Применимые нормы (ключевые положения по юрисдикциям)
- ЕС: GDPR — биометрические данные как «особая категория» персональных данных (ст. 9); обработка возможна при явном согласии (ст. 9(2)(a)) или при других строго регламентированных основаниях; обязательна оценка воздействия (DPIA) при высоком риске (ст. 35). Административные санкции: до \(\€20{,}000{,}000\) или до $4\%$ глобального годового оборота (ст. 83).
- США: нет единого федерального закона о биометрии; применимы:
- Illinois BIPA — жёсткие требования к письменному информированному согласию, удержанию/удалению; частные иски и статутные убытки $\$1,000$ за непредумышленное и $\$5,000$ за умышленное нарушение (за каждое нарушение).
- Калифорния (CCPA/CPRA) — биометрия может попадать в «чувствительную информацию», расширенные права и требования к уведомлениям/опции отказа; FTC — недобросовестная практика, принудительные меры.
- Бразилия: LGPD — биометрия как чувствительные данные; требуется явное согласие/другие основания; штрафы до $2\%$ от годового оборота компании за нарушение, максимум BRL $50,000,000$.
- Китай: PIPL — биометрические данные как «особые персональные данные», требуются строгие основания/согласие; штрафы до RMB $50,000,000$ или до $5\%$ годового оборота.
- РФ и др.: национальные законы о персональных данных (в РФ — ФЗ‑152) требуют информированного согласия, специальных мер при трансграничной передаче; санкции — административные/гражданско‑правовые, возможны иные административные меры.
Правовые санкции и риски
- Административные штрафы (см. выше по юрисдикциям).
- Гражданско‑правовые иски от субьектов данных (компенсации, статус‑классовые иски), включая статутные убытки (как в BIPA).
- Инъюнктивные меры (приказы о приостановке обработки/удалении данных, запрет на коммерческое использование).
- Обязательные уведомления о нарушениях, утрата доверия, потеря клиентов, репутационный ущерб.
- Возможные уголовные последствия в отдельных случаях (например, при умышленном распространении особо охраняемых данных или мошенничестве).
- Корпоративная ответственность (должностные лица, договорная ответственность перед партнёрами).
Обязательные права субъектов данных
- Право на доступ, удаление (право быть забытым при законных основаниях), ограничение обработки, возражение, переносимость, отзыв согласия; прозрачные уведомления о целях, получателях, сроках хранения.
Превентивные и корректирующие меры (технические, организационные, контрактные)
1. Немедленные меры
- Прекратить продажу/передачу спорных наборов данных до проведения аудита; зафиксировать и сохранить логи (chain‑of‑custody).
- Уведомить внутренне DPO/юристов; при необходимости — регуляторов (в некоторых юрисдикциях требуется уведомление).
2. Юридические/процедурные
- Оценка правовой базы для каждой юрисдикции и целей обработки; если нет законного основания — получить явное информированное согласие или прекратить обработку.
- Провести DPIA (оценка воздействия на защиту данных) и риск‑оценку.
- Обновить/ввести Политику конфиденциальности, формы согласий с явным описанием целей продажи и прав субъекта.
- Соблюдать принципы минимизации и ограничить хранение по сроку; реализовать политику удаления.
- Заключать корректные договоры с обработчиками/покупателями (Data Processing Agreement), предусмотреть ограничения на дальнейшую продажу, безопасность, аудит и ответственность.
- При трансграничной передаче — использовать стандартные договорные положения, BCR или иные разрешённые механизмы.
3. Технические и организационные меры
- Псевдонимизация/анонимизация: если возможно реально аннулировать возможность идентификации — данные могут выйти из-под регулирования персональных данных; но нужно документировать метод и увериться, что анонимизация необратима.
- Шифрование данных в покое и в транзите, жёсткий контроль доступа, журналирование доступа, MFA, сегментация сети.
- Политики хранения/удаления — автоматизация удаления по правилам.
- Процедура реагирования на инциденты и уведомления регуляторов/субъектов данных.
4. Корпоративное управление и аудит
- Назначить DPO или ответственных за защиту данных.
- Регулярные внутренние и внешние аудиты по соответствию.
- Обучение сотрудников, контроль за продажей данных третьим лицам.
- Киберстрахование как дополнительная превенция финансовых рисков.
5. Коммерческие/этические
- Не продавать биометрию без явного согласия и прозрачной модели монетизации.
- Включать в контракты с покупателями обязательства по неидентификации и запрету дальнейшей передачи без согласия.
Рекомендованный план действий (срочно)
- Прекратить передачу/продажу спорных данных; зафиксировать действия.
- Провести форензический и юридический аудит (сбор доказательств, оценка объёма/юрисдикций).
- Оценить обязательство уведомлений регуляторов/пострадавших; при необходимости — уведомить.
- Выполнить DPIA, исправить правовую базу (согласия или прекратить обработку).
- Ввести технические и договорные гарантии (шифрование, DPA, ограничения на дальнейшее использование).
Кратко: биометрические данные в большинстве юрисдикций считаются чувствительными — для их продажи требуется строгая правовая база (обычно явное информированное согласие) и усиленные меры защиты; нарушение влечёт высокие штрафы, гражданские иски и запрет на обработку. Первое действие стартапа — немедленно приостановить передачу, провести аудит и привести практики в соответствие с требованиями применимых законов.