Тинькофф передает вашу биометрию без вашего согласия в ЕБС

Согласие на обработку биометрии при входе в приложение Тинькофф

Такая ловушка есть в приложении Тинькофф на Andoid c версией 6.25 и выше. В нижней части экрана будет сообщение «Продолжая, вы соглашаетесь…».

Ещё в октябре 2023 г. было замечено, что при входе в приложение банка Тинькофф на Android с вводом короткого кода, внизу появилась новая надпись про согласие с использованием (обработкой и передачей) биометрии:

“Продолжая, вы соглашаетесь на использование Тинькофф Банком биометрических данных”. При этом, надпись довольно блёклая, но её видно и на словах “соглашаетесь на использование” стоит ссылка. Если не входить в приложение и нажать на ссылку, вы увидите:

Здесь надпись об отказе сделана светло-серым по белому и её еле-еле видно. Скорее всего, 95% пользователей её даже не заметят и быстро нажмут на ярко-жёлтую кнопку “Понятно”. На следующем экране необходимо ещё раз подтвердить своё желание:

И только после этого можно зайти в приложение и свой личный кабинет без выданного банка согласия на обработку своей биометрии.

Если вы заметили такую же надпись о биометрии, напишите в комментарии внизу статьи.

Согласие на обработку биометрии при входе в личный кабинет (интернет-банк)

Согласие на обработку биометрии в банкомате Тинькофф!

Ловушка с согласием на использование биометрических данных встроена и в банкоматы Тинькофф. Когда вы вводите пин-код, внизу есть такая же надпись, и она со сссылкой:

Нужно очень внимательно смотреть на экран банкомата и внимательно изучать надписи, даже если сзади очередь.

Что вообще случилось с биометрией?

К осени 2023 года граждане, сдававшие банкам свою биометрию, стали получать уведомления о том, что их данные вскоре будут переданы в государственную информационную систему «Единая биометрическая система» (ГИС ЕБС). Банки должны провести эту процедуру до 30 сентября 2023 года и уведомлять клиентов за 30 дней до передачи.

Если вы сдали биометрию, но не хотите передавать эти данные в ЕБС, то вы можете написать соответствующее заявление в МФЦ.

О проблеме с биометрией в Тинькофф уже снимают сюжеты блогеры:

По ч. 4 ст. 9 Федерального закона № 152-ФЗ «О персональных данных» согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Если собранное «согласие» не соответствует хотя бы одному из этих критериев, его нельзя использовать как основание обработки персональных данных. Более того, государство устанавливает повышенные требования к согласию на обработку биометрических персональных требований, требуя, чтобы компании собирали его в письменной форме (ч. 1 ст. 11 Федерального закона № 152-ФЗ «О персональных данных»).

Тинькофф кивает на собственные условия банковского обслуживания – УКБО, где в пункте 2.24 указано:

Клиент дает свое согласие на обработку его биометрических персональных данных, полученных в результате фотографирования и/или записи голоса, любыми способами, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение в целях заключения, исполнения, изменения и/или прекращения договоров и/или соглашений с Банком, выдачи электронных средств платежа, обеспечения безопасности денежных средств Клиента, а также осуществления мер, направленных на противодействие совершения третьими лицами действий за Клиента посредством Дистанционного обслуживания.

Считается, что это должно улучшить безопасность ваших денег и уменьшить риски перепутать вас с мошенником. Но есть и другие мнения. Например, если ваши биометрические данные куда-то “утекут”, будет сложно доказать, что вы – это вы:

Что такое биометрия в банках?

Биометрические данные — это уникальные физические характеристики человека, которые используются для установления (идентификации) или проверки (аутентификации) личности. К ним относятся лицо, движение губ, сетчатка глаза, отпечаток пальца, рисунок вен и голос.

Российские банки собирают биометрические данные клиентов в двух направлениях:

1. для собственных целей, чтобы повысить безопасность, удобство и скорость обслуживания клиентов,
2. для Единой биометрической системы (ЕБС), которая была запущена Банком России и «Ростелекомом» летом 2018 года. Эта система позволяет гражданам становиться клиентами банков без посещения офиса за счет удаленной идентификации.

Банкам сдают а) изображение лица и б) запись голоса.

В обоих случаях сдача биометрии для клиентов является добровольной. Если вы её никогда не сдавали, пока можно не переживать.

Сдать биометрию возможно только по согласию гражданина, лично в письменном виде — онлайн или на бумаге. Для регистрации биометрии в банках устанавливаются специальные рабочие места.

Обычное фотографирование в банках (обязательное, например, в Почта-банке при заведении любого счета, даже дебетовой карты или фотографирование курьером Тинькофф, или съёмка получателя кредитной карты) – это внутренняя биометрия банка, она никуда больше не передаётся. Вот ответ банка Тинькофф:

Мы не собирали ваши биометрические данные, так как вы не давали на это согласия.

К биометрическим данным относится цифровой слепок вашей фотографии. Именно он, а не сама фотография. Получение согласия и сбор биометрических данных проводим в рамках отдельной встречи с представителем. Встреча по доставке продуктов банка к этому процессу не относится.

Однако, на январь 2024 г. появилась информация, что в банкоматах Тинькофф можно незаметно согласиться на передачу биометрии:

Мы запрашиваем согласие на сбор биометрии в банкоматах. На экране ввода пин-кода мы показываем фразу «Продолжая, вы соглашаетесь…». Если вы хотите отказаться, вам нужно нажать на ссылку, затем пролистать страницу вниз и отметить пункт “Отказаться”. Если этого не сделать и ввести ПИН-код, вы согласитесь со сбором биометрии.

И не только в банкоматах. Тинькофф перечисляет 5(пять!) способов незаметно согласиться на сбор и передачу биометрии в ЕБС:

Как проверить, сдавал ли я биометрию?

https://www.gosuslugi.ru/help/faq/biometrics/64888

Это можно сделать в личном кабинете портала Госуслуг https://www.gosuslugi.ru/. Для этого нужно:

1. Войти в свой аккаунт на Госуслугах
2. Перейти в раздел «Профиль» – вкладка «Биометрия»
3. Если вы не сдавали свою биометрию, вы увидите надпись «Биометрия не зарегистрирована».
4. Если биометрия была сдана, она отразится в личном кабинете. Там же будет срок её действия и место регистрации. В этом разделе можно управлять своей биометрией в режиме онлайн

Новости на февраль 2024 по биометрии

После публикаций в популярном тг-канале «Осторожно, новости» о незаметной передаче биометрии банками, пояснения получены от представителя ЕБС – Единой Биометрической Системы:

— В ЕБС сообщили, что раньше некоторые банки «игрались» с биометрией по своему усмотрению, а клиент мог просто не знать, что кому-то что-то передал. Теперь, если банк собрал эти данные, даже «случайно», он обязан передать их в ЕБС или удалить, проинформировав клиента.

— В ЕБС отмечают, что банки обязаны предупреждать, что данные готовятся для импорта на платформу. Человек имеет право отказаться. Это неотъемлемое право, потому что в России нет практики «принудительной» биометрии.

— Перед регистрацией биометрии с человека обязаны взять согласие. Без согласия обрабатывать биометрию запрещено законом (читатели «Осторожно, новости» жаловались, что это согласие банки получают почти незаметно). Дискриминация тех, кто отказался от биометрии, тоже запрещена в РФ.

— В ЕБС отмечают: если у вас есть подозрение, что банк хитростью собрал данные, можно направить жалобу в интернет-приёмную ЦБ и Роскомнадзор. Они в курсе ситуации (например, о получении согласия после клика на сторис в приложении) и уже работают над ней.

— Если биометрию приняли в ЕБС, её можно в любой момент отозвать, или просто удалить данные. Управлять биометрией можно на Госуслугах, в личном кабинете (см. выше).

— Закон запрещает использовать ЕБС для охраны правопорядка или в «светофорах-шпионах». Cогласно закону, ЕБС нельзя использовать при оперативно-розыскных мероприятиях. Об этом говорит 572-ФЗ. Данные нужны для работы финсервисов, телекома и ретейла.

— Представители платформы также утверждают, что биометрия не выходит за пределы ЕБС. Снаружи используются только векторы — наборы символов, сгенерированные из биометрических образцов. ЕБС никому не передаёт фото реальных людей или образцы голоса.

Как отказаться от биометрии в Тинькофф?

Нужно просто написать в чат службе поддержки и очень настойчиво отозвать все согласия на использование вашей биометрии и передачу её в ЕБС. Фразы “Отозвать согласие на сбор, обработку и передачу биометрических данных” может оказаться достаточно:

И после этого внимательно посматривать в нижнюю часть экрана:

• при входе в мобильное приложение Тинькофф
• при входе в личный кабинет Тинькофф
• перед набором пин-кода в банкоматах Тинькофф