Зачем в России нужна Единая биометрическая система

Фото: Баранов Владимир/PhotoXPress.ru

До 30 сентября компании, которые собирали биометрические данные своих клиентов — банки, сотовые операторы, фитнес-центры и др., — должны передать их в Единую биометрическую систему (ЕБС). Это связано с принятым в конце прошлого года законом, регулирующим идентификацию и аутентификацию физлиц с использованием ЕБС. Согласно документу, биометрия граждан должна храниться в государственной информационной системе (ГИС) в зашифрованном виде. Коммерческие структуры смогут получить доступ только к математическим кодам этих данных — векторам. Обязанность частных компаний передать биометрию своих клиентов в ЕБС вызвала обеспокоенность у граждан — СМИ писали об очередях в МФЦ из желающих отказаться от передачи своих данных.

РБК Петербург спросил у экспертов в сфере технологий о том, насколько надежно защищена ЕБС, какие риски возникают у граждан в связи с передачей туда своих данных и для чего государство может эти данные использовать.

Что такое ЕБС и кто ей управляет

ЕБС — это государственная цифровая платформа, на которой собраны биометрические данные граждан. Система использует два вида данных - изображение лица и голос человека. Она была создана в 2018 году, а в 2021 году стала государственной информационной системой.

Оператором ЕБС является АО «Центр биометрических технологий». Эта организация обеспечивает сбор, хранение, обработку и проверку биометрических персональных данных. Учредителями АО выступают «Ростелеком», Минцифры и Центробанк.

Зачем создали эту систему

На сайте ЕБС говорится, что она создана, чтобы «повысить доступность услуг и сервисов, в том числе для маломобильных или проживающих в отдаленных регионах граждан». Например, используя биометрию, банки могут открывать счета новым клиентам, сотовые операторы — дистанционно заключать договоры на предоставление услуг.

До принятия закона компании могли самостоятельно собирать, хранить и использовать биометрические данные своих клиентов. Так, при оформлении банковских карт кредитные организации предлагали человеку сфотографировать его и записать его голос, чтобы потом клиент мог идентифицироваться для проведения финансовых операций с помощью биометрии.

Теперь государство решило объединить все данные в единой системе, поскольку считает, что так они лучше защищены, поясняют представители власти. «Сегодня любая организация имеет право собирать биометрические данные, и это привело к тому, что биометрия миллионов наших граждан хранится в разных системах многих частных компаний с разным уровнем безопасности», — говорил осенью прошлого года зампред Комитета Госдумы по информполитике, информационным технологиям и связи Антон Горелкин.

Впрочем, комментируя эти пояснения, некоторые эксперты напоминают, что за использование ЕБС частные компании будут вынуждены платить (это указано на сайте платформы), хотя фактически речь идет о данных, которые они сами собрали у своих клиентов. Таким образом, государство не в последнюю очередь руководствуется идеей создания платного сервиса, полагает генеральный директор Института исследования Интернета Карен Казарян. «Вполне коммерческие интересы прикрываются национальной безопасностью», — говорит он.

Кто передает данные в ЕБС

Передать данные в ЕБС обязаны не только банки, но и все операторы биометрических систем, говорит генеральный директор группы компаний ЦРТ Дмитрий Дырмовский. «К слову, это однократная процедура. Необходимо либо передать данные в ГИС ЕБС, либо уничтожить их. После этого собирать новые данные нельзя, но в случае аккредитации можно получить вектор из ГИС ЕБС — разумеется, только с согласия гражданина», — отметил эксперт.

Помимо банков, биометрию своих клиентов также собирали фитнес-центры (для идентификации прохода человека через турникет), сотовые операторы, ретейлеры, управляющие компании для «умного домофона».

Впрочем, как отмечает Карен Казарян, далеко не все собранные компаниями биометрические данные подойдут по формату для ЕБС. «Нужно смотреть на качество собранной биометрии. Не по всем изображениям лица можно построить вектор, который с требуемым качеством идентифицировал бы гражданина», — сказал он.

Какие сервисы используют биометрические данные

Для чего могут использоваться биометрические персональные данные, прописано в законе. Например:

• проведение вступительных испытаний при приеме на обучение, промежуточной и итоговой аттестации по образовательным программам высшего образования;
• безналичные расчеты в организациях торговли и сферы услуг в сумме не выше 5 тыс. руб.;
• оплата проезда на транспорте с использованием информационных систем;
• проход на территорию госорганов;
• заключение договоров об оказании услуг связи через Интернет;
• проведение голосования в электронной форме в рамках общих собраний собственников помещений в многоквартирных домах;
• аутентификации в отделениях почтовой связи «Почты России»;
• идентификация и аутентификация на «Госуслугах».

Как государство может использовать эти данные

Помимо создания инфраструктуры различных сервисов для населения (для чего биометрию достаточно давно и успешно используют частные структуры) еще одна очевидная сфера применения этой технологии — борьба с преступностью. Один из первых ярких примеров этого — использование камер с функцией распознавания лиц во время чемпионата мира по футболу 2018 года. Тогда система распознавания лиц, внедренная «Ростехом», позволила задержать в разных городах России более 180 человек, включенных в базы правонарушителей. Директор «Ростеха» по особым поручениям Василий Бровко говорил: «Мы, конечно, приближаем «1984» Оруэлла вместе со всем миром. Это неизбежно».

Впрочем, как отмечает исследователь из Института проблем правоприменения при Европейском университете в Санкт-Петербурге Дмитрий Серебренников, интерес государства к технологии распознавания лиц не ограничивается сферой безопасности. Это стало очевидно во время пандемии, полагает эксперт, когда жителей Москвы штрафовали за нахождение в общественных местах без маски и нарушение режима самоизоляции. В качестве доказательств использовались данные приложения «Социальный мониторинг» и запись с городских камер. «COVID совпал с одновременным массовым внедрением биометрии на всех камерах городского видеонаблюдения в Москве из-за чего стало возможно выписывать штрафы на основе биометрических данных», — говорит Серебренников. Причем протоколы на горожан составляли не только сотрудники полиции, но и представители других исполнительных органов власти города.

Кроме того, говорит Дмитрий Серебренников, как в Москве, так и в ряде других городов власти экспериментировали с биометрий в попытках приспособить ее под другие нужды. «Судя по всему, один из самых распространённых способов использования камер видеонаблюдения — контроль дворников и уборщиков мусора. Также были и попытки использовать камеры с распознаванием лиц для отслеживания мигрантов и контроля их работы на значимых стройках», — рассказывает эксперт.

Помогает ли биометрия следить за людьми

Опрошенные РБК Петербург эксперты говорят, что государство в лице правоохранительных органов может отследить местоположение человека и без биометрических данных.

«Работает система безопасности «Умный город». В Москве, например, на каждой станции метро установлены камеры с распознаванием лиц. Эта камера может идентифицировать граждан — их уже давно сопоставили с изображениями, которые есть в паспортной базе», — говорит Карен Казарян.

Кто имеет доступ к ЕБС

Доступ к ЕБС получат компании, которые прошли аккредитацию Минцифры. При этом им предоставят не непосредственно личную информацию граждан, а данные в виде так называемого вектора — зашифрованного кода. Такую аккредитацию уже прошли «Альфа-Банк» и «Россельхозбанк».

Насколько хорошо защищены данные

По словам Карена Казаряна, из базового тезиса информационной безопасности следует: децентрализованные системы считаются лучше защищенными, чем централизованные. «Потому что при децентрализованной системе при утечке на одном узле остальное продолжает работать. Децентрализованная система в России действовала до принятия этого закона — это корпоративные системы коммерческих организаций, соответствующим образом сертифицированные и защищенные, которые работают в связке с ЕБС», — говорит он.

Коммерческий директор компании «Код безопасности» Федор Дбар утверждает, что в части защиты сложно сказать о качестве, «поскольку обеспечение безопасности — это не константа, а процесс, который постоянно совершенствуется». Дмитрий Дырмовский говорит, что биометрические данные в ГИС ЕБС «защищены по самым высоким государственным стандартам информационной безопасности».

Как другие страны используют биометрию

В современном мире государства используют большое количество технологий, которые собирают данные о гражданах без их ведома и эти данные могут быть использованы для принятия политических решений, которые касаются граждан, говорит Дмитрий Серебренников. Например, Южная Корея в пандемию запустила проект системы видеонаблюдения с функцией распознавания лиц для отслеживания распространения пандемии COVID-19 и оповещало граждан через мобильное приложение в случаях, если они контактировали с инфицированными. «В тот момент, когда мы уверены, что такие технологии используются для работы государственных органов самих по себе — возможно, в этом нет ничего плохого. То, что происходило во время «ковида» в Южной Корее и Сингапуре, — это в обывательском смысле слежка. Но она не является злом, а является следствием хорошего уровня жизни — доступа граждан к приложениям, которые работают на данных», — говорит Серебренников.

Другой пример эксперт приводит пример из Германии, где данные граждан используются правоохранителями — в том числе для прогнозирования и предотвращения преступлений. «Такой контроль государства над жизнью граждан вызывает общественный резонанс, но не столь сильный, как можно было бы ожидать. Причина кроется в ряде внешних инструментов контроля полиции в Германии, что позволяет вывести такие вопросы на общественное обсуждение. В итоге это сглаживает проблему и позволяет выработать определенный публичный консенсус. В России, в силу ряда исторических обстоятельств, мы не можем похвастаться тем же, поэтому эта тема вызывает больше беспокойств», — полагает Дмитрий Серебренников.

Как россияне относятся к сбору биометрических данных

По результатам опроса, проведенного Всероссийским центром изучения общественного мнения, 32% россиян негативно относятся к сдаче биометрических данных, 26% — положительно, 30% — нейтрально. Еще 12% респондентов затруднились ответить. Из тех, кто негативно относится к биометрии, 25% объяснили это тем, что сбор биометрических данных нарушает права и свободы человека, 7% считают, что это контроль и слежка за человеком, 4% назвали сбор таких данных цифровым концлагерем и отметили, что государство использует эти данные против людей, 11% опасаются утечек данных.

Стоит ли опасаться хранения данных в ЕБС

Нужно не опасаться, а радоваться появлению биометрии, считает Федор Дбар. По его мнению, она решает фундаментальную проблему, которая лежит в основе многих мошеннических схем. «Что имеется в виду: на сегодняшний день бремя принятия решения — соответствует человек своему паспорту или нет — ложится на ответственных сотрудников. Но не будем забывать, что паспорт меняется не так часто, а за этот срок человек может сильно измениться: похудеть, набрать вес и т.д. При этом проверяющий сотрудник может ошибиться. Внедрение ЕБС и вообще современных технологий помогает решить эту проблему и идентифицировать гражданина, фактически исключая человеческий фактор», — говорит он.

Более скептически настроен Карен Казарян. Он предупреждает, что если когда-то система, где хранится биометрия, будет скомпрометирована, с этим ничего нельзя будет сделать. Если паспортные данные можно изменить и восстановить доступ к своим аккаунтам, то лицо и голос человек не сможет изменить. «Поэтому в мире, в частности в Китае, проекты на основе биометрии, которые бурно развивались десятилетия, сейчас постепенно сходят на нет, в том числе в связи с безопасностью», — говорит Казарян.

Стоит ли отказываться от передачи данных в ЕБС

Эксперты отмечают, что каждый гражданин вправе самостоятельно принять решение о хранении своей биометрии в ГИС ЕБС. «Важно отметить, что это не однократное решение на всю жизнь. В любой момент, через портал «Госуслуги», гражданин вправе отозвать свое согласие на хранение биометрических данных, так же как дать или отозвать свое согласие на передачу векторов коммерческим операторам», — говорит Дмитрий Дырмовский. Он добавляет, что никаких последствий для гражданина после отказа от биометрии нет и это гарантируется федеральным законодательством.

«Как представитель ИБ-сообщества и — шире — ИТ-сообщества, я бы рекомендовал идти в ногу с общепризнанным прогрессом и технологиями, которые упрощают жизнь», — говорит Федор Дбар.

Карен Казарян добавляет, что если вы ранее действительно пользовались финансовыми услугами с использованием биометрии, но откажетесь передать данные в ЕБС, то пользоваться для этого своей биометрией больше не сможете.

Как узнать, есть ли в системе мои данные

Чтобы проверить, сдавали ли вы биометрию, нужно зайти в личный кабинет на сайте «Госуслуги». Там выбрать пункт «Профиль», а затем в левом столбце — «Биометрия». В этом окне появится информация, зарегистрированы ли эти данные.

Как сдать данные в ЕБС

Есть стандартная биометрия, ее можно зарегистрировать самостоятельно в мобильном приложении «Госуслуги Биометрия». Она даёт возможность дистанционно оформить карту болельщика, оплатить проезд в метро, авторизоваться на «Госуслугах», бесконтактно пройти в офис или на стадион, удаленно заключить договор на оказание услуг связи.

И есть подтвержденная биометрия, которую можно оформить при личном посещении одного из отделений банка. Она дает возможность получать услуги для которых требуется подтверждение личности по паспорту. Речь идет о таких услугах, как: финансовые услуги, оформление усиленной квалифицированной электронной подписи. Кроме того, подтвержденная биометрия дает право доступа ко всем услугам, доступным со стандартной биометрией.

Как отказаться от передачи данных в ЕБС

Через личный кабинет на портале «Госуслуги» в разделе «Биометрия» или очно подать заявление через МФЦ.

Правда ли, что отказаться можно до 30 сентября

В МФЦ опровергли информацию о существующем дедлайне. «Если вам не нужны ваши биометрические данные, вы можете отказаться от их сбора, хранения и использования в любой момент. Эта услуга предоставляется в МФЦ», — говорится на сайте МФЦ.