений ИБ. Поэтому прежде, чем говорить о тех технологиях и решениях, которые могут использоваться для обеспечения безопасности персональных данных, не лишним будет разобраться с тем, какие именно нормативные акты определяют необходимость выполнения тех или иных защитных мер.
ФЗ 152 и персданные
Основным документом, определяющим необходимость защиты персональных данных в России является Федеральный закон РФ № 152-ФЗ «О персональных данных» вступивший в силу 26.01.2007. Этот документ определяет требования по работе с персональными данными (ПДн) российских граждан, обеспечивает защиту их интересов и надлежащий уровень такой защиты. Конечно, последний пункт вызывает некоторые сомнения, так как на практике утечки персональных данных стали, к сожалению, нормой. Но сейчас мы говорим лишь о правовой стороне вопроса.
Итак, начнем с определений. Персональными данными будем называть любую информацию, которая относится к конкретному человеку, или субъекту персональных данных. ФИО, мобильный телефон, email, адрес проживания, фотография, паспортные данные — всё это ПДн. По сути, персональные данные эта та информация, по которой можно идентифицировать конкретного человека. Так, к примеру по фамилии имени и отчеству однозначно идентифицировать человека будет достаточно проблематично. Попробуйте в поисковике ввести чье-либо ФИО. Если обладатель имени, отчества или фамилии не имеет какие-то уникальные данные, то скорее всего вы получите несколько десятков двойников. Добавление населенного пункта не сильно улучшит ситуацию, так как для крупных городов также возможны совпадения. Добавление даты рождения с большой долей вероятности позволит однозначно идентифицировать субъекта персданных. Хотя и здесь бывали случаи, когда ГИБДД выписывали штрафы полным тезкам реальных нарушителей, из-за того, что у них совпадали ФИО и даты рождения, а проверкой других данных никто не удосужился. Таким образом, однозначным идентификатором субъекта могут быть его ФИО совмещенные с номером телефона, паспортными данными, СНИЛС и т.д.
Действующее российское законодательство предусматривает 4 категории обрабатываемых ПДн:
Закон о персональных данных с момента своего создания подвергался изменениям, однако, четко в нем прописаны только три первые группы, а вот в отношении “иных” нет особой конкретики.
И перед тем, как приступать к построению системы защиты персональных данных, операторам персданных необходимо понять, с какими сведениями они работают, и только потом устанавливать степень защищенности ИС.
Биометрические ПДн
К биометрическим персональным данным относятся фотографии, отпечатки пальцев, в более экзотических случаях это могут быть рисунки сетчатки глаза и т.д. Подобные физиологические идентификаторы субъекта входят в категорию биометрических ПДн.
Обработка таких персональных данных в обязательном порядке требует получения письменного согласия владельцев. Возможно, вы сталкивались с подобной практикой, когда при посещении какого-либо предприятия с вас сначала брали согласие на обработку персональных данных, а потом фотографировали на пропуск. Это частный случай обработки биометрии.
Работая с биометрией, оператору нужно брать в расчет ограничение по условиям обработки — их разрешено собирать, дополнять, хранить и т.д. только до тех пор, пока не достигнута цель обработки или не прошел срок, прописанный в подписанном субъектом разрешении. Здесь снова вспоминаем согласие на обработку ПДн, в нем должна быть четко указана цель обработки и сроки.
Специальная категория
Еще одним важным видом персональных данных, требующим серьезной защиты являются данные специальной категории. Это сведения, касающиеся состояния здоровья, гендерная и расовая принадлежность, сведения интимного характера, включая сексуальную ориентацию и все, что касается половой жизни, философские воззрения, религиозные убеждения, политические взгляды и т.д. Персональные данные специальной категории также требуют получение письменного согласия установленного законом образца.
При отсутствии письменного согласия оператор может использовать сведения специальной категории, если они опубликованы в общедоступных источниках самим гражданином, выполняются действия в рамках судебного производства или по решению суда, возникновение риска для жизни и здоровья субъекта либо окружающих людей, обработка информации в рамках деятельности общественной либо религиозной организации.
Иные ПДн
Как уже упоминалось ранее, в законе нет четкого определения, какие сведения могут быть отнесены в группу Иных, в нормативно-правовой документации нет. Указано только, что речь идет о ПДн, не относящихся к биометрии, специальной и общедоступным категориям. То есть оператору, чтобы идентифицировать информацию как «иную», придется убедиться в том, что она не является биометрической, общедоступной или специальной.
В категорию иных ПДн относят данные, которые не подпадают под остальные категории. В целом, эта категория самая распространённая и в неё входят ФИО, номер телефона, электронная почта, дата рождения и тому подобная информация. Пока такие данные не разместили в общедоступных источниках, они иные
То, что доступно всем
И еще одной достаточно распространенной категорией являются общедоступные. Это та информация, которая содержится в профилях в социальных сетях, на сайтах объявлений и других общедоступных ресурсах Интернет. Это может быть имя, фамилия, город проживания, телефон, электронная почта или личные фотографии. В этом случае оператором данных выступает владелец площадки, который обрабатывает данные о своих пользователях.
Уровень защищенности
Следующим шагом, который нам необходимо выполнить является установление уровня защищенности персональных данных. Под уровнем защищенности персональных данных (УЗ) понимается комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (ИСПДн).
Здесь в игру вступает постановление Правительства №1119, которое устанавливает две категории субъектов персональных данных:
лица, которые не являются штатными или внештатными сотрудниками организации;
лица, связанные с компанией трудовыми взаимоотношениями.
Также, важную роль играет количество граждан, чьи ПДн обрабатываются — меньше или больше 100 000 субъектов. И наконец, постановление №1119 определяет типы актуальных угроз для ИСПДн. Есть три типа угроз:
Угрозы 1-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в информационной системе.
Угрозы 2-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в информационной системе.
Угрозы 3-го типа актуальны для информационной системы, если для нее актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.
Конечно, при такой классификации все стараются что называется “съехать” на угрозы третьего типа, так как они наименее серьезны. Обычно отсутствие угроз первого типа объясняют использованием лицензионного (сертифицированного) системного ПО, регулярной установкой обновлений, использованием средств защиты. Аналогично и со вторым типом. В случае, если в компании ведется самостоятельная разработка ПО, то обосновывают наличием сертифицированных специалистов, прошедших специальное обучение и т. д. Если разработка ПО ведется на заказ, тогда обосновывают тем, что компания разработчик давно существует на рынке, мы давно с ней сотрудничаем, их программисты оперативно выпускают обновления и т.д.
Так или иначе, но в большинстве случаев актуальные угрозы будут третьего типа.
В итоге, дабы не растягивать статью обильными текстовыми описаниями из постановления 1119, ниже приводится таблица, по которой с помощью представленных ранее данных можно получить Уровень защищенности, а также таблица с требованиями, которые постановление предъявляет к оператору ПДн для обеспечения безопасности.
Заключение
В этой статье мы рассмотрели основные нормативные акты, которые необходимы для начала работы с персональными данными. За рамками статьи остались “более технические” документы ФСТЭК и ФСБ о которых мы поговорим в следующей статье.
Также хочу пригласить вас на бесплатный вебинар про изменения 152-ФЗ в 2023 году. На вебинаре вы узнаете, что изменилось и как работать с персональными данными по новым правилам в 2023 году.
Является ли фотография персональными данными
Является ли фотография персональными данными? Этот вопрос вызывает интерес и живую дискуссию со стороны операторов, субъектов персональных данных и контролирующих органов. Возникают споры о правильности отнесения фотографий к персональным данным и способах их защиты в условиях, когда они общедоступны в социальных сетях и других онлайн-платформах.
Является ли фото персональными данными по 152-ФЗ от 27.07.2006?
Ответить на этот вопрос однозначно и уверенно нельзя. В первую очередь, это связано с размытостью и неоднородностью понятия персональные данные. Согласно 152-ФЗ от 27.07.2006 персональными сведениями считается любая информация, позволяющая прямо или косвенно персонифицировать личность. При таком объяснении фотография попадает в разряд персональных данных, и требует принять меры по защите от утечек. Однако возникает обезличенность этих сведений, потому что само по себе фото без привязки к другим сведениям вроде ФИО, места работы, номера телефона, отпечатков пальцев не позволяет правильно установить личность.
Получается, что позиция и понимание ситуации по этому вопросу остаются двойственными: с одной стороны, присутствует явный идентификатор личности, с другой стороны, он теряет свой смысл, если ничем не дополнен.
Является ли фото ПДн согласно другим законодательным актам РФ?
Если оперировать системой классификации персональных данных, приведённой в Постановлении Правительства № 1119 от 1.11.2012, то получается, что фотография попадает в категорию биометрических персональных данных, наряду с отпечатками пальцев, голосом, дактилоскопическими данными.
На принадлежность фотографии к персональным данным указывает и Постановление Правительства № 125, рассматривающее фото на заграничный паспорт в качестве персональной информации, дающей возможность идентифицировать личность.
Статья 152.1 ГК РФ полагает, что публичное использование изображения гражданина в виде фотографии, рисунка, портрета возможно только по его согласию, потому что это сведения персонального характера. В качестве исключения допускаются ситуации, когда изображение используется в государственных или публичных интересах.
В каких случаях фото может быть исключено из перечня персональных данных?
Позиция законодателя в отношении причисления фотоснимка к биометрическим данным указывает, что он становится таковым, если встает цель идентифицировать личность. В примерах ниже описаны ситуации, при которых фото не рассматривается как персональная информация, и не требуют получения согласия от владельца:
Фотография используется для осуществления государственных, общественных, политических интересов. Например, размещение фото известного всем человека: политик, режиссер, певец, спортсмен.
Использование фото в СМИ, полученное открытым способом. Например, фотоснимок человека на митинге, спортивном мероприятии, празднике, сделанный корреспондентом в открытую и использованный для дальнейшей публикации. Исключением из правил считаются фотографии, которые будут использованы для коммерческих целей, например, реклама какого-то товара или услуги.
Фотография, сделанная путем сознательного позирования человека с целью получения вознаграждения, т.е. владелец понимает, что это коммерческое использование. Например, съемки для рекламы какого-то товара.
Наказания за использование фотографии гражданина без его согласия
Главным законодательным актом, регулирующим права владельца фотографии, является УК РФ. В частности, статья 152 УК РФ полагает, что обработка фотографии гражданина заведомо без его согласия нарушает право на неприкосновенность частной жизни. К виновнику могут быть применены следующие меры наказания:
Штраф на сумму 100 000-300 000 рублей или изъятие дохода за период 1-2 лет.
Назначение обязательных работ на срок до 360 часов.
Назначение исправительных работ на срок до 12 месяцев.
Назначение принудительных работ на срок 2-4 года.
Арест сроком 4-6 месяцев.
Дисквалификация на 3-6 лет.
Тюремное заключение на срок 2-4 года.
При вынесении уголовного наказания большое значение имеет присутствие злого умысла и понимание того, что владелец фото изъявил нежелание делать его публичным. Уголовное наказание выносится, если присутствовал злой умысел, нанесен ущерб репутации владельца или фотоматериалы носили интимный характер.
Помимо УК РФ права владельца фотографии защищает ГК РФ (статья 152.1). Она обязует удалить фотографию, размещенную публично, без согласия владельца, из всех источников куда, она могла попасть.
Вопрос, является ли фотография ПДн, по-прежнему спорен из-за отсутствия четкого определения в законодательстве, что считать персональными данными, и конкретного перечня. Скорее, здесь нужно рассматривать каждую конкретную ситуацию использования фотографии в качестве персональных сведений отдельно, потому что присутствуют дополнительные факторы, способные изменить ситуацию.