Проект Приказа Министерства цифрового развития, связи и массовых коммуникаций РФ "О внесении изменений в приказ Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 21.06.2018 N 307 "Об утверждении методик проверки соответствия предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в единой информационной системе персональных данных, обеспечивающей обработку, включая сбор и хранение биометрических персональных данных, их проверку и передачу информации о степени их соответствия..." (подготовлен Минцифры России 15.03.2021)

Проект Приказа Министерства цифрового развития, связи и массовых коммуникаций РФ "О внесении изменений в приказ Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 21.06.2018 N 307 "Об утверждении методик проверки соответствия предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в единой информационной системе персональных данных, обеспечивающей обработку, включая сбор и хранение биометрических персональных данных, их проверку и передачу информации о степени их соответствия предоставленным биометрическим персональным данным гражданина Российской Федерации, а также об определении степени взаимного соответствия указанных биометрических персональных данных, достаточной для проведения идентификации, предусмотренной Федеральным законом от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации"
(подготовлен Минцифры России 15.03.2021 г.)

Досье на проект

Пояснительная записка

В соответствии с пунктом 3 части 13 статьи 14.1 Федерального закона от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации" (Собрание законодательства Российской Федерации, 2006, N 31, Ст. 3448; 2018, N 1, ст. 66; 2021, N 1, ст. 18) приказываю:

1. Внести изменения в приказ Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 21.06.2018 N 307 "Об утверждении методик проверки соответствия предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в единой информационной системе персональных данных, обеспечивающей обработку, включая сбор и хранение биометрических персональных данных, их проверку и передачу информации о степени их соответствия предоставленным биометрическим персональным данным гражданина Российской Федерации, а также об определении степени взаимного соответствия указанных биометрических персональных данных, достаточной для проведения идентификации, предусмотренной Федеральным законом от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации" (зарегистрирован в Министерстве юстиции Российской Федерации 29 июня 2018 г., регистрационный N 51496) согласно приложению.

2. Направить настоящий приказ на государственную регистрацию в Министерство юстиции Российской Федерации.

3. Настоящий приказ вступает в силу со дня его официального опубликования.

Министр

М.И. Шадаев

УТВЕРЖДЕНЫ
приказом Министерства
цифрового развития, связи
и массовых коммуникаций
Российской Федерации
от __________ N ___________

Изменения,
которые вносятся в приказ Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 21.06.2018 N 307 "Об утверждении методик проверки соответствия предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в единой информационной системе персональных данных, обеспечивающей обработку, включая сбор и хранение биометрических персональных данных, их проверку и передачу информации о степени их соответствия предоставленным биометрическим персональным данным гражданина Российской Федерации, а также об определении степени взаимного соответствия указанных биометрических персональных данных, достаточной для проведения идентификации, предусмотренной Федеральным законом от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации"

1. В приказе:

а) наименование изложить в следующей редакции:

"Об утверждении методик проверки соответствия предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в информационных системах, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных, а также об определении степени взаимного соответствия указанных биометрических персональных данных, достаточной для проведения идентификации, предусмотренной Федеральным законом от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации".

б) пункт 1 приказа изложить в следующей редакции:

"1. Утвердить прилагаемые:

методику проверки соответствия предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в информационных системах, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных, при сравнении "один к одному";

методику проверки соответствия предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в информационных системах, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных, при поиске "один ко многим".".

в) пункт 2 приказа изложить в следующей редакции:

"2. Установить, что в отношении биометрических персональных данных, используемых в соответствии с частями 18, 18.2 и 18.14 статьи 14.1 Федерального закона от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации", степень взаимного соответствия, предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в информационных системах, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных, достаточная для проведения идентификации физического лица составляет не менее 0,9999.".

2. В Методике проверки соответствия предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в единой информационной системе персональных данных, обеспечивающей обработку, включая сбор и хранение биометрических персональных данных, их проверку и передачу информации о степени их соответствия предоставленным биометрическим персональным данным гражданина Российской Федерации, для двух независимых биометрических алгоритмов, утвержденной приказом:

а) наименование изложить в следующей редакции:

"Методика проверки соответствия предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в информационных системах, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных, при сравнении "один к одному"";

б) пункт 1 изложить в следующей редакции:

"1. Методика проверки соответствия предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в информационных системах, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных, при сравнении "один к одному" (далее - Методика) применяется в отношении биометрических персональных данных, используемых в соответствии с частями 18, 18.2, 18.14, 18.17, 18.18 и 18.20 статьи 14.1 Федерального закона от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации" (далее - Федеральный закон N 149-ФЗ), при проверке соответствия предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в информационных системах, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных, а также расчете степени взаимного соответствия указанных биометрических персональных данных.";

в) пункты 3 - 7 изложить в следующей редакции:

"Операторы информационных систем, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных, предоставляют государственным органам, органам местного самоуправления, организациям финансового рынка, иным организациям, индивидуальным предпринимателям, нотариусам, определенным статьей 14.1 Федерального закона N 149-ФЗ (далее - государственные органы, банки и иные организации, индивидуальные предприниматели, нотариусы), результаты проверки соответствия предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в указанных информационных системах, а также данные степени взаимного соответствия указанных биометрических персональных данных.

Данные степени взаимного соответствия биометрических персональных данных в отношении биометрических персональных данных, используемых в соответствии с частями 18, 18.2 и 18.14 статьей 14.1 Федерального закона N 149-ФЗ, предоставляются государственным органам, банкам и иным организациям, индивидуальным предпринимателям, нотариусам только в случае, если значение степени взаимного соответствия биометрических персональных данных не ниже установленного настоящим Приказом.

4. В отношении биометрических персональных данных, используемых в соответствии с частями 18, 18.2 и 18.14 статьи 14.1 Федерального закона N 149-ФЗ, решение о соответствии предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в информационных системах, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных, принимается в случае, если значение степени взаимного соответствия указанных биометрических персональных данных не ниже значения степени взаимного соответствия, установленного настоящим Приказом.

5. С целью принятия решения о соответствии предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в информационных системах, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных, определяется степень взаимного соответствия указанных данных, рассчитываемая как:

,

где - доля предоставленных государственным органом, банком и иной организацией, индивидуальным предпринимателем, нотариусом биометрических данных каждой из n модальностей, используемых в информационной системе, обеспечивающей идентификацию и (или) аутентификацию с использованием биометрических персональных данных, которые ошибочно признаны совпадающими с указанными биометрическими персональными данными другого физического лица, содержащимся в информационной системе, обеспечивающей идентификацию и (или) аутентификацию с использованием биометрических персональных данных;

- доля предоставленных государственным органом, банком и иной организацией, индивидуальным предпринимателем, нотариусом биометрических данных из m модальностей или для каждого независимого унимодального и (или) мультимодального алгоритмов, используемых для обнаружения витальности в информационной системе, обеспечивающей идентификацию и (или) аутентификацию с использованием биометрических персональных данных, при атаке на данную информационную систему, которые ошибочно признаны подлинными биометрическими персональными данными;

n - количество независимых модальностей, используемых в информационной системе, обеспечивающей идентификацию и (или) аутентификацию с использованием биометрических персональных данных;

m - количество независимых модальностей или независимых унимодальных и (или) мультимодальных алгоритмов, используемых в информационной системе, обеспечивающей идентификацию и (или) аутентификацию с использованием биометрических персональных данных, для обнаружения витальности.

6. Вероятность ложного совпадения () предоставленных государственным органом, банком и иной организацией, индивидуальным предпринимателем, нотариусом биометрических данных указанным биометрическим персональным данным физического лица, содержащимся в информационной системе, обеспечивающей идентификацию и (или) аутентификацию с использованием биометрических персональных данных, определяется как минимальное значение вероятности ложного совпадения, при котором соответствующая ей вероятность ложного несовпадения () не превышает порогового значения вероятности ложного несовпадения.

Вероятность ошибки классификации предоставленных государственным органом, банком и иной организацией, индивидуальным предпринимателем, нотариусом биометрических данных при атаке () на информационную систему, обеспечивающую идентификацию и (или) аутентификацию с использованием биометрических персональных данных, определяется как минимальное значение вероятности ошибки классификации биометрических персональных данных при атаке, при котором соответствующая ей вероятность ошибки классификации подлинных биометрических персональных данных () не превышает порогового значения вероятности ошибки классификации подлинных биометрических персональных данных.

7. Вероятность ложного несовпадения предоставленных государственным органом, банком и иной организацией, индивидуальным предпринимателем, нотариусом биометрических данных указанным биометрическим персональным данным физического лица, содержащимся в информационной системе, обеспечивающей идентификацию и (или) аутентификацию с использованием биометрических персональных данных, определяется экспериментальным путём как доля предоставленных государственным органом, банком и иной организацией, индивидуальным предпринимателем, нотариусом биометрических данных, которые ошибочно признаны несовпадающими с указанными биометрическими персональными данными идентифицируемого или аутентифицируемого физического лица, содержащимися в информационной системе, обеспечивающей идентификацию и (или) аутентификацию с использованием биометрических персональных данных.

Вероятность ошибки классификации предоставленных государственным органом, банком и иной организацией, индивидуальным предпринимателем, нотариусом подлинных биометрических персональных данных определяется экспериментальным путём как доля предоставленных государственным органом, банком и иной организацией, индивидуальным предпринимателем, нотариусом подлинных биометрических данных, которые ошибочно признаны атаками на информационную систему, обеспечивающую идентификацию и (или) аутентификацию с использованием биометрических персональных данных.

3. В Методике проверки соответствия предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в единой информационной системе персональных данных, обеспечивающей обработку, включая сбор и хранение биометрических персональных данных, их проверку и передачу информации о степени их соответствия предоставленным биометрическим персональным данным гражданина Российской Федерации, для одного бимодального алгоритма, утвержденных приказом:

а) наименование изложить в следующей редакции:

"Методика проверки соответствия предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в информационных системах, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных, при поиске "одного ко многим";

б) пункт 1 изложить в следующей редакции:

"1. Методика проверки соответствия предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в информационных системах, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных, при поиске "одного ко многим" (далее - Методика) применяется в отношении биометрических персональных данных, используемых в соответствии с частями 18, 18.2, 18.14, 18.17, 18.18 и 18.20 статьи 14.1 Федерального закона от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации" (далее - Федеральный закон N 149-ФЗ), при проверке соответствия предоставленных биометрических персональных данных физического лица его биометрическим персональным данным, содержащимся в информационных системах, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных, а также расчете степени взаимного соответствия указанных биометрических персональных данных.";

в) пункты 3 - 7 изложить в следующей редакции:

"3. Операторы информационных систем, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных, предоставляют государственным органам, органам местного самоуправления, организациям финансового рынка, иным организациям, индивидуальным предпринимателям, нотариусам, определенным статьей 14.1 Федерального закона N 149-ФЗ (далее - государственные органы, банки и иные организации, индивидуальные предприниматели, нотариусы), результаты проверки соответствия предоставленных биометрических персональных данных физического лица биометрическим персональным данным физического лица, содержащимся в указанных информационных системах, а также данные степени взаимного соответствия указанных биометрических персональных данных.

Данные степени взаимного соответствия биометрических персональных данных в отношении биометрических персональных данных, используемых в соответствии с частями 18, 18.2 и 18.14 статьей 14.1 Федерального закона N 149-ФЗ, предоставляются государственным органам, банкам и иным организациям, индивидуальным предпринимателям, нотариусам только в случае, если значение степени взаимного соответствия биометрических персональных данных не ниже установленного настоящим Приказом.

4. В отношении биометрических персональных данных, используемых в соответствии с частями 18, 18.2 и 18.14 статьи 14.1 Федерального закона N 149-ФЗ, решение о соответствии предоставленных биометрических персональных данных физического лица биометрическим персональным данным физического лица, содержащимся в информационных системах, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных, принимается в случае, если значение степени взаимного соответствия указанных биометрических персональных данных не ниже значения степени взаимного соответствия, установленного настоящим Приказом.

5. С целью принятия решения о соответствии предоставленных биометрических персональных данных физического лица биометрическим персональным данным физических лиц, содержащимся в информационных системах, обеспечивающих идентификацию и (или) аутентификацию с использованием биометрических персональных данных, определяется степень взаимного соответствия указанных данных, рассчитываемая как:

,

где - доля предоставленных государственным органом, банком и иной организацией, индивидуальным предпринимателем, нотариусом биометрических данных физических лиц, биометрические персональные данные которых не содержатся в информационной системе, каждой из n модальностей, используемых в информационной системе, обеспечивающей идентификацию и (или) аутентификацию с использованием биометрических персональных данных, при поиске один ко многим, которые ошибочно признаны совпадающими с указанными биометрическими персональными данными, содержащимися в информационной системе, обеспечивающей идентификацию и (или) аутентификацию с использованием биометрических персональных данных;

- доля предоставленных государственным органом, банком и иной организацией, индивидуальным предпринимателем, нотариусом биометрических данных каждой из m модальностей или для каждого независимого унимодального и (или) мультимодального алгоритмов, используемых для обнаружения витальности в информационной системе, обеспечивающей идентификацию и (или) аутентификацию с использованием биометрических персональных данных, при атаке на данную информационную систему, которые ошибочно признаны подлинными биометрическими персональными данными;

n - количество независимых модальностей, используемых в информационной системе, обеспечивающей идентификацию и (или) аутентификацию с использованием биометрических персональных данных;

m - количество независимых модальностей или независимых унимодальных и (или) мультимодальных алгоритмов, используемых в информационной системе, обеспечивающей идентификацию и (или) аутентификацию с использованием биометрических персональных данных, для обнаружения витальности.

6. Вероятность ложноположительной биометрической идентификации () предоставленных государственным органом, банком и иной организацией, индивидуальным предпринимателем, нотариусом биометрических данных, определяется как минимальное значение вероятности ложноположительной биометрической идентификации, при которой соответствующая ей вероятность ложноотрицательной биометрической идентификации () не превышает порогового значения вероятности ложноотрицательной биометрической идентификации.

Вероятность ошибки классификации () предоставленных государственным органом, банком и иной организацией, индивидуальным предпринимателем, нотариусом биометрических данных при атаке на информационную систему, обеспечивающую идентификацию и (или) аутентификацию с использованием биометрических персональных данных, определяется как минимальное значение вероятности ошибки классификации биометрических персональных данных при атаке, при котором соответствующая ей вероятность ошибки классификации подлинных биометрических персональных данных () не превышает порогового значения вероятности ошибки классификации подлинных биометрических персональных данных.

7. Вероятность ложноотрицательной биометрической идентификации предоставленных государственным органом, банком и иной организацией, индивидуальным предпринимателем, нотариусом биометрических данных определяется экспериментальным путём как доля предоставленных государственным органом, банком и иной организацией, индивидуальным предпринимателем, нотариусом биометрических данных физического лица, биометрические персональные данные которого содержатся в информационной системе, обеспечивающей идентификацию и (или) аутентификацию с использованием биометрических персональных данных, которые ошибочно признаны несовпадающими с указанными биометрическими персональными данными идентифицируемого или аутентифицируемого физического лица, содержащимися в указанной информационной системе, при поиске "один ко многим".

Вероятность ошибки классификации предоставленных при поиске "один ко многим" государственным органом, банком и иной организацией, индивидуальным предпринимателем, нотариусом подлинных биометрических персональных данных определяется экспериментальным путём как доля предоставленных государственным органом, банком и иной организацией, индивидуальным предпринимателем, нотариусом подлинных биометрических данных, которые ошибочно признаны атаками на информационные системы, обеспечивающие идентификацию и (или) аутентификацию с использованием биометрических персональных данных.".