К биометрическим персональным данным закон относит сведения о физиологических и биологических особенностях человека, по которым можно установить его личность: отпечатки пальцев, изображение лица для распознавания, радужку глаза, голос, венозный рисунок. Обычная фотография сама по себе биометрией не считается, пока не используется именно для идентификации личности.
Ключевой критерий тут - цель использования. Фото сотрудника на пропуске с ручной проверкой охранником - это просто персональные данные, а то же фото, загруженное в систему распознавания лиц, которая автоматически сверяет его с базой при проходе через турникет, уже биометрия, потому что данные используются для установления личности.
Для биометрических данных действует более строгий режим: нужно письменное согласие именно на обработку биометрии, общего согласия на персональные данные недостаточно, локализация хранения на серверах в России и повышенный уровень защищенности информационной системы по постановлению правительства N 1119. Отдельно учитывайте: если данные попадают в единую биометрическую систему, к ним добавляются требования оператора этой системы.
Для пропускной системы бизнес-центра на практике это означает письменное согласие каждого сотрудника и посетителя, чьи данные обрабатывает система распознавания, приказ о назначении ответственного за обработку и техническую документацию на систему защиты информации, которую может запросить проверяющий.