Согласно требованиям города, застройщики, ведущие работы в Москве, должны организовать проход на территорию строительных площадок с применением распознавания лица. На практике это реализуется через биометрические системы контроля доступа (биоСКУД), которые обеспечивают идентификацию и учет проходов на КПП.
Ниже разберем типовые сложности, с которыми сталкиваются компании при внедрении такого формата доступа. Эти вопросы актуальны не только для стройплощадок: похожие подходы применяются и на предприятиях, в логистических комплексах, офисных центрах, ТРЦ, образовательных учреждениях и на объектах с повышенными требованиями к режиму доступа.
Если вам требуется внедрение решений с подключением к государственным сервисам биометрической идентификации, можно ориентироваться на практические схемы из каталога: интеграция системы контроля доступа с ЕБС. А по вопросам проектирования и выполнения работ — на раздел: монтаж системы контроля доступа.
Несмотря на общий тренд цифровизации в строительстве, внедрение биометрии потребовало решения задач, которые ранее для отрасли не были типовыми: от обеспечения выполнения требований по защите информации до выстраивания корректного взаимодействия с государственными информационными системами.
На практике внедрение биоСКУД затрагивает одновременно технические, организационные и правовые вопросы. Компании обычно оценивают свою ситуацию индивидуально и привлекают профильных специалистов: ответственных за обработку персональных данных, а также сотрудников и подрядчиков по информационной безопасности. Это важно, потому что биометрические данные относятся к чувствительным категориям и требуют повышенного внимания к основаниям обработки и мерам защиты.
Обработка биометрических персональных данных в рамках действующего регулирования допускается в государственных информационных системах. Это означает, что у организаций ограничены варианты самостоятельной работы с биометрией в части хранения и обработки: модель должна соответствовать установленным правилам, а взаимодействие с государственными сервисами — быть выстроено корректно.
Услуги по развертыванию биометрической системы доступа и подключению к государственным сервисам идентификации обычно оказывают организации, которые имеют необходимые разрешения и аккредитации для работы в данной области и для интеграции с ЕБС.
Теоретически застройщик может пытаться выстроить контур самостоятельно и закупать оборудование напрямую, но на практике это требует соответствия множеству критериев — по процессам, информационной безопасности и организационной готовности. Как правило, полноценно закрыть такие требования могут специализированные ИТ- и интеграционные компании.
Привлечение внешних партнеров почти всегда увеличивает затраты — так же, как и освоение новой технологии своими силами. Но вопрос не только финансовый. Любое участие третьих лиц в процессах, связанных с персональными данными, требует от заказчика зрелых процедур: правовой оценки оснований обработки, контроля соблюдения ограничений, построения договорной модели и организационных мер.
Дополнительно влияет и общее ужесточение практики контроля за персональными данными: бизнес вынужден внимательнее подходить к документированию процессов, выбору подрядчиков и внутренним регламентам.
В строительных компаниях, как и в большинстве организаций, чаще всего обрабатываются «иные» и «специальные» категории персональных данных. К «иным» обычно относят данные, которые не попадают в отдельные специальные группы: паспортные сведения, контакты (телефон, e-mail), адреса, документы и сведения, необходимые для сделок с недвижимостью и финансовых процедур — включая отдельные подтверждающие документы.
В отношении собственных сотрудников также могут обрабатываться специальные категории данных, например при оформлении отдельных социальных гарантий и кадровых процедур. При этом до внедрения биометрии на стройках доступ чаще организовывался классическими способами: электронные пропуска, список допуска на КПП, проверка охраной.
Для обработки перечисленных данных оператор должен соблюдать требования Федерального закона № 152-ФЗ «О персональных данных» и меры защиты, установленные в подзаконных актах и требованиях регуляторов. Конкретный уровень защиты определяется не только категорией данных, но и масштабом обработки, количеством субъектов и другими параметрами — поэтому у разных организаций он может различаться.
С биометрией ситуация сложнее. При установке биоСКУД на КПП, как правило, необходимо:
Даже если биометрические шаблоны не хранятся у застройщика напрямую, сам факт организации процесса биометрической идентификации и взаимодействия с внешними системами требует правового основания и корректного оформления процедур. На практике имеет смысл заранее продумать и инфраструктуру: например, организацию зоны приемки или погрузки вне периметра стройки для отдельных сценариев, чтобы не создавать лишних узких мест на КПП.
Отдельный блок — коммуникации с подрядчиками. Для части иностранных граждан сдача биометрии в установленных центрах предусмотрена отдельными нормами. Для граждан РФ и Республики Беларусь сдача биометрии в ЕБС, как правило, носит добровольный характер, что создает практическую коллизию: требование города по биометрическому проходу есть, а принудить человека сдавать биометрию без надлежащих оснований нельзя. Это требует аккуратного, юридически выверенного подхода к процессам допуска.
На многих объектах уже используется карточная или пропускная система, реестр пропусков и учет посетителей. В таких случаях компании часто идут по пути интеграции: сохраняют привычный контур оформления пропусков, а биометрический проход используют как механизм фактической идентификации на КПП.
Технически задача обычно сводится к согласованию обмена данными между действующей системой доступа и биометрическим контуром: чтобы пропуск был оформлен по стандартной процедуре, а проход через КПП соответствовал требованиям по биометрической идентификации. При этом вопросы защиты биометрических данных должны быть закрыты в той части, где они действительно обрабатываются, в зависимости от принятой модели взаимодействия и распределения ответственности.
Практика по этому вопросу неоднородна. С учетом чувствительности биометрических данных и возможного внимания регуляторов, многие организации выбирают более осторожный вариант: обеспечить наличие согласий и корректных документов, оформленных в соответствии с требованиями законодательства.
Важно учитывать, что согласие на обработку биометрических персональных данных должно соответствовать установленной форме и требованиям, включая письменное оформление там, где это необходимо. Подготовку документов целесообразно проводить с участием юристов и ответственных за персональные данные.
Ключевой момент — работа с биометрией и подключение к ЕБС связаны с требованиями к лицензированию и обеспечению безопасности. Поэтому при выборе исполнителя важно проверить наличие необходимых оснований для выполнения работ и организационную готовность обеспечивать требования по защите информации.
Отдельное внимание уделяется криптографическому контуру, если он используется в архитектуре. Практически значимым является вопрос, на чьем балансе и под чьей ответственностью находятся средства, обеспечивающие защищенное взаимодействие и соответствие требованиям. Логика здесь простая: ответственность должна быть закреплена за той организацией, которая реально владеет и обслуживает данный элемент системы.
Такие ситуации возможны, поскольку для граждан РФ и Республики Беларусь сдача биометрии в рамках ЕБС в текущей модели носит добровольный характер. При этом требование по организации прохода через биометрический контур для стройплощадок Москвы является обязательным для застройщика.
В подобных случаях рекомендуется действовать аккуратно и с участием юристов, учитывая трудовые отношения и законные права работника. На практике важно разъяснять последствия для допуска на объект и одновременно не допускать решений, которые могут быть расценены как нарушение прав субъекта персональных данных. Универсального шаблона нет — подход зависит от роли работника, модели допуска на объект и конкретных условий.
Вопрос ответственности за нарушение требования обеспечить биометрический проход на стройплощадки остается предметом обсуждения. С одной стороны, общее административное законодательство предусматривает ответственность за неисполнение требований уполномоченных органов. С другой стороны, прямые и однозначные санкции именно за отсутствие биометрического прохода могут быть сформулированы не так явно, что и порождает разные трактовки.
Практически разумный подход — прикладывать усилия к выполнению требований, документировать принятые меры и выстраивать процессы так, чтобы они одновременно повышали управляемость доступа и не создавали избыточных правовых рисков для компании и подрядчиков.
Любые изменения, которые сначала усложняют процессы и увеличивают расходы, обычно воспринимаются болезненно — это нормально. В этой теме особенно важен диалог между государством и бизнесом: застройщикам необходимо доносить практические сложности внедрения и предлагать рабочие механизмы, которые позволяют выполнять требования без лишней неопределенности.
Ожидание, пока все устаканится, иногда кажется безопасной стратегией, но в дальнейшем может привести к ситуации, когда исправлять процессы будет сложнее и дороже. Поэтому лучше заранее выстраивать корректную архитектуру, документы и взаимодействие с подрядчиками.
Примечание по регулированию: в конце 2024 года введена новая статья УК РФ 272.1, предусматривающая ответственность за незаконную обработку персональных данных. Также с 30 мая 2025 года введены механизмы повышенной ответственности за повторные утечки персональных данных, включая значительные штрафы. Эти изменения усиливают требования к дисциплине обработки и защите данных у операторов.
