Биометрические данные как персональные данные в Казахстане

Клиент просит прекратить обработку биометрии. Команда удаляет селфи из основного хранилища и считает запрос исполненным. Но кадры проверки живости остаются в очереди разбора, биометрический вектор — в сервисе сравнения, результат — в CRM, экспорт — у аналитика, а резервная копия продолжает жить по другому расписанию.

Так возникает главный риск биометрического процесса: пользователь совершает одно действие перед камерой, но система создаёт несколько связанных объектов. У них могут различаться цель, доступ и срок. Удаление только исходного изображения не завершает жизненный цикл производных данных.

Ниже — техническая карта, которая переводит требования Казахстана в проверяемый реестр: объект → цель → основание → размещение → доступ → срок → конечное действие. Термины «селфи», «кадры liveness», «score» и «журнал сессии» используются как инженерные объекты; закон не устанавливает для каждого из них отдельный правовой режим по названию.

Карта данных должна охватывать не только основное хранилище. Копии могут появляться в мобильном SDK, очереди обработки, журнале, экспорте для разбора и резервной системе. Если срок удаления действует только для исходного изображения, производный шаблон или выгрузка продолжат существовать без понятного владельца.

Коротко

• Изображение лица, видео, шаблон и результат сравнения учитывают отдельно.

• Для каждого объекта фиксируют цель, основание, роли доступа, размещение и срок.

• Журнал не должен без необходимости дублировать документы и кадры.

• Удаление тестируют по всей цепочке, включая производные данные, экспорт и резервную копию.

• Связанный с человеком score или журнал нельзя считать обезличенным только потому, что он не содержит фотографию.

Закон защищает не только фотографию лица

Статья 48 Цифрового кодекса Республики Казахстан устанавливает, что биометрические данные, используемые для цифровой аутентификации, признаются персональными данными и защищаются по Закону «О персональных данных и их защите». Обязательная обработка биометрических данных и проведение биометрической аутентификации допускаются только в случаях, установленных законами Казахстана.

Закон о персональных данных относит к идентификаторам персональных данных изображение лица, биометрический вектор лица и его производные, которые могут быть восстановлены до первоначального значения. Закон также требует ограничивать обработку конкретными, заранее определёнными и законными целями и не собирать избыточный объём.

Из этого не следует, что любой числовой результат алгоритма автоматически образует отдельную категорию «биометрических данных». Но если оценка сходства, результат живости или журнал связаны с идентифицированным клиентом, их нельзя выводить из режима персональных данных только из-за отсутствия изображения. До документированной анонимизации безопасно учитывать их в общей карте обработки.

Карта данных начинается до выбора поставщика

В биометрическом потоке стоит отдельно описать:

Это техническая декомпозиция, а не классификация из закона. Таблица не устанавливает сроки: она показывает, почему один срок «для всей сессии» требует отдельного обоснования.

Для каждого объекта реестр дополняют системой хранения, владельцем, получателем, трансграничной передачей, резервной копией и действием после завершения цели.

Минимизация проверяется по каждому объекту и каждой цели

Если задача — разовое сравнение лица, повторное использование шаблона для будущего входа нельзя считать подразумеваемой той же целью. Если изображения нужны для апелляции, следует отдельно определить основание, ограниченный срок и круг сотрудников.

Журнал также содержит персональные данные. В него не нужно копировать полный документ или кадры, если для доказательства достаточно идентификатора, версии алгоритма, результата и ссылки на защищённое хранилище.

Практический тест минимизации состоит не в вопросе «нужна ли биометрия вообще», а в проверке каждой колонки:

Ответ «может пригодиться для антифрода» не задаёт конкретную цель и не определяет конец обработки.

Срок начинается с события, а не с даты в политике

Статья 12 Закона о персональных данных связывает срок хранения с датой достижения целей сбора и обработки, если иной срок не установлен законом или договором. Она также требует хранить персональные данные в базе или цифровом объекте на территории Казахстана.

Поэтому фраза «хранить три года» неполна без цели, основания, события запуска и перечня копий. Для каждого объекта организация определяет четыре параметра:

Полезный тест — выбрать одну сессию и построить цепочку происхождения данных. Команда должна найти точку создания каждого объекта, все передачи, роли доступа и конечное действие. Необнаруженная выгрузка аналитика или бессрочная резервная копия означает, что фактический жизненный цикл шире описанного.

Автоматическое решение требует отдельной проверки прав субъекта

Статья 19‑1 Закона о персональных данных регулирует автоматизированную обработку, в результате которой у субъекта возникают, изменяются или прекращаются права и законные интересы. Такая обработка допускается при согласии субъекта или в случаях, предусмотренных законами. Закон требует объяснить порядок и возможные последствия, предоставить возможность возражения и рассмотреть его в установленный срок.

Не каждый технический score автоматически является решением такого типа. Важно, что делает система дальше. Одинаковая оценка сходства может быть:

• одним из сигналов для сотрудника;

• основанием запросить повторный кадр;

• автоматической причиной отказа в услуге.

Правовой и операционный риск растёт в третьем сценарии. В реестре поэтому отделяют выход алгоритма от бизнес-решения, описывают влияние на клиента и маршрут оспаривания. Порог модели нельзя анализировать отдельно от последствия, которое к нему привязано.

Размещение не отменяет распределение ролей

При облачной обработке организация проверяет договор, место обработки, субподрядчиков, доступ и удаление. При On-Premise данные остаются в её контуре, но ответственность за разграничение доступа, резервные копии и сроки хранения никуда не исчезает.

Страница безопасности Biometric.Vision заявляет шифрование при передаче и хранении, аудит доступа, мониторинг и вариант On-Premise. Эти меры описывают платформу, но сами по себе не доказывают соответствие всего процесса заказчика. Конкретное размещение, цели, сроки, роли, субподрядчиков и процедуру удаления закрепляют в архитектуре и договоре.

Проверка удаления должна быть технической

Политика удаления считается работающей, когда команда может взять одну тестовую сессию и проследить исходное изображение, производный шаблон, журнал, экспорт и резервную копию. Для каждого объекта фиксируются событие запуска срока, исключение, ответственный и подтверждение удаления, уничтожения либо применённого и проверенного метода анонимизации.

Технический способ работы с резервными копиями зависит от архитектуры и применимого требования. Нельзя обещать мгновенное физическое исчезновение из каждой копии, если система фактически использует контролируемое истечение срока; этот маршрут должен быть заранее описан и проверен.

Перед запуском биометрии проведите такой тест от съёмки до конца жизненного цикла. Он выявит лишние копии и доступы точнее, чем общий пункт политики о хранении персональных данных.

Материал носит информационный характер и не заменяет оценку применимого основания, договора с обработчиком и конкретной архитектуры хранения.