Отпечаток пальца как пропуск в офис: удобство или ответственность HR

Мир корпоративной безопасности стремительно меняется. Еще вчера пропускной режим по отпечатку пальца или сканеру лица казался футуристической роскошью, доступной лишь крупным корпорациям. Сегодня же системы контроля доступа на основе биометрии внедряются повсеместно. Это удобно, технологично и действительно снижает влияние человеческого фактора. Но за внешней простотой скрывается сложный правовой лабиринт, запутавшись в котором, компания рискует получить не только иски от недовольных сотрудников, но и многомиллионные штрафы.

Что на самом деле считается биометрией

Многие руководители ошибочно полагают, что если сотрудник добровольно прикладывает палец к турникету, то никаких дополнительных документов не требуется. Это опасное заблуждение. Законодательство четко разделяет обычные персональные данные и биометрические. Копия паспорта, хранящаяся в личном деле, или рентгеновский снимок в медкарте — это еще не биометрия. А вот отпечатки пальцев, изображение радужной оболочки, запись голоса или цифровой образ лица — уже совершенно иная категория данных, требующая особого подхода.

Ключевая проблема заключается в том, что далеко не каждая фотография является биометрическими данными. Если у службы охраны нет обязанности сличать лицо входящего с базой, а видеонаблюдение ведется просто для общей безопасности территории, то такая обработка не считается биометрической. Но как только система начинает автоматически распознавать личность для доступа в здание или учета рабочего времени, вступают в силу требования 152-ФЗ. И здесь главное правило — наличие отдельного, письменного и абсолютно добровольного согласия.

Согласие, которое нельзя навязать

С 1 июня 2026 года вступили в силу новые правила обработки данных в Единой биометрической системе (ЕБС) — теперь сотрудник может в любой момент запретить сбор своих данных, и работодатель обязан оперативно удалить шаблон и обеспечить альтернативный доступ. Минцифры при этом прямо разъясняет: учет рабочего времени и пропускной режим не входят в перечень исключений, когда биометрию можно обрабатывать без согласия. Значит, каждому работодателю, который ставит турникет со сканером, нужно оформлять для сотрудника отдельный документ или предусматривать альтернативные способы контроля доступа. Если вы еще не проверили, как это устроено в вашей компании, — сейчас самое время.

Законодательство ужесточает и требования к прозрачности обоснованности обработки биометрических данных. В правилах внутреннего трудового распорядка и локальных нормативных актах должно быть четко прописано, зачем компании нужны цифровые идентификаторы, как они хранятся и, что самое важное, какой альтернативный способ доступа на объект предоставляется сотруднику при отказе от использования биометрии. Работник имеет полное право в любой момент отозвать свое согласие. Если вы не обеспечили ему альтернативу в виде обычного пластикового пропуска или бумажного журнала, любые дисциплинарные взыскания за «прогулы» будут с легкостью отменены в суде.

Код вместо картинки: как правильно хранить данные

Особого внимания заслуживает техническая сторона вопроса. Закон не требует от компаний обязательной сертификации каждого модуля — распознавания лица или считывателя отпечатков, однако он предъявляет жесткие требования к безопасности биометрических данных, закрепленные в статье 19 152-ФЗ. На практике это означает, что хранение исходных изображений в открытом виде — грубое нарушение принципа минимизации данных. Современные системы хранят не сами отпечатки или фотографии, а их цифровой код, из которого невозможно восстановить оригинал, что и обеспечивает защиту данных при возможной утечке.

Отдельный и особенно важный вопрос — взаимодействие с Единой биометрической системой. Если компания использует локальную систему контроля доступа, когда терминал сверяет отпечаток пальца или изображение лица только с шаблоном внутри защищенного контура, без передачи данных во внешние системы, обязательная интеграция с ЕБС не требуется. Речь идет об обычных офисах, где СКУД работает по принципу «один к одному». Другое дело — сценарии дистанционной идентификации сотрудников или автоматизированной аутентификации по лицу и голосу с обращением к внешним платформам: здесь взаимодействие с ЕБС или аккредитованной коммерческой системой становится обязательным. Тем не менее тренд регулятора очевиден — любое хранение биометрических шаблонов вне централизованных систем вызывает все больше вопросов, и компаниям стоит заранее готовиться к переходу на аккредитованные платформы.

Цена ошибки: штрафы и регуляторные риски

Именно поэтому использование «серых» модулей неизвестного происхождения, не обеспечивающих должного уровня защиты и не соответствующих требованиям по информационной безопасности, — это прямой путь к огромным штрафам. Важно понимать: многомиллионные санкции, достигающие 20 млн рублей для юридических лиц, назначаются не за отсутствие сертификата как такового, а за сам факт незаконной обработки биометрии — отсутствие письменного согласия работника, неуведомление Роскомнадзора или утечку данных, которая как раз и становится следствием использования ненадежных модулей. При повторном нарушении либо утечке данных сумма штрафа возрастает кратно.

Как защитить бизнес от хаоса разрозненных систем

В этих сложных условиях хаотичный набор разрозненных программ для учета рабочего времени и доступа сотрудников становится не просто неудобным, а по-настоящему опасным. Каждая отдельная система хранит согласия по-своему, ведет журналы обработки данных с разной степенью детализации и по-разному реагирует на отзыв согласия сотрудником. В такой архитектуре легко упустить критически важные процессы: например, не удалить биометрический шаблон уволенного работника или не предоставить альтернативный способ прохода тому, кто передумал сдавать данные.

Спасти ситуацию способны только полнофункциональные системы управления персоналом, объединяющие все кадровые процессы в едином защищенном контуре. Такие комплексные HR-платформы становятся для компании одновременно и технологическим, и юридическим фундаментом. В едином окне кадровик видит, кто из сотрудников дал согласие на обработку биометрии, когда оно было получено, на какой срок действует и не отозвано ли оно. При увольнении система автоматически запускает процесс удаления цифрового шаблона из СКУД. Если же сотрудник отозвал согласие, но продолжает работать, система уведомляет руководителя подразделения о необходимости обеспечить ему альтернативный способ доступа. Все эти действия фиксируются в журнале, который при проверке Роскомнадзора становится главным доказательством добросовестности вашей компании.

Технологии не отменяют законов

Биометрия — это мощный современный инструмент, который при грамотном и законном использовании делает компанию эффективнее. Но помните: технологии не отменяют обязанностей. Только внимательное отношение к правам сотрудников и использование проверенных, комплексных HR-решений позволят вам внедрять инновации без страха перед проверками.