Постановление Правительства РФ №408

 

Опубликовано Постановление Правительства РФ от 1 апреля 2024 года №408.

Документ основан на подпункте 9 статьи 26 Федерального закона №572-ФЗ и определяет конкретные виды биометрических персональных данных, на которые будут распространяться требования по взаимодействию с Единой биометрической системой и аккредитации юридических лиц, самостоятельно использующих векторы ЕБС для идентификации и аутентификации граждан.

Согласно Постановлению, к таким данным относятся только изображение лица и запись голоса человека, что исключает из области применения 572-ФЗ широко используемые системы аутентификации по рисунку отпечатка пальца, а также более редкие технологии (например, аутентификация по сетчатке или радужной оболочке глаза).

Напомним, что к биометрическим ПДн относится любая информация, связанная с уникальными физическими особенностями человека и позволяющая определить личность её владельца.

Этим документом Правительство РФ ограничивает виды биометрических персональных данных, обрабатываемых с использованием Единой биометрической системы, и позволяет юридическим лицам применять локальные системы биометрической аутентификации без подключения к ЕБС и прохождения аккредитации (если они не используют изображения лиц или запись голоса).

Важно помнить

На любые системы, обрабатывающие не перечисленные в Постановлении биометрические ПДн, по-прежнему распространяются общие требования к защите персональных данных (152-ФЗ, Приказ ФСТЭК №21, Постановления Правительства №1119 и №512 и другие).

Информационные системы, использующие биометрию, всё ещё требуют особого внимания и дополнительных мер защиты.

Системы контроля и управления физическим доступом с применением БПДн всё ещё создают значительные правовые риски и увеличивают число угроз ИБ.

Крупные компании активно внедряют подобные технологии для упрощения пропускного режима, контроля рабочего времени и посещаемости, однако не уделяют им должного внимания со стороны защиты информации.

Постановление №408 – дополнительный повод пересмотреть состав обрабатываемых персональных данных и оценить угрозы, связанные с обработкой биометрии.