Биометрические персональные данные: иски и нарушения

В данном обзоре представлены нарушения и иски в отношении сбора и обработки биометрических персональных данных, которые стали известны за последний месяц. Одни из них связаны с применением биометрических данных в моделях ИИ, другие — с внедрением или использованием систем распознавания лиц, а также сбором биометрических персональных данных несовершеннолетних.

Компания Google столкнулась с судебным иском за несоблюдение Закона штата Иллинойс о защите конфиденциальности биометрической информации (BIPA). Компанию обвиняют в обучении моделей голосового ИИ на основе биометрических голосовых данных журналистов, авторов подкастов и дикторов аудиокниг.

Google создала свои базовые модели на основе тысяч часов записанной речи для извлечения биометрических голосовых отпечатков (voiceprint). Модели использовались в продуктах Gemini Live, NotebookLM Audio Overviews, автоматическое озвучивание на YouTube, Google Cloud Text-to-Speech и Google Assistant.

Согласно искам, вышеуказанные компании создавали системы голосового управления на основе искусственного интеллекта, используя голосовые отпечатки, собранные в интернете и других источниках, без получения на это письменного согласия или публикации политики хранения биометрических персональных данных, требуемой в соответствии с BIPA.

Компания Disney столкнулась с коллективным иском за сбор биометрических персональных данных посетителей с помощью систем распознавания лиц в тематических парках в Калифорнии, без получения на то согласия субъектов данных.

С конца апреля компания Disney начала внедрять сбор данных с помощью систем распознавания лиц на входах в свои тематические парки, расположенные в Калифорнии. В жалобе, поданной в окружной суд США в Нью-Йорке, говорится, что компания Disney не раскрывает информацию об использовании собираемых ею биометрических персональных данных, и посетители парков, среди которых почти всегда дети, даже не знают, что Disney собирает их конфиденциальные данные. В иске требуют компенсацию в размере не менее 5 млн долларов, включая детей.

Клубы в Германии и Нидерландах планируют масштабную модернизацию своих домашних стадионов с использованием биометрических технологий. Однако у экспертов по конфиденциальности информации нововведения вызывают вопросы, насколько они соответствуют GDPR и другими нормативным актам.

Футбольный клуб «Боруссия» планирует внедрить биометрическую систему входа для уменьшения очередей на стадионе «Боруссия-Парк» вместимостью 54 тыс. человек.

Национальная футбольная ассоциация Нидерландов KNVB также планирует внедрить систему персонального цифрового доступа (PDT), она заменит физический билет или членскую карту биометрическими персональными данными, связанными с идентификатором пользователя. Система поможет быстро выявлять агрессивных болельщиков и поспособствует борьбе с перепродажей билетов на черном рынке.

По словам эксперта по защите данных Дома Уайта, согласно правилам GDPR, использование технологий распознавания лиц для предоставления доступа на стадион подпадает под действие специальной категории персональных данных. Даже если это необязательно или предназначено для улучшения опыта посещения стадионов, клубы должны соответствовать более высоким стандартам, применимым к обработке биометрических персональных данных.

Так, в марте испанский клуб «Барселона» был оштрафован испанским управлением по защите данных (AEPD) на 500 тыс. евро за «непроведение надлежащей оценки воздействия на защиту данных при сборе биометрических персональных данных во время переписи 143 000 членов клуба», которая включала сбор биометрических данных с селфи и сканирования удостоверений личности.

Футбольная лига Испании также была оштрафована на 1 млн евро в 2025 году за аналогичные нарушения.

В США организация «Граждане за ювенальную юстицию» (CJJ) выпустила отчет, в котором сообщила, что полицейские управления, шерифы, суды штата Массачусетс продолжают обмениваться информацией с Иммиграционной и таможенной службой (ICE) в том числе, отпечатками пальцев несовершеннолетних.

Доклад основан на 90 запросах на предоставление публичной информации, направленных в полицейские управления, офисы шерифов и прокуратуры по всему штату.

Как отмечается в докладе, отпечатки пальцев передаются в общую базу данных, которая пересылает информацию федеральным властям, включая ICE и Федеральное бюро расследований. Иммиграционная служба, в свою очередь, использует данные об отпечатках пальцев для поиска и задержания лиц.

В докладе приводен пример задержания в мае прошлого года нескольких несовершеннолетних в Челси после ареста за мелкие правонарушения и снятия отпечатков пальцев. Данный случай тоже побудил правозащитников призвать к прекращению обмена данными об отпечатках пальцев несовершеннолетних с федеральными властями.

Тем временем, организации вводят меры в ответ на растущее давление на разработчиков технологий распознавания лиц. Так, компания Facewatch назначила специалиста по защите данных и киберправу, Дина Армстронга, своим сотрудником по защите данных (DPO).