Сведения о компьютерном почерке: проблемы поиска баланса между свободой личности и безопасностью государства

Цветкова Анна Денисовна ORCID: 0000-0002-1631-9265 Студент, Институт юстиции, Уральский государственный юридический университет имени В. Ф. Яковлева" 620034, Россия, Свердловская область, г. Екатеринбург, ул. Колмогорова, 54 Tsvetkova Anna Denisovna Student of the Institute of Justice, Ural State Law University named after V. F. Yakovlev 620034, Russia, Sverdlovskaya oblast', g. Ekaterinburg, ul. Kolmogorova, 54 at@crimlib.info Другие публикации этого автора

Исследование выполнено за счет гранта Российского научного фонда № 23-78-10011, https://rscf.ru/project/23-78-10011/

В последние годы всё более стремительными темпами информационные технологии проникают в нашу жизнь. В России и за рубежом стали говорить о так называемых информационных правах граждан: праве на забвение, праве определять свою «цифровую личность», праве на доступ к сети Интернет и т. д. ^{[1, с. 8–31]}. Однако любое технологическое развитие актуализирует проблему достижения баланса между свободой и безопасностью: так, с одной стороны, многие люди видят в компьютерных системах средство полной анонимизации, создания вымышленной личности цифрового профиля с теми характеристиками, которые сам человек желает закрепить ^{[2, с. 142]}. Одновременно с этим, с каждым годом растёт число компьютерных преступлений, особенно если подходить к их пониманию в широком, криминалистическом смысле ^{[3, с. 167]}. Данный факт отмечается не только научным сообществом: так, на Экономическом и гуманитарном форуме Россия-Африка, прошедшем 27–28 июля 2023 года в Санкт-Петербурге указывалось, что отечественные информационные системы чаще, нежели это происходит в других странах, подвергаются кибератакам. Соответственно, государство заинтересовано в максимальном контроле виртуальной среды. В частности, сохраняя право пользователей на анонимность, оно желает выработать механизм идентификации граждан, деанонимизации их личности в случае возникновения такой необходимости.

Указанную задачу весьма успешно разрешают биометрические технологии, которые позволяют помимо этого повысить уровень личной информационной безопасности посредством настройки систем двухфакторной аутентификации для доступа в систему ^{[4, с. 49]}. Именно их исследование с позиций перспектив внедрения в общественную жизнь и является предметом настоящего исследования.

Биометрические технологии представляют собой инструментальные решения обработки биометрических персональных данных человека ^{[5, с. 242]}. В науке последние принято делить на статические и динамические (поведенческие) ^{[6, с. 2; 7, с. 35; 8, с. 83]}. Однако представляется, что данный подход нельзя признать в полной мере допустимым для использования в российских юридических исследованиях. Это связано с тем, что статья 11 Федерального закона от 27.07.2006 № 152-ФЗ (ред. от 06.02.2023) «О персональных данных» делит все персональные данные на биологические физиологические. Таким образом, далее нами будут использоваться легально установленные категории с той оговоркой, что содержание физиологических биометрических данных совпадает с динамическими и поведенческими, раскрывающимися в большинстве научных исследований по соответствующей теме.

Среди всех биометрических технологий в России наиболее распространёнными являются те, которые позволяют идентифицировать человека по папиллярному узору пальцев рук, изображению лица и радужной оболочке ^[9]. Однако биометрия включает в себя намного более обширный перечень идентификационно-значимых признаков ^{[10; 11, с. 14]}, а современный уровень технологического развития позволяет говорить о существовании обширного потенциала для разработки соответствующих биометрических технологий. В части компьютерных преступлений наиболее приоритетным представляется обработка сведений о компьютерном почерке лица, так как всеми исследователями этого феномена отмечается его сравнительная дешевизна и простота, поскольку фиксация не требует дорогостоящего оборудования ^{[12, с. 64]}.

Поясним, что компьютерный почерк представляет собой физиологическую биометрическую характеристику личности, объединяющую в себе совокупность навыков и привычек взаимодействия пользователя с устройствами-манипуляторами при создании текста. Наибольшую информативность в его структуре представляют сведения о специфике клавиатурного набора: сила нажатия ^[13], динамика ввода ^{[14, с. 240]}, скорость печати ^{[15, с. 17]}, длительность интервала между нажатиями ^{[16, с. 583]} и др.

Целью настоящего исследования является доказать перспективность и допустимость с точки зрения соблюдения конституционных норм широкого распространения технологии идентификации и аутентификации пользователей компьютерных устройств на основе информации об их компьютерном (клавиатурном) почерке. Для этого нами были задействованы как общенаучные, так и специальные методы. Наиболее значимыми из всех явились: метод аналогии (при проецирование правовых режимов уже реализуемых биометрических систем на новые технологии), дедукция (при проецировании генеральных признаков биометрических данных на отдельные частные примеры), сравнительно-правовой (при сопоставлении законодательного регулирования биометрических данных в разных странах), системный (для согласования доктринальных и легальных подходов), метод моделирования (при конструировании возможных сценариев расширения числа применяемых в целях повышения государственной безопасности биометрических технологий) и др.

Компьютерный почерк может рассматривается в качестве персональных данных ^{[15, с. 17]}, которые, согласно п. 1 ч. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», определяются как «любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)». Более того, рассматриваемый феномен, о чём в первую очередь говорят все его исследователи, входит в категорию биометрических персональных данных ^{[4, с. 49; 17, с. 583; 18, с. 128]}, которые, как отмечается в научной литературе с опорой на ст. 11 указанного закона, обладают двумя чертами: «во-первых, характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность, и, во-вторых, используются оператором персональных данных для установления личности субъекта» ^{[19, с. 116]}. При этом подчёркивается, что биометрическими персональными данными могут выступать те сведения, которые непосредственно используются для идентификации, а не только теоретически пригодны для неё ^{[19, с. 116]}. Сведения о компьютерном почерке характеризуют физиологическую особенность человека и позволяют определить конкретного носителя, а также используются сегодня на частном уровне для идентификации пользователя компьютерного устройства [20–22]. Можно сделать вывод (и это подтверждается всеми исследователями ^{[10, с. D-116; 23, с. 157; 24, с. 171]}), что компьютерный почерк является функциональной биометрической характеристикой личности.

В связи с этим существование феномена компьютерного почерка создаёт для науки конституционного права значительное пространство для исследования, порождая следующие вопросы:

1) допустимо ли с точки зрения конституционных прав граждан собирать сведения об их компьютерном почерке;

2) каким образом должна производиться защита данных о компьютерном почерке лица ^{[25, с. 165]};

3) где должны сохраняться сведения о компьютерном почерке;

4) следует ли ограничивать коммерческие организации, которые «также заинтересованы в сборе и обработке персональных данных с целью создания новых бизнес-моделей, персонализации предоставляемых товаров и услуг, максимально эффективного использования инновационных технологий в конкурентной борьбе, защите собственных интересов при разрешении споров» ^{[26, с. 74]} (в частности, сведения о компьютерном почерке пользователей берутся за основу для разработки более удобных, эргономичных клавиатур, что создаёт конкурентное преимущество на рынке комплектующих компьютерных устройств), и как возможно осуществить это ограничение, и др.

Однако несмотря на достаточно длительную историю исследований, посвящённых рассматриваемому нами феномену, начавшуюся в 1970-х годах ^{[10, с. D-116–D-122]}, подавляющее большинство работ до сих пор не выходит за рамки компьютерно-технической области знаний. Правовые же исследования, если и имеются, то игнорируют, за редким исключением, аспекты легального внедрения систем фиксации показателей компьютерного почерка (в качестве исключения можно назвать работы И. З. Фёдорова ^[27], тогда как, например, Е. И. Фойгель, также затрагивающая тему компьютерного почерка не анализируют вопрос получения сведений о нём с правовой точки зрения ^{[28, с. 105]}).

Решение обозначенных выше вопросов – предметная область государственно- и публично-правовых наук – и работа в указанном направлении необходима для создания юридически обоснованной возможности расширения сфер применения биометрических технологий. В настоящей же работе мы постараемся заложить основу для дальнейших исследований в указанном направлении, кратко ответив на поставленные проблемные вопросы. При этом отметим, что они представляют собой лишь начальное звено, но не исчерпывают всей глубины данной темы.

1. Первый вопрос представляется наиболее сложным, поскольку располагается не столько в рамках науки, сколько в сфере философии, заявляя вечную дилемму: свобода или безопасность. В начале настоящей статьи мы уже указывали на данное противоречие при рассмотрении вопросов использования биометрических технологий, сейчас же подчеркнём следующее. По нашему мнению, конституционные права человека в большей степени будут соблюдаться, если государство начнёт централизовано собирать информацию о компьютерном почерке лиц, действующих в виртуальном пространстве. Можно провести аналогию с паспортным контролем в аэропортах: сотрудники службы безопасности видят всё, что пассажир собирается пронести с собой в зону вылета, но это позволяет предотвратить теракты, сохранив жизни мирным гражданам. Так же и со сведениями о компьютерном почерке: в информационную систему будут поступать сведения об индивидуализирующих исполнителя характеристиках набираемого на компьютерном устройстве текста, однако это позволит вовремя выявить экстремистов, педофилов и иных злоумышленников, распространяющих через Интернет противоправную информацию ^{[29, с. 575–576]}. К тому же необходимо учитывать, что такие объёмы информации явно не будут обрабатываться человеком, так как его ресурсов для этого недостаточно ^{[30, с. 5; 31, с. 23]}. Все основные операции по сбору, накоплению, хранению, распределению будут осуществляться автоматизировано, тогда как человек – уполномоченный представитель государства – сможет получить доступ к этим сведениям только в ситуации необходимости, при которой допускается обработка персональных данных субъекта без его согласия (п. 2–11 ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных») .

2. Потребность в защите информации о компьютерном почерке лица связана не только с его отнесением к персональным данным, которые должны охраняться в принципе, но и с повышенным риском для неприкосновенности личной жизни и тайны, вызванным спецификой технологии получения сведений о компьютерном почерке. Специальные программы, программно-аппаратные устройства или встроенные модули операционной системы (далее, совокупно системы, захватывающие показатели компьютерного почерка, мы будем, допуская определённую долю условности, именовать кейлоггерами) фиксируют и сохраняют информацию о каждой нажатой клавише с указанием временных меток ^{[32, с. 48]}. Таким образом, сведения о компьютерном почерке оказываются непосредственно связанными с конкретным набираемым текстом. Помимо этого, отдельные кейлоггеры также отслеживают посещённые сайты, запущенные программы ^[33]. Постоянный централизованный сбор, о котором подробнее будет сказано далее, с одной стороны, повышает риск утечки этих сведений из-за противоправных действий злоумышленников, а с другой стороны, делает эту информацию полностью доступной для государства. В связи с этим, некоторыми авторами предлагается кодировать сведения о компьютерном почерке так, чтобы система теряла связь с набранным текстом и посредством искусственной интеллектуальной обработки предлагала человеку только обезличенную выдачу с информацией о тождественности лица, набиравшего сравниваемые тексты, не демонстрируя те вводные, на основе которых было принято решение ^{[34, с. 55]}. Однако представляется, что использование таких технологических решений приемлемо только для «домашнего» использования компьютерного почерка при внедрении в системы контроля допуска. То есть при таком обезличивании невозможно обращаться к данным о компьютерном почерке для решения, например, задач раскрытия и расследования преступлений, где необходимо идентифицировать лицо, напечатавшее тот или иной текст. Поэтому перспективным, на наш взгляд, будет решать проблему задействованием правовых, а не технологических механизмов. Однако это не исключает необходимости соблюдения всех правил безопасности, предъявляемых к защите критической информационной инфраструктуры Российской Федерации ^{[35, с. 16]}.

3. Одним из правовых механизмов, на которые мы указали в предыдущем пункте, может выступать детальное регулирование вопросов фиксации и использования сведений о компьютерном почерке. Для начала можно добавить упоминание о нём в ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», раскрыв наряду с остальными основными понятиями. Расширение сфер его применения может потребовать внесения соответствующих дополнений и в иные нормативно-правовые акты, существующего сегодня указания на существование компьютерного почерка исключительно в ГОСТах в скором времени будет недостаточно ^{[36, с. 123]}. При этом считаем целесообразным в некоторых вопросах обратиться к опыту других государств, где, в частности существует отдельное регулирование отношений, связанных с оборотом биометрических персональных данных, а также на законодательном уровне закреплён этот статус за компьютерным почерком (см. например, отдельные штаты США, в частности Калифорнию, Китай, Европейский Союз и др.) ^{[32; 19, с. 97–116]}.

Помимо этого, можно на законодательном уровне установить обязанность для всех разработчиков программного обеспечения внедрять в свои компьютерные устройства кейлоггеры и предоставлять сведения о компьютерном почерке пользователей по запросу представителей государства. Однако более приоритетным видится сценарий, при котором будет существовать обязанность всех устанавливать лицензионный государственный кейлоггер, настроенный на передачу информации в режиме реального времени в государственную базу данных. Последняя может представлять из себя как полностью автономную систему, так и выделенный блок в Единой биометрической системе. Считаем, что это позволило бы облегчить решение задач идентификации исполнителя напечатанного текста в рамках деятельности по раскрытию и расследованию преступлений. Вместе с тем, повышенные требования к защищённости государственных баз данных с большей вероятностью гарантируют сохранность информации о компьютерном почерке лиц именно в централизованной федеральной системе.

Оговоримся, что мы не считаем правильным рассматривать в контексте правового регулирования вопросы использования компьютерного почерка в целях обеспечения персональной информационной безопасности – наиболее развитой сферы его использования, о чём свидетельствуют научные исследования и практические разработки ^{[37, с. 191]}, поскольку, на наш взгляд, абсолютная юридизация общественных отношений может привести к стагнации развития, и не требуется в тех сферах, которые в норме функционируют без правовых рамок. Однако это не означает, что те аспекты применения компьютерного почерка, которые представляют наибольший интерес для специалистов в области компьютерных технологий, не могут быть заимствованы правовой сферой. Так, например, детализация общих вопросов обращения к компьютерному почерку для обеспечения информационной безопасности позволяет говорить об адаптивности описанных моделей контроля доступа к определённым системам, отдельной информации в различных специальных сферах деятельности. Например, констатируется актуальная необходимость разработки новых систем управления доступом к автоматизированным системам органов внутренних дел Российской Федерации, главным образом, с целью обеспечения защищённости критической информационной инфраструктуры государства ^{[38, с. 22]}, что, однако, должно рассматриваться в рамках информационного права.

4. Что же касается коммерческих лиц, то на настоящем этапе не следует вводить какие-либо запретительные меры, однако следует предусмотреть обязанность для компаний, отбирающих сведения о компьютерном почерке, обязанность предупреждать пользователей об этом и получать их согласие, например по модели, введённой для Cookie-файлов ^[39]. Представляется даже, напротив, весьма полезным тот факт, что коммерческие компании сегодня фиксируют сведения о компьютерном почерке, поскольку до запуска государственной системы это единственный источник получения свободных образцов компьютерного почерка, без которых осложняется проведение идентификационных экспертных исследований. Помимо этого, такая деятельность компаний, аналогично личному использованию кейлоггеров, способствует прогрессу в данной области, позволяет говорить об актуальности, востребованности и развитии технологии.

Таким образом, мы представили возможные ответы на заявленные проблемные вопросы в сфере использования информации о компьютерном почерке пользователей. Однако их нельзя считать исчерпывающими и следует признать насущную потребность дальнейшего изучения данной темы различными научными коллективами.

В юридической среде компьютерный почерк – достаточно молодое явление, которое, в связи с этим, требует всестороннего изучения. Мы считаем, что информация о нём в условиях ускоряющейся цифровизации может стать незаменимой для раскрытия и расследования преступлений, заняв место сведений о традиционном рукописном почерке лица – экспертные исследования которого исторически носили весьма распространённый характер ^{[40, с. 197; 41, с. 4]}. Однако, чтобы такое использование стало возможным необходимо создать централизованную государственную систему (или выделить блок в существующей) для повсеместного сбора сведений о компьютерном почерке.

Так как человек сможет получить доступ к данным о скорости печати, динамике ввода, силе нажатия, временному интервалу между нажатиями клавиш и т. д., только будучи уполномоченным на то лицом и в ситуациях, где эта информация необходимо для решения государственных задач, а к государственным базам данных предъявляются повышенные требования по безопасности, можно говорить о том, что важнейшие права граждан на неприкосновенность их частной жизни и сохранения личной тайны будут соблюдены. Мы полностью разделяем позицию И. Ю. Остаповича и А. В. Нечкина, которые считают, что «новые проблемы, обусловленные особенностями реализации этих ценностей в интернете, требуют выработки наиболее эффективных механизмов их защиты в новых условиях реализации, а не полного отказа от них под предлогом их защиты» ^{[29, с. 566]}.

Считаем, что при реализации описанной нами модели повсеместного сбора показателей компьютерного почерка вполне возможным будет сохранить указанный баланс между свободой и безопасностью, однако для этого необходима глубокая и детальная проработка всех возможностей и потенциальных рисков.

Исследование выполнено за счёт гранта Российского научного фонда № 23-78-10011, https://rscf.ru/project/23-78-10011/