О работе с биометрическими персональными данными

Еще недавно биометрические системы учета рабочего времени считались «золотым стандартом»: высокая точность, минимальный фрод, автоматизация. Сегодня ситуация изменилась — бизнес все чаще рассматривает альтернативные подходы к идентификации сотрудников и фиксации рабочего времени.

Причина этого сдвига лежит не в технологиях, а в регуляторной нагрузке, которая сформировалась вокруг обработки биометрических данных. 

Правовое регулирование биометрических персональных данных

В российском законодательстве биометрические данные выделены в отдельную категорию в рамках 152-ФЗ. Это означает, что их обработка подчиняется более строгим требованиям по сравнению с обычными персональными данными. 

Биометрические персональные данные — это сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность.

Что это означает на практике:

К биометрии относятся данные, которые используются именно для идентификации человека, например:

• изображение лица (если применяется распознавание)

• отпечатки пальцев

• голос (при голосовой идентификации)

• радужка глаза

Важный нюанс:

Та же самая информация не всегда является биометрией.
Например:

• фото сотрудника на пропуске → не биометрия

• фото, используемое для распознавания личности → уже биометрия

Ключевой момент: использование биометрии — это не просто сбор данных, а юридически значимое действие, требующее соблюдения ряда условий.

На практике это выражается в следующем:

→ необходимо получить отдельное письменное согласие
→ сотрудник имеет право отказаться без негативных последствий
→ система не может быть единственным способом идентификации
→ оператор обязан обеспечить повышенный уровень защиты

В результате биометрия перестает быть универсальным инструментом и требует дополнительной организационной инфраструктуры.

572-ФЗ: усложнение архитектуры

Дополнительный слой регулирования появился с принятием 572-ФЗ. Закон закрепил подход, при котором использование биометрии связано с государственной экосистемой и регулируется более жестко.

Для бизнеса это означает:

• необходимость учитывать требования к хранению и передаче данных

• ограничения на самостоятельные биометрические контуры

• рост требований к инфраструктуре и процессам

Иначе говоря, внедрение биометрии стало не только техническим, но и архитектурным решением с юридическими последствиями.

Где возникают сложности с использованием биометрических ПД

В реальных проектах требования законодательства трансформируются в конкретные ограничения.

1. Двойные процессы

Поскольку биометрия не может быть обязательной, компания вынуждена поддерживать альтернативный способ учета. Это означает параллельные сценарии и дополнительную нагрузку на HR и операционные процессы.

2. Документирование

Необходимо формализовать практически каждый этап:

• политика обработки данных

• согласия сотрудников

• регламенты и процедуры

3. Защита данных

В соответствии со ст. 19 152-ФЗ и Постановление Правительства №1119 требуется внедрение комплекса мер защиты, включая контроль доступа, аудит и защиту инфраструктуры.

4. Локализация

Требования 242-ФЗ ограничивают использование зарубежных облачных решений и влияют на архитектуру хранения.

Экономика и риски

Суммарно все это приводит к тому, что стоимость внедрения биометрии складывается не только из оборудования, но и из:

• юридической проработки

• ИБ-инфраструктуры

• сопровождения и аудитов

• управления рисками

При этом любой сбой или ошибка может привести к проверкам и санкциям.

Что это означает для рынка

Текущий тренд — это не отказ от биометрии как технологии, а следствие изменения условий ее использования.

Законодательство в России сделало биометрию более требовательной к инфраструктуре, процессам и ответственности оператора.

Фактически происходит сдвиг:
от специализированных решений с высокой точностью → к универсальным системам с управляемым уровнем контроля

При этом ключевым фактором выбора становится не технология сама по себе, а насколько она вписывается в правовую и операционную модель компании.

Как работать с биометрическими персональными данными

Понимание того, что данные относятся к биометрическим, автоматически накладывает на компанию дополнительные обязательства. Поэтому первый шаг — не внедрение технологии, а квалификация данных и сценария их использования.

1. Определить, действительно ли используется биометрия

Не любое фото или видео — это биометрия. Критичный вопрос:
используются ли данные для установления личности.

• если нет (например, просто фото на пропуске) → обычные персональные данные

• если да (распознавание лица, голоса и т.д.) → биометрия

2. Зафиксировать правовую цель обработки

Компания должна четко ответить на вопрос: зачем используется биометрия.

Например:

• контроль доступа

• учет рабочего времени

• безопасность объекта

3. Получить корректное согласие сотрудников

Если используется биометрия:

• требуется письменное согласие

• оно должно быть отдельным

• сотрудник имеет право отказаться

Важно: отказ не может приводить к ограничению доступа к работе.

4. Обеспечить альтернативный сценарий

Биометрия не может быть единственным способом идентификации.

На практике это означает необходимость второго канала:

• QR-код

• карта / RFID

• PIN

• мобильное приложение

5. Выстроить защиту данных

В соответствии со ст. 19 152-ФЗ и Постановление Правительства №1119 необходимо:

• разграничить доступ к данным

• обеспечить защиту хранения и передачи

• вести учет операций с данными

• внедрить организационные и технические меры защиты

6. Уведомить Роскомнадзор

Если компания обрабатывает персональные данные, в том числе биометрические, необходимо:

• подать уведомление о начале обработки (за исключением отдельных случаев)

• корректно описать категории данных и цели

7. Проверить архитектуру хранения данных

С учетом требований 242-ФЗ:

• данные граждан РФ должны храниться на территории РФ

• важно учитывать, где находятся серверы и подрядчики

Практический вывод

Работа с биометрией — это не просто внедрение технологии, а отдельный процесс с юридической, организационной и технической составляющей.

Поэтому перед внедрением компании обычно принимают одно из двух решений:

• либо строят полноценный биометрический контур с соблюдением всех требований

• либо выбирают альтернативные способы идентификации, не попадающие под этот режим

Альтернативы биометрии: какие решения выбирает бизнес

После того как компания понимает требования к биометрическим данным и сопутствующую нагрузку, следующий шаг — выбор альтернативных способов идентификации и учета рабочего времени.

Задача здесь не в том, чтобы полностью отказаться от контроля, а в том, чтобы найти достаточный уровень достоверности без перехода в сложный правовой режим:

1. QR-коды

Наиболее универсальный способ фиксации рабочего времени.

Сотрудник проходит отметку, сканируя QR-код на объекте или предъявляя персональный код на устройстве. Решение реализуется через мобильное приложение или терминал на точке.

Почему используется:

• не попадает в категорию биометрических данных

• быстрый запуск без сложной инфраструктуры

• легко масштабируется на новые объекты

• подходит для распределенных и временных локаций

Ограничения:

• возможна передача кода между сотрудниками

Как усиливают контроль:

• динамический QR с коротким сроком действия

• привязка к устройству или точке фиксации

• геолокация и контроль зоны

2. RFID-карты и пропуска

Классическая модель идентификации через физический носитель.

Плюсы:

• стабильная и проверенная технология

• высокая скорость прохода

• понятная логика использования

Минусы:

• карту можно передать другому сотруднику

• риск потери или износа носителя

• требуется инфраструктура (считыватели, СКУД)

3. PIN-коды

Простейший способ идентификации.

Плюсы:

• минимальные затраты на внедрение

• быстрый запуск

Минусы:

• низкий уровень защиты

• легко передается или угадывается

• может забываться

4. Мобильное приложение

Фиксация рабочего времени через мобильное приложение с определением координат.

Плюсы:

• контроль фактического местоположения сотрудника

• отсутствие необходимости в стационарной инфраструктуре

• подходит для выездного персонала

Минусы:

• возможен спуфинг геолокации

• зависимость от устройства сотрудника и его настроек

Вывод

Альтернативные методы идентификации — это другая модель контроля, в которой надежность достигается не одним инструментом, а их комбинацией.

На практике эффективная система строится так:

• базовый способ фиксации

• дополнительные проверки

• централизованная обработка и анализ данных

Такой подход позволяет обеспечить достаточный уровень достоверности при значительно более простой архитектуре, меньших затратах и предсказуемом юридическом контуре.

Учет рабочего времени по QR-коду в TARGControl

Рассмотрим на практике, как можно выстроить учет рабочего времени без использования биометрии, сохранив при этом контроль, прозрачность и управляемость процессов — на примере TARGControl.

TARGControl — это WFM-система, которая объединяет учет рабочего времени, планирование смен и аналитику в едином контуре. В отличие от классических решений, она строится не вокруг способа отметки, а вокруг управляемой логики: график → факт → отклонения → табель → зарплата.

Ключевые функции системы

• учет рабочего времени (приход, уход, перерывы, отклонения)

• автоматическое формирование табелей (включая Т-13)

• планирование и управление графиками

• контроль нарушений и уведомления

• аналитика (план/факт, дисциплина, ФОТ)

• интеграция с 1С, ERP и другими системами

• поддержка распределенных объектов

• работа в офлайн-режиме с последующей синхронизацией

Какую модель идентификации предлагает TARGControl

Система предлагает гибкую архитектуру идентификации, где основной акцент делается на комбинации методов.

1. QR-коды

Базовый и наиболее универсальный способ отметки.

• персональные QR-коды сотрудников

• отметки через планшеты и смартфоны (TimePad)

• использование стационарных точек на объекте

Позволяет быстро развернуть учет рабочего времени без внедрения классической СКУД и специализированного оборудования, что особенно важно для распределенных и временных объектов.

2. Мобильное приложение (GPS)

Используется как универсальный способ отметки — как для выездных, так и для стационарных сотрудников.

• отметки с фиксацией геолокации

• контроль нахождения в рабочей зоне (геозоны)

• возможность работы без стационарных точек (планшетов/терминалов)

• синхронизация данных в реальном времени

Подходит как для полевых сценариев (логистика, клининг, сервис), так и для объектов, где нет возможности или необходимости устанавливать оборудование — например, небольшие точки, временные площадки или гибридные форматы работы.

Как это работает на практике можно узнать в Кейс Медицинского центра «XXI век».

3. Карты / RFID и СКУД

Для объектов с физическим контролем доступа.

• использование карт, контроллеров и считывателей

• интеграция с турникетами и системами контроля доступа (СКУД)

• учет рабочего времени на основе событий прохода

Позволяет встроить TARGControl в существующую инфраструктуру безопасности без ее замены.

4. PIN-коды

Резервный или дополнительный способ идентификации.

• отметки через планшеты и смартфоны (TimePad)

• используется при отсутствии других способов 

5. Интеграции

TARGControl не ограничивается фиксацией времени и встраивается в операционный контур компании:

• интеграция с POS-системами (например, iiko) 

• интеграция со СКУД 

Как на практике работает учет рабочего времени по QR-коду

1. Подготовка (настройка системы)

Перед началом работы настраивается базовая логика:

• создаются сотрудники и их роли

• формируются графики смен

• задаются правила учета (опоздания, переработки, округления)

• определяются рабочие зоны (геозоны)

• на объекте размещается устройство (планшет/смартфон с TimePad)

2. Идентификация сотрудника

У каждого сотрудника в мобильном приложении формируется персональный QR-код.

Этот код уникален, привязан к сотруднику, используется для всех событий (приход, уход, перерыв).

3. Отметка на объекте

На входе или в рабочей зоне установлен планшет или смартфон с приложением TimePad.

Сотрудник:

1. подходит к устройству

2. открывает свой QR-код в приложении

3. подносит его к камере устройства

Система считывает код и фиксирует событие.

4. Проверки при отметке

В момент сканирования выполняется несколько автоматических проверок:

• соответствует ли сотрудник текущей смене

• находится ли устройство в нужной геозоне

• корректно ли время отметки

• не было ли дублирующих или подозрительных действий

5. Фиксация событий

Система регистрирует приход, уход, перерывы, промежуточные отметки (если используются). Все события записываются в единый журнал.

6. Обработка данных

После фиксации данные автоматически обрабатываются:

• сопоставляются с графиком

• рассчитываются отклонения (опоздания, переработки)

• применяются правила учета

• формируются интервалы рабочего времени

7. Формирование табеля

На основе обработанных данных система:

• автоматически формирует табель (Т-13 или кастом)

• учитывает отсутствия (отпуска, больничные)

• готовит данные для расчета зарплаты

• интегрируется с 1С или другой системой.

8. Контроль и аналитика

Администратор получает полную картину по персоналу в режиме реального времени:

• кто вышел и кто отсутствует на смене

• текущая ситуация по объектам и подразделениям

• нарушения дисциплины и отклонения от графиков

• анализ план/факт по рабочему времени

Система также поддерживает интеграцию с BI-системами для построения расширенной отчетности и дашбордов.

Что еще: мобильное приложение TARGControl с GPS

Помимо QR важную роль играет мобильное приложение — как единая точка взаимодействия сотрудника с системой.

В TARGControl у каждого сотрудника есть личный кабинет в мобильном приложении, через который он не только отмечает рабочее время, но и управляет своим графиком.

Что дает приложение сотруднику

Мобильное приложение закрывает сразу несколько задач:

• просмотр графика смен в реальном времени

• уведомления об изменениях

• возможность откликаться на открытые смены

• обмен и замена смен

• мониторинг отработанных часов и начислений

• получение обратной связи

• коммуникация с руководителем

Фактически это не просто инструмент отметки, а рабочий интерфейс сотрудника.

Подробнее: TARGControl App — Мобильное приложение учета рабочего времени.

Как работает отметка через GPS

Сотрудник может начинать и завершать рабочий день прямо в приложении:

• отметка фиксируется с геолокацией

• система проверяет нахождение в рабочей зоне (геозона)

• данные сразу попадают в систему учета

В чем особенность подхода

Мобильная отметка — это максимально гибкий сценарий, который позволяет отказаться от оборудования и ускоряет внедрение.

Однако важно учитывать:

• уровень достоверности ниже, чем у стационарных точек

• возможны попытки подмены 

• контроль зависит от устройства сотрудника

Как меняется подход к учету рабочего времени

Биометрические решения по-прежнему остаются самым точным способом идентификации. Они дают высокий уровень достоверности и практически исключают подлог, что особенно важно для объектов с повышенными требованиями к контролю.

Однако на практике компании все чаще оценивают не только точность, но и удобство внедрения, стоимость и гибкость использования. В ряде сценариев биометрия оказывается избыточной: требует отдельной настройки процессов, сложнее масштабируется и не всегда удобно применяется на распределенных или временных объектах.

В результате подход становится более прагматичным — бизнес стремится найти баланс между контролем и простотой эксплуатации.

Альтернативные сценарии

Вместо единственного метода идентификации компании все чаще используют комбинацию инструментов:

• QR-коды и мобильные отметки — для быстрых и гибких сценариев

• RFID и карты — для объектов с контролем доступа

• PIN-коды — как резервный вариант

Каждый из этих способов сам по себе не идеален, но в сочетании позволяет закрыть основные задачи учета без усложнения процессов.

Как эту модель реализует TARGControl

TARGControl изначально строится как система, в которой способ отметки — это лишь один из элементов.

Платформа поддерживает разные сценарии идентификации:

• QR-коды

• мобильные отметки

• RFID и интеграции

• PIN-коды

Это позволяет адаптировать учет под конкретные условия — от офисов и производств до распределенных объектов.