Закон 18-07 в Алжире: как спроектировать биометрический KYC без лишних данных

Фраза «удалим селфи через месяц» не делает биометрический KYC законным. Сначала организация должна объяснить, зачем получает изображение, что именно из него создаёт, на каком основании использует, кто получает результат и почему без этого шага нельзя достичь цели. Срок хранения — лишь одна строка в гораздо более длинном доказательном досье.

В Алжире это досье нужно строить по Закону № 18-07 вместе с изменениями Закона № 25-11 от 24 июля 2025 года. Использовать только редакцию 2018 года рискованно: поправки добавили отдельное определение биометрических данных и новые элементы governance, включая реестры обработок, делегата по защите данных и оценку воздействия для высокорисковых технологий.

Коротко

• Лицо на фото является персональными данными; биометрическими данные становятся в контексте специальной технической обработки для уникальной идентификации или её подтверждения.

• Термин «биометрические данные» и категория «чувствительные данные» в законе нельзя автоматически считать полными синонимами.

• Согласие — не универсальная кнопка: нужно проверить основание, формальность перед ANPDP и условия конкретной обработки.

• Цель KYC, антифрод, аутентификация и обучение модели требуют раздельного анализа.

• Облачная передача за пределы Алжира — отдельное юридическое событие, а не скрытая деталь договора с поставщиком.

Семь вопросов до первой биометрической сессии

Эта карта полезнее общего вопроса «соответствуем ли мы закону». Она заставляет связать каждый вывод с реальным потоком данных и версией продукта.

Не каждое изображение лица — один и тот же биометрический объект

Закон № 25-11 добавил в статью 3 определение биометрических данных: это персональные данные, полученные в результате специальной технической обработки физических, физиологических или поведенческих характеристик, которые позволяют или подтверждают уникальную идентификацию человека.

Поэтому в архитектуре нужно различать:

• исходное селфи или видеокадры;

• выровненное изображение лица;

• вычисленное представление или шаблон;

• score сходства;

• liveness-сигналы и признаки атаки;

• итоговое решение и технические логи.

Каждый объект имеет собственную цель, доступ и срок. Удалить исходное селфи, но бессрочно хранить шаблон и диагностические кадры — не то же самое, что удалить биометрический набор.

«Биометрические» и «чувствительные» нельзя склеивать без анализа

В исходной редакции статьи 3 Закона № 18-07 определение персональных данных прямо охватывает биометрические признаки. При этом перечень données sensibles отдельно называет расовое или этническое происхождение, взгляды, убеждения, профсоюзную принадлежность, здоровье и генетические данные. Поправка 2025 года добавляет самостоятельное определение биометрических данных, но это не основание безусловно переписать весь режим чувствительных данных одним словом.

Практический вывод осторожный: биометрия точно находится в сфере персональных данных, а конкретные требования к основанию, формальности и разрешению нужно квалифицировать по фактической операции и актуальной позиции ANPDP. Статья не даёт универсального legal opinion о том, что любой кадр лица всегда подпадает под один и тот же режим.

Цель должна ограничивать последующее использование

Статья 7 Закона № 18-07 устанавливает общее правило явно выраженного согласия и перечисляет случаи, когда оно не требуется. Это означает, что согласие нельзя вставить автоматически во все сценарии, а затем считать любую обработку разрешённой.

Одна сессия может содержать разные цели:

• подтвердить, что предъявитель связан с документом;

• выявить презентационную атаку;

• предотвратить повторную регистрацию;

• аутентифицировать существующего клиента;

• улучшить модель на будущих данных.

Последняя цель не наследует основание первой автоматически. Если продуктовая команда хочет повторно использовать данные для обучения, это отдельная строка в карте обработки: цель, набор, минимизация, формальность, информирование, срок и право на отказ.

Декларация, разрешение и исключение — разные результаты

Закон предусматривает предварительные формальности и позволяет национальному органу перевести обработку в режим предварительного разрешения, если она создаёт явную опасность для частной жизни, прав и свобод. Отдельные режимы и исключения нельзя выбирать по названию технологии.

Перед запуском организация сохраняет:

• описание потока и его целей;

• категории субъектов и данных;

• получателей и обработчиков;

• форму информирования и доказательство основания;

• принятую формальность или мотивированное исключение;

• номер, дату и область решения ANPDP, если оно нужно.

Простой статус legal_approved недостаточен: после изменения модели, поставщика, цели или страны обработки может потребоваться новый анализ.

Изменения 2025 года усилили доказательность governance

Закон № 25-11 добавил реестр деятельности по обработке. В нём отражаются, среди прочего, цели и правовое основание, категории субъектов и данных, получатели, предполагаемые сроки удаления и общие меры безопасности. Он также ввёл институт делегата по защите данных и его контрольные и консультационные функции.

Для обработки с вероятным высоким риском, особенно при использовании новых технологий, новая статья 45 bis 6 предусматривает предварительную оценку воздействия. Она должна описывать операции, оценивать риск для прав и свобод и фиксировать меры, гарантии и механизмы доказательства соблюдения.

Биометрический KYC не следует объявлять автоматически подпадающим под один режим без квалификации. Но команда должна провести threshold assessment и письменно объяснить, почему DPIA требуется или почему конкретная обработка не достигает критерия высокого риска.

Поставщик не забирает ответственность у организации

Статьи 38–39 Закона № 18-07 требуют технических и организационных мер, соответствующих риску и природе данных, а также достаточных гарантий от обработчика и письменного регулирования его действий по инструкции ответственного.

В договоре и техническом приложении нужны как минимум:

• точные data objects и цели;

• расположение активной обработки, журналов и резервных копий;

• список субобработчиков и порядок изменений;

• доступ персонала и административные действия;

• удаление и возврат данных;

• инциденты, доказательства и аудит;

• запрет собственного обучения без отдельного разрешения.

Безопасность Biometric.Vision описывает публичные меры поставщика, но не заменяет оценку клиента, договор и фактическую архитектуру проекта. Orchestrator может журналировать версионные шаги процесса; правовую цель и режим ANPDP определяет организация.

Трансграничная передача проверяется до выбора региона облака

Статья 44 Закона № 18-07 связывает передачу данных иностранному государству с разрешением национального органа и достаточным уровнем защиты, с учётом предусмотренных законом условий. Поэтому фраза поставщика «данные хранятся в регионе X» — начало анализа, а не ответ.

Нужно картировать основной сервис, поддержку, телеметрию, резервные копии, систему тикетов и удалённый административный доступ. Передача может возникнуть не только при хранении файла, но и при доступе к нему либо его метаданным из другой страны.

Что проверять перед публикацией KYC-процесса

• Все версии закона и решения ANPDP актуальны на дату запуска.

• Для каждого артефакта указаны цель, владелец, получатель и срок.

• Согласие не используется там, где фактическое основание другое, и наоборот.

• Повторное использование для обучения выключено либо оформлено отдельно.

• Исключение и ручной разбор доступны без скрытой бессрочной очереди.

• Удаление проверяется в активной базе, логах, диагностике и резервных копиях.

• Трансграничные потоки включают поддержку и субобработчиков.

• Изменение модели или поставщика запускает повторную правовую оценку.

Зрелый biometric KYC доказывает не только, что лицо было сравнено. Он показывает, почему сравнение было необходимо, какие объекты возникли, кто их видел, какое решение они изменили и когда весь набор перестал быть нужен.

Источники

• Закон № 18-07 — Journal officiel de la République algérienne

• Закон № 25-11 от 24 июля 2025 года

• Уведомление ANPDP с указанием действующей редакции