Защита прав граждан при работе единой биометрической системы

Начиная с 2006 года – принятия Федерального закона № 152-ФЗ «О персональных данных» – нормативные правовые акты в этой области дополняются и совершенствуются.

Необходимо отметить, что рассредоточение персональных данных физических лиц в различных ведомствах, учреждениях, в субъектов предпринимательской деятельности не способствовало тому уровню их защиты от утечки, который декларировался в принятых законодательных документах, из-за отсутствия единой информационной системы обработки и хранения. Более того контроль за соблюдением неразглашения персональных данных зачастую носит декларационный характер, не опирается на практические мероприятия по обеспечению их неразглашения.

В связи с переходом в Российской Федерации к цифровой экономике и интенсивным развитием информационно-коммуникационных технологий и массовых коммуникаций, развития электронной торговли, в последние годы вопросы защиты персональных данных физических лиц требовали принятия незамедлительных решений.

Особенно актуальным это стало с повсеместным использованием в цифровой среде биометрических персональных данных физических лиц методами аутентификации и идентификации.

Для установления личности на основе биометрических данных используются следующие методы:

• отпечатков пальцев;
• характеристики речи;
• радужной оболочки глаз;
• изображения лица;
• геометрии ладони [3].

Постановлением Правительства Российской Федерации № 1067 от 15.06.2022 «О размещении физическими лицами своих биометрических персональных данных в единой информационной системе персональных данных» утверждены правила, регламентирующие размещение биометрических данных граждан в единой информационной системе, обеспечивающей их обработку, включая сбор, хранение, проверку и передачу информации о степени соответствия предоставленных данных.

В соответствии с утвержденными нормами, применение российского программного обеспечения, предназначенного для обработки биометрических данных, допускается только после проведения оператором Единой биометрической системы проверки пользовательского оборудования (включая идентификационный модуль мобильного приложения) на наличие вредоносного программного обеспечения [3].

Физические лица несут ответственность за обеспечение конфиденциальности и неразглашение информации, связанной с использованием мобильного приложения, включая данные для доступа к устройству и сервисам (логины, пароли, коды), а также за все действия, совершаемые с использованием приложения и связанных с ним данных.

Постановление Правительства Российской Федерации № 1066 от 15.06.2022 определяет следующие случаи использования биометрических данных, размещенных в единой информационной системе:

• проведение аттестации в вузах;
• осуществление платежей картой до 1000 рублей;
• осуществление в организациях торговли и услуг; обслуживание идентифицирован;
• идентификация клиентов финансовыми организациями дистанционно; аутентификация клиентов в банках при личном посещении;
• оплата проезда в г. Москва;
• осуществление прохода на территорию государственных органов;
• заключение договоров связи через интернет;
• посещение спортивных мероприятий;
• аутентификация на портале Госуслуг [3].

Данное постановление является подзаконным актом, поэтому не может содержать нормы об ответственности за разглашение персональных данных. В последнее время из-за небрежности операторов персональных данных и хакерских атак наблюдается массовое хищение персональных данных граждан.

У населения это вызывает тревогу, поскольку операторам частной или государственной информационно-коммуникационной системы граждане доверяют свои биометрические данные, а их утечка может привести к непредсказуемым последствиям.

Федеральный закон № 572-ФЗ, принятый 29 декабря 2022 года «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных , о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации», призван урегулировать существующие проблемы в сфере обработки и защиты личных данных граждан.

Действие данного закона распространяется на отношения, возникающие в процессе идентификации и/или аутентификации физических лиц с использованием государственной информационной системы «Единая система идентификации и аутентификации физических лиц с использованием биометрических персональных данных», а также при взаимодействии этой системы с информационными системами аккредитованных государственных органов, Центрального банка Российской Федерации (при условии его аккредитации) и организаций, осуществляющих аутентификацию на основе биометрических данных [2].

Важным аспектом является изменение трактовки понятий «аутентификация» и «идентификация» в законодательстве.

Ранее, согласно ГОСТ Р 50.1.053-2005, аутентификация определялась как проверка подлинности субъекта доступа к информационной системе, а идентификация – как присвоение идентификаторов субъектам и объектам доступа или сопоставление предъявляемого идентификатора с имеющимся перечнем.

В отличие от обобщенного характера определений, представленных в ГОСТ, Федеральный закон № 572-ФЗ предлагает более детализированные определения аутентификации и идентификации. Аутентификация определяется как комплекс мероприятий по проверке принадлежности лицу идентификаторов путем сопоставления их со сведениями, имеющимися у проводящего аутентификацию, и установлению правомерности владения идентификаторами посредством аутентифицирующих признаков. Идентификация, в свою очередь, представляет собой совокупность действий по установлению и проверке сведений о лице в соответствии с федеральными законами и нормативными актами, а также сопоставлению этих сведений с идентификатором, представляющим собой уникальное обозначение сведений о лице, необходимое для его определения. Указанный федеральный закон даёт исчерпывающее толкование понятий аутентификации и идентификации, исключая возможность разночтений.

Действие данного закона распространяется на отношения, возникающие при идентификации и (или) аутентификации с использованием биометрических данных граждан, а также в случаях, когда соответствие биометрических данных, предоставленных физическим лицом, данным в информационных системах государственных органов, Центрального банка или иных организаций, устанавливается не автоматизировано, а с участием уполномоченного лица.

Идентификация и (или) аутентификация с использованием биометрии необходима для осуществления:

• оперативно-розыскной деятельности;
• обороны страны, обеспечения безопасности государства, охраны правопорядка, реализации внешней политики;
• функционирования миграционной системы, изготовления документов, удостоверяющих личность;
• обеспечения санитарно-эпидемиологического благополучия.

Сбор биометрических данных актуален для вышеперечисленных задач [2]. Впервые вводится понятие «Единая биометрическая система» – государственная система идентификации и аутентификации, содержащая биометрические данные, векторы и иную информацию, используемую для идентификации и аутентификации. Оператором системы является организация, определяемая Правительством Российской Федерации. Это позволяет прекратить «расползание» персональных данных по разным базам и снизить риск их утечки.

Единая биометрическая система включает региональные сегменты, содержащие информацию по соответствующим регионам. Оператором регионального сегмента может быть орган исполнительной власти субъекта РФ или подведомственное ему учреждение. Региональные системы используются для аутентификации и применяют системы технических средств для обработки биометрических данных.

В Единой биометрической системе размещаются и обрабатываются изображение лица и запись голоса человека. Сбор данных разрешается только с согласия физического лица.

В соответствии со статьей 11 Федерального закона «О персональных данных», биометрические персональные данные – это сведения, характеризующие физиологические и биологические особенности человека и позволяющие установить его личность. Обработка этих данных может осуществляться без согласия субъекта в случаях, предусмотренных законодательством РФ, таких, как осуществление правосудия, противодействие терроризму, оборона, борьба с коррупцией и оперативно-розыскная деятельности.