Нужно ли компании считать себя оператором биометрической базы, если FaceID работает только на устройстве пользователя?

При полностью локальной проверке нужно установить, что именно получает сервис. Передача компании фото или шаблона выходит за пределы рассмотренной модели.

Civius, юридическая компания Мария Кузнецова, старший юрист; правовая позиция на 2026-04-13

Короткий ответ

Само подключение FaceID не доказывает, что компания ведёт биометрическую базу. В матрице RPPA от 13 апреля 2026 года отдельно оговорена модель, при которой обработка проходит только на устройстве пользователя и не затрагивает инфраструктуру организации.

Для такого вывода важно подтвердить техническую схему. Одного названия функции в приложении недостаточно.

Что получает компания

Проверьте, передаётся ли сервису только результат локальной проверки либо также фотография, видео, шаблон лица или другие связанные сведения. Если материалы поступают на сервер компании или её подрядчика, это уже не тот ограниченный сценарий, который описан в матрице.

Роль компании и назначение обработки оценивают по Закону № 152-ФЗ, включая правила об операторе и биометрических данных. Нельзя ни автоматически объявить всю обработку биометрической, ни вывести её целиком из регулирования по слову «локально».

Запросите у разработчиков схему потоков и перечень передаваемых полей. Результат включите в проверку приложения и процессов. Если реализация меняется после обновления, прежний вывод тоже нужно пересмотреть: существенны реальные получатели и действия с данными.

Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.