Что такое биометрические персональные данные?

По статье 11 ФЗ-152 "О персональных данных" биометрические данные - это сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность: изображение лица, отпечаток пальца, голос, радужная оболочка глаза. Вход по фото в вашем сервисе - ровно такой случай, и закон требует для него отдельное письменное согласие пользователя.

Согласие на обработку биометрии должно быть отдельным документом, а не строчкой в общем пользовательском соглашении - это прямое требование той же статьи 11. Пользователь должен явно понимать, что именно вы собираете (фото лица) и зачем (для входа в сервис), и иметь возможность отозвать согласие в любой момент. Отдельно с 2023 года действует ФЗ-572 о Единой биометрической системе, но он касается передачи данных в государственную ЕБС, а не любой обработки лица на вашем собственном сервере, если вы её туда не отправляете.

На практике это означает три вещи. Экран согласия должен появляться до первого сканирования лица, а не после. Данные лица нужно хранить в зашифрованном виде отдельно от остальной базы пользователей. И если сервер с этими данными находится за границей, для трансграничной передачи биометрии закон требует отдельного основания, которое получить сложнее, чем для обычных персональных данных.

Прежде чем запускать функцию в прод, покажите техническую схему хранения биометрии юристу или специалисту по 152-ФЗ: штраф за нарушение обработки биометрических данных выше, чем за обычные персональные данные, а сама категория считается особо чувствительной - наравне со сведениями о здоровье и судимости.