Биометрическая и небиометрическая аналитика: важные различия до закупки

Что на самом деле решает выбор: кто именно или сколько людей

Самый важный шаг до закупки — определить, какой вопрос должен решать продукт: установить личность конкретного человека или понять, что происходит с потоком посетителей, очередями или заполненностью зон. Системы, связывающие измерения (лицо, отпечаток пальца, голос, походку) с конкретным человеком, автоматически попадают под гораздо более строгий режим, чем сервисы, которые только считают людей и не присваивают им идентичность. От этого различия, а не от рекламной формулировки в спецификации, зависят стоимость владения и юридические риски.

По GDPR и UK GDPR данные становятся биометрическими в «особом» смысле только тогда, когда обрабатываются для однозначной идентификации человека. Системы, выдающие лишь анонимные агрегированные метрики — счётчик посетителей, время в зоне, длину очереди, — как правило, вообще не работают с персональными данными, но только если анонимизация настоящая и повторная идентификация практически исключена. На практике полезно различать три уровня: полная идентификация (максимальные обязательства), верификация уже известного человека (мягче по EU AI Act, но всё равно обработка биометрии) и анонимное измерение поведения (минимальная нагрузка).

Как закон по-разному относится к двум классам данных

В России ключевой акт — Федеральный закон 152-ФЗ. Биометрические персональные данные (ст. 11) обрабатываются по общему правилу только с отдельного, явно выраженного и документально оформленного согласия, если иное не установлено законом. С 1 сентября 2025 года текст согласия должен быть отделён от других документов и пунктов: встраивать согласие на биометрию в трудовой договор, пользовательское соглашение или форму заказа нельзя. Нарушение этого порядка может привести к административным штрафам на оператора и должностных лиц. Требования к защите биометрических данных при этом ужесточаются, а формулировки закона продолжают меняться, поэтому точные условия на момент вашей закупки стоит уточнять с юристом.

Если система разворачивается в ЕС или Великобритании, действует логика GDPR и UK GDPR: биометрическая обработка для уникальной идентификации считается специальной категорией, которая запрещена по умолчанию и допускается лишь при наличии одного из исключений ст. 9(2) плюс отдельного законного основания. Регуляторы Европы, включая CNIL во Франции, требуют доказывать необходимость биометрии и выбирать менее интрузивную альтернативу там, где она существует. В отличие от анонимной агрегированной аналитики, биометрическая обработка почти всегда считается высокорисковой и требует проведения DPIA до начала работы.

Полезно зафиксировать иерархию обязательств, к которым стоит готовиться на разных рынках.

• Россия (152-ФЗ): отдельное явно выраженное согласие на биометрию, с 1 сентября 2025 г. согласие отделяется от других документов.
• ЕС/Великобритания (GDPR/UK GDPR): ст. 9 и обязательная оценка воздействия для высокорисковой обработки.
• ЕС (AI Act): удалённая биометрическая идентификация и категоризация по защищённым признакам — высокий риск; простая верификация исключена.
• Калифорния (CCPA): биометрия — чувствительные данные, перед обработкой требуется оценка риска.

Ошибки, которые нельзя отменить, и смещение алгоритмов

Уникальная черта биометрии — необратимость утечки: лицо или отпечаток нельзя «перевыпустить», как пароль, подчёркивает британский регулятор ICO в деле Serco. Система распознавания сравнивает образцы не как точное совпадение, а как вероятность, поэтому ошибки ложного принятия и ложного отказа устранимы не полностью. Решение об уровне чувствительности (пороге) сильно влияет на то, кого система пропустит или заблокирует, и регулятор ожидает, что организация осознанно настраивает этот порог под свой сценарий, а не оставляет заводские настройки по умолчанию.

Помимо точности, нужны тесты на смещение. ICO прямо указывает, что отпечатки пальцев менее точны у людей старше 70 лет и у маленьких детей, а система, которая не предоставляет альтернативу человеку с инвалидностью, может быть дискриминационной и потому незаконной. Размер базы образцов также влияет на число ложных совпадений, поэтому регулятор советует держать её минимальной — это одновременно требование минимизации данных. У анонимной аналитики риск повторной идентификации ниже, но утверждение «данные обезличены» должно быть доказуемым, а ошибки датчиков и расположение камер всё равно могут искажать метрики потока.

Пропорциональность и полная стоимость владения

Закупку следует начинать с проверки необходимости. CNIL в своём типовом регламенте задаёт прямые вопросы: если достаточно системы бейджей — ответ «нет»; если биометрия нужна лишь ради удобства — ответ «нет»; если защищаемые помещения или приложения не особо чувствительны — ответ «нет». Та же логика у ICO в деле Serco: работодатель не смог показать, почему для учёта рабочего времени нужны лицо и отпечаток, когда есть менее интрузивные варианты вроде карт и брелоков.

Отдельный вопрос — согласие сотрудника. ICO указал, что из-за дисбаланса власти между работодателем и сотрудником вряд ли согласие можно считать добровольным, если отказ означает «без биометрии не оплатят» или «не примут на работу». Поэтому в трудовом контексте опора только на согласие рискованна и в России, и в ЕС. В полную стоимость владения биометрией входят DPIA, настройка и пересмотр порогов, мониторинг смещения, шифрование шаблонов, удаление исходных образцов сразу после создания шаблона, ограничение сроков хранения и ежегодные аудиты. Небиометрическая аналитика дешевле в комплаенсе, но не отвечает на вопросы, требующие установления личности, например доступ в охраняемую зону или учёт конкретного сотрудника.

Как превратить сравнение в пункты тендера

Практический результат сравнения — набор проверяемых вопросов, которые можно встроить в запрос предложений (RFP) и в критерии оценки. Для каждого кандидата нужно получить письменное подтверждение класса данных, обоснование необходимости и пропорциональности, наличие и дату оценки воздействия, документированные показатели точности и тесты на смещение, схему минимизации и сроков хранения, а также план выхода из контракта с удалением моделей и шаблонов.

Ни один поставщик не должен отвечать «не можем показать» на ключевые вопросы о том, какие данные он реально собирает и хранит. Если задачу можно решить анонимными агрегатами — начинайте с небиометрической аналитики и переходите к биометрии только тогда, когда без идентификации действительно не обойтись. Такой подход снижает юридический риск и общую стоимость владения до подписания контракта, а не после первого предписания регулятора.