Отказ от биометрии в МФЦ, фокусы Тинькофф (Т-банка)

Что вообще случилось с биометрией?

Россияне, сдававшие банкам свою биометрию, стали получать уведомления о том, что их данные вскоре будут переданы в государственную информационную систему «Единая биометрическая система» (ГИС ЕБС). Банки должны провести эту процедуру до 30 сентября 2023 года и уведомлять клиентов за 30 дней до передачи. Если вы сдавали биометрию в каком-либо из банков, дальнейшая информация касается вас напрямую. Да и остальным это тоже может быть любопытно.

1 сентября 2023 года вступает в силу закон, согласно которому все биометрические данные граждан будут передаваться в государственные службы, такие как налоговая, банки и тому подобное. Будет сформирована ЕБС, то есть единая биометрическая система. Сделано это для того, чтобы увеличить безопасность личных данных и огородиться от мошенников.

Если вы сдали биометрию, но не хотите передавать эти данные в ЕБС, то до 30 сентября 2023 года Вы можете написать соответствующее заявление в МФЦ.

В связи с поднявшимся ажиотажем с отказом от биометрии, возникло немало мифов и фейков.

• Знакомая написала в Вацапе, что до 1 сентября нужно срочно прийти в МФЦ…
• …У моей знакомой недавно с кредитной карты украли 500 рублей…ей позвонили на смартфон.. она сказала: Але …и 500 рублей улетело
• Смогу ли я оформить загранпаспорт нового образца, если подам отказ от сдачи биометрии?

Караул, ужас, кошмар :). Давайте разбираться.

Что такое биометрия в банках

Биометрические данные — это уникальные физические характеристики человека, которые используются для установления (идентификации) или проверки (аутентификации) личности. К ним относятся лицо, движение губ, сетчатка глаза, отпечаток пальца, рисунок вен и голос.

Российские банки собирают биометрические данные клиентов в двух направлениях:

1. для собственных целей, чтобы повысить безопасность, удобство и скорость обслуживания клиентов,
2. для Единой биометрической системы (ЕБС), которая была запущена Банком России и «Ростелекомом» летом 2018 года. Эта система позволяет гражданам становиться клиентами банков без посещения офиса за счет удаленной идентификации.

Банкам сдают а) изображение лица и б) запись голоса.

В обоих случаях сдача биометрии для клиентов является добровольной. Если вы её никогда не сдавали, пока можно не переживать.

Сдать биометрию возможно только по согласию гражданина, лично в письменном виде — онлайн или на бумаге. Для регистрации биометрии в банках устанавливаются специальные рабочие места.

Обычное фотографирование в банках (обязательное, например, в Почта-банке при заведении любого счета, даже дебетовой карты или фотографирование курьером Тинькофф, или съёмка получателя кредитной карты) — это внутренняя биометрия банка, она никуда больше не передаётся. Вот ответ банка Тинькофф:

Мы не собирали ваши биометрические данные, так как вы не давали на это согласия.

К биометрическим данным относится цифровой слепок вашей фотографии. Именно он, а не сама фотография. Получение согласия и сбор биометрических данных проводим в рамках отдельной встречи с представителем. Встреча по доставке продуктов банка к этому процессу не относится.

Однако, на январь 2024 г. появилась информация, что в банкоматах Тинькофф можно незаметно согласиться на передачу биометрии:

Мы запрашиваем согласие на сбор биометрии в банкоматах. На экране ввода пин-кода мы показываем фразу «Продолжая, вы соглашаетесь…». Если вы хотите отказаться, вам нужно нажать на ссылку, затем пролистать страницу вниз и отметить пункт «Отказаться». Если этого не сделать и ввести ПИН-код, вы согласитесь со сбором биометрии.

И не только в банкоматах. Тинькофф перечисляет 5(пять!) способов незаметно согласиться на сбор и передачу биометрии в ЕБС:

Как проверить, сдавал ли я биометрию?

Это можно сделать в личном кабинете портала Госуслуг https://www.gosuslugi.ru/. Для этого нужно:

1. Войти в свой аккаунт на Госуслугах
2. Перейти в раздел «Профиль» – вкладка «Биометрия»
3. Если вы не сдавали свою биометрию, вы увидите надпись «Биометрия не зарегистрирована».
4. Если биометрия была сдана, она отразится в личном кабинете. Там же будет срок её действия и место регистрации. В этом разделе можно управлять своей биометрией в режиме онлайн

Кто хочет сдать свою биометрию самостоятельно?

Допускаю, что есть и такие. Если вы хотите сдать свои биометрические данные в систему ЕБС напрямую, есть и такая возможность. Для этого вам понадобится:

• Загранпаспорт нового образца с NFC-чипом, где хранится фотография и другие персональные данные
• Смартфон с NFC-функцией для считывания чипа загранпаспорта нового образца.
• Подтвержденная учетная запись на Госуслугах

Вам должно быть не менее 18 лет, и нужно быть гражданином РФ.

Дальше нужно воспользоваться приложением «Госуслуги Биометрия». Подробная инструкция на сайте ЕБС.

Какие законы регулируют сбор, передачу и хранение биометрической информации о гражданах?

• Федеральный закон от 29.12.2022 N 572-ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных …»
• Постановление Правительства Российской Федерации от 27.03.2023 № 478
  «Об утверждении Правил представления физическим лицом отказа от сбора и размещения биометрических персональных данных в целях проведения идентификации и (или) аутентификации, отзыва такого отказа и письменного подтверждения многофункциональным центром предоставления государственных и муниципальных услуг (МФЦ) представления физическим лицом указанных отказа и отзыва отказа, а также форм указанных отказа, отзыва отказа и письменного подтверждения их представления»

Кто обрабатывает ПД и как это работает?

Оператор персональных данных ГИС ЕБС — АО «Центр Биометрических Технологий» (ЦБТ). ЦБТ создан в 2022 году указом Президента и наделён функциями оператора системы постановлением Правительства России от 16 декабря 2022 г. № 2326. Учредителями ЦБТ являются ПАО «Ростелеком», Правительство России и Банк России.

Как отказаться от передачи биометрии?

Если вы уже сдали свои биометрические данные в одном или нескольких банках, отказываться можно в каждом банке. Но при отказе через МФЦ — это единый отзыв обработки и передачи данных в ЕБС (АО «Центр биометрических технологий»). Для этого нужно лично явиться в МФЦ, при себе иметь оригиналы паспорта и СНИЛС. Процедура занимает минут 10. Дают 2 бумажки: копию отказа и расписку в получении запроса.

Правда ли, что подать заявление на отказ от сбора и размещения биометрии только до 01 сентября 2023 года?

Нет. Заявление можно подать и позже, даже после того, как данные будут перенесены Единую биометрическую систему (ЕБС).

Реальные случаи наказания Т-Банка за воровство биометрии

ТБанк оштрафован на 300 000 руб. по ч. 2 ст. 13.11 КоАП за обработку биометрических персональных данных с нарушением законодательства РФ в области персональных данных

Дело № 05-1155/348/2024
УИД 77MS0348-01-2024-005104-25

📝Согласно протоколу об административном правонарушении АО «ТБанк» вменяется обработка персональных данных с нарушением установленных законодательством РФ в области ПД требований к составу сведений, включаемых в согласие в письменной форме субъекта ПД на обработку его ПД.

Правонарушение совершено при следующих обстоятельствах.

В Роскомнадзор поступило обращение *** по вопросу возможного нарушения Закона № 152-ФЗ о ПД и привлечения банка к административной ответственности.
Из обращения следует, что банк осуществляет обработку и передачу биометрических данных в Единую биометрическую систему, не получив должным образом согласие субъекта ПД.
Так, согласие на обработку биометрических ПД запрашивается Банком на этапе ввода ПИН-кода, дополнительного подтверждения нет, в чем усматривается нарушение ч.1 ст.9 Закона о ПД.

По имеющейся в распоряжении РКН информации, банком реализован функционал по сбору согласий клиентов на обработку их биометрических ПД с помощью мобильного приложения и банкоматов. Подписание согласия осуществляется клиентом при вводе пин-кода (банкомат) или одноразового кода доступа, направленного на абонентский номер клиента, с последующим введением в форму мобильного приложения.

Вместе с тем, в материалах, представленных банком, не содержатся подтверждений соблюдения Закона об электронной подписи в части использования простой электронной подписи. Таким образом, реализуемый банком способ сбора согласий на обработку биометрических ПД не предусматривает подписание этих согласий одним из видов электронной подписи, предусмотренных Законом об электронной подписи, что свидетельствует о нарушении ч. 4 ст. 9 Закона о ПД.

Кроме того, по результатам оценки содержания формы согласия на обработку биометрических ПД установлено, что указанное согласие предоставляется в нескольких целях.

❗️Согласно требованиям ч. 4 ст. 9 Закона о ПД согласие на обработку ПД должно содержать цель обработки ПД, указанная норма является императивной и не подлежит расширенному толкованию.

Вместе с тем в согласии на обработку биометрических ПД, представленном банком, содержатся сведения о нескольких целях обработки биометрических ПД, что противоречит требованиям ч. 4 ст. 9 Закона о ПД.

❗️Кроме того, в согласии на обработку биометрических ПД, представленном банком, указано, что согласие дается на обработку «иных ПД», что также противоречит требованиям ч. 4 ст. 9 Закона № 152-ФЗ, поскольку в согласии должен быть определен перечень ПД, на обработку которых дается согласие субъекта ПД.

Таким образом, указанное согласие на обработку биометрических ПД, указанное в протоколе об административном правонарушении противоречит требованиям ч. 4 ст. 9 Федерального закона № 152-ФЗ и квалифицируется по ч. 2 ст. 13.11 КоАП РФ.

Примечательно, что мировой судья исключает из описательной части протокола об административном правонарушении сведения о том, что реализуемый банком способ сбора согласий на обработку биометрических ПД не предусматривает подписание этих согласий одним из видов электронной подписи, предусмотренных Законом об электронной подписи, что свидетельствует о нарушении ч. 4 ст. 9 Закона о ПД, поскольку указанное обстоятельство не подтверждено материалами дела.

⚖️Мировой судья

ПОСТАНОВИЛ:

✅АО «ТБанк» признать виновным в совершении административного правонарушения, предусмотренного ч. 2 ст. 13.11 КоАП РФ и назначить наказание в виде административного штрафа в размере 300 000 (триста тысяч) рублей.

• Скачать образец жалобы в Роскомнадзор на незаконную обработку биометрических персональных данных.