В информационных системах организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц, организаций финансового рынка, иных организаций, индивидуальных предпринимателей, нотариусов: 1) запрещена обработка, включая сбор и хранение, используемых в целях идентификации биометрических персональных данных, за исключением обработки, включая сбор, биометрических персональных данных для размещения в единой биометрической системе в соответствии с федеральными законами; 2) запрещена обработка, включая сбор, используемых в целях аутентификации биометрических персональных данных, за исключением обработки в целях подтверждения соответствия предоставленных биометрических персональных данных физического лица соответствующим векторам единой биометрической системы при соблюдении условий, установленных частями 1 и 3 статьи 16 настоящего Федерального закона, а также за исключением обработки, включая сбор, биометрических персональных данных для размещения в единой биометрической системе в соответствии с федеральными законами; 3) запрещено хранение используемых в соответствии с частью 1 статьи 16 настоящего Федерального закона в целях аутентификации биометрических персональных данных, за исключением хранения таких данных для рассмотрения обращений субъектов персональных данных, предполагающих неправомерную обработку их биометрических персональных данных при проведении аутентификации и (или) оспаривающих результаты проведения аутентификации, в течение не более десяти суток с момента предоставления таких данных в целях проведения аутентификации в соответствии с частью 1 статьи 16 настоящего Федерального закона.
ДЛ — 500 000–1 000 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 1 000 000–2 000 000 ₽ (специальный состав ч. 4 ст. 13.11.3 КоАП, введён 420-ФЗ с 30.05.2025 — аутентификация по биометрии без аккредитации; при отсутствии письменного согласия дополнительно ч. 2 ст. 13.11 (вилка — в
КоАП РФ по ч. 2); при одной проверке — одна санкция в пределах строгой части, ч. 6 ст. 4.4; возбуждает РКН без КНМ — п. 1 ч. 3.5 ст. 28.1; позиция AuditPortal)
КоАП РФ, ст. 13.11.3, ч. 4
Обработка биометрических персональных данных, векторов единой биометрической системы для аутентификации физических лиц в информационных системах государственных органов, организаций, информационной системе Центрального банка Российской Федерации без аккредитации либо в случае, если аккредитация приостановлена или прекращена, — влечет наложение административного штрафа на должностных лиц в размере от пятисот тысяч до одного миллиона рублей; на юридических лиц — от одного миллиона до двух миллионов рублей.
1Сайт/приложение сервиса сами собирают фото лица для «входа по лицу» или «верификации» и хранят его в своей базе.
2Фитнес-клуб/коворкинг на сайте предлагает «зарегистрируйте лицо для прохода» через собственную систему, а не ЕБС/КБС.
Организации финансового рынка, иные организации, индивидуальные предприниматели вправе использовать информационные системы организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц, соответствующих требованиям, указанным в частях 1 и 3 настоящей статьи, для аутентификации физического лица, выразившего согласие на ее проведение, в целях совершения этим лицом определенных действий, либо подтверждения волеизъявления этого лица, либо подтверждения полномочия этого лица на совершение определенных действий.
— (разрешительная норма: аутентификация допустима только через ИС аккредитованных организаций и с согласия; санкции — по ст. 13.11 КоАП при нарушении условий)
Ч. 5 ст. 16: организации и ИП при использовании таких систем «обязаны применять организационные и технические меры по обеспечению безопасности персональных данных»; ч. 16 — согласие подписывается усиленной неквалифицированной или простой электронной подписью в установленных случаях.
1Сайт подключил «вход по биометрии» через сервис, не имеющий аккредитации (ст. 17) — условие ч. 4 не выполнено.
2Аутентификация по биометрии без выраженного согласия физического лица.
В информационных системах организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц, организаций финансового рынка, иных организаций, индивидуальных предпринимателей, нотариусов: … 3) запрещено хранение используемых в соответствии с частью 1 статьи 16 настоящего Федерального закона в целях аутентификации биометрических персональных данных, за исключением хранения таких данных для рассмотрения обращений субъектов персональных данных, предполагающих неправомерную обработку их биометрических персональных данных при проведении аутентификации и (или) оспаривающих результаты проведения аутентификации, в течение не более десяти суток с момента предоставления таких данных в целях проведения аутентификации в соответствии с частью 1 статьи 16 настоящего Федерального закона.
Граждане — 400 000–500 000 ₽; ДЛ — 1 300 000–1 500 000 ₽; ИП — как ЮЛ (прим. 1 к ст. 13.11 КоАП); ЮЛ — 15 000 000–20 000 000 ₽ (прим. 2 и 3 к ст. 13.11: ДЛ — только госорган/НКО; ЮЛ — коммерческий оператор) (состав наступает при утечке хранимой биометрии; само хранение сверх 10 суток — общий состав ч. 1)
КоАП РФ, ст. 13.11, ч. 17
Действия (бездействие) оператора, повлекшие неправомерную передачу (предоставление, распространение, доступ) информации, включающей биометрические персональные данные, за исключением случаев, предусмотренных статьей 13.11.3 настоящего Кодекса, — влекут наложение административного штрафа на граждан в размере от четырехсот тысяч до пятисот тысяч рублей; на должностных лиц — от одного миллиона трехсот тысяч до одного миллиона пятисот тысяч рублей; на юридических лиц — от пятнадцати миллионов до двадцати миллионов рублей.
1Сервис хранит селфи пользователей «для повторного входа» бессрочно; при их утечке — ч. 17 ст. 13.11.
