Попал в базу распознавания лиц магазина как вор: что делать, куда обращаться и как удалить данные

Правомерность обработки изображения лица (биометрии) и ведения «чёрного списка воров» без согласия

Изображение лица, пригодное для установления личности (распознавание), — это биометрические персональные данные. Включение Марата в базу распознавания лиц магазина с пометкой «вор» означает, что магазин собирает и использует его биометрию для установления личности. По общему правилу такая обработка допустима ТОЛЬКО с письменного согласия субъекта, а случаев, когда биометрия обрабатывается без согласия частным магазином, перечень ст. 11 ФЗ-152 не содержит (там перечислены госрегистрация, правосудие, оборона, ОРД и т.п.).

Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи. 2. Обработка биометрических персональных данных может осуществляться без согласия субъекта персональных данных в связи с реализацией международных договоров Российской Федерации о реадмиссии, в связи с осуществлением правосудия и исполнением судебных актов, в связи с проведением обязательной государственной дактилоскопической регистрации, обязательной государственной геномной регистрации, а также в случаях, предусмотренных законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-разыскной деятельности, о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию, о гражданстве Российской Федерации , законодательством Российской Федерации о нотариате . (В редакции федеральных законов от 04.06.2014 № 142-ФЗ, от 31.12.2017 № 498-ФЗ, от 27.12.2019 № 480-ФЗ, от 06.02.2023 № 8-ФЗ) 3. Предоставление биометрических персональных данных не может быть обязательным, за исключением случаев, предусмотренных частью 2 настоящей статьи. Оператор не вправе отказывать в обслуживании в случае отказа субъекта персональных данных предоставить биометрические персональные данные
— п. 1–3 ст. 11 ФЗ № 152-ФЗ «О персональных данных»

Для фактов Марата это означает: если он не давал письменного согласия на обработку своей биометрии (а у магазина нет законного основания из ч. 2 ст. 11), включение его изображения в систему распознавания и ведение на него досье «вор» незаконно. При этом сам факт наличия записи видеонаблюдения ещё не делает обработку биометрией: видеозапись для обеспечения сохранности имущества магазин может вести, ссылаясь на законный интерес (п. 7 ч. 1 ст. 6) — но распознавание лица и сопоставление с базой «неблагонадёжных» лиц выходит за пределы этой цели и требует письменного согласия.

обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц, в том числе в случаях, предусмотренных Федеральным законом "О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон "О микрофинансовой деятельности и микрофинансовых организациях", либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных; (В редакции Федерального закона от 03.07.2016 № 231-ФЗ) 8) обработка персональных данных необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных; 9) обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 настоящего Федерального закона, при условии обязательного обезличивания персональных данных;
— п. 7 ч. 1 ст. 6 ФЗ № 152-ФЗ «О персональных данных»

Ключевая развилка — соответствует ли пометка «вор» действительности. По ст. 49 Конституции лицо считается невиновным, пока виновность не установлена вступившим в силу приговором суда. Судя по вопросу, никакого приговора и даже постановления о привлечении Марата к ответственности нет — есть лишь уведомление службы безопасности. В таком случае присвоение магазином статуса «вор» противоречит презумпции невиновности: магазин не является судебным органом и не вправе единолично объявлять посетителя вором.

Каждый обвиняемый в совершении преступления считается невиновным, пока его виновность не будет доказана в предусмотренном федеральным законом порядке и установлена вступившим в законную силу приговором суда. 2. Обвиняемый не обязан доказывать свою невиновность. 3. Неустранимые сомнения в виновности лица толкуются в пользу обвиняемого
— ч. 1, 2 ст. 49 Конституции РФ

Вывод: включение Марата в частную базу распознавания лиц с пометкой «вор» без его письменного согласия незаконно; обработка биометрии здесь не подпадает ни под одно исключение из п. 2 ст. 11 ФЗ-152. Исключение — если в отношении Марата имеется вступивший в силу приговор суда о хищении (тогда сведения «вор» соответствуют действительности, но даже в этом случае обработка биометрии без согласия остаётся нарушением ст. 11 ФЗ-152).

Право Марата на доступ к данным и на их блокирование/удаление

Марат как субъект персональных данных вправе в любой момент потребовать от магазина (оператора) сведений о том, какие его данные обрабатываются, на каком основании, а также потребовать блокирования или уничтожения биометрии, если она получена незаконно или не соответствует заявленной цели.

Субъект персональных данных имеет право на получение сведений, указанных в части 7 настоящей статьи, за исключением случаев, предусмотренных частью 8 настоящей статьи. Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав
— п. 1 ст. 14 ФЗ № 152-ФЗ «О персональных данных»

В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц. 2. В случае подтверждения факта неточности персональных данных оператор на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных. 3. В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение
— п. 1, 3 ст. 21 ФЗ № 152-ФЗ «О персональных данных»

Для фактов Марата это означает: он должен сначала письменно обратиться к оператору (сетевой структуре, владеющей этой базой) с требованием предоставить информацию о факте и целях обработки его биометрии, а затем — с требованием об удалении изображения и исключении из «чёрного списка». Оператор обязан блокировать данные при обращении (на период проверки) и уничтожить/прекратить обработку при подтверждении незаконности — в сроки до 3 рабочих дней (прекращение) и до 10 рабочих дней (уничтожение). Доказать наличие законного основания обработки обязан сам оператор (п. 3 ст. 9 ФЗ-152), то есть бремя доказывания на магазине, а не на Марате.

Вывод: Марат вправе получить от магазина сведения о своей биометрии (ст. 14 ФЗ-152) и требовать её блокирования/удаления (ст. 21 ФЗ-152); при незаконной обработке отказ оператора исполнить требование в установленные сроки сам по себе — отдельное нарушение, влекущее ответственность (ч. 5 ст. 13.11 КоАП РФ).

Куда обращаться и порядок защиты: Роскомнадзор, прокуратура, полиция

Марат вправе обжаловать действия оператора в уполномоченный орган по защите прав субъектов персональных данных — это Роскомнадзор (ст. 17, 23 ФЗ-152). Роскомнадзор вправе проводить проверку, требовать от оператора блокирования/уничтожения данных, приостанавливать обработку и привлекать виновных к административной ответственности.

Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке. 2. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке
— ст. 17 ФЗ № 152-ФЗ «О персональных данных», п. 1

Уполномоченным органом по защите прав субъектов персональных данных является федеральный орган исполнительной власти, осуществляющий самостоятельно функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 1 1 . (Дополнение частью - Федеральный закон от 22.02.2017 № 16-ФЗ) (Утратила силу - Федеральный закон от 11.06.2021 № 170-ФЗ) 2. Уполномоченный орган по защите прав субъектов персональных данных рассматривает обращения субъекта персональных данных о соответствии содержания персональных данных и способов их обработки целям их обработки и принимает соответствующее решение. 3. Уполномоченный орган по защите прав субъектов персональных данных имеет право: 1) запрашивать у физических или юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию; 2) осуществлять проверку сведений, содержащихся в уведомлении об обработке персональных данных, или привлекать для осуществления такой проверки иные государственные органы в пределах их полномочий; 3) требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных; 3 1 ) ограничивать доступ к информации, обрабатываемой с нарушением законодательства Российской Федерации в области персональных данных, в порядке, установленном законодательством Российской Федерации;
— п. 1, 3 ст. 23 ФЗ № 152-ФЗ «О персональных данных»

Параллельно стоит подать заявление в прокуратуру (общий надзор за соблюдением прав и свобод гражданина, рассмотрение жалоб — в порядке ФЗ-59) и — при наличии признаков покушения на честь/достоинство либо незаконного сбора данных — в полицию. Применим и механизм административной ответственности: обработка биометрии без письменного согласия наказывается по ч. 2 ст. 13.11 КоАП РФ штрафом на юридическое лицо от 300 до 700 тыс. руб., а непредставление сведений субъекту (ч. 4 ст. 13.11) и невыполнение требования об удалении (ч. 5 ст. 13.11) — отдельными штрафами.

Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, - (В редакции Федерального закона от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от ста тысяч до трехсот тысяч рублей; на юридических лиц - от трехсот тысяч до семисот тысяч рублей
— ч. 2 ст. 13.11 КоАП РФ

Все обращения (в Роскомнадзор, прокуратуру) рассматриваются по общему правилу в течение 30 дней со дня регистрации. К заявлению стоит приложить уведомление службы безопасности магазина как доказательство факта включения в базу.

Письменное обращение, поступившее в государственный орган, орган местного самоуправления или должностному лицу в соответствии с их компетенцией, рассматривается в течение 30 дней со дня регистрации письменного обращения
— ч. 1 ст. 12 ФЗ № 59-ФЗ «О порядке рассмотрения обращений граждан»

Вывод: последовательность такая: (1) письменное требование к магазину-оператору (доступ + блокирование + удаление биометрии и исключение из базы), (2) при отказе/молчании — жалоба в Роскомнадзор и заявление в прокуратуру, которые рассмотрят обращение в течение 30 дней и вправе привлечь магазин к административной ответственности по ст. 13.11 КоАП РФ; при наличии признаков состава — заявление в полицию по факту незаконного сбора персональных данных.

Гражданско-правовая защита: опровержение порочащих сведений, удаление информации, компенсация морального вреда

Пометка «вор», распространённая о Марате, если она не соответствует действительности (нет вступившего в силу приговора), — сведение, порочащее его честь, достоинство и деловую репутацию. Он вправе по суду требовать опровержения этих сведений и возмещения убытков и морального вреда; бремя доказывания достоверности лежит на распространителе — магазине.

Гражданин вправе требовать по суду опровержения порочащих его честь, достоинство или деловую репутацию сведений, если распространивший такие сведения не докажет, что они соответствуют действительности. Опровержение должно быть сделано тем же способом, которым были распространены сведения о гражданине, или другим аналогичным способом. По требованию заинтересованных лиц допускается защита чести, достоинства и деловой репутации гражданина и после его смерти. 2. Сведения, порочащие честь, достоинство или деловую репутацию гражданина и распространенные в средствах массовой информации, должны быть опровергнуты в тех же средствах массовой информации. Гражданин, в отношении которого в средствах массовой информации распространены указанные сведения, имеет право потребовать наряду с опровержением также опубликования своего ответа в тех же средствах массовой информации. 3. Если сведения, порочащие честь, достоинство или деловую репутацию гражданина, содержатся в документе, исходящем от организации, такой документ подлежит замене или отзыву. 4.
— п. 1 ст. 152 ГК РФ

наряду с опровержением таких сведений или опубликованием своего ответа вправе требовать возмещения убытков и компенсации морального вреда, причиненных распространением таких сведений. 10. Правила пунктов 1 - 9 настоящей статьи, за исключением положений о компенсации морального вреда, могут быть применены судом также к случаям распространения любых не соответствующих действительности сведений о гражданине, если такой гражданин докажет несоответствие указанных сведений действительности. Срок исковой давности по требованиям, предъявляемым в связи с распространением указанных сведений в средствах массовой информации, составляет один год со дня опубликования таких сведений в соответствующих средствах массовой информации. 11. Правила настоящей статьи о защите деловой репутации гражданина, за исключением положений о компенсации морального вреда, соответственно применяются к защите деловой репутации юридического лица. (Статья в редакции Федерального закона от 02.07.2013 № 142-ФЗ)
— п. 9 ст. 152 ГК РФ

Нарушение личных неимущественных прав (неприкосновенность частной жизни, честь и достоинство) даёт право на компенсацию морального вреда. Незаконная обработка биометрических данных и распространение порочащих сведений — самостоятельные основания для компенсации, причём по порочащим сведениям вред компенсируется независимо от вины причинителя (абз. 3 ст. 1100 ГК). Размер определяет суд с учётом степени вины и характера страданий.

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда. (В редакции Федерального закона от 02.07.2013 № 142-ФЗ) При определении размеров компенсации морального вреда суд принимает во внимание степень вины нарушителя и иные заслуживающие внимания обстоятельства. Суд должен также учитывать степень физических и нравственных страданий, связанных с индивидуальными особенностями гражданина, которому причинен вред
— ст. 151 ГК РФ

вред причинен распространением сведений, порочащих честь, достоинство и деловую репутацию; в иных случаях, предусмотренных законом.
— абз. 3 ст. 1100 ГК РФ

Для фактов Марата это означает: он вправе подать иск о защите чести, достоинства и деловой репутации с требованием (а) признать сведения «вор» не соответствующими действительности, (б) обязать магазин удалить его биометрию и исключить из базы, (в) взыскать компенсацию морального вреда. Ключевое доказательство — уведомление службы безопасности, подтверждающее как факт включения в базу, так и распространение.

Вывод: Марат вправе в судебном порядке добиться опровержения сведений о нём как о «воре», обязать магазин удалить его биометрические данные из базы распознавания и взыскать с магазина компенсацию морального вреда (п. 1, 9 ст. 152 ГК, ст. 151, абз. 3 ст. 1100 ГК); риск для исковой перспективы — только если распространитель докажет соответствие сведений действительности (вступивший в силу приговор о хищении).

Возмещение убытков и доказательства, которые нужно собрать

Незаконная обработка биометрии и распространение порочащих сведений причиняют Марату вред, который подлежит возмещению причинителем — магазином в полном объёме; это основание для взыскания как убытков, так и (отдельно) компенсации морального вреда по ст. 151 ГК и п. 9 ст. 152 ГК.

Вред, причиненный личности или имуществу гражданина, а также вред, причиненный имуществу юридического лица, подлежит возмещению в полном объеме лицом, причинившим вред
— п. 1 ст. 1064 ГК РФ

Для реализации прав Марату нужно зафиксировать факты. Центральное доказательство — уведомление службы безопасности магазина, которое он уже видел: из него следуют одновременно (1) факт включения в базу распознавания лиц, (2) содержание присвоённой метки («вор»), (3) факт распространения сведений. Поэтому уведомление следует сохранить (скриншот, фото экрана, ответ СБ), а также зафиксировать: наименование магазина/сети и адрес (для определения оператора персональных данных и его реквизитов), наличие либо отсутствие объявлений о видеонаблюдении и распознавании лиц, и — критически важно — подтверждение того, что никакого вступившего в силу приговора или постановления о хищении в отношении него нет (это опровергает достоверность метки «вор» и снимает вопрос о презумпции невиновности).

Вывод: материально-правовое основание для взыскания с магазина убытков и морального вреда имеется (п. 1 ст. 1064, ст. 151, п. 9 ст. 152 ГК); доказательственную базу следует собрать до подачи заявлений — сохранить уведомление СБ магазина и зафиксировать отсутствие судебного акта о хищении, поскольку бремя доказывания законности обработки биометрии и достоверности сведений «вор» лежит на магазине, а не на Марате.