Коротко. Биометрические персональные данные — изображение лица, голос, отпечатки пальцев и их векторные модели — особая категория, которая регулируется статьёй 11 152-ФЗ и отдельным законом 572-ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных». С 1 июня 2023 года коммерческие организации по общему правилу не вправе хранить биометрию у себя: собранные данные нужно передавать в государственную информационную систему — Единую биометрическую систему (ГИС ЕБС), оператором которой стало АО «Центр Биометрических Технологий» (АО «ЦБТ»). Для сбора биометрии требуется отдельное письменное согласие, оно строго добровольное, и бизнес не вправе отказывать человеку в услуге за отказ сдавать биометрию. За нарушения грозят штрафы по 152-ФЗ и новые оборотные санкции, введённые законом 420-ФЗ. В этой статье разберу, кого это касается, где проходит граница между видеоаналитикой и биометрией, и что нужно сделать бизнесу, чтобы не попасть под санкции.
Меня зовут Чимитдоржи Дарижапов, я занимаюсь практическим сопровождением бизнеса по 152-ФЗ. За последние пару лет тема биометрии превратилась из экзотики в реальную головную боль для очень обычных компаний. Раньше «биометрия» ассоциировалась с банками и аэропортами. Сегодня ко мне приходят фитнес-клубы с распознаванием лиц на турникете, бизнес-центры с системой контроля доступа по лицу, ритейл с видеоаналитикой в торговом зале, колл-центры с голосовой идентификацией и даже небольшие коворкинги, которые поставили «умный» вход «как у всех». И почти всегда выясняется, что никто не задумывался: то, что они собирают, — это биометрические персональные данные, а значит, на них распространяется самый жёсткий режим обработки во всём российском законодательстве о персональных данных.
Проблема в том, что нормативная база за последние три года поменялась радикально. Появился отдельный закон 572-ФЗ, заработала государственная Единая биометрическая система, а в 2025 году вступили в силу оборотные штрафы, которые сделали цену ошибки несопоставимой с прежними символическими суммами. При этом большинство компаний живёт по старым представлениям: «мы же предупредили на вывеске, что ведётся видеонаблюдение». Этого давно недостаточно. Ниже — подробный разбор того, как устроено регулирование биометрии в 2026 году и что с этим делать.
Что такое биометрические персональные данные
Начну с базового определения, потому что именно здесь чаще всего происходит подмена понятий. Статья 11 152-ФЗ говорит: биометрические персональные данные — это сведения, которые характеризуют физиологические и биологические особенности человека и на основании которых можно установить его личность. Ключевое слово здесь — «можно установить личность». Это не любая информация о теле, а именно та, которую оператор использует для того, чтобы идентифицировать конкретного человека.
На практике к биометрическим персональным данным относят прежде всего изображение лица, когда оно обрабатывается для распознавания и сопоставления с конкретным человеком; голос и его акустические характеристики; отпечатки пальцев; рисунок радужной оболочки глаза; геометрию кисти руки; данные о походке и другие физиологические параметры, пригодные для идентификации. В современных системах человек редко хранится «как фотография» — система переводит лицо или голос в набор числовых признаков, так называемый биометрический шаблон или вектор. Об этом отдельно поговорю ниже, потому что именно вокруг вектора возникает больше всего заблуждений.
Важно понимать разницу между тремя ситуациями. Первая: вы храните обычное фото сотрудника в личном деле или фото клиента в профиле — это персональные данные, но не обязательно биометрические, если вы не используете это фото для автоматической идентификации. Вторая: вы ставите камеру, которая просто пишет видео для охраны и не сопоставляет лица с базой — это видеонаблюдение, отдельный режим. Третья: вы загружаете лицо человека в систему, которая по этому лицу узнаёт его при следующем появлении и пускает через турникет, — вот это уже обработка биометрических персональных данных в чистом виде, со всеми вытекающими требованиями.
Закон: 152-ФЗ статья 11 и 572-ФЗ
Регулирование биометрии в России держится на двух китах. Первый — статья 11 Федерального закона № 152-ФЗ «О персональных данных». Она устанавливает общее правило: обработка биометрических персональных данных может осуществляться только при наличии согласия в письменной форме субъекта персональных данных. Из этого правила есть исключения, прямо перечисленные в законе, — например, обработка в связи с осуществлением правосудия, в рамках законодательства об обороне, безопасности, противодействии терроризму, транспортной безопасности, оперативно-розыскной деятельности, государственной и муниципальной службе, уголовно-исполнительном законодательстве, законодательстве о порядке выезда и въезда. То есть для большинства коммерческих сценариев работает базовый принцип: нет письменного согласия — нет права обрабатывать биометрию.
Второй кит — Федеральный закон № 572-ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации». Он был принят в конце 2022 года и вступил в силу с 2023 года. Этот закон ввёл само понятие государственной информационной системы для биометрии и кардинально перекроил правила игры для бизнеса. Если упрощать, 152-ФЗ отвечает на вопрос «можно ли вообще собирать биометрию и на каких условиях», а 572-ФЗ — на вопрос «где она должна храниться и как именно её разрешено использовать для идентификации и аутентификации».
Связка двух законов означает, что одного согласия по 152-ФЗ теперь мало. Даже получив корректное письменное согласие, коммерческая организация по общему правилу не становится самостоятельным держателем биометрической базы. Она оказывается включена в архитектуру, выстроенную вокруг государственной системы. Это принципиальное изменение по сравнению с тем, как тема выглядела до 2023 года, когда каждый ставил «своё распознавание лиц» и хранил шаблоны на собственном сервере.
ЕБС — Единая биометрическая система (ГИС)
Единая биометрическая система существовала и раньше, но изначально была инфраструктурой для удалённого банковского обслуживания. С принятием 572-ФЗ её статус изменился: ЕБС стала государственной информационной системой — ГИС ЕБС. Это означает, что государство признало биометрию критически важными данными и взяло их хранение и обработку под прямой контроль через специально определённого оператора.
Оператором государственной Единой биометрической системы выступает АО «Центр Биометрических Технологий» (АО «ЦБТ»). Именно эта организация отвечает за функционирование системы, безопасность хранения биометрических шаблонов, регламенты доступа и взаимодействие с участниками. Логика государства простая: вместо сотен разрозненных коммерческих баз, каждую из которых может взломать кто угодно, биометрия концентрируется в одной защищённой государственной системе с едиными стандартами безопасности, а бизнес и госорганы обращаются к ней через регламентированные интерфейсы.
Для предпринимателя это переворачивает привычную модель. Раньше схема была такая: купил софт распознавания лиц, собрал базу клиентов или сотрудников, хранишь у себя, используешь как хочешь. Теперь общая схема выглядит иначе: сбор биометрии в большинстве случаев должен сопровождаться передачей данных в ГИС ЕБС, а идентификация и аутентификация осуществляются через обращение к государственной системе, а не к собственной локальной базе. Бизнес перестаёт быть самостоятельным хранителем биометрии и становится участником государственной инфраструктуры — с соответствующими обязанностями и ограничениями.
Запрет на хранение биометрии у себя (с 2023 года)
Это, пожалуй, самый недооценённый и самый болезненный для бизнеса момент. С 1 июня 2023 года вступило в силу правило, согласно которому коммерческие организации по общему правилу не вправе размещать и хранить биометрические персональные данные в собственных информационных системах. Собранную биометрию нужно передавать в государственную Единую биометрическую систему. Самостоятельное накопление биометрических шаблонов «у себя на сервере» для большинства частных операторов оказалось вне закона.
Я специально подчёркиваю «по общему правилу», потому что из этого запрета есть исключения, и о них расскажу в отдельном разделе. Но базовая презумпция теперь обратная по сравнению с тем, как было раньше. Раньше предполагалось, что вы можете хранить биометрию у себя, если получили согласие. Теперь предполагается, что хранить у себя нельзя, а право на самостоятельное хранение нужно обосновывать через исключение из закона. Это смена парадигмы, которую многие компании просто не заметили и продолжают держать локальные базы лиц и голосов.
На практике это означает, что типовая инсталляция «распознавание лиц на проходной с базой на локальном сервере» в её классическом виде стала зоной риска. Если система переводит лица сотрудников и посетителей в биометрические шаблоны, хранит их у себя и по ним идентифицирует людей, оператору нужно очень внимательно проверять, попадает ли он под одно из исключений, или его модель работы вообще не соответствует закону. Игнорировать этот вопрос, ссылаясь на то, что «у всех так стоит», — прямой путь к проблемам при проверке.
Параметр Как было до 1 июня 2023 Как стало после Хранение биометрии Можно хранить в собственной системе при наличии согласия По общему правилу хранить у себя нельзя, передаём в ГИС ЕБС Где находится база Локальный сервер компании Государственная Единая биометрическая система (оператор АО «ЦБТ») Идентификация По собственной локальной базе шаблонов Через обращение к ГИС ЕБС Презумпция Можно хранить, если есть согласие Нельзя хранить, право на хранение нужно обосновывать исключением Основание Статья 11 152-ФЗ и согласие Статья 11 152-ФЗ плюс архитектура 572-ФЗ
Согласие на биометрию (письменное, добровольное)
Согласие на обработку биометрических персональных данных — не та же бумага, что обычное согласие на обработку персональных данных. У него три жёстких свойства, и нарушение любого из них делает всю обработку незаконной.
Первое свойство — письменная форма. Статья 11 152-ФЗ прямо требует именно письменного согласия. Это означает, что нельзя получить согласие «галочкой по умолчанию», молчаливым согласием или устным разрешением у турникета. Письменная форма может реализовываться и в виде электронного документа, подписанного надлежащим образом, но суть остаётся: должно быть зафиксированное, осознанное волеизъявление человека именно по поводу биометрии.
Второе свойство — отдельность. Согласие на биометрию нельзя «зашить» в общий текст согласия на обработку персональных данных или в пользовательское соглашение мелким шрифтом. Человек должен понимать, что он отдельно соглашается на сбор именно биометрических данных — например, изображения лица для распознавания. Если согласие на биометрию растворено в десяти страницах общего документа, это серьёзный дефект.
Третье и самое важное свойство — добровольность с реальной свободой выбора. Сдача биометрии должна быть строго добровольной, и закон прямо запрещает делать её условием получения товаров, работ или услуг. То есть нельзя построить бизнес-модель «либо ты сдаёшь лицо на турникете, либо мы тебя не пускаем и услугу не оказываем». У человека всегда должна быть альтернатива: карта доступа, пропуск, паспорт, обычная авторизация. Отказ от биометрии не может приводить к отказу в обслуживании. Это требование чаще всего нарушается на практике, потому что компании ставят биометрию как единственный способ входа и тем самым превращают «добровольное» согласие в фикцию.
Кто собирает биометрию в бизнесе
Когда я провожу аудит, выясняется, что биометрию обрабатывает гораздо больше компаний, чем сами они думают. Перечислю типовые категории, чтобы предприниматель мог узнать себя.
Системы контроля и управления доступом (СКУД). Турникеты, проходные, входные группы бизнес-центров, фитнес-клубов, коворкингов, заводов, где вход организован по лицу. Как только система узнаёт человека по лицу и принимает решение пускать или не пускать — это обработка биометрии.
Банки и финансовый сектор. Здесь биометрия применяется давно: удалённое открытие счетов, подтверждение операций по голосу или лицу, дистанционное обслуживание. Этот сегмент исторически наиболее зарегулирован и теснее всех связан с ЕБС.
Ритейл и сети обслуживания. Распознавание лиц для программ лояльности, идентификация постоянных покупателей, выявление возвращающихся посетителей, антифрод на кассах самообслуживания. Часто это подаётся как «аналитика», но если система узнаёт конкретного человека, это биометрия.
Колл-центры и сервисы с голосовой идентификацией. Системы, которые подтверждают личность звонящего по голосовому слепку, создают и хранят акустические шаблоны голоса. Голос — полноценный биометрический параметр.
Видеоаналитика в самых разных нишах. От HoReCa до транспорта и образования: подсчёт посетителей, анализ поведения, определение пола и возраста, контроль внимания. Здесь проходит самая тонкая граница, которой я посвящу отдельный раздел, потому что не всякая видеоаналитика автоматически является обработкой биометрии, но многие её виды ею становятся.
Сфера Типовой сценарий Это биометрия? СКУД / проходные Вход по распознаванию лица сотрудника или посетителя Да, если система идентифицирует конкретного человека Банк Подтверждение операции по голосу или лицу Да Ритейл Узнавание постоянного покупателя по лицу Да Колл-центр Голосовая идентификация звонящего по слепку голоса Да Видеоаналитика Просто подсчёт числа людей в зале без узнавания личности Спорно, чаще нет, если личность не устанавливается Видеонаблюдение Запись видео для охраны без сопоставления с базой лиц Нет, это отдельный режим видеонаблюдения
Видеоаналитика и распознавание лиц — где грань
Это вопрос, по которому я получаю больше всего обращений, и он действительно непростой, потому что относится к спорной зоне регулирования. Граница проходит не по факту наличия камеры, а по тому, устанавливается ли личность конкретного человека.
Простое видеонаблюдение — камера пишет поток, который потом смотрит охрана, — это не обработка биометрических данных. Здесь нет перевода лица в шаблон и нет идентификации конкретного человека по этому шаблону. Это режим обычного видеонаблюдения со своими требованиями к информированию, но без жёстких правил статьи 11 152-ФЗ.
Деперсонализированная видеоаналитика — система считает, сколько людей вошло, измеряет очередь, оценивает «тепловые карты» движения по залу, определяет примерный пол и возраст для агрегированной статистики, но не узнаёт конкретного Ивана Петрова и не сопоставляет его с базой, — это пограничный случай, который многие считают допустимым без режима биометрии, поскольку личность не устанавливается. Но здесь нужно быть очень осторожным: если технически система всё-таки строит уникальный шаблон лица и способна узнать того же человека при повторном визите, аргумент про «обезличенность» рассыпается.
Распознавание лиц с идентификацией — система переводит лицо в вектор, сравнивает его с базой и говорит «это вот этот конкретный человек» — это однозначно обработка биометрических персональных данных со всеми требованиями: письменное отдельное согласие, добровольность, и вопрос о хранении в ГИС ЕБС. Здесь спора нет.
Мой практический совет: если вендор продаёт вам «аналитику с распознаванием лиц», по умолчанию исходите из того, что это биометрия, пока не доказано обратное. Слишком часто маркетинговое слово «аналитика» прикрывает полноценную идентификацию. Граница спорная, и в спорной зоне разумнее занимать консервативную позицию, а не надеяться, что проверяющий согласится с трактовкой «у нас просто статистика».
Векторные модели — это тоже биометрия
Самое распространённое заблуждение, которое я слышу: «мы не храним фотографии и записи голоса, у нас только математические векторы, это не персональные данные». Это опасная ошибка.
Современные системы распознавания почти никогда не хранят само изображение лица или аудиозапись голоса. Они преобразуют биометрический образец в набор числовых признаков — вектор, эмбеддинг, биометрический шаблон. По набору цифр человеку на глаз ничего не понятно, и отсюда возникает иллюзия, что это «обезличенные» данные. Но вектор создаётся именно для того, чтобы по нему узнавать конкретного человека и отличать его от всех остальных. То есть это сведения, на основании которых устанавливается личность, — а значит, по смыслу статьи 11 152-ФЗ это биометрические персональные данные.
Логика простая: если вы можете взять новый кадр с лица человека, превратить его в вектор, сравнить с хранящимся вектором и сказать «да, это тот самый человек» — то ваш вектор выполняет функцию идентификатора личности. Неважно, что он выглядит как строка чисел. Юридически значим не формат хранения, а функция: пригодность для установления личности. Векторная модель лица и голосовой слепок — это биометрия ровно в той же степени, что и исходная фотография или запись.
Поэтому аргумент «мы храним только хэши и векторы, фоток нет» не освобождает от требований закона. Если эти векторы позволяют узнавать людей, на них распространяется и режим статьи 11, и логика 572-ФЗ про передачу в ГИС ЕБС и запрет самостоятельного хранения. Перевод данных в математическое представление — это техническая деталь, а не способ выйти из-под регулирования.
Риски и ответственность бизнеса
Риски при работе с биометрией качественно выше, чем при работе с обычными персональными данными, и причин для этого несколько.
Во-первых, биометрия неизменяема. Пароль можно сменить, телефон поменять, карту перевыпустить. Лицо, голос и отпечатки человек не меняет. Поэтому утечка биометрических шаблонов — это утечка навсегда, и регулятор относится к таким инцидентам особенно жёстко. Сама по себе концентрация биометрии в государственной системе — это во многом ответ государства на этот риск.
Во-вторых, нарушение базовой структуры. Если компания продолжает хранить биометрию у себя в нарушение запрета, действующего с 2023 года, это не просто формальная недоработка в документах, а нарушение самой модели обращения с биометрией. Здесь уже не отделаешься исправлением политики на сайте.
В-третьих, дефекты согласия. Самые частые нарушения, которые я вижу: согласие на биометрию вообще не оформлено, оно «зашито» в общий документ и не является отдельным, оно не письменное, а собрано галочкой, или сдача биометрии де-факто обязательна и без неё не пускают и не обслуживают. Любой из этих дефектов делает обработку незаконной, со всеми вытекающими.
В-четвёртых, репутация и иски субъектов. Помимо штрафов от регулятора, есть риск претензий со стороны самих людей, чья биометрия обрабатывалась без должного основания. Тема биометрии чувствительна для общества, и публичный инцидент бьёт по доверию сильнее, чем рядовая утечка контактов.
Штрафы (152-ФЗ и оборотные по 420-ФЗ)
До 2025 года штрафы за нарушения в сфере персональных данных были, мягко говоря, не страшными — на фоне оборота бизнеса они воспринимались как мелкая неприятность. Ситуация изменилась с принятием Федерального закона № 420-ФЗ, который ввёл существенно ужесточённую административную ответственность, включая оборотные штрафы за утечки персональных данных. Новые нормы заработали с 30 мая 2025 года.
Ключевая идея оборотных штрафов в том, что размер санкции за утечку привязывается к выручке компании, а не к фиксированной небольшой сумме. Для крупного бизнеса это превращает прежде символический штраф в по-настоящему весомую цифру. Отдельно ужесточена ответственность за повторные нарушения. Применительно к биометрии это особенно чувствительно: с учётом неизменяемости и чувствительности таких данных любая утечка из категории «биометрия» — это максимально серьёзный сценарий.
Помимо санкций за утечки, сохраняется и расширяется ответственность за «процедурные» нарушения по 152-ФЗ: работа без подачи уведомления в Роскомнадзор, обработка без надлежащего согласия, отсутствие обязательных документов и мер защиты. То есть наказать могут не только за состоявшийся инцидент, но и за то, что у компании в принципе не выстроена законная модель обработки. Для биометрии, где базовое требование — письменное отдельное согласие и правильная архитектура хранения, эти процедурные нарушения встречаются сплошь и рядом.
Группа нарушений Суть Логика ответственности Утечка персональных данных Компрометация данных, в том числе биометрических Оборотные штрафы по 420-ФЗ, привязка к выручке, усиление за повтор Обработка без согласия Нет письменного отдельного согласия на биометрию Ответственность по 152-ФЗ, обработка признаётся незаконной Принуждение к биометрии Отказ в услуге за отказ сдать биометрию Нарушение принципа добровольности, согласие недействительно Незаконное хранение Хранение биометрии у себя вопреки правилу 2023 года Нарушение модели обращения с биометрией, требует устранения Нет уведомления РКН Обработка без подачи уведомления в Роскомнадзор Процедурная ответственность по 152-ФЗ
Что делать бизнесу (привести в порядок)
Перейду к практике. Когда ко мне приходит компания, которая «вроде бы что-то собирает по лицам или голосу», я веду её по понятной последовательности шагов.
Первый шаг — инвентаризация. Нужно честно ответить, какие системы у вас вообще обрабатывают физиологические параметры людей: турникеты, видеоаналитика, голосовая идентификация, фотоверификация. По каждой системе фиксируем, что именно она делает: просто пишет видео, считает потоки обезличенно или узнаёт конкретных людей.
Второй шаг — квалификация. По каждому сценарию определяем, является ли это обработкой биометрических персональных данных. Главный критерий — устанавливается ли личность конкретного человека и строится ли биометрический шаблон. Если да, дальше работаем по жёсткому режиму. Если система действительно обезличенная и личность не устанавливается, фиксируем это документально и технически, чтобы потом можно было доказать.
Третий шаг — основание и согласие. Для всех сценариев с реальной биометрией готовим отдельное письменное согласие, обеспечиваем добровольность и предусматриваем альтернативный способ получения услуги для тех, кто биометрию сдавать не хочет.
Четвёртый шаг — архитектура хранения. Самый тяжёлый. Нужно понять, имеете ли вы право хранить биометрию у себя или обязаны работать через ГИС ЕБС. Если ваша модель предполагает локальную базу шаблонов, а под исключение вы не попадаете, систему придётся перестраивать.
Пятый шаг — документы и уведомление. Приводим в порядок политику обработки персональных данных, локальные акты, перечень мер защиты и проверяем, подано ли уведомление в Роскомнадзор с учётом обработки биометрии.
Шестой шаг — пересмотр договоров с вендорами. Поставщик системы распознавания — это, как правило, отдельный участник обработки, и отношения с ним нужно оформить корректно, понимая, кто и где хранит данные.
Исключения (когда можно без ЕБС)
Запрет на самостоятельное хранение биометрии и обязанность работать через ГИС ЕБС — это общее правило, и из него есть исключения. Я намеренно описываю их осторожно, без претензии на закрытый перечень, потому что в каждом конкретном случае нужно сверяться с актуальной редакцией закона и подзаконными актами.
Во-первых, есть сферы, прямо выведенные статьёй 11 152-ФЗ из-под требования согласия и из общей логики, — это правосудие, оборона, безопасность, противодействие терроризму, транспортная безопасность, оперативно-розыскная деятельность, ряд вопросов государственной службы и уголовно-исполнительного законодательства, выезд и въезд. Это не про обычный коммерческий бизнес.
Во-вторых, законодательство допускает отдельные сценарии, когда обработка биометрии возможна вне государственной системы или с особыми условиями, — например, ситуации, связанные с трудовыми отношениями и определёнными целями, прямо предусмотренными законом, либо обработка, которую человек сам сделал общедоступной. Но и здесь нельзя действовать на глазок: каждое такое основание имеет свои рамки, и его применимость нужно подтверждать.
В-третьих, важно различать обработку для идентификации и аутентификации, которую и регулирует 572-ФЗ, и обработку, которая под это понятие не подпадает. Если у вас в принципе нет задачи устанавливать или подтверждать личность по биометрии, режим 572-ФЗ может на вас не распространяться. Но это требует аккуратной квалификации, а не самоуспокоения.
Мой главный тезис по исключениям: не стройте бизнес-модель на надежде, что «мы наверняка под исключение попадём». Исключения существуют, но они узкие и проверяемые. Презумпция теперь — хранить нельзя, и доказывать право на свою модель должны вы, а не регулятор обязан доказывать, что вам нельзя.
Что должно быть в согласии на биометрию
Раз согласие — центральный документ, разберу, что в нём обязательно должно присутствовать. Это не готовый бланк, а смысловой каркас, который я проверяю при аудите.
Кто оператор. Полное наименование организации, реквизиты, контактные данные — человек должен понимать, кому он доверяет свою биометрию.
Какие именно биометрические данные собираются. Не общими словами, а конкретно: изображение лица для распознавания, голосовой слепок, отпечаток пальца. Человек должен ясно видеть, что речь идёт именно о биометрии.
Цель обработки. Зачем это нужно: организация доступа на объект, аутентификация при обслуживании, подтверждение операций. Цель должна быть конкретной и честной, а не размытым «для улучшения сервиса».
Добровольность и альтернатива. Прямое указание, что сдача биометрии добровольна, что отказ не лишает человека возможности получить услугу, и описание альтернативного способа — карта, пропуск, паспорт, обычная авторизация.
Срок и порядок отзыва. На какой срок даётся согласие и как человек может его отозвать. Право на отзыв — обязательный элемент, и механизм отзыва должен реально работать.
Информация о хранении и передаче. Где и как хранятся данные, передаются ли они в государственную систему. Человек имеет право понимать судьбу своей биометрии.
Отдельность документа. Согласие на биометрию оформляется как самостоятельное волеизъявление, а не строчка в общем согласии на обработку персональных данных. Это требование я повторяю осознанно, потому что именно его чаще всего нарушают.
Чек-лист по биометрии
Сведу всё в короткий практический список. Если на любой пункт вы отвечаете «нет» или «не уверен», это зона для работы.
1. Мы провели инвентаризацию всех систем, которые могут обрабатывать лицо, голос или отпечатки.
2. По каждой системе мы честно определили, устанавливается ли личность конкретного человека.
3. Мы понимаем, что векторные модели лица и голоса — это тоже биометрия, а не «обезличенные цифры».
4. Для всех сценариев с реальной биометрией оформлено отдельное письменное согласие.
5. Согласие не зашито в общий документ и не собирается заранее проставленной галочкой.
6. Сдача биометрии добровольна, и есть работающая альтернатива для тех, кто отказался.
7. Мы не отказываем человеку в услуге за отказ сдавать биометрию.
8. Мы проверили, имеем ли право хранить биометрию у себя или обязаны работать через ГИС ЕБС.
9. Если мы храним биометрию локально, у нас есть понятное и подтверждаемое основание-исключение.
10. В согласии указаны оператор, состав данных, цель, срок, порядок отзыва и сведения о хранении.
11. Приведены в порядок политика обработки персональных данных и локальные акты с учётом биометрии.
12. Проверено, подано ли уведомление в Роскомнадзор с учётом обработки биометрии.
13. Отношения с вендором системы распознавания оформлены корректно.
14. Мы понимаем риски оборотных штрафов и относимся к биометрии как к данным повышенной чувствительности.
FAQ
Если мы храним только векторы, а не фотографии, это считается биометрией? Да. Вектор создаётся для того, чтобы узнавать конкретного человека, а значит, это сведения, по которым устанавливается личность. Формат хранения не имеет значения, важна функция идентификации.
У нас просто видеонаблюдение для охраны. Нам нужно согласие на биометрию? Если камеры только пишут видео и система не сопоставляет лица с базой и не узнаёт конкретных людей, это режим видеонаблюдения, а не обработка биометрии. Но как только добавляется распознавание с идентификацией, режим меняется.
Можно ли сделать вход по лицу единственным способом прохода? Нет. Сдача биометрии добровольна, и закон запрещает отказывать в услуге за отказ от биометрии. Нужен альтернативный способ — карта, пропуск, обычная авторизация.
Подойдёт ли согласие в виде галочки на сайте? Для биометрии требуется письменная форма и отдельное осознанное волеизъявление. Простая галочка по умолчанию или согласие, растворённое в общем документе, не годятся.
Мы обязаны передавать всё в ЕБС? По общему правилу с 2023 года коммерческие операторы не вправе самостоятельно хранить биометрию и должны работать через государственную систему. Из этого есть исключения, но их применимость нужно подтверждать в каждом конкретном случае, а не предполагать.
Голос — это биометрия? Да. Голосовой слепок и акустические характеристики, по которым система узнаёт человека, — полноценный биометрический параметр со всеми требованиями.
Что грозит за нарушения? Ответственность по 152-ФЗ за процедурные нарушения и обработку без согласия, а за утечки — оборотные штрафы по 420-ФЗ, привязанные к выручке и усиленные за повторные нарушения. Для биометрии это максимально серьёзный сценарий из-за неизменяемости данных.
Выводы
Биометрия перестала быть нишевой темой для банков и аэропортов. Сегодня лицо, голос и отпечатки обрабатывают самые обычные компании — фитнес-клубы, бизнес-центры, ритейл, колл-центры, коворкинги. И почти все они недооценивают, в какой жёсткий правовой режим попадают. Статья 11 152-ФЗ требует письменного отдельного согласия, 572-ФЗ ввёл государственную Единую биометрическую систему и архитектуру, в которой коммерческий оператор по общему правилу больше не держатель собственной базы, а с 2023 года самостоятельное хранение биометрии стало исключением, а не нормой.
Три вещи я повторяю каждому клиенту. Первое: векторная модель лица или голоса — это биометрия, и «у нас только цифры» не аргумент. Второе: согласие должно быть письменным, отдельным и по-настоящему добровольным, с реальной альтернативой для тех, кто отказался. Третье: цена ошибки изменилась — с оборотными штрафами по 420-ФЗ и неизменяемой природой биометрии относиться к этим данным как к рядовым контактам нельзя.
Если вы узнали в описанных сценариях свой бизнес, не откладывайте инвентаризацию. Начните с простого вопроса по каждой системе: узнаёт ли она конкретного человека. Честный ответ на него определяет, в каком правовом мире вы живёте — относительно спокойном мире видеонаблюдения или жёстком мире биометрических персональных данных, где правила писались на вырост и проверяются всерьёз.