Письмо Минцифры России от 18.06.2024 № П24-14678-ОГ

«О рассмотрении обращения»

Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации рассмотрело обращение и в рамках компетенции сообщает следующее.

В соответствии с частью 2 статьи 16 Федерального закона от 29 декабря 2012 г. № 273-ФЗ «Об образовании в Российской Федерации» организации, осуществляющие образовательную деятельность, вправе применять электронное обучение, дистанционные образовательные технологии при реализации образовательных программ в порядке, определенном постановлением Правительства Российской Федерации от 11 октября 2023 г. № 1678 «Об утверждении Правил применения организациями, осуществляющими образовательную деятельность, электронного обучения, дистанционных образовательных технологий при реализации образовательных программ» (далее — Правила).

Пунктом 14 Правил закреплено право организации, осуществляющей образовательную деятельность, в целях дистанционного проведения промежуточной аттестации и текущего контроля успеваемости, итоговой аттестации по образовательным программам высшего, среднего профессионального и дополнительного профессионального образования (далее — Аттестация) осуществлять идентификацию и аутентификацию обучающихся с использованием единой системы идентификации и аутентификации (далее — ЕСИА) и единой биометрической системы (далее — ГИС ЕБС) и получать из ЕСИА сведения о фамилии, имени, отчестве (при наличии) и идентификаторе учетной записи ЕСИА.

Согласно части 7 статьи 2 Федерального закона от 29 декабря 2022 г. № 572-ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации» (далее — Федеральный закон № 572-ФЗ) под идентификацией понимается совокупность мероприятий по установлению сведений о лице и их проверке, осуществляемых в соответствии с действующим законодательством Российской Федерации, и сопоставлению данных сведений с идентификатором.

Под аутентификацией согласно пункту 2 статьи 2 Федерального закона № 572-ФЗ понимается совокупность мероприятий по проверке лица на принадлежность ему идентификаторов посредством сопоставления их со сведениями о лице, которыми располагает лицо, проводящее аутентификацию, а также установлению правомерности владения лицом идентификаторами посредством использования аутентифицирующих признаков в рамках процедуры аутентификации.

Также в соответствии с частью 1 статьи 11 Федерального закона № 572-ФЗ действия по идентификации и (или) аутентификации физического лица с использованием ГИС ЕБС и ЕСИА приравниваются к действиям по предъявлению документов, удостоверяющих личность такого физического лица.

Дополнительно отмечаем, что согласно части 3 статьи 13 Федерального закона № 572-ФЗ процесс аутентификации возможен с использованием информационных систем аккредитованных государственных органов, Центрального банка Российской Федерации в случае прохождения им аккредитации или организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц с применением векторов ГИС ЕБС.

Учитывая что проведение вступительных испытаний при приеме на обучение, промежуточной и итоговой аттестации в организации, осуществляющей образовательную деятельность, включено в перечень случаев, при которых аутентификация с использованием информационных систем организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц, утвержденный постановлением Правительства Российской Федерации от 25 мая 2023 г. № 815, не допускается, обработка биометрических персональных данных при проведении Аттестации должна обеспечиваться посредством идентификации и (или) аутентификации с использованием ГИС ЕБС в соответствии со статьями 9 и 10 Федерального закона № 572-ФЗ.

Вместе с тем в целях реализации возможности проведения Аттестации организации, осуществляющие образовательную деятельность, должны обеспечить взаимодействие своих информационных систем с ГИС ЕБС с учетом необходимости соблюдения требований по информационной безопасности при обработке биометрических персональных данных, утвержденных приказом Минцифры России от 5 мая 2023 г. № 445.

В соответствии с пунктом 15 Правил организации, осуществляющие образовательную деятельность по программам высшего, среднего и дополнительного образования, вправе осуществлять проведение Аттестации с использованием дистанционных образовательных технологий, обеспечивающих идентификацию и (или) аутентификацию физического лица посредством других информационных систем, обеспечивающих идентификацию и (или) аутентификацию личности, с учетом требований к информационным системам персональных данных или государственным информационным системам, утвержденным постановлением Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и приказом ФСТЭК России от 11 февраля 2013 г. № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах».

Кроме того, Минцифры России проведен анализ альтернативных способов идентификации и (или) аутентификации обучающегося, в том числе путем предъявления документа, удостоверяющего личность физического лица с использованием камеры устройства видеосвязи, а также использования одноразового кода подтверждения, направленного в виде короткого текстового сообщения на абонентский номер подвижной радиотелефонной связи (далее — СМС-код), и сообщает о выявленных факторах, влияющих на достоверность результатов:

невозможность проверки достоверности предъявляемого документа, удостоверяющего личность физического лица;

вероятность подмены фотографии или персональных данных в документе, удостоверяющем личность физического лица;

возможность утечки персональных данных и биометрических персональных данных ввиду отсутствия требований к защите информации в используемых информационных системах;

отсутствие защиты от трансграничной передачи персональных данных и биометрических персональных данных;

возможность подмены изображения;

возможность передачи сотового телефона и перехвата трафика подвижной радиотелефонной связи.

Учитывая вышеуказанные недостатки, предъявление документа, удостоверяющего личность физического лица, с использованием камеры устройства видеосвязи, а также использование СМС-кода не могут в полной мере обеспечить безопасность и достоверность идентификации и (или) аутентификации обучающихся.

Заместитель директора

---