Камеры с ИИ-аналитикой в магазине или офисе детектируют лица. Это биометрия, и можно ли вести стоп-лист по лицу?

Биометрические данные — сведения о физиологических и биологических особенностях, по которым можно установить личность и которые оператор использует для её установления (ч. 1 ст. 11 152-ФЗ). Роскомнадзор в письме от 29.08.2022 № 08-78032 указал, что фотоизображение относится к биометрии, когда это прямо установлено нормативным актом, а в остальных случаях фото обрабатывается на общих основаниях ст. 6; изображение лица, загруженное в систему распознавания для установления личности, подпадает под определение ч. 1 ст. 11 (Q86, Q35); отдельной позиции Роскомнадзора по камерам с ИИ-аналитикой не найдено. Детекция лица как объекта, подсчёт уникальных посетителей по хэшу без базы личностей, оценка возраста и пола — обработка персональных данных, но не биометрия; её законность определяется целью и основанием (ч. 2, 5 ст. 5, ст. 6) и информированием через таблички и политику (ст. 18.1).

Распознавание. Как только система сопоставляет лицо с базой (постоянные клиенты, подозреваемые в кражах, VIP), это установление личности: нужно письменное согласие (ч. 1 ст. 11, ч. 4 ст. 9), предоставление биометрии не может быть обязательным условием обслуживания (ч. 3 ст. 11), а исключения ч. 2 ст. 11 относятся к обороне, безопасности, правосудию и не охватывают охрану имущества магазина. Изображение лица, полученное фотовидеоустройствами, — вид данных ЕБС (ч. 4 ст. 3 572-ФЗ; по пометке КонсультантПлюс с 01.09.2024 виды данных определяет Правительство), и Минцифры в разъяснительном письме от 15.10.2025 № П24-16856-ОГ указало, что 572-ФЗ распространяется на этот вид данных: действуют добровольность и запрет понуждения (ч. 11–13 ст. 3), запрет трансграничной передачи биометрии для идентификации (ч. 21 ст. 3), запрет организациям вне ЕБС собирать и хранить биометрию для идентификации (п. 1 ч. 1 ст. 15), ограничение хранения биометрии для аутентификации 10 сутками (п. 3 ч. 1 ст. 15) и требования к системам (ст. 15–17). Стоп-лист из лиц людей, которые согласия точно не давали, нарушает ст. 11 независимо от цели. Штраф за обработку биометрии без письменного согласия — от 300 до 700 тыс. рублей, за утечку биометрии — от 15 до 20 млн (ч. 2, 17 ст. 13.11 КоАП РФ). Для работников см. Q86, для домофонов — Q51, для стадионов, где идентификация установлена законом, — Q35.

Практические шаги: закрепить в локальном акте, что система не идентифицирует людей, и настроить её так, чтобы шаблоны лиц не сохранялись; обрабатывать видео на устройстве без выгрузки кадров; таблички с целями и оператором; срок хранения записей в днях; уровень защищённости ИСПДн по ПП № 1119; при любом сценарии распознавания — предварительная правовая оценка по 572-ФЗ и отказ от зарубежных облачных сервисов распознавания.