Биометрия в бизнесе: как правильно внедрить и не нарушить закон

2025 год стал переломным для сферы биометрических персональных данных. С одной стороны, россияне только за девять месяцев совершили 146 млн платежей с использованием биометрии, а к 2027 году доля таких платежей может вырасти с 1% до 3–5% от общего объёма транзакций. С другой стороны — появляются новые вызовы для бизнеса, так как с 30 мая 2025 года в России действуют ужесточённые штрафы за учетки биометрической категории персональных данных. О принципах законного внедрения систем, работающих с биометрическими персональными данными в этой статье.

Динамика развития биометрических систем накануне 2026 года

Параллельно изменилось и регулирование. Принятие Федерального закона №572‑ФЗ и последовательное усиление надзорной практики Роскомнадзора и отраслевых регуляторов привели к формированию жёсткого правового режима обработки биометрии. У работающих с биометрией компаний стало больше обязанностей по обеспечению правомерности обработки данных, защитой информационных систем и выполнением процедур по взаимодействию с Единой биометрической системой. К тому же, в рамках Постановления Правительства г. Москвы № 1927‑ПП от 06.08.2025 все застройщики обязаны вводить использование биометрии для системы контроля доступа.

Слабое место биометрических данных — в их необратимости: в случае утечки или неправомерного использования субъект не может «заменить» отпечаток пальца или структуру лица так же, как пароль или токен. То есть существуют риски для бизнеса,В связи с чем необходимо корректное юридическое и техническое сопровождение.

Что такое биометрические персональные данные

Определение правового режима биометрических персональных данных в Российской Федерации формируется прежде всего статьями Федерального закона № 152‑ФЗ «О персональных данных». В отличие от обычных персональных данных, биометрия относится к категории сведений повышенной чувствительности, поскольку позволяет не просто идентифицировать человека, а делает это на основе уникальных, неизменяемых характеристик. В силу этого законодатель выделяет биометрию в отдельную категорию, предусматривающий более строгие требования к обработке, хранению и защите.

Определение по 152‑ФЗ. Статья 11 ФЗ №152 закрепляет, что биометрические персональные данные — это сведения, которые характеризуют физиологические и биологические особенности человека и используются оператором для установления личности субъекта. Это может быть как явная идентификация (например, предоставление доступа по изображению лица), так и подтверждение личности в автоматизированных сервисах.

К биометрическим данным закон относит:

• изображение лица, включая фото- и видеоматериалы, применяемые в алгоритмах распознавания;
• отпечатки пальцев и ладоней;
• рисунок радужной оболочки и сетчатки глаза;
• образцы голоса, позволяющие автоматически идентифицировать человека;
• иные уникальные характеристики, обеспечивающие возможность автоматизированного сравнения.

Критерии признания данных биометрическими. Не любое изображение, звук или физическая характеристика автоматически относится к биометрии. Для квалификации данных как биометрических необходимо одновременное соблюдение нескольких критериев.

Применение специальных технологий обработки. Для отнесения данных к биометрии нужно, чтобы идентификация проводилась с использованием:

• алгоритмов распознавания лиц;
• систем автоматического сравнения шаблонов (например, отпечатков пальцев);
• программно‑аппаратных комплексов анализа голоса или иных параметров.

Например:

• фотографии, используемые в системах распознавания лиц, должны соответствовать ГОСТ Р ИСО/МЭК 19794‑5;
• аудиозаписи для голосовой идентификации должны иметь параметры, позволяющие системе корректно выделить биометрический шаблон;
• видеопотоки должны обеспечивать стабильное качество и разрешение для анализа.

Наличие технических требований подчеркивает: биометрия — это не просто данные, а такие данные, которые могут быть использованы системой идентификации в соответствии с заданными стандартами.

Что не является биометрией. Бизнесу нужно понимать, чем отличаются биометрические персональные данные от других, так как неправильная квалификация влечёт как избыточные процессы (излишние согласия и меры защиты), так и риски нарушения законодательства.

В соответствии с разъяснениями Роскомнадзора и судебной практикой к биометрическим данным не относятся:

1. Фотографии в личных делах сотрудников. Если фото используется только в кадровом документообороте и не применяется для автоматизированной идентификации, оно не является биометрией.
2. Даже изображение лица — не биометрия, пока оно не превращено в шаблон, применяемый алгоритмом распознавания.
3. Обычное видеонаблюдение без функций распознавания. Видеопоток, направленный на обеспечение общей безопасности (например, запись входной зоны), не считается обработкой биометрии, если система не идентифицирует людей автоматически, не применяется технология сравнения изображений и нет цели установить личность конкретного лица. Это подтверждается разъяснениями РКН: сам факт съёмки лица ещё не образует биометрическую обработку.
4. Подпись и почерк вне контекста биометрического анализа. Рукописная подпись или почерк, используемые как реквизиты документа, не относятся к биометрическим данным, поскольку не участвуют в автоматизированной идентификации.
5. Скан паспорта без анализа лица. Сканирование документа ради подтверждения факта его предъявления не превращает изображение в биометрические данные. Биометрия возникает только в случае машинной обработки изображения лица для установления личности.

Биометрия в бизнес‑процессах: где компании чаще всего ошибаются

Биометрические технологии встраиваются в типовые процессы: доступ в помещения, видеонаблюдение, кадровый учёт, обслуживание клиентов, оплата покупок и т.д. Ошибки возникают там, где фактически используется биометрия, но юридически и организационно она не оформлена как таковая.

Для оператора это означает:

1. Такие системы должны рассматриваться как контуры обработки биометрических ПДн, независимо от числа сотрудников и масштаба объекта.
2. Обработка допускается, как правило, только при наличии письменного согласия субъекта (ст. 9, 11 152‑ФЗ) с чётким указанием вида данных (изображение лица, шаблон, параметры) и целей (доступ на объект, учёт рабочего времени и т. п.).
3. Для сотрудников и посетителей, не согласных на использование биометрии, требуется альтернативный механизм доступа (карта‑пропуск, PIN‑код, визуальная проверка документа).
4. При построении масштабных систем идентификации (особенно в финансовом секторе, дистанционных сервисах) нужно учитывать требования Федерального закона № 572‑ФЗ о размещении биометрических данных в Единой биометрической системе и раздельном хранении идентификаторов и анкетных сведений в ЕБС и ЕСИА.

Типичные нарушения в этом контексте:

• отсутствие отдельного согласия именно на биометрическую обработку (биометрия «спрятана» внутри общего согласия на ПДн);
• локальное хранение биометрических шаблонов в СКУД без учёта требований 572‑ФЗ и без оценки угроз;
• отсутствие альтернативных способов доступа, фактическое принуждение к сдаче биометрии.

Видеонаблюдение с аналитикой и обычное видеонаблюдение. Разграничение между обычным видеонаблюдением и системой, работающей с биометрией, определяется целями и функциональностью.

Обычное видеонаблюдение не образует обработки биометрических ПДн, если:

• камеры используются для общей безопасности, контроля обстановки, расследования инцидентов;
• система не распознаёт лица автоматически, не формирует и не хранит биометрические шаблоны;
• цель обработки не включает идентификацию конкретных лиц.

В этом случае достаточно:

• информационных табличек о видеосъёмке в зоне наблюдения;
• локального акта (положения) о видеонаблюдении, регламентирующего цели, порядок доступа к записям, сроки хранения;
• ознакомления сотрудников с локальным актом под подпись.

Как только система получает функции аналитики и распознавания лиц, режим меняется. Видеонаблюдение с биометрической аналитикой:

• формирует биометрические шаблоны (например, для поиска конкретного лица, учёта посещаемости, контроля доступа);
• сопоставляет изображения с базой уже записанных шаблонов;
• по результатам идентификации принимает решения (допуск, тревога, фиксация события).

В этом случае:

• видеоданные и шаблоны должны рассматриваться как биометрические персональные данные;
• обработка требует письменного согласия субъектов, в том числе работников, с указанием факта использования технологий распознавания;
• применяются требования к защите биометрических ПДн и, при определённых сценариях, к взаимодействию с ЕБС.

Распространённые ошибки:

• внедрение «умных» камер и модулей видеоаналитики без пересмотра правового режима и ЛНА (формально компания считает, что у неё «просто видеонаблюдение»);
• использование видеозаписей для распознавания лиц задним числом без изменения правовой квалификации обработки и без получения согласий.

Фотографии в личных делах работников не являются биометрическими ПДн, если:

• используются только в кадровых документах;
• не загружаются в системы распознавания лиц;
• не применяются для автоматизированной идентификации.

Фото на карточках доступа также не образует биометрический режим, если охрана использует его только для визуального сравнения при предъявлении пропуска.

Ситуация меняется при переходе на СКУД с распознаванием лиц:

• изображения сотрудников конвертируются в биометрические шаблоны;
• каждый проход через турникет сопровождается автоматической идентификацией по шаблону;
• в системе появляется самостоятельный массив биометрических данных, связанный с кадровой информацией (табельные номера, должности, подразделения).

В таком случае:

• необходимы отдельные согласия работников на обработку биометрических ПДн для целей контроля доступа и учёта рабочего времени;
• требуется обособленное хранение биометрических шаблонов от общих кадровых баз (разные информационные системы или логически выделенные контуры);
• нужно предусмотреть возможность использования других способов прохода для работников, не давших согласие.

На практике именно HR‑подразделения часто продолжают считать, что «мы просто обновили систему пропусков», в то время как юридически компания уже перешла к обработке биометрических персональных данных и подпадает под требования 152‑ФЗ и 572‑ФЗ в части биометрии.

Законодательная рамка: что теперь требует государство

Использование биометрических технологий переводит организацию в зону повышенного регулирования, где юридические требования напрямую связаны с архитектурой информационных систем. Законодатель выстраивает модель, в которой правовые нормы и технические механизмы должны функционировать согласованно: качество идентификации, методы хранения, каналы передачи данных и документооборот подчиняются единым правилам.

152‑ФЗ: базовые правила обработки. Важным элементом является требование к однозначности воли субъекта: если оператор использует данные для идентификации, то согласие должно отражать именно эту цель. Этот принцип влияет на проектирование процессов — любые контуры, где происходит автоматизированное сопоставление с биометрическим шаблоном, должны иметь отдельное правовое основание.

Надзорная практика показывает, что нарушение именно этого блока требований чаще всего приводит к претензиям регулятора, поскольку юридическая неопределённость неминуемо создаёт риск неправомерного доступа и последующей компрометации данных.

572‑ФЗ: новая архитектура обращения с биометрией. Федеральный закон № 572‑ФЗ трансформировал подход к инфраструктуре обработки биометрических данных. Его ключевой элемент — обязательное раздельное хранение данных в двух системах: биометрические шаблоны — в Единой биометрической системе. Такой механизм не оставляет возможности сохранять шаблоны в локальных корпоративных ИС, если компания участвует в моделях удалённой идентификации, а значит, влияет на построение всей ИТ‑архитектуры.

Дополнительно вводится механизм возражения: субъект может заблокировать размещение данных в ЕБС, а оператор — обязан обеспечить такую возможность. Это не просто процедурная норма — она влияет на настройки жизненного цикла данных, поскольку архитектура должна предусматривать механизмы удаления и блокирования шаблонов, а также маршрутизацию таких запросов.

Для организаций, которые работали с биометрией до вступления закона в силу, предусмотрены переходные требования: ранее собранные данные должны быть конвертированы и перенесены в ЕБС или уничтожены при невозможности переноса, что фактически требует ревизии всех источников биометрии внутри компании.

Требования отраслевых регуляторов. В отдельных секторах действуют дополнительные правила, которые формируют высокую планку к информационной безопасности и эксплуатации биометрических систем.

В банковской сфере используют методические документы, определяющие модель угроз для биометрических данных и методы нейтрализации рисков. Эти документы требуют выделения отдельного сегмента обработки, применения сертифицированных СЗИ, контроля целостности данных и мониторинга операций. Акцент делается на исключении сценариев несанкционированного доступа к биометрическим шаблонам и на обязательном использовании доверенной среды выполнения при передаче данных в ЕБС.

Приказ Минцифры, регулирующий работу ЕБС, определяет параметры качества биометрических образцов, требования к оборудованию, каналы подключения и алгоритмические условия проведения идентификации. Это фактически техническая спецификация, которой обязан следовать любой оператор, включённый в процесс удалённой идентификации.

Указание ЦБ содержит детализированные требования для финансовых организаций: правила зонирования, специфику защищённого соединения с ЕБС, порядок регистрации ИС и порядок технического взаимодействия. Для компаний, работающих в банковских процессах, это не факультатив, а обязательный базовый уровень.

Правомерная обработка биометрии: пошаговая инструкция для бизнеса

Для обеспечения соответствия требованиям законодательства важна последовательность действий, поскольку юридическая, организационная и техническая части процесса тесно связаны между собой.

Если компания использует биометрию. Корректная работа с биометрическими персональными данными начинается с квалификации данных. Организации необходимо установить, используется ли информация для автоматизированной идентификации. Если система сопоставляет изображение, голосовой образец или иной биометрический параметр с шаблоном субъекта, то такой процесс подпадает под требования статей 9 и 11 Федерального закона № 152‑ФЗ.

После определения факта обработки биометрии формируются цели. Они должны быть конкретными, измеримыми и отражёнными в локальных нормативных актах: контроль доступа, учёт рабочего времени, дистанционная идентификация клиентов, безопасность объекта. Внутренние документы описывают состав данных, процессы их передачи, роли сотрудников и технические меры защиты.

Если архитектура компании предусматривает сценарии, связанные с удалённой идентификацией или взаимодействием с ЕБС, биометрические шаблоны подлежат размещению в установленной системе. В этом случае необходимо соблюдать требования Федерального закона № 572‑ФЗ: раздельное хранение шаблонов и анкетных сведений, использование электронной подписи при размещении, фиксация всех операций уполномоченным сотрудником.

Хранение биометрических данных должно быть обособленным. Биометрические шаблоны не могут находиться в тех же массивах данных, что и кадровые сведения или общие клиентские базы. Для них выделяется отдельный сегмент с ограниченным доступом, применением сертифицированных средств защиты, контролем целостности и защищёнными каналами связи.

Если обработка осуществляется частично силами подрядчика, требуется юридически корректно оформленное поручение. В договоре фиксируются перечень операций, требования к защите данных, уровни ответственности, режим уничтожения информации и обязательства по соблюдению законодательства.

При обработке биометрии необходимо учитывать права субъекта. Человек может возразить против обработки, потребовать исключения биометрических шаблонов, запросить сведения о хранении данных либо потребовать их уничтожения. Информационные системы должны предусматривать возможность выполнения таких операций, а внутренние процедуры — чёткий регламент их обработки.

Если компания не хочет работать через ЕБС. Организация может принять решение отказаться от биометрических технологий или не использовать механизмы взаимодействия с ЕБС. В этом случае необходимо изменить архитектуру процессов.

Первым шагом будет прекращение сбора биометрических данных: отключение функций распознавания, остановка записи шаблонов и отказ от режимов, предполагающих машинную идентификацию. На смену биометрии вводят очные сценарии: визуальная проверка документов, пропускные карты, PIN‑коды.

Далее подлежат уничтожению ранее собранные биометрические данные, если их перенос в ЕБС не планируется и не требуется законом. Уничтожение проводится по актам, с фиксацией ответственных лиц и технологии удаления.

Федеральный закон № 152‑ФЗ предусматривает обязанность оператора уведомить Роскомнадзор о прекращении обработки отдельных категорий данных. Это касается и биометрии: организация направляет уведомление о завершении использования биометрических персональных данных и подтверждает ликвидацию соответствующих массивов.

Технические требования: что должно быть в архитектуре биометрии

Техническая инфраструктура — ключевой элемент правомерной обработки биометрических данных. Из‑за более чувствительных данных требования, естественно, выше.

Раздельное хранение. Федеральный закон № 572‑ФЗ закрепил модель, в которой биометрические шаблоны и сведения о личности физического лица хранятся в разных системах. Шаблоны размещаются в Единой биометрической системе, а идентификационные сведения — в ЕСИА. Такая архитектура исключает возможность объединения критически важных данных в одном информационном массиве и снижает риски доступа к полному профилю субъекта.

Для раздельного хранения организациям необходима точная маршрутизация данных: биометрический шаблон должен автоматически направляться в ЕБС, а сопутствующие сведения — в ЕСИА, без смешения информационных потоков. Ошибки в этой части приводят к нарушению требований ФЗ‑572 и создают угрозу компрометации данных. Поэтому архитектура ИС должна предусматривать отдельные механизмы отправки, шифрования и подтверждения загрузки, а также ведение журналов действий уполномоченного сотрудника.

Там, где организация не взаимодействует с ЕБС, но использует биометрию локально, принцип раздельного хранения всё равно должен соблюдаться — в форме выделения отдельного сегмента для шаблонов и исключения их совместного хранения с кадровыми или клиентскими массивами.

Внутри корпоративной сети передача данных должна осуществляться по выделенным защищенным сегментам. Это позволяет минимизировать риски перехвата, ограничить круг маршрутов, по которым может передаваться биометрический шаблон, и обеспечить контроль над узлами, участвующими в обработке.

С технической точки зрения это означает, что в архитектуре необходимо:

• разграничивать сетевые зоны, через которые проходит биометрия;
• использовать шифрование данных не только при передаче, но и при хранении;
• обеспечивать мониторинг каналов связи и регистрацию аномалий;
• исключать маршрутизацию биометрии через общие корпоративные тоннели.

Требования к сегментам обработки (ЕБС). Сегмент обработки биометрии рассматривается как изолированный контур с собственными правилами доступа и уровнем защищённости, который должен соответствовать установленным нормативам. При подключении к ЕБС организация обязана выстроить архитектуру, обеспечивающую:

1. Выделенный контур обработки. Системы, которые работают с биометрическими шаблонами, изолируются на уровне сети, инфраструктуры и хранилищ. В этот контур не допускается оборудование, не соответствующее требованиям по защите информации, а доступ сотрудников жёстко контролируется. Сегмент не может быть объединён с обычными пользовательскими зонами или общими ИТ‑ресурсами.
2. Использование сертифицированных средств защиты. Требования к ЕБС предусматривают применение сертифицированных СЗИ: межсетевых экранов, систем предотвращения вторжений, средств доверенной загрузки, механизмов контроля целостности и криптографических средств.
3. Минимизация доступа. Политика управления доступом выстраивается по принципу «минимально необходимого». Внутри контура определяются отдельные роли: администратор инфраструктуры, оператор загрузки данных, специалист по обеспечению безопасности. Каждая роль получает строго ограниченные полномочия, а все операции фиксируются в журналах аудита, что является обязательным требованием регулятора.

Кроме того, сегмент должен обеспечивать невозможность прямого доступа к шаблонам из внешних систем, включая внутренние корпоративные сервисы, если такая передача не предусмотрена регламентами.

Заключение

Развитие биометрических технологий сопровождается последовательным ужесточением регулирования, что отражает общую тенденцию повышения требований к обработке данных, способных однозначно идентифицировать человека. Законодатель выстраивает модель, в которой соблюдение процедур и архитектурных решений рассматривается как обязательное условие правомерной работы. В результате компании, внедряющие биометрию, оказываются в зоне повышенного контроля, где отступления от установленного порядка неизбежно создают юридические и технические риски.

Практика показывает, что устойчивое внедрение возможно только при сочетании двух взаимосвязанных компонентов. Первый — корректная юридическая основа: ясно определённые цели обработки, надлежащие согласия, локальные нормативные акты, регламенты взаимодействия с ЕБС и механизмами уничтожения данных. Второй — архитектура защиты, включающая выделенные сегменты, сертифицированные средства безопасности, защищённые каналы связи и раздельное хранение биометрических и анкетных сведений.