Правительство РФ приняло новое постановление об аккредитации лиц, использующих Единую биометрическую систему (ЕБС) для аутентификации физических лиц. Постановление № 670 от 28.04.2023 года приняли взамен утратившего силу № 1498 от 26.08.2022 г. 
 
Несмотря на то, что документ вступил в силу 1 июня 2023 года, уже ведется работа по подготовке дополнений
и изменений.

Основные изменения в части работы с ЕБС
и биометрическими персональными данными

В постановлении регламентирован перечень требований к операторам и владельцам ИС (информационных систем), которые обеспечивают аутентификацию физ.лиц.

В список основных требований вошли следующие:

• • в штатном расписании должно быть предусмотрено 2 и более сотрудника, которые будут заниматься эксплуатацией ИС, обеспечивающих аутентификацию
  • для аутентификации разрешено использовать только то ПО, которое включено в соответствующий единый реестр
  • для обработки биометрических персональных данных допускается использовать только те векторы ЕБС, которые находятся на территории РФ
  • взаимодействие с ГосСОПКА – обязательно
  • выполнять требования 152-ФЗ (в том числе ч.4 ст.19) – обязательно

 
Также Постановлением закреплена обязанность владельцев и операторов ИС:

• • владеть средствами шифрования
  • иметь лицензию на деятельность, связанную с шифровальными средствами и средствами криптографии (разработка, производство, распространение)

 
Постановлением Правительства № 810 от 22.05.2023 г. утверждены Правила, в соответствии с которыми владельцы
и операторы ИС, обеспечивающих аутентификацию физ.лиц, будут проходить аккредитацию.

В том числе Правилами определены:

• • порядок подачи заявления на аккредитацию
  • содержание этого заявления
  • порядок рассмотрения заявления
  • сроки прохождения процедур по аккредитации
  • основания для приостановления действия аккредитации и его прекращения
  • порядок внесения изменений в списки органов, прошедших аккредитацию
  • порядок обжалования решений уполномоченных органов

 
Согласно Правил уполномоченным органом, осуществляющим аккредитацию, является Минцифры РФ.

При подаче заявления на аккредитацию заявитель должен подтвердить свое соответствие требованиям Правил, в том числе:

• • наличие минимального размера собственного капитала (500 миллионов рублей)
  • наличие финансового обеспечения ответственности (минимум 100 миллионов рублей)
  • права на аппаратные средства шифрования (криптографии)
  • соответствие требованиям к деловой репутации, которые утверждены Приказом Минцифры № 387 от 20.04.2023 г.

 
В частности, единый исполнительный и/или учредитель/участник, имеющий 10% акций/долей уставного капитала не должен иметь непогашенных судимостей, не должен совершать административные правонарушения в течение минимум 1 года до даты подачи, быть привлеченным к ответственности за правонарушения в сферах, связанных с обработкой ПДн и/или неоднократными правонарушениями при банкротстве.

Аккредитация действует бессрочно, но может быть приостановлена или аннулирована.
Новое Постановление и Правила аккредитации будут действовать до 01.06.2029 года.

Как изменился порядок размещения биометрических ПДн в ЕБС через мобильное приложение

Правила, в соответствии с которыми физические лица размещали свои биометрические ПДн в ЕБС через мобильное приложение этой системы ранее были установлены постановлением Правительства № 1066 от 15.06.2022 г. В новой редакции эти правила были утверждены постановлением Правительства № 851 от 29.05.2023 г.
Актуальная редакция позволяет разместить биометрические ПДн в ЕБС:

• • при наличии учетной записи в ЕБС с прохождением аутентификации
  • с использованием идентификационной информации из иных ИС

 
В предыдущей редакции такой возможности не было.

В некоторых ситуациях допускается размещать ПДн, не используя заграничный паспорт.

Также документ определяет порядок размещения биометрических ПДн в региональном сегменте системы.
При этом пользователь должен использовать региональное мобильное приложение.
Полный перечень случаев и сроков использования биометрических ПДн определяется постановлением Правительства № 815 от 25.05.2023 г.
 
В частности, биометрические ПДн могут использоваться в течение 3 лет с даты размещения. Их обновление должно осуществляться либо по истечении этого срока, либо ранее – по инициативе самого физ.лица.
Этот порядок установлен Постановлением.

Когда не допускается аутентификация на основе биометрических ПДн физ.лиц

Осуществлять аутентификацию физ.лица на основе биометрии разрешено не всегда. Перечень случаев-исключений утвержден постановлением Правительства РФ № 815 от 25.05.2023 г.
В него вошли следующие случаи:

• • проведение вступительных экзаменов, промежуточных и итоговых аттестаций в учебных заведениях
  • оказание медицинской помощи, в том числе получение добровольного информированного согласия или отказа от вмешательства, проведение медосмотров и отпуск лекарств
  • оказание государственных и муниципальных услуг и осуществление функций органами государственного и местного управления

 
Также Постановлением определен перечень случаев, когда можно использовать биометрические ПДн, если физ.лицо подписало согласие на их обработку простой электронной подписью.
 
В этот список вошли:

• • безналичные расчеты на сумму до 5 тысяч рублей с НДС
  • обслуживание клиентов при личном присутствии, если ранее клиент проходил процедуру идентификации в установленном порядке, для организаций финансовой сферы
  • взаимодействие при помощи телефонной связи через контакт-центр
  • проход через КПП на объекты транспортной инфраструктуры, за исключением субъектов КИИ
    и случаев аутентификации с использованием региональной ЕБС
  • проход через КПП на территории организаций (перечень исключений также обозначен
    в Постановлении)
  • вручение простых почтовых отправлений ценностью до 2500 рублей

Сколько стоит использование ЕБС

Конкретной фиксированной ставки за пользование ЕБС нет. Однако методика расчета платы за ее использование уже установлена Приказом Минцифры № 334 от 31.03.2023 г. 
 
Методика предусматривает несколько вариантов расчета платы:

• • за одно предоставление информации (единичный запрос)
  • за 1 календарный день
  • единовременная за 1 календарный месяц
  • ежегодная плата

 
Тариф дифференцированный, рассчитывается путем умножения базовой ставки (30 рублей) на ряд коэффициентов, в том числе отраслевой и региональный. Формула вычисления зависит от количества успешных сравнений за отчетный период. Этот документ также действует в период 01.06.2023 – 01.06.2029 гг.

Угрозы при работе с биометрическими ПДн

Какие угрозы безопасности актуальны при работе с биометрическими ПДн и взаимодействии ИС с ЕБС?

Их перечень утвержден Приказами Минцифры № 445 от 05.05.2023 г. и № 446 от 05.05.2023 г.
В число основных вошли угрозы нарушения:

• • целостности биометрических ПДн (подмена, удаление)
  • конфиденциальности биометрических ПДн (компрометация)
  • достоверности биометрических ПДн (в том числе внесение фиктивных, ложных сведений)

 
Методика проверки соответствия данных биометрии определена приказом Минцифры от 17.04.2023 № 378.

Данные угрозы могут реализоваться при сборе, обработке и передаче ПДн, в том числе в результате умышленных целенаправленных действий.

Об ответственности за незаконное размещение биометрических данных

Новое Постановление не определяет порядок привлечения к ответственности за факты незаконного размещения биометрической информации. Однако это не означает, что таковая не будет предусмотрена другими законодательными актами. В настоящее время на рассмотрении в Государственной думе РФ находится законопроект о внесении изменений в Кодекс об административных правонарушениях, в том числе в ст.13.11.

Документ устанавливает административную ответственность за такие нарушения, как:

• • обработка персональных данных без согласия субъекта ПД
  • размещение биометрических ПД субъекта в ЕБС с нарушением требований действующего законодательства РФ

 
Уже предусмотренная НПА ответственность за подобные нарушения в случае принятия законопроекта будет усилена. Речь идет как о первичных, так и о повторных нарушениях.
В частности, законопроектом предусмотрены следующие штрафы за первичное нарушение:

• • для должностных лиц – 100-300 тысяч рублей (в действующей редакции – 20-40 тысяч рублей)
  • для юридических лиц – 300-700 тысяч рублей (в действующей редакции 30-155 тысяч рублей)

 
За повторное нарушение максимальный размер штрафов вырастет с 500 тысяч до 1,5 миллионов рублей.