Распознавание лиц в СКУД и 152-ФЗ: как законно использовать биометрию на проходной

Терминал распознавания лиц на проходной решает три задачи, которые годами мучили службы безопасности и кадровиков: пропуск нельзя передать коллеге, очередь на турникете исчезает, а учёт рабочего времени становится точным до секунды. Но у этой технологии есть обратная сторона: изображение лица, которое система использует для пропуска человека, закон считает биометрическими персональными данными. Это особая категория с жёсткими правилами. Нарушение этих правил стоит дорого: по статье 13.11 КоАП РФ штраф для организации за обработку биометрии без письменного согласия доходит до 700 000 рублей, а при повторном нарушении до 1 500 000 рублей. В этой статье я разберу, как внедрить распознавание лиц в СКУД так, чтобы проверка Роскомнадзора или инспекции труда не превратилась в проблему: какое согласие брать у сотрудников, где и как хранить шаблоны, чем отличается идентификация от верификации и почему эта разница меняет весь юридический расклад.

Почему лицо на проходной считается биометрическими персональными данными

Начнём с главного заблуждения. Многие руководители рассуждают так: «Мы же не фотографируем паспорт, система просто сравнивает картинки. Какие тут персональные данные?» Закон смотрит на это иначе.

Статья 11 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» определяет биометрические персональные данные как сведения, которые характеризуют физиологические и биологические особенности человека, позволяют установить его личность и используются оператором именно для установления личности. Здесь важны оба признака одновременно. Геометрия лица, расстояние между зрачками, форма скул: всё это физиологические особенности. А терминал на проходной использует их ровно для одного: понять, кто перед ним стоит. Значит, оба признака выполнены, и данные квалифицируются как биометрические.

Роскомнадзор ещё в 2013 году выпустил разъяснения по вопросам отнесения фото- и видеоизображений к биометрическим персональным данным. Логика регулятора такая: фотография сотрудника в личном деле или на пластиковом пропуске не является биометрией, пока охранник сверяет её глазами. Запись с камеры видеонаблюдения тоже не биометрия, пока она просто хранится в архиве. Но как только изображение попадает в алгоритм, который автоматически сопоставляет его с базой и выносит решение «свой» или «чужой», это уже обработка биометрических данных со всеми вытекающими обязанностями.

Практический вывод: как только вы включаете на терминале функцию распознавания, вы становитесь оператором биометрических персональных данных. Отсюда и начинаются обязанности, о которых дальше.

сотрудник в деловой одежде проходит через турникет офисного здания, на стойке турникета закреплён терминал с экраном, на котором подсвечена рамка вокруг лица и зелёный индикатор разрешённого прохода; за турникетом виден пост охраны с монитором

Какие законы регулируют биометрию на проходной

Правовая база для биометрической СКУД складывается из нескольких слоёв. Разберу каждый, чтобы вы понимали, откуда берётся то или иное требование.

152-ФЗ: шесть статей, которые определяют всё

Статья 9 задаёт правила согласия. Оно должно быть конкретным, предметным, информированным, сознательным и однозначным. Для биометрии закон требует письменную форму, а часть 4 статьи 9 перечисляет обязательные реквизиты документа. Если хотя бы одного реквизита нет, согласие считается оформленным с нарушением, и это самостоятельный состав правонарушения.

Статья 11 определяет понятие биометрических данных и содержит закрытый перечень случаев, когда обработка возможна без согласия: международные договоры о реадмиссии, осуществление правосудия и исполнение судебных актов, обязательная дактилоскопическая регистрация, законодательство об обороне, безопасности, противодействии терроризму, транспортной безопасности, противодействии коррупции, оперативно-розыскной деятельности, государственной службе, уголовно-исполнительное законодательство, порядок въезда и выезда, гражданство, нотариат. Пропускной режим обычного предприятия в этот перечень не входит. Обратите внимание: даже объекты транспортной инфраструктуры применяют биометрию без согласия только в рамках законодательства о транспортной безопасности, а не для внутреннего контроля рабочего времени.

Статья 18.1 обязывает оператора назначить ответственного за организацию обработки, утвердить политику обработки персональных данных и опубликовать её, принять локальные акты, проводить внутренний контроль, оценивать вред субъектам и знакомить сотрудников с правилами. Для биометрической СКУД эти меры не формальность: именно их проверяет Роскомнадзор в первую очередь.

Статья 19 требует защищать данные при обработке в информационных системах: определить угрозы, применить организационные и технические меры, использовать средства защиты, прошедшие оценку соответствия, вести учёт носителей, обнаруживать несанкционированный доступ, восстанавливать данные после инцидентов. Конкретику задают подзаконные акты: постановление Правительства РФ от 01.11.2012 №1119 с четырьмя уровнями защищённости и приказ ФСТЭК России от 18.02.2013 №21 с составом мер для каждого уровня.

Статья 21 устанавливает сроки: при отзыве согласия или достижении цели обработки данные нужно уничтожить в срок не более 30 дней. Статья 22 обязывает уведомить Роскомнадзор о начале обработки. С 1 сентября 2022 года, после вступления в силу закона №266-ФЗ, из перечня исключений убрали обработку данных работников в рамках трудового законодательства. Поэтому работодатель, запускающий биометрическую СКУД, обязан либо подать уведомление, либо направить сведения об изменениях в ранее поданное.

572-ФЗ и Единая биометрическая система: касается ли это вашей проходной

Федеральный закон от 29.12.2022 №572-ФЗ регулирует идентификацию и аутентификацию граждан с использованием биометрии через Единую биометрическую систему (ЕБС) и коммерческие биометрические системы (КБС). Основная часть закона вступила в силу с 1 июня 2023 года, и у бизнеса возник закономерный вопрос: нужно ли теперь передавать лица сотрудников в государственную систему или получать аккредитацию?

Для корпоративных СКУД ситуация следующая. Закон прямо выводит из-под своего действия обработку биометрии в случаях, предусмотренных частью 2 статьи 11 152-ФЗ, а также содержит оговорку в отношении работодателей, использующих биометрию собственных работников для внутренних целей, включая контроль доступа на территорию. Минцифры России в своих разъяснениях придерживалось позиции, что локальная СКУД предприятия, которая не оказывает услуг третьим лицам и не передаёт данные вовне, не обязана подключаться к ЕБС и проходить аккредитацию. При этом 572-ФЗ закрепил принцип, который напрямую влияет на проходную: отказ человека от биометрии не может быть основанием для отказа в предоставлении услуг или ухудшения его положения. Правила аккредитации организаций, которые работают с биометрией в рамках этого закона, утверждены постановлением Правительства РФ (в практике на него ссылаются как на ПП №815), а для отдельных субъектов, включая владельцев объектов критической информационной инфраструктуры, предусмотрены особые условия. Поскольку нормы 572-ФЗ активно дорабатывались, точную формулировку исключений и номера частей необходимо сверить с актуальной редакцией перед принятием решения.

Трудовой кодекс: границы использования данных работника

Глава 14 ТК РФ (статьи 86-90) посвящена защите персональных данных работника. Статья 86 устанавливает, что все данные нужно получать у самого работника, обрабатывать только для целей, связанных с трудовыми отношениями, а работник должен быть ознакомлен с документами, устанавливающими порядок обработки, под роспись. Статья 87 отдаёт порядок хранения и использования на откуп работодателю, но в рамках ТК. Статья 88 ограничивает передачу данных третьим лицам. Статья 90 устанавливает ответственность за нарушения.

Ключевое следствие для проходной: отказ сотрудника от сдачи биометрии не является нарушением трудовой дисциплины. Статья 192 ТК РФ допускает дисциплинарные взыскания только за неисполнение или ненадлежащее исполнение трудовых обязанностей, а сдача лица в базу СКУД трудовой обязанностью быть не может. Статья 3 ТК РФ запрещает дискриминацию, и ухудшение положения работника за отказ (лишение премии, перевод, невыдача пропуска) подпадает под это запрет.

Разъяснения регуляторов: кто за что отвечает

Роскомнадзор отвечает за соблюдение прав субъектов: согласие, уведомление, уничтожение, политика. ФСТЭК России отвечает за техническую защиту информационных систем персональных данных без криптографии. ФСБ России устанавливает требования к криптографическим средствам (приказ ФСБ от 10.07.2014 №378). Минцифры ведёт нормативную работу по ЕБС и 572-ФЗ. Минтруд и Роструд дают разъяснения по трудовым аспектам.

Постановление №1119 относит биометрические данные к отдельной категории и определяет для них уровень защищённости в зависимости от типа актуальных угроз. Если для системы актуальны угрозы третьего типа (не связанные с недекларированными возможностями в системном и прикладном ПО), то требуется третий уровень защищённости (УЗ-3). При актуальных угрозах второго типа уровень повышается до УЗ-2, первого типа до УЗ-1. Для большинства корпоративных СКУД при грамотном моделировании угроз итогом становится УЗ-3, однако определение типа угроз должно быть обосновано в модели угроз, а не назначено произвольно.

Идентификация и верификация: разница, которая меняет юридические риски

Это самый важный раздел статьи. От выбора режима зависит и удобство для сотрудников, и объём обязанностей оператора, и последствия утечки.

Идентификация 1:N: свободный проход по лицу

В режиме идентификации терминал захватывает лицо, строит по нему математический шаблон и сравнивает с каждым шаблоном в базе. Человек ничего не предъявляет: подошёл, посмотрел на камеру, турникет открылся. Это удобно и быстро, именно так работают проходные крупных бизнес-центров и заводов.

Юридически это безусловная обработка биометрических данных: у оператора есть централизованная база шаблонов, привязанная к фамилиям и табельным номерам. Без письменного согласия каждого человека в базе такой режим незаконен. Технический риск тоже растёт с размером базы: чем больше шаблонов, тем выше вероятность ложного совпадения (FAR, False Acceptance Rate). При базе в 50 человек и FAR 0,0001% проблем не будет, при базе в 20 000 человек тот же показатель уже даёт ощутимое число ошибочных допусков за год. Поэтому для больших объектов производители рекомендуют порог срабатывания выше и дополнительный фактор.

Верификация 1:1: лицо как подтверждение пропуска

В режиме верификации сотрудник сначала предъявляет карту или вводит PIN, а терминал сверяет его лицо только с одним шаблоном, который привязан к этому пропуску. База не перебирается, решение принимается по одному сравнению. Ложных совпадений практически нет, скорость выше, а главное, появляется архитектурная возможность вообще не хранить шаблоны у оператора.

Речь об архитектуре Match-on-Card: шаблон записывается в защищённую область смарт-карты Mifare DESFire EV2 или EV3 с шифрованием AES-128, карта остаётся у сотрудника. Терминал при проходе читает шаблон с карты, сравнивает с живым лицом и стирает временные данные из оперативной памяти. У работодателя нет базы лиц, нечему утекать, нечего уничтожать при увольнении: карта сдаётся и перевыпускается.

Здесь важно быть честным. Часть юристов считает, что при Match-on-Card оператор не осуществляет хранение биометрии, а лишь подтверждает подлинность пропуска, и потому режим не подпадает под статью 11. Но определение статьи 11 говорит об использовании данных для установления личности, а верификация тоже устанавливает, что перед терминалом именно владелец карты. Роскомнадзор в своих разъяснениях не делает исключений для режима 1:1. В судебной практике встречались решения, где суды признавали правомерным использование биометрического подтверждения при наличии согласия, но устойчивой практики, выводящей верификацию из-под режима биометрических данных, пока нет. Моя рекомендация: получайте письменное согласие в любом режиме. Выигрыш от верификации не в том, что согласие не нужно, а в том, что у вас нет централизованной базы, утечка которой обернулась бы многомиллионным штрафом.

Шаблон или фотография: что именно хранит система

Современные терминалы не хранят фотографии для сравнения. Нейросеть превращает изображение лица в вектор признаков: набор из нескольких сотен чисел, описывающих геометрию и текстуру. Два изображения одного человека дают близкие векторы, разных людей далёкие. Производители подчёркивают, что из вектора нельзя восстановить фото. Это верно лишь отчасти: научные работы последних лет показывают, что при доступе к алгоритму возможна приближённая реконструкция лица по шаблону. Поэтому считать вектор обезличенными данными нельзя, и Роскомнадзор смотрит на это так же: дескриптор, привязанный к фамилии в базе, остаётся биометрическими персональными данными.

Правильная архитектура снижает риск: текстовые данные сотрудников (ФИО, должность, табельный номер) хранятся в одной базе, векторы в другой, а связь между ними идёт через внутренний идентификатор. При утечке одной базы злоумышленник получает либо список фамилий без лиц, либо набор чисел без фамилий. Исходные фотографии, снятые при регистрации, нужно удалять сразу после построения шаблона или хранить отдельно с ограниченным доступом, если они нужны для перерегистрации.

Защита от спуфинга: почему фото с телефона не откроет турникет

Главный страх службы безопасности: сотрудник покажет терминалу фотографию коллеги на экране смартфона. Против этого работает Liveness Detection, определение живого лица. Аппаратные методы: инфракрасная камера видит, что экран телефона и бумага не отражают ИК-свет как кожа; модуль структурированного света или ToF-сенсор строит карту глубины и отличает плоское изображение от объёмного лица; тепловизионный датчик фиксирует температуру поверхности. Алгоритмические методы анализируют микродвижения, моргание, текстуру кожи и блики.

Уровень защиты от атак на предъявление оценивается по международному стандарту ISO/IEC 30107-3 (Presentation Attack Detection, тестирование и отчётность). В России действует его аналог ГОСТ Р 58624.3-2019. Если производитель заявляет антиспуфинг, спрашивайте протокол испытаний по этому стандарту с указанием уровня атак, которые проверялись: фотография, видео на экране, бумажная маска, силиконовая маска. Точность самих алгоритмов распознавания независимо оценивает Национальный институт стандартов и технологий США (NIST) в программе FRVT, результаты публикуются открыто.

крупный план терминала распознавания лиц на стойке турникета с двумя объективами, видимым и инфракрасным, и ИК-подсветкой; рядом человек подносит к терминалу смартфон с фотографией другого сотрудника, на экране терминала красный индикатор и надпись об отказе в доступе

Сценарии по ролям: кто и как проходит

• Штатные сотрудники: проход по лицу в режиме 1:N или лицо плюс карта в режиме 1:1, в зависимости от зоны.

• Подрядчики на длительных работах: временный профиль со сроком действия, согласие берётся при оформлении пропуска, шаблон удаляется автоматически по окончании договора.

• Посетители: гостевая карта или QR-код без биометрии. Собирать лица разовых посетителей нецелесообразно: согласие нужно каждому, а польза минимальна.

• Курьеры и доставка: отдельный вход с вызовом сотрудника или гостевым режимом, биометрия не применяется.

• Руководители: двухфакторный режим для входа в режимные помещения, где одной карты недостаточно.

Согласие сотрудников: как оформить документ, который выдержит проверку

Согласие на обработку биометрии главный документ всей системы. Его отсутствие или дефект превращает законную СКУД в нарушение. Разберу требования детально.

Форма и обязательные реквизиты

Согласие оформляется отдельным документом. Нельзя включать его пунктом в трудовой договор или общую анкету: статья 9 требует, чтобы согласие было конкретным и предметным, а Роскомнадзор рассматривает «зашитое» в договор согласие как ненадлежащее. Часть 4 статьи 9 152-ФЗ перечисляет реквизиты письменного согласия:

1. Фамилия, имя, отчество, адрес субъекта, номер основного документа, удостоверяющего личность, дата выдачи и выдавший орган.

2. Те же сведения о представителе и реквизиты доверенности, если согласие даёт представитель.

3. Наименование и адрес оператора, получающего согласие.

4. Цель обработки. Формулируйте конкретно: «обеспечение пропускного режима на объект по адресу… и учёт рабочего времени», а не «в целях деятельности организации».

5. Перечень персональных данных: «биометрический шаблон изображения лица, построенный программным обеспечением СКУД, и исходное изображение лица на период построения шаблона».

6. Наименование и адрес лица, которое обрабатывает данные по поручению оператора, если вы привлекаете интегратора для обслуживания системы.

7. Перечень действий (сбор, запись, систематизация, хранение, уточнение, использование, уничтожение) и общее описание способов обработки (автоматизированная обработка в СКУД).

8. Срок действия согласия и способ его отзыва.

9. Подпись субъекта.

Закон допускает согласие в форме электронного документа, подписанного электронной подписью в соответствии с 63-ФЗ. На практике для биометрии рекомендую бумажную форму или усиленную квалифицированную подпись: простая электронная подпись в корпоративной системе при споре вызывает вопросы о том, кто реально нажал кнопку.

Порядок получения: сначала подпись, потом регистрация лица

Хронология критична. Сначала сотрудника информируют: показывают, как работает система, объясняют, что хранится не фотография, а числовой шаблон, кто имеет доступ, сколько данные хранятся и как отозвать согласие. Затем он подписывает документ. И только после этого его лицо регистрируют в терминале. Если порядок нарушен и шаблон записан раньше подписи, формально обработка в этот промежуток велась без согласия.

Принуждение недопустимо. Фразы вроде «без биометрии пропуск не выдаём» или «кто не сдаст лицо, будет ждать охранника» делают согласие недобровольным, а значит недействительным. Сотруднику нужно предложить равноценную альтернативу: карту, PIN или проход через пост охраны без ограничений по времени.

Отзыв согласия: 30 дней и акт уничтожения

Сотрудник вправе отозвать согласие в любой момент, объяснять причину не обязан. Заявление подаётся в свободной форме ответственному за обработку. С этого дня у оператора есть не более 30 дней на прекращение обработки и уничтожение данных (часть 5 статьи 21 152-ФЗ). Техническое удаление должно пройти везде: на сервере СКУД, в памяти каждого терминала, куда шаблон был реплицирован, в резервных копиях при их обновлении. Частая ошибка: администратор удаляет профиль в программе, а шаблон остаётся в локальной памяти терминала и всплывает при проверке.

Факт уничтожения подтверждается по приказу Роскомнадзора от 28.10.2022 №179, который действует с 1 марта 2023 года. Для автоматизированной обработки нужны акт об уничтожении и выгрузка из журнала регистрации событий информационной системы. Документы хранятся три года. Сотруднику сразу выдают альтернативный пропуск.

Особые случаи

Отказ сотрудника. Это нормальная ситуация, которую нужно заложить в проект. На каждой биометрической точке прохода должен быть считыватель карт или клавиатура PIN. В правилах внутреннего трудового распорядка фиксируется, что проход по карте равнозначен проходу по лицу для целей учёта рабочего времени.

Подрядчики и посетители. Подрядчик, работающий на объекте месяцами, подписывает согласие при оформлении пропуска; срок действия согласия привязывается к договору. Разовым посетителям биометрию не оформляют.

Несовершеннолетние. Если на объекте работают стажёры 16-17 лет или речь об образовательном учреждении, согласие даёт законный представитель, а в документе указываются его реквизиты и реквизиты документа, подтверждающего полномочия.

Документальное сопровождение

Помимо самой формы согласия я рекомендую завести журнал учёта согласий и отзывов с датами подписания, регистрации лица, отзыва и уничтожения. Подписанные бумажные согласия хранятся в отдельной папке у ответственного, доступ к ней ограничен, а в описи указывается срок хранения на период трудовых отношений плюс три года после уничтожения данных, чтобы при проверке доказать законность обработки за прошлый период. Шаблон согласия и журнала мы готовим под конкретный объект: формулировки целей и перечня данных зависят от режима работы системы, поэтому универсальная болванка из интернета часто не проходит проверку.

Хранение и защита биометрических шаблонов

Где лежат шаблоны и как они защищены второй по важности вопрос после согласия. Утечка биометрии карается строже, чем утечка обычных данных, а последствия для людей необратимы: пароль можно сменить, лицо нет.

Три варианта размещения базы

Отдельно об облаке. Часть 5 статьи 18 152-ФЗ требует, чтобы запись, систематизация, хранение и уточнение персональных данных россиян велись в базах на территории России. Если терминал вендора по умолчанию отправляет данные на зарубежный сервер для обучения алгоритма или удалённой диагностики, это трансграничная передача, о которой с 1 марта 2023 года нужно уведомлять Роскомнадзор до её начала (статья 12). Поэтому при выборе оборудования первым пунктом в техзадании я пишу: работа в закрытом локальном контуре без обращения к серверам производителя.

Защита каналов и доступа

Шаблоны шифруются при хранении и при передаче. Для трафика между терминалом и сервером используется TLS, для систем, где требуется соответствие требованиям ФСБ, сертифицированные средства криптографической защиты по ГОСТ. Между терминалом и контроллером двери откажитесь от устаревшего протокола Wiegand: он передаёт данные открыто, и перехватить код карты на кабеле может любой человек с дешёвым устройством. Протокол OSDP v2 с режимом Secure Channel шифрует обмен по AES-128 и контролирует целостность линии.

Доступ администраторов к базе строится по ролевой модели: оператор проходной видит события, но не может экспортировать шаблоны; кадровик управляет профилями, но не настройками защиты; администратор системы входит с двухфакторной аутентификацией. Каждое действие с биометрической базой записывается в журнал с указанием учётной записи, времени и операции. Против атак «человек посередине» помогают взаимная аутентификация устройств по сертификатам и изоляция СКУД в отдельном VLAN без выхода в интернет.

Требования ФСТЭК и ФСБ в практическом виде

Последовательность работ такая. Определяете уровень защищённости по постановлению №1119 на основе категории данных (биометрические), числа субъектов и типа актуальных угроз. Разрабатываете модель угроз и нарушителя по методическому документу ФСТЭК России 2021 года с опорой на банк данных угроз ФСТЭК. Выбираете меры по приказу ФСТЭК №21 для своего уровня: для УЗ-3 это идентификация и аутентификация пользователей, управление доступом, регистрация событий, антивирусная защита, контроль защищённости и другие базовые группы мер. Применяете средства защиты, прошедшие оценку соответствия. Для организаций, чья СКУД входит в объект критической информационной инфраструктуры, аттестация системы обязательна, для остальных оценка эффективности мер может проводиться в форме внутренней оценки, но документировать её нужно обязательно.

Сроки хранения и уничтожения

Шаблон хранится ровно столько, сколько действует цель: на период трудовых отношений или договора с подрядчиком. В день увольнения или в разумный срок после него (внутри 30 дней по статье 21) шаблон удаляется со всех носителей, составляется акт по приказу №179. Удобно включить удаление биометрии в обходной лист: кадровик ставит отметку только после подтверждения от ответственного за СКУД.

Аудит и готовность к проверке

Раз в год проводите внутренний аудит: сверяйте список активных шаблонов со штатным расписанием, проверяйте журналы доступа администраторов, тестируйте процедуру удаления на одном профиле и смотрите, исчез ли он с каждого терминала. К проверке Роскомнадзора готовьте пакет: политика обработки, приказ о назначении ответственного, локальный акт о биометрической СКУД, формы согласий, журнал согласий и отзывов, акты уничтожения, уведомление в реестр операторов, модель угроз и документы по защите. Если всё это есть и соответствует реальности, проверка проходит спокойно.

серверная стойка в выделенном помещении с контроллерами СКУД и сервером базы данных, на двери стойки электронный замок, рядом администратор в бейдже вводит код на терминале двухфакторной аутентификации; на мониторе журнал событий доступа к системе

Оборудование: какие терминалы распознавания лиц соответствуют 152-ФЗ

Техника должна помогать выполнять закон, а не мешать. Разберу, на что смотреть при выборе терминала, и дам ориентиры по классам устройств. Полный ассортимент с характеристиками собран в каталоге терминалов распознавания лиц, здесь я опишу принципы выбора.

Классы терминалов

Технические параметры для соответствия закону

• Шифрование базы шаблонов на самом устройстве. Если терминал хранит шаблоны открыто, при краже устройства данные скомпрометированы.

• Поддержка смарт-карт Mifare DESFire EV2 или EV3 для режима верификации и Match-on-Card.

• Датчик вскрытия корпуса с автоматическим стиранием криптографических ключей или локальной базы при несанкционированном доступе.

• Работа без облака производителя: возможность полностью отключить обращения к внешним серверам, обновления через локальный сервер.

• Поддержка OSDP v2 для связи с контроллером и TLS для связи с сервером.

• Журналирование событий с экспортом в систему мониторинга.

• Настраиваемый порог сходства и возможность хранить вектор без исходного фото.

Критерии выбора и интеграция

Главные метрики качества распознавания: FAR (вероятность пропустить чужого) и FRR (вероятность не узнать своего). Производители заявляют FAR на уровне 0,0001% и FRR около 0,1-1%, но эти цифры зависят от условий: освещённость, ракурс, маски, очки. Запрашивайте результаты независимого тестирования, например участие алгоритма в NIST FRVT, и проводите пилот на своих сотрудниках. Скорость распознавания должна соответствовать пропускной способности турникета, дальность захвата высоте установки. Антиспуфинг подтверждается протоколом по ISO/IEC 30107-3 или ГОСТ Р 58624.3-2019.

Интеграция с существующей СКУД возможна почти всегда. Терминал либо подключается к действующему контроллеру по Wiegand или OSDP и передаёт ему идентификатор сотрудника, либо сам управляет замком и обменивается событиями с сервером по сети. Для учёта рабочего времени события экспортируются в кадровые системы, включая 1С, через API или файловый обмен. На рынке представлены как зарубежные производители терминалов, так и российские программные платформы СКУД; важно, чтобы выбранная связка поддерживала локальное хранение, шифрование и нужный протокол. Конкретную совместимость мы проверяем на стенде до поставки.

Монтаж и эксплуатация на проходной

Пропускная способность. Один турникет-трипод пропускает около 20-30 человек в минуту, скоростной проход со створками до 40. Распознавание добавляет 0,3-0,5 секунды к каждому циклу, поэтому для утреннего пика в 500 человек за 15 минут нужно не менее двух-трёх турникетов с терминалами.

Освещённость. Лицо в зоне захвата должно быть освещено равномерно, без контрового света из окна за спиной сотрудника. Производители обычно требуют не менее 100-200 люкс на лице; при меньших значениях включается ИК-подсветка, но качество захвата падает. Уличные КПП оборудуют дополнительной подсветкой.

Высота установки. Камеру размещают так, чтобы центр объектива находился на уровне 1,4-1,5 метра: это покрывает рост от 1,2 до 2 метров при вертикальном угле обзора терминала. Для маломобильных сотрудников и людей на инвалидных колясках предусматривают терминал с регулируемым наклоном или отдельную точку прохода с меньшей высотой установки и расширенным проёмом.

Информирование. На входе размещается табличка о том, что на объекте действует пропускной режим с использованием биометрической идентификации, с указанием оператора и контактов ответственного. Это не заменяет согласие, но выполняет обязанность информирования и снимает вопросы у посетителей.

Архитектура точек доступа и режимы прохода

Биометрическая СКУД редко бывает однородной. На практике объект делится на зоны с разными требованиями, и для каждой выбирается свой режим.

Типы точек доступа

• Главный вход: турникеты с терминалами в режиме 1:N для сотрудников и гостевые карты для посетителей. Приоритет скорости.

• Служебный вход и КПП периметра: уличные терминалы, часто в двухфакторном режиме, так как поток меньше, а риск выше.

• Шлюзовые кабины: для серверных и кассовых узлов, где нужна гарантия прохода одного человека.

• Дверные контроллеры внутри здания: настенные терминалы с картой и лицом для режимных помещений, только карта для зон общего доступа.

• Калитки для маломобильных групп и проноса крупногабаритных предметов: управление с поста охраны плюс терминал.

Режимы и зоны

Зона общего доступа (столовая, холл): проход по карте, биометрия избыточна. Охраняемая зона (производственные цеха, склады): лицо или карта на выбор сотрудника. Режимные помещения (серверная, бухгалтерия, хранилище): лицо плюс карта, иногда плюс PIN, с привязкой по времени и правилом «двух лиц», когда дверь открывается только при одновременной верификации двух уполномоченных сотрудников.

Аварийные и резервные сценарии

Система должна предусматривать жизнь без биометрии. При отказе сети терминалы продолжают работать по локальной копии прав доступа с последующей синхронизацией событий. При сбое камеры или загрязнении объектива включается проход по карте, а охрана получает уведомление. При отключении питания турникеты переходят в положение свободного прохода по требованиям пожарной безопасности, а двери с электромагнитными замками открываются. Для каждой точки назначается резервный способ: карта, PIN, ручное открытие с поста. Всё это описывается в инструкции охраны и проверяется на учениях хотя бы раз в полгода.

Пошаговый алгоритм законного внедрения биометрии на предприятии

Собираю всё сказанное в последовательность, по которой мы ведём проекты в Санкт-Петербурге и области.

Этап первый: предпроектный аудит

Изучаем текущую СКУД: контроллеры, протоколы, сервер, кадровую систему. Определяем задачи: борьба с передачей пропусков, учёт рабочего времени, защита режимных зон, ускорение прохода. Для каждой зоны выбираем режим: 1:N там, где важна скорость, 1:1 там, где важна защита. Считаем экономику: стоимость оборудования и защиты против потерь от подлога карт и простоев на проходной. Оцениваем, сколько сотрудников готовы к биометрии; если предварительный опрос показывает массовый отказ, проект стоит переосмыслить.

Этап второй: документальное оформление

1. Актуализируем политику обработки персональных данных: добавляем биометрическую категорию, цели, сроки, способы.

2. Издаём приказ о внедрении биометрической СКУД с назначением ответственного за обработку и администратора безопасности.

3. Обновляем правила внутреннего трудового распорядка: описываем пропускной режим, равнозначность прохода по лицу и по карте, порядок получения альтернативного пропуска.

4. Утверждаем локальный акт о порядке обработки биометрических данных в СКУД: регистрация, хранение, удаление, доступ, реагирование на инциденты.

5. Разрабатываем форму согласия и журнал учёта.

6. Подаём уведомление в Роскомнадзор или сведения об изменении ранее поданного уведомления с указанием биометрической категории и места нахождения базы.

7. Готовим модель угроз и определяем уровень защищённости.

Этап третий: подбор оборудования и проектирование

Выбираем терминалы под каждую точку из каталога с учётом требований к шифрованию, локальному контуру и поддержке смарт-карт. Проектируем резервные точки прохода для отказавшихся сотрудников так, чтобы они не создавали очередь и не выглядели как «штрафной коридор». Прокладываем кабельные трассы в защищённых коробах, размещаем контроллеры в закрытых шкафах, сервер в выделенном сегменте сети.

Этап четвёртый: работа с коллективом

Проводим разъяснительные встречи: показываем терминал, объясняем, что хранится вектор, а не фото, кто имеет доступ, как удалить данные. Раздаём форму согласия для ознакомления заранее, не требуем подписи на месте. Собираем подписанные согласия, регистрируем в журнале и только потом записываем лица. Отказавшимся выдаём карты в тот же день. Назначаем ответственного оператора, который единственный имеет право создавать и удалять профили.

Этап пятый: эксплуатация и аудит

Запускаем пилот на одной точке и группе добровольцев на две-четыре недели, собираем статистику FRR и жалобы. Вводим систему в эксплуатацию актом. Включаем удаление шаблонов в процедуру увольнения, составляем акты уничтожения. Раз в год тестируем устойчивость к спуфингу с помощью фотографий и видео сотрудников (с их согласия) и проверяем работу антиспуфинга. При изменении законодательства пересматриваем локальные акты: за последние годы 152-ФЗ менялся несколько раз в год.

Ответственность за нарушения: штрафы, уголовные статьи и иски

Санкции за нарушения в сфере персональных данных существенно ужесточились с 30 мая 2025 года, когда вступили в силу поправки в КоАП РФ (Федеральный закон от 30.11.2024 №420-ФЗ) и новая статья 272.1 УК РФ. Привожу ключевые составы, актуальные для биометрической СКУД. Суммы необходимо сверить с действующей редакцией статьи 13.11 КоАП РФ перед публикацией.

Уголовная ответственность. Статья 272.1 УК РФ предусматривает наказание за незаконные сбор, использование, передачу и хранение компьютерной информации, содержащей персональные данные. Для биометрических данных установлен квалифицированный состав с более строгим наказанием, лишение свободы на срок до пяти лет, а при корыстной заинтересованности, групповом характере или тяжких последствиях сроки выше. Это касается в первую очередь сотрудников, которые выгружают базу и продают её, но и руководитель, допустивший систему без защиты, может оказаться в поле зрения следствия. Статья 137 УК РФ о нарушении неприкосновенности частной жизни также применима при злоупотреблениях.

Гражданско-правовые последствия. Статья 24 152-ФЗ даёт субъекту право на возмещение морального вреда независимо от возмещения имущественного. Утечка лиц сотрудников даёт основание для исков каждого пострадавшего. Репутационный ущерб сложнее посчитать, но новости об утечке биометрии из компании расходятся быстро и бьют по найму.

Проверки и судебная практика: что реально происходит

Роскомнадзор проводит плановые проверки по графику и внеплановые по жалобам. С 2022 года действует мораторий на большинство плановых проверок бизнеса, но жалоба сотрудника на принудительную биометрию запускает внеплановую проверку или профилактический визит. Типичный итог при нарушениях: предписание об устранении, штраф и требование уничтожить незаконно собранную базу. Для предприятия это означает выключение биометрии до повторного сбора согласий по правилам.

Государственная инспекция труда приходит по жалобам о дискриминации: невыдача пропуска, депремирование, давление за отказ от биометрии. Инспекция оценивает не защиту данных, а соблюдение ТК РФ, и выдаёт предписания об отмене взысканий.

Суды. Увольнения и выговоры за отказ проходить биометрический терминал суды, как правило, признают незаконными: сдача биометрии не входит в трудовые обязанности, а работодатель обязан обеспечить альтернативный способ фиксации рабочего времени. При этом учёт времени по биометрии при наличии согласия суды принимают как надлежащее доказательство в спорах об опозданиях и прогулах. Это важный аргумент для HR: правильно оформленная система защищает работодателя в суде. По режиму верификации 1:1 устойчивой практики пока не сложилось; отдельные решения признают такой режим правомерным при наличии согласия, но не выводят его из-под режима биометрических данных. Конкретные судебные акты следует подбирать по актуальным базам перед публикацией, так как практика быстро меняется.

GDPR как ориентир строгости

Европейский регламент GDPR относит биометрические данные, обрабатываемые для уникальной идентификации, к особым категориям (статья 9) и запрещает их обработку по общему правилу, допуская лишь по исчерпывающему перечню оснований, включая явное согласие. Штрафы по статье 83 достигают 20 миллионов евро или 4% годового мирового оборота. Европейские надзорные органы неоднократно штрафовали работодателей за биометрический учёт рабочего времени без надлежащего основания, указывая, что согласие работника редко бывает свободным из-за зависимости от работодателя. Российский подход движется в том же направлении: отдельное согласие, альтернатива, оборотные штрафы за утечки. Если ваша компания работает с европейскими партнёрами или планирует выход на этот рынок, стройте систему сразу по более строгому стандарту.

Страхи сотрудников и возражения работодателя: честные ответы

Что беспокоит сотрудников

«За мной будут следить». Биометрическая СКУД фиксирует то же, что и карточная: вход и выход. Она не отслеживает перемещения по офису, если терминалы не стоят на каждой двери. Покажите сотрудникам журнал событий и перечень точек, где установлены терминалы.

«Лицо нельзя сменить, если утечёт». Это правда, и именно поэтому закон требует усиленной защиты. Объясните архитектуру: хранится вектор, он зашифрован, база изолирована от интернета, доступ есть у одного-двух человек, при увольнении данные уничтожаются по акту. Предложите режим верификации с хранением шаблона на карте тем, кого это особенно беспокоит.

«Данные передадут государству или продадут». Локальная СКУД не подключена к ЕБС, передача третьим лицам без согласия запрещена статьёй 7 152-ФЗ, а поручение интегратору на обслуживание оформляется договором с обязательством конфиденциальности. Запишите это в локальный акт и дайте сотрудникам прочитать.

Что беспокоит работодателя

«Боюсь штрафов». Штрафуют за отсутствие согласия, уведомления и защиты, а не за сам факт биометрии. Выполнение пяти этапов из этой статьи закрывает основные риски.

«Не соберу согласия со всего штата». И не нужно. Система работает в смешанном режиме: часть сотрудников по лицу, часть по карте. Практика показывает, что после двух-трёх месяцев работы, когда коллеги видят удобство, доля согласившихся растёт.

«Дорого защищать инфраструктуру». Выделенный сегмент сети, сервер с шифрованием, ролевая модель и журналирование нужны любой СКУД, не только биометрической. Дополнительные затраты на биометрию составляют стоимость терминалов и документов.

«Терминалы будут ошибаться». Современные алгоритмы работают с медицинскими масками, очками, изменениями причёски и возрастными изменениями при периодическом обновлении шаблона. Пилот на своих сотрудниках покажет реальный FRR до покупки всей партии.

«Меня заставляют сдавать лицо». Если вы слышите такое от сотрудников, значит альтернатива либо отсутствует, либо выглядит унизительно. Исправьте это до визита инспекции: карта должна выдаваться без вопросов и работать на тех же турникетах.

Редакционная заметка

Нормы 152-ФЗ, 572-ФЗ, статьи 13.11 КоАП РФ, статьи 272.1 УК РФ, постановлений Правительства №1119 и №815, приказов ФСТЭК №21 и Роскомнадзора №179 в этой статье приведены по состоянию на момент подготовки материала. Законодательство о персональных данных меняется несколько раз в год: корректируются размеры штрафов, перечень исключений для уведомления, формулировки исключений в 572-ФЗ. Перед публикацией и перед принятием управленческих решений сверьте каждую цитируемую норму с актуальной редакцией на официальном портале правовой информации и уточните позицию Роскомнадзора по режиму верификации.

Читайте также

• Система распознавания лиц
• Биометрия: что это простыми словами
• Что такое учёт рабочего времени

Использованные источники

• Федеральный закон от 27.07.2006 №152-ФЗ «О персональных данных», статьи 5, 6, 7, 9, 11, 12, 18, 18.1, 19, 21, 22, 24: pravo.gov.ru

• Федеральный закон от 29.12.2022 №572-ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных…»: pravo.gov.ru

• Федеральный закон от 14.07.2022 №266-ФЗ «О внесении изменений в Федеральный закон «О персональных данных»…»: pravo.gov.ru

• Трудовой кодекс РФ, статьи 3, 86-90, 91, 189-193: consultant.ru/document/cons_doc_LAW_34683

• Кодекс РФ об административных правонарушениях, статья 13.11 в редакции Федерального закона от 30.11.2024 №420-ФЗ: consultant.ru/document/cons_doc_LAW_34661

• Уголовный кодекс РФ, статьи 137, 272.1: consultant.ru/document/cons_doc_LAW_10699

• Постановление Правительства РФ от 01.11.2012 №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»: government.ru

• Приказ ФСТЭК России от 18.02.2013 №21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных…»: fstec.ru

• Приказ ФСБ России от 10.07.2014 №378 о требованиях к криптографической защите персональных данных: fsb.ru

• Приказ Роскомнадзора от 28.10.2022 №179 «Об утверждении Требований к подтверждению уничтожения персональных данных»: rkn.gov.ru

• Разъяснения Роскомнадзора по вопросам отнесения фото-, видеоизображения, дактилоскопических данных и иной информации к биометрическим персональным данным (2013): rkn.gov.ru

• Методический документ ФСТЭК России «Методика оценки угроз безопасности информации» от 05.02.2021 и Банк данных угроз: bdu.fstec.ru

• ISO/IEC 30107-3 Information technology. Biometric presentation attack detection. Part 3: Testing and reporting: iso.org

• ГОСТ Р 58624.3-2019 «Информационные технологии. Биометрия. Обнаружение атаки на биометрическое предъявление. Часть 3. Испытания и протоколы испытаний»: protect.gost.ru

• NIST Face Recognition Technology Evaluation (FRTE/FRVT): pages.nist.gov/frvt

• Регламент (ЕС) 2016/679 (GDPR), статьи 9 и 83: eur-lex.europa.eu