Приказ Минцифры России от 06.03.2026 № 185

«Об утверждении доклада о правоприменительной практике организации и осуществления федерального государственного контроля (надзора) в сфере идентификации и (или) аутентификации в 2025 году»

ПРИКАЗ

ИДЕНТИФИКАЦИИ И (ИЛИ) АУТЕНТИФИКАЦИИ В 2025 ГОДУ

В соответствии с частью 4 статьи 47 Федерального закона от 31 июля 2020 г. № 248-ФЗ «О государственном контроле (надзоре) и муниципальном контроле в Российской Федерации», пунктами 3 и 16 Положения о федеральном государственном контроле (надзоре) в сфере идентификации и (или) аутентификации, утвержденного постановлением Правительства Российской Федерации от 11 апреля 2023 г. № 585, приказываю:

1. Утвердить прилагаемый доклад о правоприменительной практике организации и осуществления федерального государственного контроля (надзора) в сфере идентификации и (или) аутентификации в 2025 году (далее — доклад).

2. Советнику Министра цифрового развития, связи и массовых коммуникаций Российской Федерации (Мезенцевой М.В.) обеспечить размещение доклада на официальном сайте Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации в информационно-телекоммуникационной сети «Интернет» в течение 3 дней со дня его утверждения.

М. И. Шадаев

от 6 марта 2026 г. № 185

ДОКЛАД О ПРАВОПРИМЕНИТЕЛЬНОЙ ПРАКТИКЕ ОРГАНИЗАЦИИ И ОСУЩЕСТВЛЕНИЯ ФЕДЕРАЛЬНОГО ГОСУДАРСТВЕННОГО КОНТРОЛЯ (НАДЗОРА) В СФЕРЕ ИДЕНТИФИКАЦИИ И (ИЛИ) АУТЕНТИФИКАЦИИ В 2025 ГОДУ

I. Нормативное правовое регулирование федерального государственного контроля (надзора) в сфере идентификации и (или) аутентификации

1.1. Общие сведения

Федеральный государственный контроль (надзор) в сфере идентификации и (или) аутентификации (далее — государственный контроль) установлен положениями статьи 18 Федерального закона от 29 декабря 2022 г. № 572-ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации» (далее — Федеральный закон № 572-ФЗ).

Контролируемыми лицами в рамках государственного контроля являются аккредитованные организации, осуществляющие аутентификацию на основе биометрических персональных данных физических лиц, аккредитованные государственные органы, Центральный банк Российской Федерации в случае прохождения им аккредитации.

Предметом государственного контроля является соблюдение аккредитованными организациями, осуществляющими аутентификацию на основе биометрических персональных данных физических лиц, аккредитованными государственными органами, Центральным банком Российской Федерации в случае прохождения им аккредитации требований Федерального закона № 572-ФЗ и принимаемых в соответствии с ним иных нормативных правовых актов Российской Федерации.

Общее количество контролируемых лиц на конец отчетного периода составило 16, указанные контролируемые лица отнесены к категории среднего риска.

1.2. Организация и осуществление государственного контроля

В соответствии с частью 3 статьи 18 Федерального закона № 572-ФЗ организация и осуществление государственного контроля регулируются положениями Федерального закона от 31 июля 2020 г. № 248-ФЗ «О государственном контроле (надзоре) и муниципальном контроле в Российской Федерации» (далее — Федеральный закон № 248-ФЗ).

Порядок организации и осуществления государственного контроля установлен Положением о федеральном государственном контроле (надзоре) в сфере идентификации и (или) аутентификации, утвержденным постановлением Правительства Российской Федерации от 11 апреля 2023 г. № 585 (далее — Положение).

В соответствии с Положением полномочиями по осуществлению государственного контроля наделено Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации.

1.3. Организация и проведение контрольных (надзорных) мероприятий

В рамках государственного контроля предусмотрено проведение следующих контрольных (надзорных) мероприятий, предусматривающих взаимодействие с контролируемым лицом: инспекционный визит, документарная проверка, выездная проверка.

Плановые контрольные (надзорные) мероприятия в отношении объектов контроля проводятся в зависимости от присвоенных категорий риска с периодичностью, установленной пунктом 13 Положения. В отношении объектов контроля, отнесенных к категории высокого риска, — 1 раз в 2 года проводится инспекционный визит, или выездная проверка, или документарная проверка. Категории риска присваиваются в соответствии с критериями отнесения объектов государственного контроля к категориям риска причинения вреда (ущерба) охраняемым законом ценностям в соответствии с приложением к Положению.

В соответствии с пунктом 30 Положения плановые контрольные (надзорные) мероприятия проводятся на основании плана их проведения на очередной календарный год, согласованного с органами прокуратуры.

С учетом положений Федерального закона № 572-ФЗ и согласно пункту 43 Положения организация проведения внеплановых контрольных (надзорных) мероприятий осуществляется в соответствии с положениями статьи 66 Федерального закона № 248-ФЗ. При этом внеплановые контрольные (надзорные) мероприятия, за исключением внеплановых контрольных (надзорных) мероприятий без взаимодействия, проводятся по основаниям, предусмотренным пунктами 1, 3 — 5, 7, 9 части 1 статьи 57 Федерального закона № 248-ФЗ.

Таким образом, основаниями для проведения внеплановых контрольных (надзорных) мероприятий являются:

1. наличие у контрольного (надзорного) органа сведений о причинении вреда (ущерба) или об угрозе причинения вреда (ущерба) охраняемым законом ценностям;

2. поручение Президента Российской Федерации, поручение Правительства Российской Федерации о проведении контрольных (надзорных) мероприятий в отношении конкретных контролируемых лиц;

3. требование прокурора о проведении контрольного (надзорного) мероприятия в рамках надзора за исполнением законов, соблюдением прав и свобод человека и гражданина по поступившим в органы прокуратуры материалам и обращениям;

4. истечение срока исполнения предписания об устранении выявленных нарушений обязательных требований — в случаях, установленных частью 1 статьи 95 Федерального закона № 248-ФЗ;

5. выявление соответствия объекта контроля параметрам, утвержденным индикаторами риска нарушения обязательных требований, или отклонения объекта контроля от таких параметров;

6. уклонение контролируемого лица от проведения обязательного профилактического визита.

Перечень индикаторов риска нарушения обязательных требований при осуществлении государственного контроля утвержден приказом Минцифры России от 16 сентября 2024 г. № 773.

1.4. Принятие решений о проведении контрольных (надзорных) мероприятий

Для проведения контрольного (надзорного) мероприятия, предусматривающего взаимодействие с контролируемым лицом, принимается решение о проведении соответствующего мероприятия, которое оформляется в соответствии с требованиями части 1 статьи 64 Федерального закона № 248-ФЗ, а также приказа Минэкономразвития России от 31 марта 2021 г. № 151 «О типовых формах документов, используемых контрольным (надзорным) органом» (далее — приказ № 151).

Должностными лицами, уполномоченными на принятие решения о проведении контрольного (надзорного) мероприятия, являются:

1. руководитель органа государственного контроля, заместитель руководителя органа государственного контроля;

2. руководители структурных подразделений органа государственного контроля, в сферу ведения которых входят вопросы организации и осуществления государственного контроля, должностными регламентами которых предусмотрены полномочия по осуществлению государственного контроля.

Сведения о решениях о проведении контрольных (надзорных) мероприятий подлежат внесению в Единый реестр контрольных (надзорных) мероприятий.

1.5. Оформление результатов контрольных (надзорных) мероприятий и принятие мер по их результатам

По окончании проведения контрольного (надзорного) мероприятия, предусматривающего взаимодействие с контролируемым лицом, составляется акт контрольного (надзорного) мероприятия в соответствии с требованиями статьи 87 Федерального закона № 248-ФЗ и приказа № 151.

Акт контрольного (надзорного) мероприятия составляется и подписывается должностными лицами, проводившими контрольное (надзорное) мероприятие, в день окончания проведения такого мероприятия.

Документы, иные материалы, являющиеся доказательствами нарушения обязательных требований, должны быть приобщены к акту.

В случае выявления при проведении контрольного (надзорного) мероприятия нарушений обязательных требований контролируемому лицу выдается предписание об устранении выявленных нарушений с указанием разумных сроков их устранения.

II. Анализ правоприменительной практики

2.1. Проведение контрольных (надзорных) мероприятий

В 2025 году плановые контрольные (надзорные) мероприятия не проводились в связи с отсутствием объектов контроля, отнесенных к категории высокого риска, в отношении которых в соответствии с подпунктом «а» пункта 13 Положения предусмотрена возможность проведения плановых контрольных (надзорных) мероприятий.

Внеплановые контрольные (надзорные) мероприятия, за исключением внеплановых контрольных (надзорных) мероприятий без взаимодействия, по основаниям, предусмотренным пунктами 1, 3 — 5, 7, 9 части 1 статьи 57 Федерального закона № 248-ФЗ, в рамках государственного контроля в 2025 году не проводились ввиду отсутствия указанных оснований для проведения внеплановых контрольных (надзорных) мероприятий.

По результатам наблюдения за соблюдением контролируемыми лицами обязательных требований, проводимого без взаимодействия с контролируемыми лицами, предусмотренного подпунктом «а» пункта 32 и пунктом 34 Положения, Минцифры России не выявлено оснований для проведения внеплановых контрольных (надзорных) мероприятий. Учитывая изложенное, указанные мероприятия в 2025 году не проводились.

2.2. Проведение профилактических мероприятий

Минцифры России на постоянной основе проводится консультирование и информирование граждан и организаций по наиболее часто возникающим вопросам законодательства Российской Федерации в сфере идентификации и (или) аутентификации с использованием биометрических персональных данных физических лиц, в том числе о возможности досудебного урегулирования споров, возникающих в указанной сфере, возможности защиты своих прав в судебном порядке, а также правоохранительными органами Российской Федерации.

Так, в 2025 году наиболее актуальными вопросами в сфере идентификации и (или) аутентификации с использованием биометрических персональных данных физических лиц были:

Вопрос № 1. Вправе ли банки, не имеющие аккредитации для осуществления аутентификации физических лиц на основе биометрических персональных данных, собирать биометрические персональные данные и передавать их в государственную информационную систему «Единая система идентификации и аутентификации физических лиц с использованием биометрических персональных данных» (далее — ГИС ЕБС)?

Вопрос № 2. На какой именно вид деятельности должна быть получена лицензия на работы с шифровальными (криптографическими) средствами, чтобы организация могла пройти аккредитацию в сфере биометрической аутентификации?

Вопрос № 3. Что означают термины «идентификация» и «аутентификация» и в чем заключается принципиальная разница между этими процессами?

Вопрос № 4. Каким образом физическое лицо может инициировать прекращение обработки своих биометрических данных, используемых для идентификации и/или аутентификации?

На указанные вопросы Минцифры России даны соответствующие разъяснения:

По вопросу № 1.

Банки имеют право осуществлять сбор биометрических персональных данных физических лиц для их последующего размещения в ГИС ЕБС. Требование об обязательном прохождении аккредитации для целей такого сбора Федеральным законом № 572-ФЗ не установлено.

Вместе с тем, если организации (включая банки) планируют проводить автоматизированную аутентификацию физических лиц на основе биометрических персональных данных, они обязаны пройти процедуру аккредитации в соответствии с указанным федеральным законом.

По вопросу № 2.

Согласно пункту 6 части 2 статьи 17 Федерального закона № 572-ФЗ для прохождения аккредитации организация должна иметь лицензию на деятельность по разработке, производству, распространению шифровальных (криптографических) средств, информационных и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд организации).

Также отдельно следует отметить, что Федеральный закон № 572-ФЗ не предусматривает возможность прохождения аккредитации для осуществления идентификации физических лиц на основе биометрических персональных данных, так как такая идентификация осуществляется с использованием ГИС ЕБС в порядке, установленном статьей 9 Федерального закона № 572-ФЗ.

По вопросу № 3.

Аутентификация — это совокупность мероприятий по проверке лица на принадлежность ему идентификаторов посредством сопоставления их со сведениями о лице, которыми располагает лицо, проводящее аутентификацию, и установлению правомерности владения лицом идентификаторами посредством использования аутентифицирующих признаков в рамках процедуры аутентификации, в результате чего лицо считается установленным (пункт 2 статьи 2 Федерального закона № 572-ФЗ).

Идентификация — это совокупность мероприятий по установлению сведений о лице и их проверке, осуществляемых в соответствии с федеральными законами и принимаемыми в соответствии с ними нормативными правовыми актами, и сопоставлению данных сведений с идентификатором (пункт 7 статьи 2 Федерального закона № 572-ФЗ).

Согласно статье 9 Федерального закона № 572-ФЗ, идентификация физических лиц на основе биометрических персональных данных осуществляется исключительно с использованием ГИС ЕБС и федеральной государственной информационной системы «Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме» (далее — ЕСИА).

Согласно статьям 10 и 16 Федерального закона № 572-ФЗ аутентификация физических лиц на основе биометрических персональных данных может осуществляться организацией как посредством использования ГИС ЕБС, так и с использованием своей информационной системы или с использованием информационных систем иных организаций, осуществляющих аутентификацию на основе биометрических персональных данных. Аутентификация с использованием информационных систем организаций допускается только с использованием векторов ГИС ЕБС и при одновременном выполнении условий, предусмотренных частью 3 статьи 16 Федерального закона № 572-ФЗ.

По вопросу № 4.

Чтобы прекратить обработку биометрических персональных данных, используемых для идентификации и (или) аутентификации, физическое лицо может отозвать свое согласие на обработку биометрических персональных данных непосредственно у того лица, которому оно предоставлялось. Это право закреплено частью 2 статьи 9 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных».

Кроме того, физическое лицо, зарегистрированное в ЕСИА, вправе с использованием федеральной государственной информационной системы «Единый портал государственных и муниципальных услуг (функций)» отозвать ранее данные согласия на размещение и обработку биометрических персональных данных, а также обратиться к оператору ГИС ЕБС с требованием о блокировании, об удалении или уничтожении его биометрических персональных данных и (или) векторов ГИС ЕБС в соответствии с пунктом 5 части 14 и частью 15 статьи 3 Федерального закона № 572-ФЗ и подпунктом «ч» пункта 1 Положения о федеральной государственной информационной системе «Единый портал государственных и муниципальных услуг (функций)», утвержденного постановлением Правительства Российской Федерации от 24 октября 2011 г. № 861.

Вместе с тем пунктом 24 Положения определена возможность проведения профилактических визитов по инициативе контролирующего органа (обязательный профилактический визит) или по инициативе контролируемого лица.

Профилактический визит проводится в форме профилактической беседы инспектором по месту осуществления деятельности контролируемого лица либо путем использования видео-конференц-связи или мобильного приложения «Инспектор».

Обязательный профилактический визит проводится в порядке и на основаниях, которые установлены статьей 52.1 Федерального закона № 248-ФЗ.

Профилактический визит по инициативе контролируемого лица проводится в порядке, установленном статьей 52.2 Федерального закона № 248-ФЗ.

При этом пунктом 13 Положения предусмотрена периодичность проведения плановых обязательных профилактических визитов, указанных в пункте 1 части 1 статьи 52.1 Федерального закона № 248-ФЗ, в отношении объектов контроля в зависимости от присвоенных категорий риска:

в отношении объектов контроля, отнесенных к категории среднего риска, — обязательный профилактический визит проводится в соответствии с периодичностью, определенной постановлением Правительства Российской Федерации от 1 октября 2025 г. № 1511 «О периодичности проведения обязательных профилактических визитов в рамках государственного контроля (надзора), муниципального контроля», которая для указанных объектов контроля составляет не более одного обязательного профилактического визита в 5 лет.

Учитывая, что контролируемые лица прошли аккредитацию в качестве организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц, в период с августа 2023 г. по декабрь 2025 г. и в настоящее время отнесены к категории среднего риска, в отношении указанных контролируемых лиц в 2025 году не планировалось проведение обязательных профилактических визитов. Необходимо отметить, что в 2024 году в отношении 7 из 16 контролируемых лиц были проведены обязательные профилактические визиты.

Также в 2025 году отсутствовали основания для проведения обязательных профилактических визитов в рамках государственного контроля, установленные пунктом 4 части 1 и частью 2 статьи 52.1 Федерального закона № 248-ФЗ.

Таким образом, обязательные профилактические визиты в 2025 году не проводились в связи с отсутствием указанных выше оснований для их проведения.

2.3. Применение обязательных требований во взаимосвязи положений различных нормативных правовых актов, в том числе вопросы недостаточной ясности и взаимной согласованности обязательных требований

Анализ потенциальной выполнимости обязательных требований, вопросы по исполнению которых встречаются наиболее часто в установленной сфере ведения Минцифры России, показал, что соблюдение данных требований потенциально выполнимо. Вопросов недостаточной ясности и взаимной согласованности обязательных требований не выявлено. Условия, препятствующие выполнению обязательных требований, отсутствуют. Противоречия при применении нормативных правовых актов отсутствуют.

III. Предложения о совершенствовании законодательства на основе анализа правоприменительной практики контрольной (надзорной) деятельности

Существующее регулирование контрольной (надзорной) деятельности за соблюдением законодательства Российской Федерации в сфере идентификации и (или) аутентификации с использованием биометрических персональных данных физических лиц является актуальным и достаточным, отвечающим реалиям.

В целях обеспечения единообразия правоприменения требуется проведение комплексной работы приоритетно разъяснительного и профилактического характера.

---