Биометрические ПД

Биометрия - это семейство технологий, а не одно распознавание лица. От модальности зависит правовой режим, поэтому выбор технологии делают вместе с юристом

Технологии распознавания, раздел 6

• изображение лица
• распознавание диктора

• изображение глаза
• отпечаток пальца и ладони

• геометрия кисти руки
• рисунок сосудистого русла

• динамика подписи
• работа на клавиатуре
• анализ запаха

• анализ ДНК
• кардиограмма
• походка и изображение тела

Области применения, раздел 7

физический контроль доступа

логический контроль доступа

учет рабочего времени и посещаемости

отчетность

электронная подпись

государственные и гражданские услуги

охрана границы

правоохранительные органы

проверки граждан

кластеризация

Следствие: лицо и голос (выделены оранжевым) заводят в контур 572-ФЗ и ЕБС, а отпечаток, вены, радужка и поведенческие признаки остаются в режиме ст.11 152-ФЗ

Австралия, ДНК

Внешность по следам

Полиция применяет Massively Parallel Sequencing: по ДНК с места преступления прогнозирует пол, цвет глаз, страну происхождения, далее цвет волос, возраст и рост

Великобритания

Отпечатки со снимка

По фото в EncroChat, где рука держит кусок сыра, полиция Мерсисайда считала отпечатки пальцев автора. Итог - 13,5 года заключения за сбыт наркотиков

США, $2 млрд

Имя по лицу

Нейросеть по разработке The Mitre Corp угадывает имя человека из двух вариантов с точностью 72-80,5% без сличения с базами, а по имени подбирает лицо

Сиднейский университет

Ориентация по голосу

Слушатели по 60 записям точнее определяли ориентацию гомо- и гетеросексуальных мужчин, для бисексуальных метод оказался ненадежным

Apple, патент

Эхо уха

Ультразвуковые датчики AirPods распознают владельца по уникальному эху уха: в чужих ушах музыка остановится

Что это значит

Потенциал еще не режим

Режим ст.11 152-ФЗ включает цель установления личности. Выводы о здоровье или ориентации ведут в специальные категории ст.10

Москва, транспорт

Сфера нашла 9007 разыскиваемых и 1324 пропавших

Система видеоаналитики работает с 1 сентября 2020 года, среди найденных пропавших 280 детей. Лицо превращается в биометрический ключ, доступ есть только у правоохранительных органов, об ошибках идентификации не сообщается

Clearview AI: около 30 млрд фото из соцсетей

без согласия владельцев, около миллиона запросов полиции США, в Майами около 450 раз в год

Google Street View нашел мафиози через 20 лет

Джоаккино Гаммино скрывался под Мадридом, пока его не сфотографировала машина Google Maps

HR-система SAP с термометрией и распознаванием

интеграция с HR, почтой и Telegram, слепки лиц названы обезличенными, хотя вектор обезличиванием не является

В России: поиск по изображению лица в собственной системе организации запрещен ст.15 572-ФЗ, а МВД и ФСБ получают сведения из ЕБС по мотивированному запросу

ч.1 ст.11 152-ФЗ

Биометрические ПД

сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности

• 1
• Физиология и биология

признак тела или поведения: лицо, голос, папиллярные узоры, вены, геном

• 2
• Позволяют установить личность

признак достаточно индивидуален, чтобы отличить человека от других

• 3
• Используются для установления

оператор применяет сведения именно для установления личности, отсюда строгий режим

• Пример
• Какие признаки есть
• Режим

• данные о здоровье
• первый без третьего
• специальные категории, ст.10

• электронная подпись
• второй без первого
• общий режим, ст.6

• городская видеозапись до опознания
• первый и второй без третьего
• общий режим, ст.6

• фото в загранпаспорте
• прямое указание ПП РФ от 04.03.2010 № 125
• биометрия

vs

Статические

Физиология, данная от рождения

рисунок вен, папиллярные узоры пальцев и ладоней

радужная оболочка и сетчатка глаза

геномная информация (п.3 ст.1 242-ФЗ)

фотография или видеоизображение лица

Риск: при утечке признак не сменить, поэтому приоритет - защита хранилища и короткие сроки

Динамические

Поведенческие характеристики

голос, в котором физиология сочетается с манерой речи

подпись с нажимом, направлением движений и штрихом

клавиатурный почерк, походка, работа с сенсорным экраном

Риск: признаки снимаются в фоне, страдает информированность согласия, приоритет - прозрачность сбора

Спорно: GDPR называет поведенческие признаки прямо, а ч.1 ст.11 говорит о физиологии и биологии, поэтому при установлении личности по поведению берут письменное согласие

• 1
• Двойной критерий

норма соединяет сведения, которые позволяют установить личность, и сведения, которые для этого используются, поэтому одно фото бывает и биометрией, и нет

• 2
• Нет понятия установления личности

межотраслевого определения и процедуры нет, нормы есть лишь для отдельных правоотношений, момент установления не определен

• 3
• Чья обработка

если эталон и сравнение остаются на устройстве пользователя, а оператор получает только результат, биометрию обрабатывает не оператор

• 4
• Аутентификация не названа

норма говорит об установлении личности, но не о подтверждении того, что человек тот, за кого себя выдает

• 5
• Нет признака технических средств

в отличие от GDPR не назван критерий специальных средств получения эталона и автоматического сравнения

• 6
• Точность не признак

достоверность идентификации признаком не служит, а доли ошибочного допуска (FAR) и отказа (FRR) всегда больше нуля

Практика: режим задает процесс, а не файл: квалификацию пересматривают при каждом изменении назначения системы

Третий признак

Активное предъявление образа

Биометрическая аутентификация - проверка подлинности заявленного имени через предъявление своего биометрического образа и его преобразование по заранее определенному протоколу. Она почти всегда сцеплена с авторизацией, как дверной замок со сканером отпечатка

пример: распознавание лиц водителей

пример: биометрический учет рабочего времени

Не биометрия, письмо Минцифры от 28.08.2020 № ЛБ-С-074-24059

скан паспорта для подтверждения действий конкретного лица без процедур идентификации

ксерокопия документа, удостоверяющего личность

фотография в личном деле работника

подпись и почерк, в том числе для почерковедческой экспертизы

рентгеновские и флюорографические снимки в медицинской карте

видеосъемка в публичных местах и на охраняемой территории

Граница: снимки в медкарте остаются сведениями о здоровье по ст.10, а смена назначения системы переводит ту же съемку в биометрию без замены оборудования

vs

Требуется

Письменное и свободное согласие

письменная форма с реквизитами ч.4 ст.9 152-ФЗ, собственноручная или равнозначная электронная подпись

с 01.09.2025 отдельный документ, а не пункт договора, анкеты или оферты (ч.1 ст.9)

конкретному оператору и на одну цель: проход, учет времени и подтверждение операций оформляют раздельно

работающий небиометрический маршрут без издержек для отказавшегося

Запрещено

Понуждение и отказ в обслуживании

требовать биометрию для договора, счета или абонемента, кроме случаев ч.2 ст.11 152-ФЗ

обусловливать услугу, ее объем или количество товара прохождением биометрии (чч.11-13 ст.3 572-ФЗ)

отказывать потребителю в договоре: ч.8 ст.14.8 КоАП, для юрлица 200-500 тыс. ₽

отказывать в госуслуге из-за отказа от биометрии: ч.2.1 ст.5.63 КоАП с 30.05.2025

Практика: согласие через одноразовый код в личном кабинете банка признано ничтожным (88-14185/2025), а наказать работника за неотметку отпечатком после отзыва согласия суды не дали (88-24328/2022)

10.02.2020

Роскомнадзор

№ 08АП-6782: рекомендации по биометрии детей, квалификация фото не привязана к формату

28.04.2020

Роскомнадзор

№ 08-24451: отпечатки вправе применять госорганы, у коммерческой организации оснований нет

17.07.2020

Минцифры

№ ОП-П24-070-19433: фото в СКУД - биометрия, биометрия учащихся для пропуска недопустима

28.08.2020

Минцифры

№ ЛБ-С-074-24059: копии паспорта, фото в личном деле, подпись, рентген не биометрия

19.11.2021

Роскомнадзор

№ 09-78548: разъяснения 2013 года, где биометрией были даже рост и вес, неактуальны

09.03.2022

Управление по СЗФО

№ 9627-12/78: фото не биометрично по сути, в нем нет термограммы, радужки и узоров

29.08.2022

Роскомнадзор

№ 08-78032: фото - биометрия при прямом указании НПА, например ПП РФ № 125, иначе ст.6

25.11.2022

Роструд

работодатель не вправе снимать отпечатки работников для пропускного режима

Позже: с августа 2025 года несоответствие ГОСТ уже не выводит фото из режима биометрии

• Что признано биометрией
• Судебный акт

• фотографии на пропусках
• АС СЗО 21.11.2017 № Ф07-11732/2017, ВС РФ 05.03.2018 № 307-КГ18-101, дело № А42-342/2017

• рисунок вен ладоней учащихся для оплаты питания и прохода
• Лискинский районный суд 09.07.2018 № 12-35/2018

• шаблон отпечатков в удостоверении личности моряка
• Санкт-Петербургский горсуд 07.07.2020 № 33а-13473/2020

• изображения с камеры в общей долевой собственности сторон
• 5 КСОЮ 28.09.2021 № 88-7100/2021

• фото несовершеннолетних с ФИО в пропускной системе бизнес-центра
• Зеленоградский районный суд 23.06.2022 № 12-0531/2022

• отпечатки работника после отзыва согласия в организации с наркотическими препаратами
• 2 КСОЮ 01.11.2022 № 88-24328/2022

• фото работника на сайте вакансий бывшего работодателя
• 2 КСОЮ 04.07.2023 № 88-13675/2023, компенсация 80 000 ₽ устояла

• изображение узнаваемого лица в видеорепортаже
• 4 КСОЮ 26.09.2024 № 88-27709/2024, направлено на новое рассмотрение

Осторожно: перед ссылкой проверяют цепочку инстанций: фитнес-дело 12-1526/2019 отменено кассацией 16-937/2020 без оценки квалификации

Городские камеры

используются МВД для общественной безопасности: 2 КСОЮ 31.07.2020 № 88а-17020/2020, Мосгорсуд 30.01.2020 № 33а-707/2020

Частные камеры

не охватывают участок истцов и не позволяют достоверно идентифицировать лиц: ВС Республики Коми 04.02.2019 № 33-640/2019

Съемка на телефон

запись не позволяет идентифицировать субъекта: 4 КСОЮ 16.10.2020 № 16-894/2020

Камеры клиники

запись показана посетителю для поиска его телефона: 8 КСОЮ 19.12.2019 № 88-1005/2019

Камера в доме

не направлена на квартиру истца и служит охране владельца: Кировский районный суд Саратова 01.06.2021 № 2-2354/2021

Архив госоргана

записи до передачи в целях идентификации: Нижегородский облсуд 19.12.2018 № 33а-15421/2018

Спящий работник

изображение до передачи для установления личности: Кинешемский горсуд 27.05.2021 № 2-873/2021

Видеозапись урока

для дисциплины, без портретной съемки, удалена после занятия: Княжпогостский районный суд 04.02.2025 № 12-3/2025

Проверка живости

видеопроверка владельца профиля Авито не служит установлению личности: Рязанский облсуд 11.03.2026 № 33-342/2026

Отпечатки на объекте ТЭК

допустимы без согласия по антитеррористическим требованиям, ч.2 ст.11: 7 КСОЮ 01.08.2023 № 88-10266/2023

Почему биометрия

Фото с ФИО для карт доступа

квалификация опиралась на определение ВС РФ от 05.03.2018 № 307-КГ18-101 и письмо Минцифры от 17.07.2020 № ОП-П24-070-19433. Письменных согласий родителей не было ни у управляющей компании, ни у центра обучения

организацию оштрафовали на 30 000 ₽ отдельным постановлением (5-276/2022), замену предупреждением суд отклонил

отстранение и лишение премии не освободили ответственного

довод о компьютере прежней управляющей компании отклонен

• 1
• 02.10.2021: хранение фото

на компьютерах администраторов бизнес-центра "Зеленоград" 170 фото учащихся компьютерного центра с фамилиями, именами и отчествами

• 2
• 20.01.2022: проверка

прокуратура Зеленоградского округа по обращению гражданки с сотрудниками ФСБ и Росгвардии, файлы удалили через несколько минут после осмотра

• 3
• 19.04.2022: штраф

мировой судья оштрафовал по ч.2 ст.13.11 КоАП старшего администратора, ответственного за ПД при оформлении карт доступа

• 4
• 23.06.2022: решение устояло

Зеленоградский районный суд оставил штраф в силе, замену предупреждением и малозначительность отклонил

vs

Биометрия

Признают биометрией

02.10.2023, управления Роскомнадзора: отпечатки и фото пропуска при использовании в СКУД

28.12.2023, Минцифры № П24-2-04-070-257558: домофония по лицу, если это аутентификация, подчиняется 572-ФЗ

13.03.2024, управление по Астраханской области: сверка фото на пропуске с предъявителем

15.10.2025, Минцифры № П24-16856-ОГ: отпечатки в СКУД, хотя 572-ФЗ на них не распространяется

06.03.2026, Минцифры: на стройплощадках только ЕБС или аккредитованные системы и согласие

Общий режим

Сужают режим или снимают согласие

23.04.2024, Роскомнадзор № 08-128904: фото в СКУД - биометрия при подходе 572-ФЗ, в СКУД только данные ч.4 ст.3

01.08.2024, управление по ЦФО № 62450-02-11/77: только при прямом указании НПА, иначе ст.6

06.03.2026, Роскомнадзор № 08-166570: стройплощадки без согласия по ч.2 ст.11

14.08.2026, день открытых дверей: лицо в СКУД вне ст.13 572-ФЗ не биометрия, вектор без установления личности тоже

Практически: позиция 2026 года устная и расходится с практикой по делу А42-342/2017: до письменного подтверждения сохраняйте письменное согласие и небиометрический проход

1

Снятие образа

сканер или камера получают биометрический образец

2

Извлечение признаков

контроль качества, сегментация, выделение узоров и характерных точек

3

Шаблон или вектор

математическое преобразование в цифровую форму вида 10010011

4

Сравнение

проверка 1-к-1 с эталоном или поиск 1-к-n по базе

5

Решение

степень соответствия сравнивают с порогом и получают ответ да или нет

Правовой статус

Вектор остается ПД

п.3 ст.2 572-ФЗ: ПД, полученные в результате математического преобразования биометрических ПД. Для него действуют цель, основание, сроки и права субъекта

к векторам ЕБС не применяются ст.11 и меры защиты по ст.19 152-ФЗ (ч.5 ст.3 572-ФЗ), но общий режим ПД сохраняется

векторное преобразование не является обезличиванием, а невосстановимость исходного образа вопрос о режиме не решает

для идентификации через ЕБС порог соответствия не ниже 0,9999 задан приказом Минцифры от 17.04.2023 № 378

01

Сбор

сканер получает биометрическое предъявление, при низком качестве просит повторить

02

Обработка сигнала

контроль качества, сегментация, выделение признаков и создание шаблона

03

Хранение

база биометрических регистраций с контрольными шаблонами

04

Сравнение

сопоставление нового шаблона с базой и расчет результата

05

Решение

порог и правила: совпадение при верификации, кандидат при идентификации

Три процесса проходят через подсистемы

• биометрическая регистрация
• биометрическая верификация
• биометрическая идентификация

Для юриста: заведение базы образцов является юридическим решением: именно подсистема хранения и сравнения превращает снимки в биометрию

152-ФЗ

Ручная обработка

сравнение ведет уполномоченное должностное лицо с реальным контролем над решением

режим ч.1 ст.11 со всеми последствиями, включая письменное согласие

законный выход из контура ЕБС при сохранении задачи опознания

цена - ручной труд и зависимость от квалификации сотрудника

572-ФЗ

Автоматизированная обработка

сравнение изображения лица или записи голоса ведет информационная система

идентификация только через ЕБС

аутентификация через ЕБС, региональный сегмент или аккредитованную организацию по векторам

поверх действует режим ст.11 152-ФЗ

Изъятия ст.1 572-ФЗ

Закон не применяется в целях

оперативно-разыскной, контрразведывательной и разведывательной деятельности

обороны, безопасности государства, охраны правопорядка, внешней политики

миграционного и регистрационного учета, обращения документов, удостоверяющих личность

санитарно-эпидемиологического благополучия

Не путать: изъятия ст.1 572-ФЗ не совпадают с ч.2 ст.11 152-ФЗ: первые выводят из инфраструктурного закона, вторые освобождают от согласия

01

ч.1 ст.11 152-ФЗ

Установление личности

родовое понятие закона о ПД. Межотраслевого определения и универсальной процедуры нет, поэтому неясно, какие действия ему соответствуют

02

пп.6, 7 ст.2 572-ФЗ

Идентификация: кто это?

установление личности через установление сведений о лице и их проверку, сопоставление сведений с идентификатором

03

п.2 ст.2 572-ФЗ

Аутентификация: ты ли это?

проверка принадлежности лицу идентификаторов через сопоставление со сведениями проверяющего, после чего лицо считается установленным

Тонкость: 572-ФЗ разводит операции по предмету установления, а не по числу сравниваемых записей: аутентификация допускает и проверку 1-к-1, и поиск 1-к-n

• Аспект
• Было, 149-ФЗ
• Стало, 572-ФЗ

• Сбор
• банки по желанию гражданина собирают биометрию в ЕБС, собранное в КБС передается в ЕБС
• то же, импорт лица и голоса из КБС и других систем в ЕБС до 30.09.2023

• Хранение в КБС
• хранить биометрию разрешено и в КБС, и в ЕБС
• первичная биометрия только в ЕБС, в КБС векторы ЕБС и данные аутентификации до 10 суток, передавать векторы третьим лицам нельзя

• Услуги КБС
• идентификация и аутентификация по биометрии
• идентификация только через ЕБС и ЕСИА, аутентификация только по векторам ЕБС, запретные случаи в ПП РФ № 815

• Аккредитация КБС
• по установленным требованиям с 01.03.2023
• с 01.06.2023 с переходным периодом до 01.12.2023, защита на уровне ГИС с 01.01.2025

• Согласия
• сбор и обработка только с согласия
• плюс согласие на передачу вектора в КБС, отказ от сбора через МФЦ, управление согласиями на Госуслугах с 01.01.2024

приложение или импорт

Упрощенная

регистрация в приложении "Госуслуги Биометрия" по подтвержденной учетной записи Госуслуг: проезд, проход в офис, простые сервисы

срок действия 2-3 года

покупки до 2 500 ₽

перечень услуг ограничен

приложение с NFC

Стандартная

нужны загранпаспорт с чипом, телефон с NFC и подтвержденная учетная запись: вход на Госуслуги, проход, проезд, сим-карта

срок действия 2-3 года

покупки до 5 000 ₽

перечень услуг ограничен

очно в банке

Подтвержденная

доступ ко всем услугам по биометрии: замена паспорта, дистанционные банковские услуги, усиленная квалифицированная подпись

срок действия 5 лет

покупки до 5 000 ₽

перечень услуг не ограничен

Новое: по изменениям порядка 2026 года гражданин вправе разместить в ЕБС оба вида биометрии или только один, поэтому у части пользователей есть лишь лицо или лишь голос

• Объект и задача
• Операция
• Через ЕБС
• Через КБС

• Важные объекты ч.1 ст.13. ОПК, атомная и ядерная оружейная отрасли, химия, ТЭК, транспортная инфраструктура, субъекты КИИ, объекты с высоким риском теракта, режимные
• идентификация и аутентификация
• да
• нет

• Свои сотрудники, ч.3 ст.13. Госорганы и субъекты КИИ, которые сами аккредитованы, на своей территории
• аутентификация
• да
• да

• Остальные организации, ч.2 ст.13. Проход сотрудников и посетителей
• аутентификация
• да
• по векторам

• 8 групп ПП РФ № 815. Экзамены, телемедицина, рецептурные препараты, госуслуги и ГИС, медосмотры и другие
• аутентификация
• да
• нет

В работе: законопроект № 1131094-8 от 24.01.2026 открывает важным объектам собственные системы аккредитованного владельца для сотрудников и посетителей, но пока не принят

ЕБС хранит изображение лица и запись голоса. Идентификация через ЕСИА и ЕБС приравнивается к предъявлению паспорта, кроме случаев, когда закон требует оригинал документа

vs

Транзакционная

Каждое сравнение идет в ЕБС

организация запрашивает ЕБС и ЕСИА при каждом обращении клиента

доступны идентификация и аутентификация

эталоны остаются в ЕБС, организация получает только результат

плата за каждое успешное сравнение

Векторная

Сравнение в аккредитованной системе

векторы ЕБС передаются в КБС аккредитованной организации

доступна только аутентификация

нужны шесть условий ст.16 572-ФЗ, включая аккредитацию

плата за передачу векторов

Идентификация: установить личность и создать профиль

1

Запрос клиента

человек хочет стать клиентом

2

Запрос сведений

организация запрашивает ЕБС и ЕСИА о гражданине

3

Ответ системы

это Иванов И.И., паспорт и другие данные

4

Обслуживание

организация создает профиль клиента

Аутентификация: подтвердить, что обратился владелец профиля

1

Запрос услуги

клиент хочет войти в личный кабинет

2

Сравнение

фото уходит в ЕБС: это id 42 (1-к-1) или кто это (1-к-n)

3

Ответ ЕБС

да, это id 42, либо это id 63

4

Оказание услуги

допуск в личный кабинет

Не забыть: перед аутентификацией клиентскую базу с идентификаторами выгружают в ЕСИА, это самостоятельная обработка ПД

Условия ч.3 ст.16 572-ФЗ соединены: без любого из них векторная аутентификация недоступна

• 1
• меры защиты по ч.4 ст.19 152-ФЗ

• 2
• СКЗИ против угроз, определенных уполномоченными органами

• 3
• требования к сбору биометрических ПД

• 4
• требования 572-ФЗ и законодательства о безопасности КИИ

• 5
• согласие физлица, им управляют через ЕСИА

• 6
• аккредитация организации по ст.17 572-ФЗ

без аккредитации, путь 1

Прекратить старый режим

сервисы с биометрией вне правил 572-ФЗ ведут к ответственности по ст.13.11.3 КоАП

путь 2

Работать через ЕБС

пользоваться услугами ГИС ЕБС по идентификации и аутентификации

путь 3

Договор с аккредитованной

своя аккредитация не нужна, если у организации нет собственной биометрической системы

Фильтр участника: организация вне перечней экстремистов и террористов, руководитель без судимости, в ЕГРЮЛ нет записи о недостоверности, при векторной модели проверяет аккредитованная организация

500 млн ₽

собственные средства

капитал организации

100 млн ₽

финобеспечение

ответственности за убытки

49%

иностранное участие

предел доли в капитале

3 года

без отзыва

аккредитации досрочно

базы данных только в России

подключение к ГосСОПКА

лицензия ФСБ, если криптография не только для своих нужд

аппаратные шифровальные средства в собственности

два сотрудника с высшим ИТ-образованием

согласие на раскрытие налоговой тайны

нет записи о недостоверности в ЕГРЮЛ

Единоличный исполнительный орган

гражданство России, деловая репутация

нет в перечнях экстремистов и террористов

нет неснятой или непогашенной судимости

5 лет без наказаний за разглашение тайн

3 года не руководил организацией с отозванной аккредитацией

• Категория, плата за успешное сравнение с НДС
• Коэф.
• 1-500 в день
• 501-1000
• от 1001

• Идентификация, все категории пользователей
• 1
• 60 ₽
• 45 ₽
• 30 ₽

• Аутентификация: проход на территорию, безналичные расчеты в торговле и услугах, налоги и сборы
• 0,14
• 2,80 ₽
• 2,10 ₽
• 1,40 ₽

• Аутентификация пассажиров поездов дальнего следования и пригородных
• 0,5
• 10 ₽
• 7,50 ₽
• 5 ₽

• Аутентификация: возраст при продаже алкоголя и табака, рецептурные лекарства, иные категории
• 1
• 20 ₽
• 15 ₽
• 10 ₽

• Совместные мероприятия по популяризации биометрии по соглашению с оператором ЕБС
• 0
• 0
• 0
• 0

Есть месячные пакеты: идентификация 285 000 ₽ за 10 тыс., 810 000 ₽ за 30 тыс. и 2 550 000 ₽ за 100 тыс. успешных сравнений, аутентификация с коэффициентом 1 - 95 000, 270 000 и 850 000 ₽

Учесть: методика действует до 01.06.2029, госорганы и Банк России от платы освобождены, а по расчету к законопроекту 2026 года проход через ЕБС стоит 2,8 ₽ при годовой плате 30 ₽ за вектор

2022-2024: запуск

29.12.2022

Принят 572-ФЗ

основная часть действует со дня опубликования

01.06.2023

Ст.13-18

запреты ст.15, проход, аккредитация, векторная модель, надзор

30.09.2023

Закрыт импорт

истекло окно передачи ранее собранной биометрии в ЕБС

01.01.2024

Госуслуги

просмотр и отзыв всех согласий в режиме одного окна

01.09.2024

Виды решает Правительство

ПП РФ № 408: лицо и голос до 01.09.2027

2025-2029: перестройка

01.01.2025

Защита КБС

требования к системам на уровне ГИС

2026

В работе

законопроект о ст.13, по СМИ МФО ждут идентификации по лицу

01.01.2027

Регионы и подпись

сегменты на векторах, конец переходной ПЭП

01.09.2027

Перечень видов

истекает ПП РФ № 408, виды определят заново

01.06.2029

Тарифы

истекает методика платы за обращения

Дефиниции

Идентификация, п.7 ст.2 572-ФЗ

совокупность мероприятий по установлению сведений о лице и их проверке и сопоставлению этих сведений с идентификатором

идентификатор - уникальное обозначение сведений о лице для его определения (п.6 ст.2 572-ФЗ)

по ГОСТ ISO/IEC 2382-37-2016 - поиск по базе регистраций и возврат идентификатора шаблона одного индивида

Алгоритм

получение сведений о лице из ЕСИА и ЕБС по транзакционной модели

Запрет своей системы

ст.15 572-ФЗ запрещает организациям обрабатывать, собирать и хранить биометрию для идентификации, кроме сбора для размещения в ЕБС

Нормативный порог

степень соответствия не ниже 0,9999 задана приказом Минцифры № 378, а не настройкой пользователя

Сила результата

идентификация через ЕБС и ЕСИА приравнивается к предъявлению паспорта (ст.11 572-ФЗ)

Первичный сбор

исходные лицо и голос принимают банки, МФЦ и уполномоченные организации либо сам гражданин через приложение

Если технический процесс, реализуемый в сервисе домофонии, соответствует определению аутентификации, то организациям, предоставляющим такой сервис, необходимо соблюдать требования Федерального закона № 572-ФЗ

Минцифры России, информационное письмо от 28.12.2023 № П24-2-04-070-257558

Аутентификация, п.2 ст.2 572-ФЗ

• 1
• проверка принадлежности лицу идентификаторов через сопоставление со сведениями проверяющего

• 2
• поиск 1-к-n или проверка 1-к-1 в ЕСИА и ЕБС либо в КБС по векторам

Верификация по ГОСТ

подтверждение биометрического заявления при сравнении, ГОСТ ISO/IEC 2382-37-2016 п.37.08.03

Вывод: домофония и проход по лицу - это аутентификация: только через ЕБС или по ее векторам в аккредитованной системе, собственная база шаблонов лица запрещена ст.15 572-ФЗ

01

общая категория

Небиометрическая обработка

фото и сведения о посетителе на пропуске

уполномоченное лицо сличает фото с лицом и решает о пропуске

Легализация: ч.1 ст.6 152-ФЗ, вне ЕБС

02

общая или биометрия

Сличение на мониторе

фото в СКУД, посетитель прикладывает id-карту

СКУД показывает фото оператору, тот сравнивает и решает

Легализация: ч.1 ст.6 или ст.11 152-ФЗ, вне ЕБС

03

биометрия

Биометрическая аутентификация

в СКУД вектор и id-карта

сенсор снимает лицо, СКУД сравнивает с шаблоном карты и решает без человека

Легализация: только по векторам ЕБС (ч.1 ст.15, чч.1, 3 ст.16 572-ФЗ)

04

биометрия

Поиск по базе и решение

шаблоны всех посетителей в СКУД

сенсор снимает лицо, СКУД ищет совпадение в своей базе и сама решает

Легализация: свои шаблоны запрещены ст.15 572-ФЗ, только ЕБС или ее векторы

Спорно: Роскомнадзор 14.08.2026 устно относит фото в СКУД к биометрии только в контуре ст.13 572-ФЗ, а суды по делу А42-342/2017 считали биометрией и ручную сверку

• Установление личности
• Без биометрического распознавания

сравнения нет или его ведет человек

С биометрическим распознаванием

автоматическое сравнение системой

Личность не устанавливается

• 1
• ч.1 ст.6 152-ФЗ

охрана и контроль производства по видео, фотофиксация полок, метки на форме и инвентаре

• 2
• ч.1 ст.6, самая уязвимая клетка

подсчет уникальных посетителей, контроль СИЗ, угрозы в толпе, расшифровка ВКС по голосам, усталость водителя

• Небиометрическое установление личности
• 3
• ч.1 ст.6 152-ФЗ

охранник сличает фото на пропуске, видеоконтроль дисциплины, ручная проверка живости владельца профиля

• 4
• ч.1 ст.6, клетка спорная

автосличение селфи с паспортом, проверка живости и возраста, вход по FaceID на устройстве пользователя

• Биометрическое установление личности
• 5
• ст.11 152-ФЗ без 572-ФЗ

должностное лицо ищет злоумышленника по записям камер и имеющимся образцам

• 6
• ст.11 и 572-ФЗ

аутентификация в колл-центре, оплата проезда по лицу, каршеринг через ЕБС, отпечаток в СКУД только по ст.11

Ловушка: сверка с базой мошенников и сбор биометрии неклиентов по лицу и голосу образуют запрещенную собственную систему ст.15 572-ФЗ, а по иным модальностям нет ни основания, ни согласия

• 1
• Закрытый перечень ЕБС

с 01.09.2024 виды определяет Правительство: лицо и голос (ПП РФ № 408 до 01.09.2027), геном в ЕБС запрещен, отпечатки, вены и радужка живут по ст.11

• 2
• Только Россия

идентификация и аутентификация с трансграничной передачей запрещены (ч.21 ст.3 572-ФЗ), зарубежные облака распознавания вроде AWS Rekognition и Azure Face закрыты

• 3
• Своя идентификация запрещена

по лицу и голосу собственная идентификация запрещена ст.15 572-ФЗ, аутентификация только по векторам ЕБС, с аккредитацией, СКЗИ и лицензией ФСБ

• 4
• Особый режим согласия

отдельное письменное согласие конкретному оператору, отзыв в любой момент, отказ не повод отказать в услуге или ухудшить ее условия

• 5
• Несовершеннолетние

Минцифры сочло биометрию учащихся в СКУД школ недопустимой, согласие законного представителя не заменяет согласия самого субъекта

• 6
• Пределы точности

FAR и FRR всегда больше нуля, качество падает с возрастом, после травм, при плохой съемке, поэтому спорные срабатывания закладывают в продукт

• 7
• Сырой биометрии нет

из ЕБС выходят вектор и степень соответствия, а не изображение, это ограничивает дообучение своих моделей, данные аутентификации хранят до 10 суток

Необратимость утечки

биометрию нельзя перевыпустить как пароль: скомпрометированный шаблон остается уязвимостью пожизненно и во всех системах

Штрафы и уголовный риск

утечка биометрии 15-20 млн ₽, повторная 1-3% выручки, но не менее 25 млн ₽, нарушения с ЕБС до 2 млн ₽, ч.2 ст.272.1 УК до 5 лет

Смещение моделей

по данным NIST FRVT точность распознавания различается по демографическим группам, это повод для жалоб и проверок

Атаки на предъявление

маски, фото, видео, deepfake, синтез голоса и подмена кадров в канале требуют многослойной проверки живости

Function creep

СКУД начинают применять для оценки производительности без легализации, вопреки целевому характеру и минимизации (ст.5 152-ФЗ)

Репутация

распознавание лиц в метро и биометрия в школах показали, что любая биометрическая инициатива под медийным микроскопом

Проверки

прокурорские проверки с ФСБ и Росгвардией ведут к штрафам и удалению данных, как в деле Савелкинского проезда 2022 года

Архитектура и данные

не применять биометрию, если цель достигается картой, PIN или OTP: она не выбор по умолчанию

обрабатывать на устройстве: образ не покидает смартфон или терминал, оператор получает только да или нет

хранить шаблоны вместо исходников, шифровать, ротировать ключи, уничтожать средством с автоудалением

выбрать путь в ЕБС: своя аккредитация или договор с аккредитованной организацией из перечня ebs.ru

сертифицированные алгоритмы и проверка живости, регулярные тесты FAR, FRR и устойчивости к deepfake

Процессы и комплаенс

до запуска оценить необходимость, пропорциональность, альтернативы и вред для субъектов

брать отдельное письменное согласие на каждую цель и держать небиометрическую альтернативу без ухудшения условий

вести журналы согласий и отзывов, уведомлять Роскомнадзор об утечке за 24 и 72 часа

фиксировать цели и оценивать каждое новое применение биометрии, чтобы избежать function creep

уничтожать биометрию уволенных и отозвавших согласие по событию, а не при инвентаризации

Прозрачность: объясняйте пользователям простым языком, какие признаки снимаются, зачем, где хранятся и как их удалить, особенно в поведенческой биометрии

• Ситуация
• Основание
• Предел

• Норма требует камер
• п.2 ч.1 ст.6: массовое пребывание (ПП № 272), все гостиницы (ПП № 447), медицина 3-й и выше категорий (ПП № 8)
• оснащение закрыто, доступ и выдача нет

• Посетители
• законный интерес п.7 ч.1 ст.6 при конкретной задаче и учете ожиданий
• проверка мягкого способа, спорно

• Работники
• охрана входов или контроль рабочих мест по п.1 ст.86 ТК
• ст.214.2 ТК только для безопасности работ

• Гражданин и МКД
• личные нужды (ч.2 ст.1) или решение собрания (88-100/2019)
• обзор на соседа выводит из изъятия

Где камеры нет

по экспертному подходу примерочные, раздевалки, уборные, смотровая кабинета врача и точки, раскрывающие здоровье или убеждения

суд исключил комнату отдыха и приема пищи, хотя приказ не оспорен (88-14171/2023)

Кадр, а не план

в спорах соседей обзор не шире взгляда обычного наблюдателя обработкой ПД не признан (33-640/2019, 88-235/2021)

сектор доказывают экспертизой (88-6070/2023) и выгрузкой кадра (2-177/2022)

звук, по экспертному подходу, обосновывают отдельно

427-ФЗ, ч.3 ст.10, с 01.09.2026

Сведения до входа на объект

при охранной услуге с видеонаблюдением людей информируют до входа, на видном днем и ночью месте, с условиями режима и правилами допуска, а обязанность оператора по ПД остается

• Параметр
• Работник
• Посетитель

• Момент
• до начала наблюдения, новичок при приеме на работу
• до входа в зону

• Содержание
• факт, цель и зоны видимости камер
• факт и цель, при охране условия режима

• Форма
• локальный акт под роспись, трудовой договор, таблички
• табличка и политика обработки

1

Решение

приказ с датой начала, целью и ответственным

2

Локальный акт

цели, точки, состав, доступ, срок, передача и сбой

3

Информирование

лист ознакомления, таблички, раздел политики

4

Обвязка

перечни ПД и ИСПД, поручение охране

Практика: при открытом наблюдении суды принимали приказ, схему камер и лист ознакомления (33-653/2019) или приказ, положение и личное уведомление работника (33-20507/2016), а негласное наблюдение документами не исцеляется

30 суток

гостиницы

архив непрерывного наблюдения, ПП № 447

1 месяц

медицина и наука

ПП № 8 от 3-й категории, ПП № 1421 для 1-й и 2-й

6 месяцев

предел уничтожения

блокированного массива, если закон не задал иное (ч.6 ст.21)

• 1
• Закрепить срок заранее

по цели в локальном акте, со сверкой с глубиной регистратора

• 2
• Выгрузить фрагмент

при инциденте до перезаписи, с отметкой момента выгрузки

• 3
• Дать фрагменту свой срок

до конца разбирательства, иначе копии живут годами в почте

• 4
• Закрыть неизвлекаемый массив

блокировать и уничтожить целиком

Доступ в два слоя

пост видит живое изображение, но не выгружает архив

администратор обслуживает систему без доступа к записям

каждое обращение к архиву журналируется

доступ, повлекший копирование, блокирование, модификацию или уничтожение, грозит ст.272, 272.1 УК

В судебном споре

аудио и видео названы доказательствами (ч.1 ст.55 ГПК, ст.26.7 КоАП), допустимость оценивают в каждом производстве

просмотр защищен, когда подтвердил уже выявленный и не оспоренный факт (33-50244/2018), а довод о п.6 ст.86 ТК в 33-8775/2018 отклонен

Экспертный подход

поиск повода по архиву и решение на одной выгрузке защищаются хуже

запись с нарушением порядка теряет вес и может дать требование о моральном вреде (ст.24 152-ФЗ, ст.237 ТК)

Выдача органу по п.4 ч.1 ст.13 закона о полиции

• 1
• Основание и полномочие

норма запроса и полномочие запрашивающего

• 2
• Форма запроса

запрос оформлен так, как требует норма

• 3
• Объем

фрагмент по предмету запроса, а не архив за период

• 4
• Фиксация

кому, когда и что передано

Доступ: по ст.14 субъекту сообщают сведения о наблюдении, отказ мотивируют нормой (ч.8 ст.14), хотя обязанности знакомить работника с записью прохода суд не нашел (88-19944/2023). При передаче вовне, например в СМИ, посторонних маскируют

1

Поток

лица в кадре без сопоставления, обычные ПД с основанием наблюдения

2

Архив

запись получает время и связи, нужны срок, состав и основание удержания

3

Установление личности

по кадру включает ст.11, а выемка и сравнение без него режим не включают (2а-577/19)

• Событие
• Как квалифицируют
• Что делать

• Включили распознавание
• по экспертному подходу меняет режим всего массива, если массив служит установлению личности
• дату функции фиксируют, основание, меры и уведомление пересматривают

• Ищут виновного по архиву
• по экспертному подходу это ст.11, Роскомнадзор устно (22.10.2025, 14.08.2026) видит биометрию лишь по закону о биометрии
• согласие на цель расследования рекомендуют брать заранее

• Передали запись полиции
• полиция вправе устанавливать личность без согласия (ч.2 ст.11, ч.1 ст.13 закона о полиции, ВС РФ 15.05.2025)
• по экспертной оценке признака у оператора нет, основание и срок записи на нем

Пример: 7 КСОЮ 24.07.2020 вернул на новое рассмотрение жалобу школы на штраф 25 тыс. ₽ по ч.5 ст.13.11 КоАП, не оценен довод о согласии родителей, законность не решалась (16-2185/2020)

01

Режим включает цель

три признака ст.11 работают вместе: без цели установления личности снимок остается обычными ПД, формат ГОСТ ничего не решает

02

Лицо и голос в контуре ЕБС

идентификация только через ЕБС, аутентификация только по ее векторам с аккредитацией, остальные модальности живут по ст.11

03

Согласие отдельное и свободное

с 01.09.2025 отдельный документ, отказ без последствий, а отказ в договоре наказуем по ч.8 ст.14.8 КоАП

04

СКУД остается зоной спора

Роскомнадзор в 2026 году сузил биометрию до ст.13 572-ФЗ, суды и Минцифры шире: держите согласие и небиометрический проход

05

2027 - точка пересборки

региональные сегменты на векторах, конец переходной ПЭП, а с 01.09.2027 перечень видов биометрии определят заново

06

Антифрод без чужой биометрии

базу мошенников по лицу и голосу вести нельзя, строят ее на небиометрических признаках