Если организация непосредственно использует Единую биометрическую систему для идентификации или аутентификации клиента, отсутствие у нее специальной аккредитации организации, осуществляющей биометрическую аутентификацию, само по себе работу не запрещает. Такой режим предусмотрен Федеральным законом № 572-ФЗ, а Минцифры отдельно разъясняло, что при непосредственном использовании ЕБС эта аккредитация не требуется.
Иной случай — когда компания использует собственную информационную систему и полученные из ЕБС векторы для автоматизированной аутентификации граждан. Здесь аккредитация обязательна. Более того, Правила № 810 прямо устанавливают: подтверждением ее наличия является запись в перечне аккредитованных организаций Минцифры.
Поэтому если положительное решение Минцифры есть, но запись в его официальном перечне так и не появилась, продолжать биометрическую аутентификацию через собственную систему рискованно. Если же ошибку содержит только дополнительный список на сайте оператора ЕБС, а официальный перечень Минцифры подтверждает действующую аккредитацию, статус организации не прекращается.
Когда перечень имеет правообразующее значение
Статья 16 Закона № 572-ФЗ разрешает обрабатывать векторы ЕБС в собственной информационной системе организации только при одновременном соблюдении специальных требований: защите персональных данных, использовании криптографии, наличии согласия гражданина и прохождении аккредитации.
Порядок аккредитации установлен постановлением Правительства РФ № 810. В нем аккредитованной прямо названа организация, включенная в перечень, а пункт 12 устанавливает, что именно соответствующая запись подтверждает наличие аккредитации. После положительного решения Минцифры должно внести ее не позднее двух рабочих дней.
Это значит, что письмо о положительном решении при отсутствующей записи — недостаточное основание для продолжения работы собственной биометрической системы. Нужно добиться завершения процедуры.
При этом существует еще публичный список оператора ЕБС. Он вторичен: оператор обновляет его на основании информации Минцифры в течение пяти рабочих дней. Поэтому при расхождении сначала проверяют именно официальный перечень Минцифры.
Что делать при ошибочном статусе
Если организация присутствует в перечне как действующая, но ошибочны наименование, адрес, руководитель или сайт, аккредитация не исчезает. Правила № 810 прямо предусматривают внесение изменений, в том числе для исправления описок, опечаток и других технических ошибок.
Организация направляет в Минцифры заявление о внесении изменений. При реальном изменении сведений сделать это нужно в течение 10 рабочих дней. Минцифры проверяет заявление и принимает решение не более чем за 15 рабочих дней. Если техническую ошибку обнаружило само ведомство, оно вправе исправить ее самостоятельно.
Опаснее ситуация, когда в перечне появился статус о приостановлении. Настоящее приостановление возможно не произвольно: Минцифры принимает соответствующее решение при выявленном в рамках государственного контроля несоответствии требованиям аккредитации и выдает предписание.
Срок приостановления — не более 15 рабочих дней. Если нарушение устранено, организация передает подтверждающие документы; если нет, аккредитация может быть прекращена.
Поэтому при неожиданном статусе необходимо запросить реквизиты решения и предписания. Но до исправления официальной записи продолжать обработку векторов ЕБС в собственной системе не стоит: статья 13.11.3 КоАП РФ прямо наказывает обработку биометрии для аутентификации без аккредитации, а также при ее приостановлении или прекращении.
Можно ли вместо этого использовать саму ЕБС
Да, и это важное исключение. Статьи 9 и 10 Закона № 572-ФЗ позволяют организациям в установленных законом случаях непосредственно использовать ЕБС для идентификации и аутентификации граждан.
Минцифры официально разъяснило: если компания не обрабатывает векторы ЕБС в своей аккредитованной биометрической системе, а непосредственно обращается к государственной ЕБС, аккредитация по статье 17 не требуется.
Следовательно, ошибка со специальной аккредитацией не всегда означает полный отказ от дистанционной работы с клиентами. Можно перейти на предусмотренный законом сценарий непосредственного использования ЕБС, если конкретная услуга допускает такую идентификацию и выполнены требования к подключению, информационной безопасности и согласию гражданина.
Например, результат законно проведенной идентификации через ЕБС и ЕСИА в предусмотренных случаях приравнивается к предъявлению документа, удостоверяющего личность. Ошибки непосредственно в биометрическом профиле клиента разбираются отдельно в материале «В ЕБС привязаны чужие биометрические данные».
Что будет с уже идентифицированными клиентами
Техническая ошибка, появившаяся в перечне позднее, не отменяет задним числом результаты аутентификации, которая была законно проведена в период действующей аккредитации. Закон № 572-ФЗ не предусматривает автоматического аннулирования всех прежних результатов после последующего приостановления или исправления реестровых сведений.
То же относится к непосредственной идентификации через ЕБС, если организация использовала именно государственную систему в законном режиме. Для проверки конкретной операции важны статус и соблюдение требований на момент ее совершения.
Иначе оцениваются операции, проведенные собственной биометрической системой уже после настоящего приостановления или прекращения аккредитации. На такой результат безопаснее не полагаться: клиента следует повторно идентифицировать или аутентифицировать через ЕБС либо другим предусмотренным законом способом.
Сам гражданско-правовой договор при этом не становится автоматически ничтожным только из-за нарушения порядка биометрической аутентификации. Но для банковской, финансовой или иной регулируемой операции дефект обязательной идентификации может иметь самостоятельные последствия.
При прекращении аккредитации организация обязана в течение семи рабочих дней уничтожить обрабатываемые в ее информационной системе векторы ЕБС.
Как действовать организации
Сначала сохраните карточки обоих ресурсов — перечня Минцифры и списка оператора ЕБС — с датой проверки. Затем поднимите решение об аккредитации и проверьте входящие документы Минцифры: решение о приостановлении, предписание или решение о прекращении.
Если решение об аккредитации есть, но записи Минцифры нет, потребуйте внести ее, ссылаясь на двухдневный срок пункта 12 Правил № 810. Если запись активна, но ошибочны отдельные сведения, подавайте заявление об их изменении.
Если ошибается только сайт оператора ЕБС, нужно добиваться синхронизации его списка с действующим перечнем Минцифры. Такой сбой не требует проходить аккредитацию заново.
Не забывайте и об общих требованиях Закона № 152-ФЗ «О персональных данных»: правильная запись об аккредитации сама по себе не легализует обработку без необходимого согласия, мер защиты и соблюдения специального порядка работы с биометрией.
Важно! Этот документ можно скачать в КонсультантПлюс
Скачать в КонсультантПлюсБесплатный доступ к документуFAQ
Есть решение Минцифры об аккредитации, но записи в перечне нет. Можно работать?
Через собственную систему биометрической аутентификации — рискованно. Правила № 810 называют подтверждением аккредитации именно запись в перечне.
Если организация напрямую использует ЕБС, нужна эта аккредитация?
Нет. Минцифры разъясняло, что непосредственное использование ЕБС для идентификации или аутентификации не требует аккредитации по статье 17 Закона № 572-ФЗ.
Минцифры показывает действующий статус, а сайт оператора ЕБС — нет. Что важнее?
Для аккредитации первичен перечень Минцифры. Список оператора ЕБС формируется на основании поступающих от ведомства сведений.
Можно ли работать при настоящем приостановлении?
Нельзя обрабатывать биометрические данные и векторы ЕБС в собственной системе для аутентификации до возобновления аккредитации.
Сколько длится приостановление?
Не более 15 рабочих дней. За это время организация может подтвердить устранение причины нарушения.
Старые результаты аутентификации аннулируются?
Не автоматически, если на момент их получения аккредитация действовала и требования закона были соблюдены.
Нужно ли получать аккредитацию заново из-за опечатки?
Нет. Для технических ошибок и изменения сведений предусмотрена процедура корректировки существующей записи.