Правила определяют порядок проведения биометрической аутентификации финансовыми и платежными организациями, включая случаи обязательного использования и (или) наполнения биометрическими данными национальной системы биометрической аутентификации, полученными центром обмена идентификационными данными Национального банка РК (ЦОИД).
Принципы использования и защиты биометрических данных:
Биометрическая аутентификация проводится по изображению лица аутентифицируемого.
Процесс биометрической аутентификации по изображению лица аутентифицируемого включает в себя следующие этапы:
Получение достоверного текущего изображения лица аутентифицируемого, а также ИИН осуществляется провайдером биометрической аутентификации посредством программного обеспечения на мобильном устройстве или компьютере.
При этом в программном обеспечении реализуются как минимум следующие меры защиты:
При получении достоверного текущего изображения лица аутентифицируемого, с целью предотвращения подмены текущего изображения лица аутентифицируемого, осуществляется процедура проверки достоверности изображения, включающая в себя направление аутентифицируемому не менее трех сигналов или команд, направленных на создание визуальных изменений в кадре, с последующим анализом видеопотока на предмет выявления в нем несоответствий направленным сигналам и командам.
По результатам проверки достоверности изображения независимо от успешности проверки в системе проверки формируется электронный документ, содержащий:
Электронный документ удостоверяется ЭЦП провайдера биометрической аутентификации, осуществлявшего проверку, и хранится у заказчика биометрической аутентификации.
Подключение финансовых и платежных организаций к ЦОИД и получение указанными организациями сведений о результатах биометрической аутентификации посредством ЦОИД осуществляется в соответствии с Правилами ЦОИД.
Финансовая или платежная организация передает в ЦОИД ИИН аутентифицируемого либо БИН юридического лица, от имени которого действует аутентифицируемый, и изображение аутентифицируемого, полученное из сеанса видеоконференции либо с помощью технологии проверки достоверности изображения в процессе биометрической аутентификации.
ЦОИД посредством программного обеспечения определяет степень соответствия по биометрическим показателям изображения, полученного из сеанса видеоконференции либо при использовании технологии проверки достоверности изображения, с эталонным изображением лица аутентифицируемого из доступных источников и (или) из базы данных НСБА.
Видеозаписи обращений аутентифицируемых хранятся в финансовой или платежной организации не менее пяти лет со дня прекращения деловых отношений с клиентом.
Изображения лиц аутентифицируемых, переданные финансовыми и (или) платежными организациями в ЦОИД из сеанса видеоконференции либо с помощью технологии проверки достоверности изображения, используются ЦОИД для целей биометрической аутентификации и (или) наполнения базы данных НСБА.
Изображения лиц аутентифицируемых, полученные ЦОИД от финансовых и (или) платежных организаций, и прошедшие проверку с результатами соответствия не менее 95% достоверности и не менее 95% соответствия эталонному изображению лица, используются для наполнения базы данных НСБА.
Банками передаются в ЦОИД согласия аутентифицируемого:
ЦОИД осуществляет сбор и регистрацию согласий аутентифицируемого, с возможностью их отзыва аутентифицируемым.
Микрофинансовыми организациями услуги ЦОИД по биометрической аутентификации аутентифицируемых используются при превышении размеров суммы микрокредита.
Платежными организациями, являющимися операторами систем электронных денег, обеспечивается биометрическая аутентификация владельцев электронных денег посредством ЦОИД.
Постановление вводится в действие с 12 июля за исключением норм, которые вводятся с 19 июля.