Новации в функционировании межбанковской системы идентификации
Материал подготовлен с использованием правовых актов по состоянию на 5 августа 2024 г.
Анализируются нормативные правовые предписания новой редакции Инструкции о порядке функционирования межбанковской системы идентификации, утв. постановлением Правления Национального банка от 21.09.2016 № 497.
ПРАВОВОЕ РЕГУЛИРОВАНИЕ
● постановление Правления Национального банка от 20.05.2024 № 150 «Об изменении постановления Правления Национального банка Республики Беларусь от 21 сентября 2016 г. № 497» (далее – Постановление № 150)
● Инструкция о порядке функционирования межбанковской системы идентификации, утв. постановлением Правления Национального банка от 21.09.2016 № 497 (далее – Инструкция № 497)
С 09.06.2024 вступило в силу Постановление № 150, которое излагает в новой редакции Инструкцию № 497.
Изменение терминологии
1. В Инструкции № 497 появился ряд новых терминов.
Биометрические персональные данные (вместо биометрического документа) – информация, характеризующая физиологические и биологические особенности человека (фото- и (или) видеоизображение, голос), которая используется для его уникальной идентификации в целях идентификации, определенной Законом от 30.06.2014 № 165-З «О мерах по предотвращению легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения» (далее – Закон № 165-З), и (или) аутентификации.
Клиенты – юридические и физические лица, в т.ч. ИП, нотариусы, пользователи платежных услуг, а также их представители, которые получают услуги лиц, названных в п. 3 Указа Президента от 18.04.2019 № 148 «О цифровых банковских технологиях» (далее – Указ № 148), юрлиц, названных в ч. 1 п. 21 Указа № 148, госорганов.
Разблокирование – меры, принимаемые владельцем межбанковской системы идентификации (далее – МСИ), в результате которых возобновляется доступ к данным о клиентах, который ранее был прекращен в результате блокирования этих данных.
Удаленная идентификация – идентификация на удаленной основе, которая проводится без личного присутствия клиента с использованием программных и (или) технических средств.
2. Некоторые термины претерпели изменения.
Данные о клиентах – совокупность полученных участниками МСИ данных о клиентах, определенных Законом № 165-З, и данных о клиентах, предоставляемых участниками МСИ, согласно приложению 1 к Инструкции № 497 и (или) данных о клиентах, получаемых из государственных информационных ресурсов (систем) (далее – ГИР (ГИС)), согласно приложению 2 к Инструкции № 497, и (или) данных о клиентах согласно перечням, определенным международными договорами Республики Беларусь.
Статический пароль – пароль, используемый многократно для аутентификации в МСИ, задаваемый клиентом в МСИ самостоятельно и подтвержденный им с использованием:
● действительного сертификата открытого ключа проверки ЭЦП и (или) атрибутного сертификата, изданных республиканским удостоверяющим центром Государственной системы управления открытыми ключами проверки электронной цифровой подписи Республики Беларусь;
● биометрического документа;
● биометрических персональных данных клиента.
Субъекты МСИ – не только банки, небанковские кредитно-финансовые организации, ОАО «Банк развития Республики Беларусь», иные лица, осуществляющие финансовые операции, госорганы, но и поставщики платежных услуг, агенты по идентификации, получатели данных МСИ, иные пользователи МСИ.
Взаимодействие владельца МСИ, субъектов МСИ, владельцев (операторов) ГИР (ГИС), клиентов
По общему правилу взаимодействие владельца МСИ, субъектов МСИ, владельцев (операторов) ГИР (ГИС) осуществляется на договорной основе. Исключения могут быть установлены законодательными актами, а с 09.06.2024 еще и международными договорами Республики Беларусь.
Появились новые нормы, согласно которым взаимодействие владельца МСИ с третьей доверенной стороной, определенной международным договором Республики Беларусь в целях идентификации нерезидентов и верификации их персональных данных, в т.ч. биометрических персональных данных, осуществляется на основании договора, заключенного в соответствии с международным договором Республики Беларусь. Третьи доверенные стороны в рамках заключенных с владельцем МСИ договоров предоставляют в МСИ данные о клиентах в соответствии с ч. 3 п. 14 и абз. 4 п. 16 Инструкции № 497.
Владелец МСИ в рамках заключенных с пользователями МСИ, госорганами, а также агентами по идентификации, получателями данных МСИ договоров оказывает услуги по аутентификации и предоставлению данных о клиентах в соответствии с п. 26 Инструкции № 497.
С 09.06.2024 в целях подключения агента по идентификации к МСИ лицо, осуществляющее финансовые операции, договор с которым предусматривает использование МСИ указанным агентом, не позднее банковского дня, следующего за днем подписания такого договора, направляет владельцу МСИ следующую информацию:
● данные агента по идентификации (регистрационный номер, наименование юрлица, фамилия, собственное имя, отчество (если таковое имеется) ИП);
● срок действия договора, заключенного между лицом, осуществляющим финансовые операции, и агентом по идентификации (далее – агентский договор).
Владелец МСИ устанавливает срок действия договора с агентом по идентификации не более срока действия агентского договора, который является максимальным по отношению к срокам действия агентских договоров, заключенных с данным агентом по идентификации, информация о которых предоставлена владельцу МСИ лицами, осуществляющими финансовые операции.
В случае изменения срока действия агентского договора лицо, осуществляющее финансовые операции, являющееся стороной по такому договору, информирует об этом владельца МСИ не позднее банковского дня, следующего за днем внесения таких изменений.
В Инструкции № 497 появилась норма, согласно которой в целях обеспечения функционирования МСИ владелец МСИ:
● оказывает услуги посредством МСИ в соответствии с заключенными договорами;
● предоставляет клиентам доступ к данным о них в МСИ;
● обеспечивает возможность блокирования клиентом его данных в МСИ;
● поддерживает МСИ в надлежащем техническом состоянии, осуществляет ее техобслуживание и модернизацию;
● информирует субъектов МСИ о плановых работах, приводящих к перерывам в оказании информационных услуг в МСИ, а также о возникающих кризисных (сбойных) ситуациях функционирования МСИ;
● информирует субъектов МСИ о расширении функциональных возможностей использования услуг посредством МСИ путем размещения информации на сайте МСИ и (или) направления писем;
● обеспечивает хранение информации о согласиях на предоставление данных о клиенте, в т.ч. персональных данных, из МСИ и иное использование этих данных, на оказание услуги по верификации данных о клиенте (далее – согласие), отзывов согласий, заявлений клиентов и иных документов об изменении, исправлении, блокировании данных о клиентах в соответствии с п. 33 Инструкции № 497;
● проводит верификацию данных о клиентах, хранящихся в МСИ;
● устанавливает размеры вознаграждений (тарифы) для субъектов МСИ по организации информационного обслуживания и иные тарифы с учетом экономической обоснованности;
● осуществляет сбор и обработку биометрических персональных данных клиента с целью их последующего использования в качестве аутентификационных данных свойства объекта. Верификация предоставленных биометрических персональных данных проводится владельцем МСИ в соответствии с п. 21 Инструкции № 497.
Права и обязанности участников МСИ
Из главы 3 Инструкции № 497 исключены права и обязанности владельца МСИ.
Анализ прав и обязанностей участников МСИ позволяет сделать вывод, что по своей сути они остались прежними.
Порядок предоставления участниками МСИ данных о клиентах в МСИ
1. Изменились цели предоставления данных о клиентах владельцу МСИ. В дополнение к формированию МСИ появились: обеспечение проведения удаленной идентификации клиентов, обработка персональных и иных данных о клиентах.
2. Изменился субъектный состав лиц, которые предоставляют данные о клиентах владельцу МСИ. К таким лицам теперь относятся и третьи доверенные стороны.
3. Владельцу МСИ теперь предоставляются данные о клиентах, установленные, в частности, при проведении процедур удаленной идентификации клиентов и удаленного обновления (актуализации) данных о них, за исключением этих процедур, проведенных с использованием МСИ.
4. Третьими доверенными сторонами предоставляются данные о клиентах согласно перечням, определенным международными договорами Республики Беларусь.
5. Изменился срок предоставления данных в МСИ: сейчас такие данные предоставляются в МСИ не позднее банковского дня, следующего за днем их установления участником МСИ или получения участником МСИ таких данных от агента по идентификации (было – не позднее третьего банковского дня, следующего за днем их установления участником МСИ или получения участником системы идентификации таких данных от агента по идентификации).
6. Данные о клиентах, сведения об изменении данных о клиентах, сообщения об исключении ошибочных данных о клиентах предоставляются в МСИ, помимо прочих:
● как и ранее, владельцем МСИ в электронном виде посредством программных и (или) технических средств. Появилась норма, согласно которой предоставление в МСИ биометрических персональных данных осуществляется с соблюдением требований гл. 3 Инструкции об использовании программных и (или) технических средств, проведении удаленной идентификации, удаленного обновления (актуализации) данных, утв. постановлением Правления Национального банка от 19.09.2019 № 379 (далее – Инструкция № 379). Верификация биометрических персональных данных может осуществляться в соответствии с п. 21 Инструкции № 497;
● новым субъектом: третьими доверенными сторонами в соответствии с международными договорами Республики Беларусь.
Регистрация и аутентификация клиента в МСИ
1. Регистрация клиента в МСИ осуществляется в т.ч. с использованием действительного сертификата открытого ключа проверки ЭЦП и (или) атрибутного сертификата, изданных республиканским удостоверяющим центром Государственной системы управления открытыми ключами проверки электронной цифровой подписи Республики Беларусь.
2. С 09.06.2024 однофакторная аутентификация клиента в МСИ проводится с использованием одного вида аутентификационных данных. В качестве таких аутентификационных данных могут использоваться:
● статический пароль;
● динамический пароль;
● биометрические персональные данные клиента.
При использовании МСИ для осуществления однофакторной аутентификации в случаях, установленных приложением 1 к Инструкции № 379, может проводиться многофакторная аутентификация.
3. Многофакторная аутентификация клиента в МСИ проводится с использованием двух или более разных видов аутентификационных данных. В качестве таких аутентификационных данных может использоваться (в т.ч. в комплексе):
● действительный сертификат открытого ключа проверки ЭЦП и (или) атрибутный сертификат, изданные республиканским удостоверяющим центром Государственной системы управления открытыми ключами проверки электронной цифровой подписи Республики Беларусь;
● биометрический документ;
● статический и динамический пароли;
● статический и (или) динамический пароли, биометрические персональные данные клиента.
Порядок проведения владельцем МСИ верификации данных о клиентах
Верификация данных о клиентах по перечню согласно приложению 2 к Инструкции № 497 проводится владельцем МСИ при взаимодействии с владельцами (операторами) ГИР (ГИС), а также третьими доверенными сторонами и (или) с данными, полученными из биометрических документов программными и (или) техническими средствами, взаимодействующими с МСИ, в целях обеспечения актуальности и достоверности данных о клиентах, хранящихся в МСИ.
С 09.06.2024 для получения данных о клиентах из биометрических документов с целью верификации этих данных в МСИ используются считыватель биометрических документов на мобильном устройстве, поддерживающий технологию беспроводной передачи данных NFC, либо устройство на физическом носителе, обеспечивающее считывание данных из биометрического документа контактным и (или) бесконтактным способом.
Информация о клиентах, полученная в ходе взаимодействия с владельцами (операторами) ГИР (ГИС), третьими доверенными сторонами и (или) из биометрических документов программными и (или) техническими средствами, взаимодействующими с МСИ, используется владельцем МСИ в объеме, необходимом для обеспечения целей функционирования МСИ.
Порядок предоставления владельцем МСИ данных о клиентах из МСИ. Порядок предоставления, отзыва согласия клиента
1. Данные о клиентах, хранящиеся в МСИ, могут предоставляться владельцем МСИ, помимо прочих:
● пользователям МСИ, госорганам, агентам по идентификации, получателям данных МСИ для совершения банковских, платежных, других финансовых операций и иной деятельности, связанной с осуществлением этих операций;
● третьим доверенным сторонам для проведения идентификации клиентов и верификации данных о клиентах в соответствии с международными договорами Республики Беларусь.
2. Одним из условий предоставления данных о клиентах является наличие действующего согласия клиента (ранее акцент делался на письменной форме согласия). Исключения из данного правила: случаи, установленные законодательными актами в отношении предоставления таких данных госорганам, нотариусам (вместо иных уполномоченных лиц).
Хранение, блокирование, разблокирование, удаление данных о клиенте в МСИ
Случаи блокирования данных о клиентах в МСИ дополнились двумя новыми:
● при получении отзыва согласия клиента;
● в случаях, предусмотренных ст. 13, абз. 7 и 9 п. 1 ст. 16 Закона от 07.05.2021 № 99-З «О защите персональных данных».
Обеспечение безопасного и непрерывного функционирования МСИ
Владелец МСИ при взаимодействии с клиентами, субъектами МСИ, владельцами (операторами) ГИР (ГИС), третьими доверенными сторонами:
● осуществляет обработку данных о клиентах с соблюдением требований, определенных законодательством об информации, информатизации и защите информации, в т.ч. о персональных данных, международными договорами Республики Беларусь;
● обеспечивает конфиденциальность, целостность, подлинность и сохранность информации в соответствии с законодательством о технической и криптографической защите информации, международными договорами Республики Беларусь.
Данные о клиентах, предоставляемые участниками МСИ и получаемые из ГИР (ГИС)
Приложение 1 к Инструкции № 497 содержит данные о клиентах, предоставляемые участниками МСИ. Проведенный анализ показывает, что по сравнению с предыдущей редакцией изменилась только одна позиция: «1.5. Персональные (было – биометрические) данные, на основании которых проведена процедура биометрической удаленной идентификации, удаленного обновления (актуализации), в том числе фото- и (или) видеоизображение, аудиозапись голоса».
Приложение 2 к Инструкции № 497 содержит данные о клиентах, получаемые из ГИР (ГИС). Проведенный анализ позволяет сделать вывод, что сведения о клиенте по своему содержанию не изменились.
