Видеонаблюдение и биометрия: требования к ПДн

Камера на входе, пропуск по лицу или отпечатку пальца, контроль рабочих мест: всё это стало обычным, но каждое из решений имеет разные правовые последствия. Видеозапись может быть персональными данными, а данные, по которым систему настраивают на идентификацию человека, — биометрическими со строгими требованиями. Ниже разбор различий, требований статьи 11 152-ФЗ и практика для организации.

Оговорка. Статья не юридическая консультация. Требования сверены по тексту статьи 11 152-ФЗ в редакции с изменениями, действующими с 01.09.2025 (законы № 519-ФЗ от 28.12.2024 и № 121-ФЗ от 23.05.2025), и статей 86–88 Трудового кодекса (база «Гарант»); законы меняются, проверяйте действующую редакцию: 152-ФЗ. Решения по биометрии и видеонаблюдению согласовывайте с юристом: единая биометрическая система и отраслевые нормы устанавливают отдельные правила, здесь не разбираются. Структура соответствует разделу о правовых основаниях и особых категориях в методике контроля Группы Сбер (источник); мы пересказываем её своими словами.

Видеозапись и биометрия: в чём разница

Ситуация	Статус данных
Камера записывает изображения людей на входе и в помещениях	Изображение человека, по которому его можно определить, может быть персональными данными; требования зависят от цели и способа использования
Система сравнивает лицо, отпечаток или иные физиологические особенности с эталоном, чтобы установить личность (пропуск, учёт времени)	Биометрические персональные данные по статье 11
Камера используется для безопасности помещения без сопоставления с эталоном и идентификации	Обычные персональные данные: нужны основание, политика, защита, сроки

Определение закона: биометрические данные — сведения, которые характеризуют физиологические и биологические особенности человека, позволяют установить его личность и используются оператором для установления личности субъекта. Для классификации информационных систем есть отдельное правило: если в системе нет специальных категорий, но есть такие сведения, она обрабатывает биометрические данные (это влияет на уровень защищённости: модель угроз и уровни защищённости).

Требования к биометрии (статья 11)

Согласие в письменной форме. Биометрические данные, используемые для установления личности, обрабатываются только при наличии письменного согласия субъекта, кроме случаев, перечисленных в части 2. Форма и состав письменного согласия: согласие на обработку ПДн.
Исключения. Обработка допускается без согласия в случаях, перечисленных в части 2 статьи 11: реализация международных договоров о реадмиссии, правосудие и исполнение судебных актов, обязательная государственная дактилоскопическая и геномная регистрация, а также ряд случаев по законодательству об обороне, безопасности, противодействии терроризму, транспортной безопасности, противодействии коррупции, оперативно-разыскной деятельности, государственной службе, миграционному и иному законодательству, перечисленному в статье. Обычного бизнеса эти исключения, как правило, не касаются.
Обязательность. Предоставление биометрических данных не может быть обязательным, за исключением указанных случаев. Оператор не вправе отказывать в обслуживании, если человек не предоставил биометрические данные или не дал согласие, когда по закону согласие для получения услуги не обязательно (часть 3).

Практический вывод: если вы вводите пропуск по лицу или отпечатку, нужно предусмотреть альтернативный способ прохода (карта, код) для тех, кто отказался.

Видеонаблюдение за работниками

Трудовой кодекс (статьи 86–88) задаёт общие требования к обработке данных работников: цели ограничены (в том числе контроль количества и качества работы и сохранность имущества), работника знакомят под подпись с локальными актами, доступ к данным получают только уполномоченные лица. Подробно: ПДн работников. Для видеонаблюдения на практике:

определите цель (безопасность, сохранность имущества) и зафиксируйте её в локальном акте;
ознакомьте работников под подпись, предупредите посетителей табличками у входа в зону наблюдения;
не размещайте камеры там, где наблюдение недопустимо (туалеты, раздевалки, места отдыха);
ограничьте доступ к записям списком уполномоченных лиц и ведите журнал просмотров и выгрузок;
определите срок хранения записей (достаточный для цели, не дольше необходимого) и порядок уничтожения: уничтожение ПДн;
не используйте записи для целей, о которых работников не уведомили.

Не используйте распознавание лиц и поведенческую аналитику на записях, пока не определены основание и согласие: это переводит обработку в биометрию.

Видеонаблюдение и посетители

Посетителям сообщается о ведении видеонаблюдения (табличка, информация на входе), политика доступна по ссылке или на ресепшене.
Записи не публикуются и не передаются третьим лицам без основания; запросы правоохранительных органов обрабатываются по установленной процедуре.
Если камеры охватывают общедоступные места или территорию соседних организаций, проверьте допустимость размещения.

Техническая защита систем видеонаблюдения и СКУД

Системы видеонаблюдения и контроля доступа часто остаются без внимания ИБ и становятся входной точкой в сеть. Минимум мер:

Изолируйте камеры и видеорегистраторы в отдельный сегмент без выхода в интернет и в рабочую сеть: сегментация сети.
Смените заводские пароли, отключите неиспользуемые службы и удалённый доступ, обновляйте прошивки.
Доступ к архиву и настройкам через личные учётные записи, журналирование действий, MFA для удалённого доступа: управление доступом.
Шифруйте записи и носители, особенно при выносе: шифрование дисков.
Для биометрических шаблонов храните не изображение, а шаблон по возможности, с шифрованием и ограничением доступа; ведите перечень лиц с допуском.

Практика для организации

Опишите, какие системы используют видео и биометрию, для каких целей и на каком основании.
Определите, является ли обработка биометрической, и при необходимости оформите письменные согласия и альтернативные способы.
Включите системы в перечень ИСПДн, определите уровень защищённости, при необходимости пересмотрите меры.
Отразите видеонаблюдение и биометрию в политике, уведомлении об обработке, оценке вреда: уведомление об обработке ПДн, оценка вреда.
Введите контроль доступа к записям и шаблонам, журнал и срок хранения.

Диагностика

Симптом	Причина и что делать
Пропуск по лицу введён без согласий	Нет письменного согласия и альтернативы. Получите согласия, оформите альтернативный проход
Записи камер хранятся «пока не заполнится диск»	Срок хранения не определён. Установите срок по цели и настройте автоматическую перезапись
К видеоархиву имеют доступ все администраторы	Нет разграничения. Ограничьте список, включите журнал просмотров
Камеры доступны из интернета с заводским паролем	Нет сегментации и базовой защиты. Закройте доступ, смените пароли, обновите прошивки

Где это в моделях

Материал продолжает раздел «Регуляторика ПДн» и относится к направлению «Безопасность данных» (материалы направления, самопроверка оператора ПДн, карта зрелости). Особые категории и биометрия усиливают требования к основанию обработки и защите по методике Группы Сбер и по постановлению № 1119.

Как проверить

Составлен перечень систем видеонаблюдения и биометрии, указаны цели, основания и сроки хранения.
Для биометрии оформлены письменные согласия и предусмотрен альтернативный способ получения услуги или прохода.
Работники ознакомлены под подпись, посетители уведомлены, камеры не охватывают запрещённые зоны.
Доступ к записям и шаблонам ограничен, ведётся журнал, системы изолированы и защищены.

Источники

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статья 11: КонсультантПлюс, Гарант. Проверяйте действующую редакцию.
Трудовой кодекс Российской Федерации, статьи 86–88: КонсультантПлюс.
Постановление Правительства РФ от 01.11.2012 № 1119: Гарант.
Методика осуществления контроля соблюдения фокусными компаниями законодательства РФ в области персональных данных, Группа Сбер: sberbank.ru.