Чем опасна биометрия и можно ли от нее отказаться

Дата проверки: 28 октября 2026 года.

Многие, не понимая, чем опасна биометрия и в чем опасность биометрии, считают ее либо безобидной, либо уже навсегда собранной. На деле главное — не сам отпечаток или лицо, а правовое основание, цель обработки и возможность отозвать согласие. Реальная опасность биометрии — утечка неизменяемых данных и подделка лица дипфейком. Отказ возможен через отзыв согласия, но не во всех случаях: есть обязательная регистрация и исключения, когда обработку не прекратить. Дальше разберем, как проверить основание и отозвать согласие.

Биометрия: какие данные закон Казахстана считает биометрическими и что это значит

Закон о персональных данных относит изображение лица и биометрический вектор лица или его производные, которые могут быть восстановлены до первоначального значения, к идентификаторам персональных данных Закон Республики Казахстан «О персональных данных и их защите».

Отдельный закон о дактилоскопической и геномной регистрации определяет два вида биометрии. Дактилоскопическая информация — данные об особенностях папиллярных узоров, по которым можно установить личность. Геномная информация — кодированная информация о фрагментах ДНК, по которой также можно установить личность Закон Республики Казахстан «О дактилоскопической и геномной регистрации».

Оба вида относятся к персональным данным ограниченного доступа. На практике это означает: хранить и обрабатывать их можно только при гарантированной государством защите. К биометрическим данным относятся не только отпечатки пальцев и лицо. Закон называет изображение лица, биометрический вектор лица, дактилоскопические особенности папиллярных узоров и геномную информацию.

Чем опасна биометрия: утечки, дипфейки и как их закрывает liveness

Главное отличие биометрии от пароля — ее нельзя перевыпустить. Если украли пароль, вы меняете его за минуту. Если утек шаблон лица, заменить лицо невозможно. Поэтому основной риск — это утечка данных и последующая подделка.

Для государственных систем Государственный оперативный центр кибербезопасности обязан уведомить уполномоченный орган по защите персональных данных о нарушении безопасности персональных данных в течение трех часов с момента обнаружения Закон Республики Казахстан «О кибербезопасности».

Второй риск — дипфейки и имитация живого человека. Мошенники используют несколько типов атак: генеративные дипфейки с ИИ-генерацией лиц, маски замены и программные подмены видеопотока; инъекции предзаписанного видео через эмуляторы или виртуальные веб-камеры; силиконовые и 3D-маски; экранные и бумажные копии лица.

Против этих атак работают системы liveness-детекции. Liveness проверяет, что перед камерой находится живой человек; фото, запись, маска или подмененный видеопоток не проходят проверку. Проверка работает по изображению с камеры: система анализирует текстуру кожи, микро-мимику, глубину сцены и изменение освещения в реальном времени и возвращает оценку живости или признаков подмены. По данным разработчика, система блокирует 99,9% биометрических атак любой сложности; оценка получена по результатам внутреннего тестирования на более чем 10 000 атак. Есть пассивный режим — обычное селфи, дистанционный — приблизиться или отодвинуться, активный — повернуть голову, моргнуть, улыбнуться. Сценарий настраивается под задачу. Результат не доказывает личность и не заменяет решение организации; liveness сам по себе не защищает от утечки шаблонов liveness-детекции.

Нужно ли сдавать биометрию: где она может появиться и как проверить

Ответ зависит от основания. В Казахстане проводится добровольная или обязательная дактилоскопическая и геномная регистрация Закон Республики Казахстан «О дактилоскопической и геномной регистрации».

Добровольная ветка — паспорт и удостоверение личности. Граждане, обратившиеся за удостоверением личности или паспортом впервые, для восстановления или замены, подлежат дактилоскопической регистрации только с их согласия. Если вы получали документ, дактилоскопия могла проводиться только с вашего согласия; наличие согласия стоит уточнить у оператора.

Обязательная ветка — отдельные категории. Обязательной геномной регистрации подлежат лица, осужденные за тяжкие или особо тяжкие преступления, а также за преступления, предусмотренные статьями 120–124 УК РК. Обязательной дактилоскопической регистрации с 16 лет подлежат моряки при выдаче удостоверения моряка, иностранцы и лица без гражданства при оформлении разрешения на проживание, вида на жительство, статуса беженца и визы.

Проверить, где уже есть ваша биометрия, можно по нескольким точкам. Паспорт и удостоверение личности — там отпечатки сдаются только с согласия. Дактилоскопическая информация граждан, прошедших регистрацию при получении удостоверения личности или паспорта, после их смерти, признания безвестно отсутствующими или утраты гражданства хранится до даты, когда им исполнилось бы сто лет. Еще одна точка — согласия, которые вы выдавали организациям: банкам, работодателю, школе. Запросите у них информацию об обработке персональных данных. Закон дает право знать, есть ли у организации ваши данные, и получать о них информацию Закон Республики Казахстан «О персональных данных и их защите».

Зачем государству биометрия — для установления личности, дактилоскопической и геномной регистрации. Данные подлежат защите, гарантируемой государством, и могут собираться только при такой защите. Кроме того, биометрия используется в процедурах, предусмотренных законом для деятельности правоохранительных органов и судов.

Биометрия в школах — согласие родителей, цель сбора и границы

Школа может предложить сдать биометрию ребенка для пропуска, оплаты питания или входа в здание. Правовая рамка здесь строгая: сбор и обработка персональных данных по общему правилу возможны только с согласия человека или его законного представителя Закон Республики Казахстан «О персональных данных и их защите».

Использование в общественных местах технологий сбора биометрии и идентификации без согласия допускается только для защиты конституционного строя, охраны общественного порядка, прав и свобод человека, здоровья и нравственности. Для пропуска, питания или турникета в школе действует общее правило — нужно согласие родителя или другого законного представителя. Исключение без согласия закон допускает только для общественных мест и названных целей.

Оператор, в том числе школа, обязан ограничить сбор и обработку персональных данных конкретными заранее определенными законными целями. Запрещен сбор данных для причинения ущерба или ограничения прав. Избыточные по отношению к целям обработки персональные данные обрабатывать запрещено правила обработки биометрических данных для организаций. Это значит: если школа собирает отпечатки для пропуска, она не может использовать их для незаявленных целей, например для оценки поведения.

Право на неприкосновенность частной жизни, личную и семейную тайну и защиту персональных данных от незаконного сбора, обработки, хранения и использования, в том числе с применением цифровых технологий, гарантируется законом Конституция Республики Казахстан. Биометрия ребенка касается этих гарантий напрямую.

Как отказаться от биометрии и отозвать согласие

Отказ начинается с отзыва согласия, если обработка идет на его основании. Человек вправе отозвать согласие на обработку персональных данных; в течение 15 рабочих дней оператор обязан прекратить обработку, если ее не требует законодательство, либо представить мотивированный отказ Закон Республики Казахстан «О персональных данных и их защите».

Отозвать согласие нельзя, если это противоречит законам Казахстана или имеется неисполненное обязательство. Например, если по договору с банком осталось неисполненное обязательство, отозвать согласие нельзя, пока оно есть. Закон допускает сбор и обработку персональных данных без согласия, в частности для деятельности правоохранительных органов и судов.

Разобранный пример — банк просит сдать биометрию. Вход — банк предлагает сдать биометрию для входа в приложение или подтверждения операций. Шаги: сначала проверьте основание — банк ссылается на согласие или на договор. Если на согласие, запросите текст пункта об обработке биометрии. Убедитесь, что цель конкретная, например вход в приложение по лицу, и что не собираются избыточные данные. Затем подайте письменный отзыв согласия. Выход — оператор обязан в течение 15 рабочих дней прекратить обработку либо представить мотивированный отказ, если нет неисполненного обязательства или противоречия закону. Если обязательство есть, обработка может продолжиться до его исполнения.

Чек-лист — что проверить до сдачи биометрии

• Определите основание: обязательная регистрация или добровольное согласие. Обязательная регистрация — только для категорий из закона: осужденные за определенные преступления, иностранцы, моряки и другие лица из статьи 10.

• Запросите текст согласия. В нем должна быть конкретная цель обработки.

• Проверьте, нет ли избыточных данных. Школе не нужен голос, если она ставит пропуск по лицу.

• Уточните срок хранения. После смерти, признания безвестно отсутствующим или утраты гражданства дактилоскопия может храниться до даты, когда человеку исполнилось бы сто лет.

• Спросите, кому оператор передает данные, и проверьте порядок передачи в тексте согласия.

• Сохраните копию согласия. Без него не будет документа для отзыва.

• Проверьте, есть ли неисполненное обязательство. Кредитный договор может ограничить отказ.

Отказ от биометрии проходит по маршруту: основание, цель, согласие, отзыв. Реальный риск связан с неизменяемостью данных: утечку нельзя вылечить перевыпуском пароля. Поэтому до сдачи стоит пройти чек-лист, а после — знать процедуру отзыва.

Материал информационный и не заменяет консультацию юриста.