Отдельные правовые аспекты биометрической идентификации в банковской сфере

Введение

Внедрение в банковскую деятельность дистанционных услуг в последнее десятилетие стало причиной широкого распространения в России удаленной идентификации клиентов. Учитывая, что онлайн-обслуживание в перспективе рассматриваются банками как основная форма оказания банковских услуг (Бровкина, 2013), требуется усовершенствование процедур идентификации клиентов банков.

Для удаленной идентификации клиентов традиционно используются пароли, коды, ключи и обмен электронными документами. При этом верно отмечено, что в последние годы общество проделало огромный путь от парольных фраз, сложных печатей, механических замков и ключей до методов автоматической аутентификации (Одиноких, 2019) с использованием биометрических методов идентификации физических лиц, т.е. каких-либо индивидуальных уникальных биологических либо физиологических или физических особенностей конкретного человека (Черняев, 2021).

Ряд авторов считают, что биометрическая идентификация заняла свое место в индустрии безопасности, так как основывается на физиологических особенностях человека (Брюхомицкий, 2019). Биометрические системы идентификации обладают существенными отличиями от традиционных систем контроля и управления доступом (СКУД), включая ключи и пароли (Васильев, 2016). В то же время для идентификации клиентов российские банки продолжают широко использовать пин-коды, ключи, и это объясняется тем, что по российскому законодательству биометрическая идентификация не является обязательной, а клиенты не торопятся добровольно переходить на биометрическую идентификацию (Ефимова, Казаченок, Камалян, 2022). Такие идентификаторы могут быть утеряны, украдены или забыты. Кроме того, эти методы не позволяют провести различие между уполномоченным лицом и самозванцем, который обманным путем получает информацию или «жетон» уполномоченного лица (Yeo, 2007).

Актуальность исследования обусловлена тем, что биометрическая идентификация считается более новым, надёжным и удобным методом идентификации (Утеев, Гибадуллин, 2024), но при этом повсеместного распространения в России так и не получила. Это связывают, прежде всего, с недоверием со стороны граждан, которые опасаются утраты своих биометрических персональных данных.

В этой связи требуется исследование существующих проблем, связанных с биометрической идентификацией клиентов банков, решение которых позволит развивать указанное направление. Одной из таких проблем является отсутствие единообразия в отношении отдельных терминов в рассматриваемой сфере. Другой проблемой является недостаточное правовое регулирование для обеспечения безопасности.

Однако развитие искусственного интеллекта и технологий ставят перед исследователями новые задачи, требующие современного решения. По мнению Guridi (2024), применение систем искусственного интеллекта для целей биометрической идентификации увеличивает их эффективность в геометрической прогрессии. Но, в то же время, возрастает влияние на права граждан, поскольку инновации в новых технологиях влияют на неприкосновенность частной жизни и основные права человека.

Результаты и обсуждение

Вопрос о содержании понятия «биометрия» обсуждается различными авторами. При этом признается, что в праве требуется четкость и однозначность отдельных терминов (Соболева, 2007). Единообразие подходов к терминам крайне важно не только для практической деятельности, но и для науки. В то же время в литературе для обозначения понятия «биометрия» используются различные признаки, что приводит к спорным ситуациям, требующим своего разрешения.

Рассмотрим несколько предлагаемых в литературе определений понятия «биометрия».

Так, одни авторы используют слишком общее определение понятия «биометрия», понимая ее как измерение неких отличительных признаков человека для автоматической идентификации (Афанасьев и др., 2022). Биометрическая технология направлена на быстрое и автоматическое распознавание или подтверждение личности человека в режиме реального времени без вмешательства человека (Брюхомицкий, 2019). В данном определении не указано, какие именно характеристики должны учитываться для подтверждения личности, в то же время такими признаками формально может быть, например, ношение определенной одежды, парика и т.д. А.А. Куликов (2021) считает, что в биометрии могут быть задействованы фактически все функциональные особенности человека. Однако понятие «функциональные особенности» также является оценочным и не создает правовую определенность.

Другие авторы рассматривают биометрию более детально, а именно как измерение и анализ уникальных физиологических или поведенческих характеристик человека (Утеев, Гибадуллин, 2024). Схожее понятие предлагает Н.В. Панина (2021), под биометрией понимая не что иное как физиологические или анатомические особенности человека.

Отдельные исследователи считают биометрией область знания, изучающую методы и средства измерения и формализации персональных физических характеристик, поведенческих черт человека и их использование для идентификации или верификации человека (Одиноких, 2019).

Таким образом, можно отметить отсутствие единого понимания термина «биометрия». Рассмотрим признаки биометрии, которые используются в российской практике правоприменения. Параметром биометрии признают некоторую величину, обладающую физическим смыслом, характеризующим сам субъект (Куликов, 2021). Технология биометрической идентификации основана на уникальности биометрической характеристики человека (индивидуума), используемой в качестве идентификатора (Одиноких, 2019).

На мировом рынке биометрических систем активно применяются технологии, основанные на распознавании и использовании следующих биометрических данных: 1) отпечатки пальцев (составляют более 50% всего объема рынка); 2) изображение лица (21,6%); 3) изображение радужной оболочки глаза (10,2%); 4) голос (4%); 5) рисунок вен (3%). 6) геометрия ладони, ДНК и иное (около 7%)¹.

Наиболее широкое применение в биометрической идентификации получили следующие параметры человека: особенности геометрии лица; отпечатки пальцев; геометрия ладони рук; сетчатка и радужная оболочка глаза; голосовые характеристики; особенности подписи и клавиатурный почерк (Гонсалес, Вудс, 2012).

К биометрическим данным относится и геномная информация, что следует из ст. 1 Федерального закона от 03.12.2008 № 242-ФЗ «О государственной геномной регистрации в Российской Федерации»², согласно которой «геномная информация – биометрические персональные данные, включающие кодированную информацию об определенных фрагментах дезоксирибонуклеиновой кислоты физического лица или неопознанного трупа».

Согласно ч. 4 ст. 3 Федерального закона от 29.12.2022 № 572-ФЗ в единой биометрической системе размещаются и обрабатываются биометрические персональные данные следующих видов: изображение лица человека, полученное с помощью фотовидеоустройств; запись голоса человека, полученная с помощью звукозаписывающих устройств³. Таким образом, в настоящий момент в России используются в качестве биометрических данных только отдельные из возможныx способов идентификации, а именно: изображения лица и голос.

Биометрический метод аутентификации по изображению лица

Изображение лица является наиболее распространенным способом идентификации граждан как в зарубежных странах, так и в России. Уже привычным делом является наличие камер в банках, которые позволяют пройти первичную идентификацию. В последние годы цифровые изображения лица применяются во многих областях, в том числе при визуальной экспертизе и компьютерном автоматическом распознавании лица. Правильно разработанная система распознавания лиц может обеспечить удобный и быстрый доступ к банкомату или компьютеру, контролировать вход в зоны ограниченного доступа, распознавать людей в определенных местах (банки, магазины) (Yeo, 2007).

Требования к формату изображения лица, предназначенного для хранения представлений лица в записи биометрических данных, установлены национальным стандартом Российской Федерации ГОСТ Р ИСО/МЭК 19794-5-2013⁴.

Распознавание лиц основывается на трехмерной модели лица путем анализа его основных черт. По мнению Ю.А. Брюхомицкого, «метод вычисляет расстояния между этими признаками по нескольким изображениям, даже при незначительных изменениях выражения лица или его ориентации. Преимущества метода: отсутствие необходимости физического контакта со сканирующим устройством; низкая чувствительность к внешним факторам; обеспечивается высокий уровень надежности. Недостатки метода: оборудование, необходимое для применения данного метода, может быть дорогостоящим; изменения в выражении лица и наличие препятствий на лице могут снизить статистическую надежность метода» (Брюхомицкий, 2019).

Практика применения распознавания лиц отмечается и зарубежными авторами. Лица богаты информацией об индивидуальности, настроении и психическом состоянии человека, а соотношение положений частей лица, таких как глаза, нос, рот и подбородок, а также их формы и размеры широко используются в качестве отличительных признаков для идентификации (Yeo, 2007).

При этом отмечаются и отдельные недостатки данного способа идентификации. Так, например, в своем диссертационном исследовании Р.А. Васильев (2016) пишет, что «в некоторых случаях применение биометрических характеристик человека осложнено, поскольку геометрии лица свойственна низкая уникальность, для анализа сетчатки и радужной оболочки глаза требуется дорогостоящее оборудование, что недоступно для небольших российских банков».

Среди основных ошибок: ошибки самой системы идентификации; ошибки, возникающие при получении недостаточно полных данных от идентифицируемого лица (фотография плохого качества, не совсем правильный ракурс (лица)); злонамеренные действия нарушителей и т.д. (Левашов, 2018).

Аутентификация по лицу сопряжена со многими проблемами. Несколько изображений одного человека могут сильно отличаться друг от друга из-за изменения ракурса, цвета и освещения или просто потому, что лицо человека выглядит по-разному изо дня в день из-за изменений, связанных с внешностью, таких как макияж, растительность на лице, очки и т.д. (Yeo, 2007).

Биометрический метод аутентификации по голосу

Метод признается одним из несложных в применении. Этому методу достаточно звуковой платы и микрофона. Исследователи отмечают недостатки данного способа идентификации и аутентификации. Основным и определяющим недостатком метода аутентификации по голосу является низкая точность. Например, человека с простудой система может не опознать. Важную проблему составляет многообразие проявлений голоса одного человека: голос способен изменяться в зависимости от состояния здоровья, возраста, настроения (Утеев, Гибадуллин, 2024).

При этом в последнее время все большее количество потребителей биометрических систем озабочено не только качеством непосредственно голосовой биометрии, но и противодействием различным видам атак, проводимых с целью получения доступа к защищенной информации (Васильев, 2016). Известны случаи, когда с использованием записи голоса мошенникам удавалось обманным путем завладеть денежными средствами граждан.

Как считает Р.А. Васильев (2016), в преобладающем количестве систем идентификации по голосу не присутствует настройка алгоритмов под изменяющиеся условия применения (уровень шума, фонемы речи конкретного человека, ошибки идентификации и т.д.). Для осуществления процедуры идентификации используется спектральный анализ входного звукового сигнала и эталонного сигнала, записанного в базу данных, тем самым существует зависимость от эталонных фраз.

Вместе с тем использование искусственного интеллекта позволяет подделывать голос любого человека. В этой связи данный признак биометрической идентификации не гарантирует защиту граждан и вызывает большую настороженность среди них.

Правила биометрической идентификации

Общие правила идентификации клиентов банков базируются на положениях Федерального закона от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» (далее – ФЗ «О противодействии легализации доходов»)⁵.

В ч. 1 ст. 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – ФЗ «О персональных данных»)⁶ выделено 2 признака биометрических персональных данных:

• сведения, которые характеризуют физиологические особенности человека;
• биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных.

А.И. Савельев (2021) предлагает признать еще один признак биометрических данных, а именно использование оператором специальных технических средств для получения эталонных образцов биометрических данных субъекта и последующего сопоставления вводимых данных с ними.

Удаленная биометрическая идентификация включает Единую биометрическую систему (ЕБС) и Единую систему идентификации и аутентификации (ЕСИА). ЕБС включает биометрические персональные данные гражданина, а ЕСИА – фамилию, имя, отчество, паспортные данные и т.д.

В России согласно Указу Президента РФ от 30.09.2022 № 693⁷ Акционерное общество «Центр биометрических технологий» (ЦБТ, г. Москва) является органом, который уполномочен обеспечивать развитие цифровых технологий идентификации и аутентификации, в том числе на основе биометрических персональных данных, а также сервисов подписания и хранения документов, включая создание, развитие и эксплуатацию коммерческих сервисов и типовых решений (далее – оператор).

Преимущества биометрической идентификации

Обращение к биометрическим технологиям идентификации личности происходит, когда речь идет о повышении требований к безопасности совместно с удобством их использования (Одиноких, 2019). Мобильные устройства, стремительно приобретающие универсальность в аспекте проведения всевозможных транзакций, становятся платформой для развёртывания на них сервисов, использующих методы биометрической аутентификации. Значительная часть смартфонов, появившихся на рынке за последние несколько лет, оборудованы компактными сенсорами для аутентификации пользователя.

Использование биометрических данных для удаленной идентификации с использованием мобильных устройств в России поэтапно расширяется. Так, с текущего года использование биометрических персональных данных, размещенных физическим лицом в единой биометрической системе с использованием мобильного приложения единой биометрической системы, позволяет их использовать при заключении договоров об оказании услуг связи; осуществлении продажи алкогольной продукции, безалкогольных тонизирующих напитков (в т.ч. энергетических), табачной продукции или никотинсодержащей продукции, кальянов и устройств для потребления никотинсодержащей продукции⁸.

Безопасность и хранение биометрических данных

Действующим российским законодательством установлены основные правила сбора, обработки, передачи и хранения биометрических персональных данных, обеспечивающих их безопасность.

1. Хранение биометрических персональных данных возможно только централизованно в единой биометрической системе. В соответствии со ст. 15 ФЗ от 29.12.2022 № 572-ФЗ⁹ в информационных системах организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц, организаций финансового рынка, иных организаций, индивидуальных предпринимателей, нотариусов по общему правилу запрещена обработка, включая сбор и хранение, используемых в целях идентификации биометрических персональных данных, за исключением обработки, включая сбор, биометрических персональных данных для размещения в единой биометрической системе в соответствии с федеральными законами. Исключения предусмотрены указанным Федеральным законом.
2. Хранение биометрических данных должно осуществляться в обезличенной форме без персональных данных, по которым можно установить личность физического лица (Ф. И. О., паспорт, СНИЛС и так далее).
3. Биометрическим данные не могут обрабатываться без согласия в письменной форме субъекта персональных данных за исключением случаев, предусмотренных законом. С точки зрения законодательной практики охрана геномной информации происходит персонифицированно (Вихман, Якименко, 2016; Радостева, 2019).

Таким образом, законодателем сформированы основные требования к хранению и защите биометрических данных граждан.

В зарубежной и российской литературе отмечаются проблемы обеспечения сохранности персональных, в том числе биометрических данных, а также их использования, о чем пишут отдельные авторы (Матросов, Карасев, 2023).

Цифровые идентификационные данные конечных пользователей подвергаются все более изощренным атакам.

Рассмотрим некоторые из существующих проблем.

Отмечаются риски, связанные с использованием облачных технологий для хранения биометрической информации, поскольку такие данные требуют повышенной защиты конфиденциальности. В большинстве стран создание записей с биометрией регулируется законами, определяющими условия доступа, хранения, копирования и уничтожения такой информации. Тем не менее сторонники защиты личных данных считают, что действующие правовые нормы, часто сформулированные в общих чертах, недостаточно эффективны против конкретных угроз конфиденциальности, связанных с биометрическими данными (Guridi, 2024).

Также исследуются проблемы мошенничества с банкоматами, несмотря на строгое законодательство и усиление правоприменительной практики, направленные на борьбу с финансовыми преступлениями. Проблема мошенничества с банкоматами имеет глобальный масштаб, и ее последствия ощущаются, в частности, в Австралии (Yeo, 2007).

Проблема обнаружения подделок, связанных с аутентификацией и целостностью, а также с правом собственности на данные и пользователей, постепенно возрастает вместе с беспрецедентным развитием интернета. С развитием аппаратного и программного обеспечения, в результате чего появился интернет вещей (IoT), проверка на подделку станет еще сложнее, поскольку все будет взаимосвязано, как никогда ранее (Kaur и др., 2023).

А.И. Савельев (2021) отмечает, что утечки данных из государственных органов в России – частое явление. Причиной, как правило, становится недостаточная защита персональных данных клиентов, которыми недобросовестные сотрудники (в том числе в банках) злоупотребляют, продавая информацию мошенникам.

В литературе также отмечаются проблемы, которые возникают при удаленной идентификации и хранении биометрических данных. М. Левашов (2018) пишет, что специалисты по информационной безопасности отмечают существенные риски внедрения системы удаленной идентификации при управлении пользователями своими финансовыми и информационными активами. Один из главных рисков – ошибки системы сравнения полученных через интернет биометрических данных человека с его эталонными данными, хранящимися в ЕБС. Источником таких ошибок могут быть различные факторы.

Несмотря на сдержанное отношение граждан к идее сбора биометрических данных, Правительство РФ продолжает стремиться к их более широкому внедрению¹⁰. По данным Центра биометрических технологий на январь 2025 г. количество регистраций в ЕБС приближается к трем миллионам¹¹.

Для успешной реализации государственного проекта необходимо решить ключевую задачу: обеспечение надежной защиты биометрических персональных данных граждан.

Технологические решения

Одним из перспективных направлений является разработка новых технологических решений для биометрической идентификации. Усовершенствованные системы могут исключать необходимость хранения фактических биометрических образов (например, фотографий лиц или записей голоса). Как отмечает С.В. Черняев (2021), технологии «отменяемой биометрии» накапливают только цифровые отпечатки, которые невозможно преобразовать обратно в исходные данные. Данное решение представляется одним из перспективных, поскольку исключит возможность копирования биометрических данных клиентов и использования их в дальнейшем в мошеннических схемах.

Еще одним технологическим решением видится применение технологии блокчейн в качестве инструмента минимизации рисков несанкционированного использования биометрических персональных данных клиентов банков.

Некоторые эксперты считают, что использование технологии распределенного реестра может существенно повысить безопасность хранения биометрических данных (Генкин, Михеев, 2018). Основные преимущества данной технологии заключаются в ее способности обеспечивать прозрачность и неизменяемость информации (Михеева, 2020).

Внедрение технологии распределенного реестра в банковской сфере

В рамках пилотного проекта KYC (Know Your Customer), основанного на платформе Мастерчейн, создан механизм упрощенной идентификации клиентов между банками (Ahmed и др., 2023). В этой системе:

• информация о клиентах хранится в распределенном виде и доступна только при выполнении строгих условий;
• зашифрованные анкеты сохраняются в блокчейне, а ссылки на них передаются через дополнительные криптографические протоколы;
• только контрагент, имеющий соответствующие права, может получить доступ к данным;
• участники проекта, такие как АК «БАРС» Банк, ПАО «Сбербанк России» и АО Банк «Открытие», успешно протестировали технологию безопасного обмена KYC-анкетами.

Об эффективности использования технологии блокчейн при хранении биометрических данных граждан пишут и зарубежные авторы. Биометрические данные, связанные с распознаванием любого человека, зависят от его поведенческих, физических или психобиологических особенностей, таких как отпечатки пальцев, лицо, радужная оболочка, ухо, подпись, походка, ЭКГ, ЭЭГ и т.д. Поэтому сегодня очень важна безопасность этих биометрических данных. Технология блокчейн – это защищенное и децентрализованное хранилище данных. Модель безопасности 3D-биометрии лица и 3D-биометрии уха с использованием блокчейна обеспечивает прозрачность биометрических данных и передачу данных через распределенный механизм аудита на основе блокчейна (Kaur и др., 2023).

Важно отметить, что применение технологии блокчейн требует соблюдения норм законодательства. Например, действующее законодательство запрещает банкам хранить биометрические данные, их необходимо передавать оператору. Но при этом в момент сбора, который банки уполномочены проводить, также существуют риски, связанные с сохранностью персональных данных до передачи их оператору для хранения. Главная опасность заключается в возможных утечках биометрических данных, что может привести к мошенничеству и нарушению частной жизни граждан. Системы идентификации подвержены ошибкам из-за низкого качества данных или намеренных атак.

Так, например, основываясь на положениях о защите персональных данных, связанных с биометрией, в Европе и Соединенных Штатах, а также на защите персональных данных, связанных с биометрией, в Китае, предлагается улучшить защиту биометрической информации и привести ее в соответствие с существующими законами (Guridi 2024).

Перспективы развития

Использование технологии распределенного реестра при биометрической идентификации открывает новые возможности для повышения безопасности данных. В России уже создаются специализированные распределенные хранилища на базе платформы Мастерчейн. Такие хранилища обеспечивают ограниченный временный доступ к данным и позволяют управлять подписками на информацию (Аверина, 2024).

Операции с цифровым рублем, основанные на технологии блокчейн, служат примером успешного применения распределенных реестров в финансовой сфере. Аналогичный подход может быть распространен и на биометрические системы.

Правовые меры обеспечения безопасности биометрических данных

Необходимо усилить административную ответственность за нарушение правил обработки биометрических данных, а также ввести уголовную ответственность за их незаконное использование. Это особенно актуально в свете растущего количества мошеннических действий, связанных с персональными данными.

Использование банками при биометрической идентификации клиентов распределенного реестра имеет ряд преимуществ:

• клиенты могут открывать банковские счета в других банках без личного присутствия;
• экономия для банков, что особенно важно для мелких и средних банков, которые не имеют возможности приобрести дорогостоящее оборудование для проведения сбора биометрических данных клиентов;
• значительно сокращаются сроки оказания банковских услуг;
• снижается объем сомнительных, транзитных и иных аналогичных операций;
• технология распределенного реестра не позволяет в одностороннем порядке изменить информацию о платежах (Михеева, 2020).

Заключение

Внедрение дистанционных банковских услуг привело к широкому распространению удаленной идентификации клиентов в России. Однако, несмотря на перспективность онлайн-обслуживания, биометрическая идентификация, хотя и считается более надежным и удобным методом, пока не получила повсеместного распространения. На данный момент российское законодательство предусматривает использование ограниченного набора биометрических данных для идентификации: изображения лица и записи голоса. Перспективы расширения применяемого инструментария пока не обсуждаются, несмотря на недостатки и возможные риски ошибок, связанных с использованием изображения лица и записи голоса.

Одним из ключевых направлений решения проблем безопасности сохранения биометрических данных является разработка новых технологических решений. Усовершенствованные системы, такие как технологии «отменяемой биометрии», предлагают хранить только цифровые отпечатки вместо фактических биометрических образов, что существенно снижает риск их использования мошенниками. Кроме того, применение технологии блокчейн представляет собой перспективное техническое решение. Блокчейн обеспечивает прозрачность и неизменяемость информации, а его распределенная природа минимизирует риски утечки данных.

Для достижения целей государственного проекта по внедрению биометрических данных необходимо сочетать технологические инновации, усиление правового регулирования и внедрение современных методов защиты информации. Распределенный реестр представляет собой перспективное решение, которое может значительно повысить уровень доверия граждан к биометрии.

В целях совершенствования правового обеспечения сохранности биометрических данных граждан необходимо усилить ответственность лиц, которые занимаются их сбором, обработкой и хранением.