Раньше такое можно было увидеть только в шпионских фильмах: герой прикладывает палец к специальному сенсору - и дверь открывается. Сегодня такие технологии стали реальностью, ведь появилась возможность собирать, хранить и использовать биометрические персональные данные. Что это такое?
Биометрия
Смотря фантастические фильмы, где герои общаются с "умным домом" или отдают приказы искусственному интеллекту космического корабля, зрители редко задумываются об обратной стороне этого вопроса, например, слушается ли эта программа всех подряд. Очень вряд ли, наверняка, она реагирует только на голос хозяина. И это достигается с помощью биометрии, которая реально существует. Итак, что же это за кусочек из фантастики, уже ставший действительностью?
Биометрия - это Она основывается на присущих им уникальных характеристиках, так что зайти, так сказать, "под чужим логином" не удастся, ведь подделать пароль невозможно, и сейчас станет ясно, почему.
Что относится?
К данным этого типа относятся любые сведения, которые могут быть измерены, как поведенческого или психологического, так и физиологического характера. Иными словами, любой параметр человека, который может быть выражен в абсолютных значениях, может считаться биометрическими данными.
Они обладают рядом определенных свойств, что и делает их такими ценными.
- Они уникальны. ДНК каждого человека индивидуальна, так же как отпечаток пальца или рисунок радужки. Это значит, что никто другой не сможет воспользоваться "паролем" без позволения и ведома хозяина.
- Они универсальны. Биометрические персональные данные - это различные характеристики, присущие абсолютно всем людям.
- Они неизменны. Как невозможно "отредактировать" отпечатки пальцев, так и нельзя поменять тембр голоса или ДНК.
Все эти характеристики в комплексе делают сведения данного типа очень полезными, если подумать о всеобщем сборе и хранении данных в различных целях. Например, преступники не смогут избежать правосудия. Впрочем, до создания глобальных баз данных еще очень и очень далеко.
Виды данных
На сегодняшний день успешно используется несколько типов биометрических данных: отпечатки пальцев, голос, сетчатка или радужка глаза, а также распознавание лица и ДНК. Этим, однако, список возможных параметров не ограничивается. В перспективе технологии смогут работать также с запахом или, например, походкой, характерными особенностями поведения, процессом подписания документов и т. д. Таким образом, характеристики могут быть не только статичными, но и динамическими.
Кстати, в процессе изучения некоторых физиологических характеристик человека стало ясно, что, например, сетчатка в данном качестве не подходит, поскольку рисунок сосудов может меняться, а также дает информацию о состоянии здоровья, чего быть не должно. Это косвенно дает толчок к развитию еще и медицине.
История
Самым распространенным параметром, используемым уже довольно давно, являются отпечатки пальцев. Дактилоскопические данные уже стали совсем привычными, а процедура их сдачи уже давно обязательна не только для тех, кто подозревается в преступлениях, но и для обычных граждан, например, при получении некоторых документов.
Идея о том, что папиллярный рисунок, то есть линии на кончиках пальцев, уникальны для каждого человека, была выдвинута еще в XIX веке Уильямом Гершелем. Несмотря на то, что выдвинутая им гипотеза о неповторимости отпечатков так и не получила достаточного основания, дактилоскопия широко используется в криминалистике. Пожалуй, именно она и положила начало идеям об идентификации, основой которой являлись бы биометрические данные.
Сбор
Сейчас самой распространенной является процедура снятия отпечатков пальцев в электронном или традиционном виде. В первом случае используются специальные сенсоры, делающие высококачественный цифровой снимок, который в дальнейшем преобразуется, а во втором - особая краска. Для распознавания лиц также используются специальным образом сделанные фотографии - например, в России сейчас такие делают, чтобы поместить биометрические данные в для поездок за рубеж.
Хранение и обработка
Если сбор биометрических данных не является такой уж проблемой, то создание и постоянное обновление и обслуживание единой базы данных, пожалуй, относится к актуальным задачам. Кроме того, существует необходимость в правовом регулировании доступа к информации подобного рода и возможности работы с ней, в том числе передачи третьим лицам.
Очевидно, что настолько личная информация нуждается в серьезной защите. Это значит, что базы данных, если в них будут централизованно стекаться все сведения, должны быть максимально безопасными, а человеческий фактор необходимо снизить до минимума. То есть обработка биометрических персональных данных должна происходить в общем случае в автоматическом режиме.
Тем не менее в России пока эта проблема не решена, несмотря на принятие в 2006 году закона 152-ФЗ, в котором говорится в том числе о подобных сведениях, никаких четких инструкций о правилах их хранения и передачи пока нет. Кроме того, нет контроля за процессом работы с информацией такого типа, хотя некоторые государственные органы уже давно занимаются ее сбором. Таким образом, обычные граждане вряд ли могут быть совершенно уверены в том, что информация о них находится в надежных руках, и они даже не могут это проверить.
Где используются?
Поскольку биометрические данные уникальны для каждого человека, на их основе очень удобно идентифицировать личность для тех или иных нужд.
В современном мире на практике это реализуется в различных системах доступа и личных документах. На сегодняшний день сбор тех или иных сведений, относящихся к таким данным, осуществляется, например, в некоторых странах для получения паспорта или виз для заграничных поездок. Кроме того, большое количество современных телефонов, планшетов, компьютеров и других приборов также имеют функции разблокирования в ответ на, например, считывание отпечатков пальцев или распознание лица. Так что биометрическая защита данных уже давно - не только высокие технологии в фантастическом фильме. Современные методы позволяют даже различать близнецов по одному или нескольким автоматически оцениваемым параметрам с достаточно высокой степенью точности.
Иными словами, биометрические данные человека - это очень надежный пароль, который нельзя поменять, а при дальнейшем совершенствовании технологий распознания получить к чему-либо будет абсолютно невозможно. Правда, проблема состоит в том, что если случится утечка из базы данных, то это станет серьезной проблемой, ведь, как уже было сказано, этот "пароль" поменять невозможно.
Механизм работы при этом довольно прост: при существовании в базе данных прибора эталонного образца он сравнивается с полученными с помощью сенсора данными, и если есть критические несоответствия, то запрос на доступ отклоняется, а если нет - принимается. Естественно, существует вероятность ложного срабатывания или отказа, но это зависит от качества эталона и правильности настройки и достаточной чувствительности сенсора. Разумеется, комбинирование нескольких методов распознавания значительно повышает общую точность идентификации.
За и против
Как и в любом другом вопросе, когда дело касается персональной информации, а особенно биометрических данных, люди делятся на два лагеря: сторонников и противников.
Те, кто выступают за скорейшее внедрение всеобщей идентификации по биометрическим параметрам, аргументируют свою позицию тем, что это сделает общество более безопасным, снизит преступность. Найти пропавшего человека не составит никакого труда, ведь любая система безопасности определит его присутствие.
С другой стороны, критики считают, что, во-первых, даже небольшая утечка данных такого типа может быть критичной, а во-вторых, пока не существует предпосылок к созданию законодательных рамок, которые могли бы разрешить многие вопросы в этой сфере. Наконец, некоторым кажется, что это создаст возможность для правительств вмешиваться в частную жизнь своих граждан, что неприемлемо.
Перспективы
Так или иначе, технологии, основанные на информации данного типа, продолжают развиваться, и этот процесс сдерживает лишь их достаточно высокая стоимость. Вероятно, в обозримом будущем сдача биометрических данных будет обязательной для всех людей без исключения, и будут созданы обширные базы данных. К личности каждого человека будет привязана информация о нескольких его параметрах. Это даст возможность навсегда отказаться от бумажных документов, удостоверяющих личность, а еще позволит забыть о таком понятии, как ключи и замки в привычном понимании.
Кстати, обычно вместе с биометрией упоминают и чипирование. Однако у этой меры гораздо больше противников, ведь с помощью микросхем, вшитых под кожу человека, можно не только определять, но и контролировать и изменять его состояние. Эта перспектива настолько пугает современных людей, что в большей части антиутопий говорится об этой мере как совершенно обыденной. Но это уже совсем другая история.
У Алексея Лукацкого , у
BSAT devteam
, наверное, где-то еще.
Не имея возможности участвовать в обсуждении проблем в каждом из этих мест, хотел бы высказать свою точку зрения только по одному из рассматриваемых в письме вопросов – относительно отнесения фотографических изображений к биометрическим персональным данным.
В письме АРБ разъясняется, что «фотография или видеозапись, на которой запечатлен человек, могут считаться биометрическими данными (является носителем биометрических ПДн) только в том случае, если они представлены в электронном виде и получены с применением специальных технологий и технических средств, позволяющих выполнять определенные требования, предъявляемые к форматам записи изображения (например, в случае фотографии установленные ГОСТ Р ИСО\ МЭК 19794-5-2006)».
При глубочайшем уважении к экспертам, подготовившим это разъяснение, и чиновникам, создавшим почву для него, категорически не могу с ним согласиться. И вот почему.
Основанием для такого критерия отнесения к биометрии, как соответствие ГОСТу, в письме № 5 называется ответ Роскомнадзора на запрос ЗАО «Коммерцбанк» от 05.04.2010 № ПК-05728.
Обратите внимание на дату письма. Направлено оно до принятия ФЗ-261 25.07.2011, который в новой редакции ФЗ-152 уточнил понятие биометрических персональных данных, регулируемых данным законом . Последние слова – ключевые. Мы сейчас говорим именно о тех данных, обработка которых регулируется ФЗ-152. А на самом деле их может быть гораздо больше, и признаки отнесения к ним надо искать совсем в других законах – о геномной и дактилоскопической регистрации, об основах здравоохранения, о въезде-выезде и т.д. В законе о персональных данных установлено три важнейших критерия, при соответствии которым обработку этой категории данных надо строить именно по ФЗ-152.
Биометрические персональные данные, обработка которых регулируется ФЗ-152, это данные:
· которые характеризуют физиологические и биологические особенности человека;
· на основе которых можно установить его личность;
· которые используются оператором для установления личности субъекта персональных данных.
Все. Точка. Ни про какие ГОСТы в законе нет и не может быть ни слова. По одной простой причине. В соответствии с ФЗ «О техническом регулировании», стандарт – это документ, в котором в целях добровольного многократного использования устанавливаются характеристики продукции, правила осуществления и характеристики процессов эксплуатации, хранения, выполнения работ или оказания услуг. Стандарт также может содержать правила отбора образцов, требования к терминологии, символике, упаковке, маркировке или этикеткам и правилам их нанесения.
И здесь ключевое слово – добровольного. Это подтверждено и в ст.12 данного закона: «Стандартизация осуществляется в соответствии с принципами добровольного применения документов в области стандартизации». Поэтому относить или не относить те или иные вопросы к регулируемым федеральным законом на основании положений ГОСТа никак нельзя.
Далее. Национальные стандарты могут использоваться полностью или частично в качестве основы для разработки проектов технических регламентов. Вот будет техрегламент по биометрическим данным – все станет просто.
Поэтому нет никаких оснований не считать биометрическими персданными фото в системе контроля управления доступом (СКУД), которые так модно стало ставить в офисах и на предприятиях. И СКУД, где есть фамилии работников, – это ИСПДн со всеми вытекающими. И если ФИО нет – тоже, но класса К4, поскольку произведено обезличивание персональных данных, и в системе невозможно определить принадлежность персональных данных конкретному субъекту без использования дополнительной информации.
Скан паспорта – тоже носитель биометрических персональных данных, обрабатываемых вне ИСПДН, но находящийся в систематизированном собрании банка, например, и поскольку существует четкий алгоритм поиска этих данных, их хранение или любая другая обработка подпадают под действие ФЗ-152. И фото в личном деле тоже, даже если его сделал фотограф, никогда не слышавший про ГОСТ, ИСО и МЭК. По той же причине – характеризует физиологические особенности, используется для идентификации и находится в систематизированном собрании.
Собственно, если посмотреть акты и предписания надзорных органов, именно это в них и пишется.
Можно затеять длинный спор про пропуска с фото (используются для идентификации, но находятся вне систематизированных хранилищ/картотек, непосредственно у работника), но это отдельная песня.
Так что я не стал бы обольщаться и откладывать проблему с фото в долгий ящик, надеясь на то, что все проверяющие согласны с позицией уважаемого профессионального сообщества. Особенно если это происходит не в банке, а на заводе или в турфирме, где заступиться за оператора, кроме суда, некому.
Мне кажется, в данном случае проще выполнить закон.
Хотите знать, что относится к биометрическим персональным данным, а также что это за система? Сегодня мы поговорим о внедрении биометрических технологий в повседневную жизнь человека и объясним, что же такое биометрия, зачем она нужна и в чём её преимущества.
Биометрия
Для начала стоит разобраться в том, что такое биометрия. Это научная дисциплина, целью которой является изучение разнообразных параметров человека, при помощи которых его можно идентифицировать среди всего населения Земли. Эти технологии очень распространены на Западе, так как это позволяет значительно улучшить эффективность работы множества государственных служб. В России биометрические технологии уже начинают постепенно внедряться, а анализ отпечатков пальцев используется активно.
Что такое биометрические данные?
Чтобы ответить на этот вопрос правильно, следует понять, что польза обществу от применения биометрических показателей будет огромна. Современное общество постоянно развивается, и ничто не может остановить этот процесс. Качественные технологические реформы происходят на каждом уровне, а инновации внедряются во все сферы жизни человека.
Биометрические персональные данные – это измеримые поведенческие или физиологические данные любого человека. Говоря более простым языком, это может быть как официальный документ, удостоверяющий личность, так и фотография или видеозапись, на которой присутствует человек. Огромное преимущество таких данных в том, что они полностью уникальны. Именно поэтому их можно эффективно использовать для идентификации личности. Если бумажные документы можно очень мастерски подделать, то биометрические данные невозможно как-либо сфальсифицировать.
Характеристика
Существует два показателя, по которым можно сгруппировать такие данные. Обе группы очень важны и значительны по качеству носимой информации.
Первая группа – это физиологические биометрические данные, которые непосредственно касаются каких-либо характеристик тела (отпечатки пальцев, ДНК-анализ, скан руки, сетчатки глаза, запах человека, голос, распознавание лица).
Вторая группа – поведенческие данные, которые напрямую связаны с тем, как человек ведёт себя в различных ситуациях (например, походка, речь, возбудимость).
Состав
Описать полный состав биометрических данных невозможно, так как он может быть очень обширен. Если обобщить и привести суть проблемы, то можно сказать, что биометрические данные – это сведения, которые могут каким-либо образом описать физиологические и биологические особенности человека, на их основе можно установить личность человека, и они могут быть использованы оператором для анализа субъекта. Стоит отметить, что все вышеперечисленные составляющие должны присутствовать одновременно. Биометрия невозможна без идентификации, можно сказать, что это – её базовый принцип.
Из этого следует, что врачебные снимки или кардиограмма сердца не могут служить идентифицирующими данными, хотя теоретически они принадлежат к физиологической группе данных. Попадая в руки специальных органов, эти данные в совокупности с другой персональной информацией могут служить базой для проведения идентификации личности.
Обработка
Обработка биометрических данных согласно закону может проводиться только на справедливой правовой основе. Должна быть определена конкретная цель сбора и обработки данных, и только для этих целей можно использовать полученную информацию. Государством запрещено объединение данных, цели сбора которых противоречат друг другу или просто несовместимы. Нельзя проводить анализ данных для получения избыточных сведений, которые не были указаны в начале задания как необходимые.
Допускается анализ только проверенных и точных данных, а любые неточности и ошибки подлежат перепроверке или исключению из базы. Биометрические персональные данные – это та информация, которую можно хранить только определённый срок, необходимый для достижения целей сбора. В случае достижения поставленного результата, все данные должны быть уничтожены или обезличены. Важным моментом любой обработки персональной информации является согласие самого субъекта. Личная информация может быть обнародована, если субъект решил предоставить к ней неограниченный доступ.
Использование данных
Что такое биометрические данные человека? Это набор отличительных характеристик по разным пунктам. Совокупность или комплекс этих данных позволяют очень точно идентифицировать человека. Ценность такой информации в том, что она может быть использована в благих целях. Применение персональных данных четко регулируется законом, и несоблюдение правил карается в строгом порядке. Сбор и анализ личной информации возможен только после личного согласия человека на это. Доступ к закрытой информации имеет только государство, любые частные структуры не имеют права получать личные данные субъекта.
Использование биометрических технологий – это очень перспективное направление, которое позволит моментально находить преступников, спасать больных людей, оказывать незамедлительную помощь при трагедиях, находить людей гораздо быстрее и т. д. Подобные технологии очень активно применяются в других странах, и уровень преступности, внезапной смертности и т. д. у них гораздо ниже, что явно свидетельствует об эффективности метода.
Мнение общественности
Сейчас очень активно внедряется биометрия идентификации личности по паспорту. Цифровое изображение, вшитое в чип любого документа, будет не только сообщать о человеке стандартные данные, но также предоставлять целый пакет информации, которая была собрана. Некоторые опасаются внедрения биометрических паспортов, так как это напоминает тотальный контроль.
Обычному человеку практические невозможно проконтролировать использование биометрических данных – всё, что остаётся, – это поверить на слово, что они надежно защищены. Следует помнить, что инновационные чипы предполагают даже то, что человека можно отследить по его месту нахождения, в дистанционном режиме узнать о его физическом состоянии, а также получить полную информацию о том, чем субъект занят в определённый период времени.
Несмотря на то что внедрение биометрии в повседневную жизнь – это огромный прогресс в науке и технике, большинство людей всё же опасается такого вида контроля. При этом стоит понимать, что сеть Интернет переполняет фантазийная информация о том, что за всеми этими процессами стоит Тайное Мировое Правительство. Такую панику сеют в массах нарочно, чтобы накалить обстановку. Стоит реально оценивать ситуацию и понимать, что прогресс наступает во всех областях жизни и поэтому глупо сдерживать его в конкретном направлении.
Конечно, злоупотребление полученными технологиями действительно может быть, но мы живём в правовом государстве, где интересы человека играют важнейшую роль. Кроме того, будет внедрена специальная система защиты персональных данных человека, пренебрежение которой будет нести за собой ответственность по закону.
Очень часто обвинения в нарушении закона о ПД предъявляются людьми, не понимающими его смысла и сферы действия. Закон «О персональных данных» регулирует правоотношения, связанные с обработкой информации, которая совершается либо с использованием «средств автоматизации», либо без их использования, в том случае, если такая обработка «соответствует характеру действия, совершаемых с использованием средств автоматизации». Под такими «средствами» в законе понимаются технологии, позволяющие осуществлять поиск персональных данных, содержащихся в каких-либо систематизированных собраниях таких данных, а также доступ к ним.
Предыдущая редакция закона была менее конкретной и не содержала разъяснения того, что считается «средствами автоматизации». Расшифровка этого понятия содержалась только в одном из постановлений Правительства: под «автоматизацией» понимались действия, осуществляемые без участия человека. То есть, закон регулирует только массовую автоматизированную обработку данных, как правило, с использованием компьютерной техники. Для того, чтобы обработка с участием человека попала под регулирование закона, нужно, чтобы она включала в себя операции, которые обычно автоматизируются. Как минимум -- это должен быть список, состоящий из «персональных данных», а не единичное упоминание кого-либо.
К сожалению, в законе о ПД его действие связано с «автоматизированной обработкой» только в самой первой статье, в остальном тексте используется только термин «персональные данные», что позволяет написанного в первой статье «не замечать» и распространять действие закона именно на единичные упоминания. Свою роль в этом сыграли безграмотные «разъяснения закона» от Роскомнадзора, службы, которая обязана следить за исполнением законодательства о персональных данных. Для того, чтобы в этом убедиться, достаточно почитать Конвенцию о защите физических лиц при автоматизированной обработке персональных данных, во исполнение которой и принят отечественный закон о ПД. В тексте в подавляющем большинстве случаев используется словосочетание «автоматизированная обработка персональных данных», а сами ПД отдельно упоминаются очень редко.
Сразу после выхода закона он стал объектом пристального внимания прессы и общественности и подвергался неверным толкованиям. В результате у многих сложилось впечатление, будто на основании закона можно запретить вообще любое несанкционированное упоминание конкретного человека.
Ситуацию усугубили выступления в СМИ работников разного рода компаний, продающих «сертифицированные средства защиты информации», которые по закону требуются для работы с персональными данными. В своих интервью они, как правило, причисляют персональные данные к «конфиденциальной информации» или «тайне частной жизни», что неверно: большая их часть общедоступна и не является тайной.
Кроме того, во время очередного внесения изменений в закон было добавлено определение «автоматизированной обработки», под которой теперь понимается любая «обработка с помощью средств вычислительной техники». Такое определение противоречит тексту и смыслу Конвенции.
На самом деле, законом о ПД регулируется только обработка данных в картотеках, каталогах, и других массовых хранилищах. Если речь идет о съемке, то закон распространяется на системы автоматической фото- и видеофиксации, например, камеры, установленные на дорогах для выявления нарушений. В том случае, если фотограф или оператор сам осуществляет съемку, закон о ПД на него не распространяется вообще, до тех пор, пока он не начинает накапливать и систематизировать изображения людей. В первой статье закона о ПД говорится также, что не применяется он и в случаях обработки данных для личных и семейных нужд.
«Персональные данные» внесены в Перечень сведений конфиденциального характера, утвержденный в 1997 году, причем в Перечне под ними понимаются только сведения о частной жизни лица, позволяющие его идентифицировать. Определение из закона «О персональных данных» шире, оно включает вообще любые идентифицирующие данные. Ссылка на Перечень часто используется для обоснования «конфиденциальности» любых персональных данных вообще (такими подменами обычно занимаются как раз продавцы «сертифицированных средств защиты»).
Еще один спорный вопрос -- является ли изображение гражданина его «биометрическими персональными данными» и нужно ли при обработке таких изображений соблюдать дополнительные требования по их защите. В одном из разъяснений Роскомнадзора ответ на этот вопрос ставится в зависимость от того, используется ли изображение для установления личности. В соответствии с разъяснением, фотографии, содержащиеся в различных системах контроля доступа относятся к «биометрическим персональным данным», а обычные фотографии, собираемые без проведения процедур идентификации (например, содержащиеся в скан-копиях паспортов, собираемых при заключении различных договоров), будут обычными персональными данными.
К сожалению, очень часто обвинения в нарушении закона о ПД предъявляются людьми, не понимающими его смысла и сферы действия. Закон «О персональных данных» регулирует правоотношения, связанные с обработкой информации, которая совершается либо с использованием «средств автоматизации», либо без их использования, в том случае, если такая обработка «соответствует характеру действия, совершаемых с использованием средств автоматизации». Под такими «средствами» в законе понимаются технологии, позволяющие осуществлять поиск персональных данных, содержащихся в каких-либо систематизированных собраниях таких данных, а также доступ к ним.
То есть, закон регулирует только массовую автоматизированную обработку данных, как правило, с использованием компьютерной техники. Для того, чтобы обработка с участием человека попала под регулирование закона, нужно, чтобы она предполагала операции, которые обычно автоматизируются.
Таким образом, под регулирование закона о ПД попадает только массовая обработка данных, либо с помощью компьютеров, либо в картотеках, каталогах, и т.п. Если речь идет о съемке, то закон распространяется на системы автоматической фиксации, например, камеры, установленные на дорогах для выявления нарушений. В том случае, если фотограф осуществляет съемку, закон о ПД на него не распространяется вообще. Кроме того, в первой его статье говорится, что не применяется он и в случаях обработки данных для личных и семейных нужд.
Однако, предыдущая редакция закона была менее конкретной и не содержала разъяснения того, что считается «средствами автоматизации». Расшифровка этого понятия содержалась только в одном из постановлений Правительства : под «автоматизацией» понимались действия, осуществляемые без участия человека.
Сразу после выхода закона он стал объектом пристального внимания прессы и общественности и подвергался неверным толкованиям. В результате у многих сложилось впечатление, будто на основании закона можно запретить вообще любое несанкционированное упоминание конкретного человека.
Ситуацию усугубили выступления в СМИ работников разного рода компаний, продающих «сертифицированные средства защиты информации», которые по закону требуются для работы с персональными данными. В своих интервью они, как правило, причисляют персональные данные к «конфиденциальной информации», что неверно: большая их часть общедоступна и не является тайной.
«Персональные данные» внесены в Перечень сведений конфиденциального характера, утвержденный в 1997 году. Однако, в Перечне под ними понимаются только сведения о частной жизни лица, позволяющие его идентифицировать. Определение из закона «О персональных данных» шире, оно включает вообще любые идентифицирующие данные. Ссылка на Перечень часто используется для обоснования «конфиденциальности» любых персональных данных вообще (такими подменами чаще всего занимаются как раз продавцы «сертифицированных средств защиты»).
Еще один спорный вопрос - является ли фотография гражданина его «биометрическими персональными данными» и нужно ли при обработке таких фотографий соблюдать дополнительные требования по их защите. В соответствующем разъяснении Роскомнадзора ответ на этот вопрос ставится в зависимость от того, используется ли фото для установления личности. Например, фотографии, содержащиеся в различных системах контроля доступа относятся к «биометрическим персональным данным», а обычные фотографии, собираемые без проведения процедур идентификации (например, содержащиеся в скан-копиях паспортов, собираемых при заключении различных договоров), будут обычными персональными данными.
