БИОМЕТРИЧЕСКАЯ ИДЕНТИФИКАЦИЯ

Устанавливаются требования к деловой репутации руководителей организации, владеющей информационной системой, обеспечивающей идентификацию на основе биометрических данных физических лиц, и (или) оказывающей услуги по такой идентификации

Единоличный исполнительный орган или член коллегиального исполнительного органа указанных организаций должны соответствовать следующим требованиям:

- отсутствие у члена коллегиального исполнительного органа организации на день подачи документов для аккредитации организации неснятой или непогашенной судимости за совершение преступления;

- отсутствие факта расторжения трудового договора с лицом по инициативе работодателя в связи с разглашением охраняемой законом тайны или конфликтом интересов, если на день, предшествующий дню подачи документов для аккредитации организации, не истек трехлетний срок со дня расторжения такого трудового договора;

- отсутствие факта совершения лицом в течение одного года, предшествующего дню подачи документов на аккредитацию организации, в качестве должностного лица административного правонарушения в области предпринимательской деятельности, предусмотренного частями 2 - 4 статьи 14.1 КоАП РФ, или административного правонарушения в области защиты информации, предусмотренного статьей 13.13 КоАП РФ;

- отсутствие факта неоднократного (два и более раз) совершения лицом в течение трех лет, предшествующих дню подачи документов на аккредитацию организации, административного правонарушения в области персональных данных, предусмотренного статьей 13.11 КоАП РФ;

- отсутствие факта неоднократного (два и более раз) совершения лицом административного правонарушения за неправомерные действия при банкротстве юридического лица, преднамеренное и (или) фиктивное банкротство юридического лица (за исключением случаев, когда такое административное правонарушение повлекло наказание в виде предупреждения), предусмотренного статьями 14.12 и 14.13 КоАП РФ.

Совершение указанных правонарушений должно быть установлено вступившим в законную силу постановлением судьи, органа или должностного лица, уполномоченных рассматривать дела об административных правонарушениях.

(Приказ Минцифры России от 27.08.2021 N 896)

Определен перечень случаев осуществления сбора и обработки используемых для идентификации либо идентификации и аутентификации биометрических персональных данных в информационных системах организаций

К таким случаям отнесены:

- идентификация либо идентификация и аутентификация водителей легкового такси;

- идентификация либо идентификация и аутентификация водителей транспортных средств, предоставленных в краткосрочную (до 24 часов) аренду на основе поминутной тарификации физическим лицам для целей, не связанных с осуществлением такими физическими лицами предпринимательской деятельности (каршеринг);

- идентификация либо идентификация и аутентификация при проходе на территорию организаций посредством системы контроля и управления доступом на территории данных организаций, за исключением организаций оборонно-промышленного, атомного энергопромышленного, ядерного оружейного, химического, топливно-энергетического комплексов, организаций, относящихся к объектам транспортной инфраструктуры, субъектам критической информационной инфраструктуры, объектов, совершение террористического акта на территории которых может привести к возникновению ЧС с опасными социально-экономическими последствиями согласно категорированию, проводимому в соответствии с Правилами разработки требований к антитеррористической защищенности объектов (территорий) и паспорта безопасности объектов (территорий), утвержденными Постановлением Правительства РФ от 25.12.2013 N 1244, дошкольных образовательных организаций и общеобразовательных организаций;

- идентификация либо идентификация и аутентификация при участии в собрании участников гражданско-правового сообщества, за исключением вышеперечисленных организаций, а также кредитных организаций, некредитных финансовых организаций, которые осуществляют указанные в части первой статьи 76.1 Федерального закона "О Центральном банке Российской Федерации (Банке России)" виды деятельности, субъектами национальной платежной системы, эмитентов ценных бумаг.

(Постановление Правительства РФ от 23.10.2021 N 1815)

Актуализирован порядок обработки, включая сбор и хранение, параметров биометрических персональных данных

Новый порядок учитывает изменения, внесенные Федеральным законом от 29.12.2020 N 479-ФЗ "О внесении изменений в отдельные законодательные акты Российской Федерации".

Определено, что хранение параметров биометрических персональных данных в иных информационных системах, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных физлиц, собранных для проведения идентификации, не допускается.

Собранные биометрические персональные данные, размещенные в единой биометрической системе или в иных информационных системах, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных физических лиц, а также обрабатываемые в указанных информационных системах, используются в целях идентификации и (или) аутентификации не более 5 лет с даты сбора, а в случаях проведения идентификации биометрических образцов данных голоса - не более 3 лет с даты сбора.

Кроме этого, уточняются порядок размещения и обновления биометрических персональных данных в единой биометрической системе и в иных информационных системах, обеспечивающих идентификацию и аутентификацию с использованием биометрических персональных данных физлиц, а также требования к информационным технологиям и техническим средствам, предназначенным для обработки биометрических персональных данных в целях проведения идентификации.

Утрачивает силу аналогичный Приказ Минкомсвязи России от 25.06.2018 N 321.

(Приказ Минцифры России от 10.09.2021 N 930)

Определен перечень индикаторов риска нарушения обязательных требований при осуществлении федерального государственного контроля (надзора) в сфере идентификации и (или) аутентификации

Такими индикаторами являются:

- выявление 5 случаев технического сбоя в работе аппаратных шифровальных (криптографических) средств, используемых аккредитованной организацией, осуществляющей идентификацию и (или) аутентификацию с использованием биометрических персональных данных физических лиц, не повлекших причинение вреда (ущерба) или угрозу причинения вреда (ущерба) охраняемым законом ценностям, в течение 14 календарных дней со дня фиксации первого случая такого технического сбоя;

- возникновение у аккредитованной организации, осуществляющей идентификацию и (или) аутентификацию с использованием биометрических персональных данных физических лиц, более 10 случаев ложного совпадения предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в информационных системах, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных, не повлекших причинение вреда (ущерба) или угрозу причинения вреда (ущерба) охраняемым законом ценностям, в течение 14 календарных дней со дня фиксации первого случая такого ложного совпадения;

- возникновение у аккредитованной организации, осуществляющей идентификацию и (или) аутентификацию с использованием биометрических персональных данных физических лиц, более 10 ошибок при обнаружении атак на биометрическое предъявление в процессе прохождения идентификации и (или) аутентификации, не повлекших причинение вреда (ущерба) или угрозу причинения вреда (ущерба) охраняемым законом ценностям, в течение 14 календарных дней со дня фиксации первой из указанных ошибок.

(Приказ Минцифры России от 06.12.2021 N 1308)