Статья 16. Осуществление аутентификации с использованием информационных систем организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц

Статья 16. Осуществление аутентификации с использованием информационных систем организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц

1. Обработка в соответствии с пунктами 2 и 3 части 1 статьи 15 настоящего Федерального закона используемых для аутентификации биометрических персональных данных в информационных системах организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц, допускается с использованием векторов единой биометрической системы в установленных Правительством Российской Федерации по согласованию с Центральным банком Российской Федерации случаях при одновременном выполнении следующих условий:

1) применение такими организациями организационных и технических мер по обеспечению безопасности персональных данных, установленных в соответствии с частью 4 статьи 19 Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных" и использование средств защиты информации, позволяющих обеспечить безопасность персональных данных посредством применения средства криптографической защиты информации, определенного в соответствии с пунктом 5 части 2 статьи 6 настоящего Федерального закона, либо средств криптографической защиты информации, позволяющих обеспечить безопасность персональных данных от угроз, определенных для организаций финансового рынка в соответствии с пунктом 2 части 4 статьи 7 настоящего Федерального закона, для иных организаций, органов, индивидуальных предпринимателей и нотариусов - в соответствии с пунктом 6 части 2 статьи 6 настоящего Федерального закона, а также выполнение требований к обработке, включая сбор, биометрических персональных данных, установленных в соответствии с пунктом 1 части 2 статьи 6 настоящего Федерального закона;

2) выполнение требований настоящего Федерального закона и Федерального закона от 26 июля 2017 года N 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации", в том числе посредством выполнения требований о защите содержащейся в государственных информационных системах информации, установленных федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий, а также посредством автоматизированного информационного взаимодействия с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации для решения задач, касающихся обнаружения, предупреждения и ликвидации последствий компьютерных атак;

3) наличие согласия физического лица на обработку его биометрических персональных данных в целях аутентификации;

4) прохождение указанными организациями аккредитации в соответствии со статьей 17 настоящего Федерального закона.

2. Организации финансового рынка, иные организации, индивидуальные предприниматели вправе использовать информационные системы организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц, соответствующих требованиям, указанным в части 1 настоящей статьи, для аутентификации физического лица, выразившего согласие на ее проведение, в целях совершения определенных действий или подтверждения волеизъявления либо подтверждения полномочия этого лица на совершение определенных действий.

3. Организации финансового рынка, иные организации, индивидуальные предприниматели при использовании информационных систем иных организаций для аутентификации обязаны выполнять организационные и технические меры по обеспечению безопасности персональных данных, установленных в соответствии с частью 4 статьи 19 Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных", а также использовать средства криптографической защиты информации, указанные в пункте 1 части 1 настоящей статьи.

4. Перед осуществлением аутентификации в соответствии с частью 5 настоящей статьи организации, осуществляющие аутентификацию на основе биометрических персональных данных физических лиц, организации и индивидуальные предприниматели, указанные в части 2 настоящей статьи, предоставляют в единую систему идентификации и аутентификации сведения о физических лицах, содержащиеся в их информационных системах персональных данных, включая идентификаторы таких сведений. Данные идентификаторы и сведения сопоставляются со сведениями о физических лицах, содержащимися в единой системе идентификации и аутентификации, и после такого сопоставления данные идентификаторы передаются из единой системы идентификации и аутентификации в информационную систему организации, осуществляющей аутентификацию на основе биометрических персональных данных физических лиц.

5. Аутентификация физического лица осуществляется организациями и индивидуальными предпринимателями, указанными в части 2 настоящей статьи, при условии выполнения требований, предусмотренных частями 3 и 4 настоящей статьи, одним из нижеуказанных способов путем проверки принадлежности этому физическому лицу идентификатора (идентификаторов) посредством сопоставления его (их) со сведениями:

1) о физическом лице, размещенными в единой системе идентификации и аутентификации, а также на основании информации о степени соответствия предоставленных биометрических персональных данных физического лица векторам единой биометрической системы, имеющимся у организации, осуществляющей аутентификацию на основе биометрических персональных данных физических лиц, по указанному идентификатору (идентификаторам);

2) о физическом лице, размещенными в информационной системе персональных данных такой организации или такого индивидуального предпринимателя, а также на основании информации о степени соответствия предоставленных биометрических персональных данных физического лица векторам единой биометрической системы, имеющимся у организации, осуществляющей аутентификацию на основе биометрических персональных данных физических лиц, по указанному идентификатору (идентификаторам).

6. Организации, за исключением организаций финансового рынка, индивидуальные предприниматели, указанные в части 2 настоящей статьи, должны соответствовать следующим критериям:

1) организация, а также ее единоличный исполнительный орган либо члены коллегиального исполнительного органа, индивидуальный предприниматель не включены в перечень организаций и физических лиц, в отношении которых имеются сведения об их причастности к экстремистской деятельности или терроризму, или в перечень организаций и физических лиц, в отношении которых имеются сведения об их причастности к распространению оружия массового уничтожения;

2) у единоличного исполнительного органа либо членов коллегиального исполнительного органа организации, индивидуального предпринимателя отсутствует неснятая или непогашенная судимость;

3) в отношении организации в едином государственном реестре юридических лиц отсутствует запись о недостоверности сведений о юридическом лице.

7. Подтверждение соответствия индивидуальных предпринимателей и организаций, за исключением организаций финансового рынка, указанных в части 2 настоящей статьи, критерию, указанному в пункте 1 части 6 настоящей статьи, осуществляется путем предоставления информации организации, осуществляющей аутентификацию на основе биометрических персональных данных физических лиц, по ее запросу федеральным органом исполнительной власти, осуществляющим функции по противодействию легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма и финансированию распространения оружия массового уничтожения, в соответствии с порядком, определенным соглашением, заключенным организацией, осуществляющей аутентификацию на основе биометрических персональных данных физических лиц, и федеральным органом исполнительной власти, осуществляющим функции по противодействию легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма и финансированию распространения оружия массового уничтожения. Подтверждение соответствия индивидуальных предпринимателей и организаций, за исключением организаций финансового рынка, указанных в части 2 настоящей статьи, критерию, указанному в пункте 3 части 6 настоящей статьи, осуществляется путем предоставления организации, осуществляющей аутентификацию на основе биометрических персональных данных физических лиц, по ее запросу информации федеральным органом исполнительной власти, осуществляющим государственную регистрацию юридических лиц и физических лиц в качестве индивидуальных предпринимателей.

8. Подтверждение соответствия индивидуальных предпринимателей и организаций, за исключением организаций финансового рынка, указанных в части 2 настоящей статьи, критерию, указанному в пункте 2 части 6 настоящей статьи, осуществляется путем предоставления организации, осуществляющей аутентификацию на основе биометрических персональных данных физических лиц, справки об отсутствии неснятой или непогашенной судимости, выданной федеральным органом исполнительной власти, осуществляющим функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере внутренних дел.

9. Использование организациями финансового рынка, иными организациями, индивидуальными предпринимателями информационных систем организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц, в целях аутентификации допускается после предоставления организации, осуществляющей аутентификацию на основе биометрических персональных данных физических лиц, актов проверки, составленных федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, по результатам проверки в соответствии с частью 1 статьи 7 настоящего Федерального закона, а в отношении организаций финансового рынка - Центральным банком Российской Федерации по результатам проверки в соответствии с пунктом 3 части 4 статьи 7 настоящего Федерального закона.

10. Организация, осуществляющая аутентификацию на основе биометрических персональных данных физических лиц, обязана хранить указанные в частях 7-9 настоящей статьи информацию и документы на протяжении всего срока использования ее информационной системы.

11. Организации, осуществляющие аутентификацию на основе биометрических персональных данных физических лиц, не вправе передавать векторы единой биометрической системы третьим лицам.

12. Организации, осуществляющие аутентификацию на основе биометрических персональных данных физических лиц, по мотивированному запросу оператора единой биометрической системы, направленному в соответствии с законодательством Российской Федерации, блокируют, удаляют, уничтожают векторы единой биометрической системы, а также вносят иные изменения в сведения, содержащиеся в их информационных системах.

13. Отказ физического лица от прохождения аутентификации на основе его биометрических персональных данных не может служить основанием для отказа ему в обслуживании.