Как фитнес-клуб за биометрию по жопе получил 🍑

Гайз, видели новость про мои базы клуба
DDX Fitness? 🤔

Один из пострадавших рассказал СМИ, что нашёл в утечке дату договора, список своих клубов, дни и примерное время посещений, длительность тренировок, ФИО и, по его словам, номер банковской карты. Фотографируют, мол, при заключении договора и гостей, которых он приводит по своему тарифу тоже.

На сайте DDX есть страница «Пакет документов», там лежит ровно один файл — согласие на обработку персональных данных.

В перечне обрабатываемых данных: «фотоизображение (аватар), загруженное мной добровольно, если применимо».

Что это значит, гайз?
По ч. 5 ст. 5 152-ФЗ объём обрабатываемых данных должен соответствовать заявленным целям и не быть избыточным, а тут без цели.

А если это фото ещё и сверяют с человеком на входе, то это установление личности по изображению, то есть биометрические персональные данные по ч. 1 ст. 11 152-ФЗ. Их обработка требует отдельного письменного согласия, которого я вот не увидел 🙃

А вот насколько жопа:
Утечка биометрии даёт минус 15–20 млн. Выручка клуба за 2025 год больше 17 млрд. 💸

Оборотные штрафы до 500 млн закон включает только со второй утечки.

И ещё два прикола:
Оператор обязан уведомить РКН об утечке в течение 24 часов, за неуведомление штраф от 1 до 3 млн., а в заявлении компании про уведомление регулятора нет ни слова, только про «внутреннюю проверку».

И второй: по данным «Ъ», ещё две недели назад в ботах пробива всплывали фотографии кандидатов в Госдуму, посещавших эту сеть, т.е. «инцидент» заметно старше вчерашней новости ⏳

Сейчас клуб досудебками трясут клиенты.

Меня на днях потенциальный заказчик спрашивал о такой проверке у них в сервисе. Я отговорил 💪

А теперь примерьте всю конструкцию на школьные турникеты, про которые я пишу не первый месяц.
А там ведь вместо взрослых клиентов — дети😳