Об утверждении Правил

проведения биометрической идентификации на финансовом рынке

В соответствии с пунктом 5-5 статьи 34 Закона Республики Казахстан «О банках и банковской деятельности в Республике Казахстан» и пунктом 3-5 статьи 3 Закона Республики Казахстан «О микрофинансовой деятельности», Правление Агентства Республики Казахстан по регулированию и развитию финансового рынка ПОСТАНОВЛЯЕТ:

1. Утвердить прилагаемые Правила проведения биометрической идентификации на финансовом рынке.

2. Департаменту информационной и кибербезопасности в установленном законодательством Республики Казахстан порядке обеспечить:

1) совместно с Юридическим департаментом государственную регистрацию настоящего постановления в Министерстве юстиции Республики Казахстан;

2) размещение настоящего постановления на официальном интернет-ресурсе Агентства Республики Казахстан по регулированию и развитию финансового рынка после его официального опубликования;

3) в течение десяти рабочих дней после государственной регистрации настоящего постановления представление в Юридический департамент сведений об исполнении мероприятия, предусмотренного подпунктом 2) настоящего пункта.

3. Контроль за исполнением настоящего постановления возложить на курирующего заместителя Председателя Агентства Республики Казахстан по регулированию и развитию финансового рынка.

4. Настоящее постановление вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования.

 Приложение

к постановлению

Правления Агентства

Республики Казахстан по

регулированию и развитию

финансового рынка

от __.__.____года №___

Правила

проведения биометрической идентификации на финансовом рынке

Глава 1. Общие положения

1. Настоящие Правила проведения биометрической идентификации на финансовом рынке (далее – Правила) разработаны в соответствии с требованиями пункта 5-5 статьи 34 Закона Республики Казахстан «О банках и банковской деятельности в Республике Казахстан» и пункта 3-5 статьи 3 Закона Республики Казахстан «О микрофинансовой деятельности».

Целью настоящих Правил является регламентация, документирование и обеспечение информационной безопасности процесса биометрической идентификации на финансовом рынке.

1. В настоящих Правилах используются следующие термины и определения:

1. провайдер биометрической идентификации – организация, предоставляющая услугу по получению достоверного текущего изображения лица идентифицируемого и (или) сличению текущего и эталонного образца изображения идентифицируемого;
2. идентифицируемый – физическое лицо, в отношении которого проводится процесс биометрической идентификации;
3. заказчик биометрической идентификации – организация, в интересах которой проводится процесс биометрической идентификации;
4. база данных, верифицированных изображений провайдера биометрической идентификации– база данных, создаваемая и хранимая провайдером биометрической идентификации, содержащая изображения лиц идентифицируемых, прошедшие успешное сличение с эталонным образцом, полученным из государственной базы данных изображений;
5. идентификационные данные – индивидуальный идентификационный номер физического лица, в отношении которого проводится процесс биометрической идентификации;
6. система проверки биометрических данных – автоматизированная система, осуществляющая процедуру проверки живости изображения;
7. система сличения биометрических данных – автоматизированная система, осуществляющая сличение изображений;
8. государственная база данных изображений – база данных, принадлежащая государству, содержащая идентификационные данные граждан Республики Казахстан, а также соответствующие им эталонные изображения лиц граждан Республики Казахстан.

1. Принципы использования и защиты биометрических данных:

1. биометрические данные собираются, используются и удаляются после завершения использования в соответствии с главой 2 настоящих Правил;
2. биометрические данные защищаются от несанкционированного доступа, использования и раскрытия;
3. исполнение процессов по сбору, хранению и обработке биометрических данных документируется.

1. Заказчик биометрической идентификации утверждает внутренний документ, содержащий описание процесса биометрической идентификации, сведения о системах проверки биометрических данных и сличения биометрических данных, а также однозначно трактуемые критерии принятия решения об успешности биометрической идентификации.
2. Биометрическая идентификация проводится по изображению лица идентифицируемого.

Глава 2. Порядок биометрической идентификации

по изображению лица идентифицируемого

1. Процесс биометрической идентификации по изображению лица идентифицируемого включает в себя следующие этапы:

1. получение текущего изображения лица идентифицируемого (далее – получение текущего изображения);
2. получение идентификационных данных идентифицируемого (далее – идентификационные данные);
3. получение эталонного образца изображения лица идентифицируемого (далее – получение эталонного изображения);
4. сличение текущего и эталонного образца изображения идентифицируемого (далее – сличение изображений).

1. Получение текущего изображения идентифицируемого лица и идентификационных данных осуществляется посредством мобильного устройства со встроенной видеокамерой и установленным мобильным приложением, обеспечивающим автоматизацию процесса.
2. При получении текущего изображения лица идентифицируемого, с целью предотвращения подмены текущего изображения лица идентифицируемого путем демонстрации перед видеокамерой заранее заготовленной фотографии или видеоизображения лица идентифицируемого, осуществляется процедура проверки живости изображения, включающая выполнение идентифицируемым последовательности из пяти движений, выбираемых системой случайным образом.

Неисполнение идентифицируемым любого из движений приводит к повторению процедуры проверки живости изображения или отрицательному результату после трех неуспешных повторов процедуры.

В ходе процедуры проверки живости изображения используются следующие варианты движений: повернуть голову вправо, повернуть голову влево, наклонить голову назад, наклонить голову вперед, закрыть и открыть глаза, улыбнуться.

1. По результатам проверки живости изображения независимо от успешности проверки в системе проверки биометрических данных формируется электронный документ, содержащий:

1.  результат проверки живости изображения;
2.  идентификационные данные;
3.  перечень выбранных системой движений, набор изображений, отображающих выполнение идентифицируемым каждого из выбранных системой движений;
4.  реквизиты заказчика биометрической идентификации;

5) дату и время проведения проверки живости изображения.

1. Электронный документ по результатам проверки живости изображения подписывается электронной цифровой подписью провайдера биометрической идентификации, осуществлявшего проверку живости изображения, и передается заказчику биометрической идентификации. В целях соблюдения режима конфиденциальности обеспечивается шифрование канала связи, по которому осуществляется передача электронного документа заказчику биометрической идентификации.
2. В целях предотвращения подмены текущего изображения лица идентифицируемого и идентификационных данных на этапе передачи из мобильного приложения в систему проверки биометрических данных и систему сличения биометрических данных, обеспечивается шифрование канала связи между мобильным приложением и указанными системами, а также их взаимная аутентификация посредством криптографических алгоритмов.
3. Получение эталонного изображения лица системой сличения биометрических данных осуществляется из государственной базы данных изображений или базы данных верифицированных изображений провайдера биометрической идентификации.
4. С целью обеспечения конфиденциальности, а также предотвращения подмены эталонного изображения лица идентифицируемого и его идентификационных данных на этапе получения эталонного изображения обеспечивается шифрование канала связи между системой сличения биометрических данных и государственной базой данных изображений, базой данных верифицированных изображений провайдера биометрической идентификации, а также их взаимная аутентификация посредством криптографических алгоритмов.
5. По результатам сличения изображений лица, идентифицируемого независимо от успешности проверки в системе сличения биометрических данных, формируется электронный документ, содержащий:

1) текущее изображение;

2) идентификационные данные;

3) результат сличения изображений;

4) реквизиты заказчика биометрической идентификации;

5) дату и время проведения сличения изображений.

1. Электронный документ по результатам сличения биометрических данных:

1.  подписывается электронной цифровой подписью провайдера биометрической идентификации, осуществлявшего сличение изображений;
2. сохраняется в базе данных верифицированных изображений провайдера биометрической идентификации, осуществлявшего сличение изображений, при наличии такой базы данных;
3. передается заказчику биометрической идентификации.

В целях соблюдения режима конфиденциальности обеспечивается шифрование канала связи, по которому осуществляется передача электронного документа заказчику биометрической идентификации.

1.  Электронный документ по результатам проверки живости изображения и электронный документ по результатам сличения биометрических данных являются основанием для принятия заказчиком биометрической идентификации решения об успешности биометрической идентификации и хранятся заказчиком биометрической идентификации до истечения целей биометрической идентификации.