Да, фактически старая схема работы вне закона, если речь идет об автоматическом распознавании лиц. Переходный период закончился в конце ноября 2023 года.
По новым правилам биометрические персональные данные — фотографии или запись голоса человека — хранятся только в государственной Единой биометрической системе (ГИС ЕБС). Ни коммерческие, ни какие-либо другие организации больше не могут хранить их у себя.

Можно, если фото просто прикреплены к профилю человека как аватар в Системе контроля и управления доступом (СКУД), а все сравнения проводятся вручную. Такие случаи регулируются 152-ФЗ («О персональных данных»).
Но если фотография обрабатывается нейросетями, используется для идентификации или аутентификации, то это уже 572-ФЗ. Такие фото могут храниться только в ЕБС.

В законодательстве предусмотрены штрафы для юридических и физических лиц. В частности, вектора, построенные по фотографиям, считаются персональными данными гражданина. Поэтому здесь применяется 152-ФЗ «О персональных данных» и соответствующие статьи КоАП.
Поправки, которые внесены в КоАП в 2023 году (589-ФЗ от 12.12.2023) и касаются биометрических персональных данных, устанавливают штрафы от 100 тыс. до 300 тыс. рублей для должностных лиц и от 500 тыс. до 1 млн рублей для юридических лиц.
Предположим, компания допустила нарушение и обрабатывала без письменного согласия данные 100 человек. Контрольные ведомства могут счесть это одним нарушением, а могут посчитать как 100 разных нарушений и начислить штраф за каждого человека.

При идентификации биометрия конкретного пользователя сравнивается со всеми данными в базе. Мы отправляем в систему фотографию и получаем результат: на ней изображен Иван Иванович Иванов с такими-то паспортными данными. Идентификация в том виде, в каком ее определяет новый закон, используется в узком наборе кейсов и нужна далеко не всем.
При аутентификации биометрические данные человека сравниваются с его же данными из базы. Мы запрашиваем у системы, а Иванов ли на этой фотографии, и получаем ответ: да или нет с такой-то мерой сходности.

Таких сценариев сейчас три.
1. Аутентификация или идентификация в контуре Единой биометрической системы. Организация отправляет в систему фото- или видеопотоки и получает готовые результаты аутентификации или идентификации.
2. Аутентификация в своем контуре. Для этого нужно предварительно получить аккредитацию и статус коммерческой биометрической системы (КБС). Это позволяет работать с векторами (математическими данными, построенными по фотографиями) и использовать их для аутентификации.
3. Подключение к уже аккредитованным КБС по подписке. После этого можно отправлять в КБС фото- и видеопотоки и получать обратно результаты распознавания лиц.

ЕБС отвечает за сбор биометрических персональных данных (фотографий или голоса) и их хранение. По этим данным система строит эталонные вектора.
КБС выполняет несколько основных функций:

• запрашивает эталонные вектора в ЕБС и обеспечивает их хранение;
• получает и хранит фото- и видеопоток от подключенных компаний и объектов;
• обрабатывает эти потоки, то есть строит на их основе вторичные вектора;
• сличает вторичные вектора с эталонами из ЕБС и отправляет результаты сравнения компании-клиенту.

На стороне клиента остается прикладной софт, работающий с результатами распознавания лиц, и конечное оборудование.

КБС интегрирована и обменивается информацией с несколькими государственными системами.

• Единая биометрическая система (ЕБС).
• Единая система идентификации и аутентификации (ЕСИА). В ней находятся персональные данные пользователей.
• Система «ГосQR».
• Платформа согласий. Позволяет выдавать, изменять и отзывать согласия на передачу, хранение и обработку персональных данных пользователей.

Весь обмен данными происходит через Систему межведомственного электронного взаимодействия (СМЭВ) по защищенным каналам.

Это нужно в основном крупным компаниям, чей бизнес связан с использованием биометрии.
Но просто так подключиться к ЕБС не получится. Получение аккредитации и статуса КБС — достаточно затратная и длительная процедура.

Сначала нужно создать всю необходимую инфраструктуру и выполнить все требования по информационной безопасности для подключения к системе. Обычно это намного дороже, чем сами аутентификации: компании нужно иметь значительный объем собственных средств в банке, средства криптографической защиты информации, лицензированные ФСБ, интеграцию с государственными информационными системами и нейросеть, прошедшую аттестацию для ГИС ЕБС

С полным списком требований можно ознакомиться на сайте Минцифры.

Кроме того, компании нужно обслуживать инфраструктуру информационной безопасности сегмента, который взаимодействует с ЕБС. А это дополнительные затраты.

В небанковском секторе компания «Инновационные технологии» одной из первых получила аккредитацию в качестве КБС.

Мы — интегратор и создатель офисных пространств нового поколения, инновационных гибких и умных офисов.
Офисы оснащены системой Face ID, а ее работа невозможна без подключения КБС и взаимодействия с ЕБС.

Чтобы обеспечить этим функционалом наших клиентов, мы получили аккредитацию как КБС в Минцифры и можем обеспечить реализацию проектов биометрических СКУД «под ключ» в полном соответствии с требованиями регуляторов к безопасности персональных данных - от аудита текущего состояния до поставки оборудования и программного решения, внедрения и поддержки.

Конечная стоимость решения всегда рассчитывается индивидуально.
Стоимость услуг КБС INEX состоит из двух частей.
1. Инсталляционный единоразовый платеж.
Его размер зависит от конфигурации серверного оборудования и требований заказчика. Например, по отказоустойчивости, резервированию, наличию камер и количеству профилей на объекте.
2. Плата за каждый профиль.
Фиксированная стоимость за человека, есть понижающие коэффициенты в зависимости от числа профилей и конфигурации объекта.

Возможность тестирования и пилотные проекты в контуре заказчика обсуждаются в индивидуальном порядке.
По правилам цепочка от КБС до конечного устройства должна быть защищена средствами информационной безопасности. Заказчик, в контуре которого проходит тестирование, должен обеспечить оборудование средствами криптографической защиты информации (СКЗИ). Кроме того, для пилотного проекта необходимо закупить у ЕБС эталонные вектора. Бесплатно они не предоставляются.
Мы проводим демонстрации КБС INEX для клиентов в своем офисе, где можно посмотреть, как работает уже реализованное решение.

Оборудование: терминалы лицевой биометрии, в некоторых случаях — камеры. Конкретный состав «железа» зависит от конфигурации системы.
Софт: ПО для отправки данных в локальный модуль КБС, средства криптографической защиты информации.