Биометрическими считаются сведения о физиологических и биологических особенностях человека, по которым можно установить его личность, и которые оператор реально использует именно для идентификации: отпечаток пальца, скан радужки глаза, геометрия и фотография лица в системе распознавания, голос в системе верификации, ДНК. Вход по фото лица вместо пароля - это именно такой случай.
Важный нюанс: не любое фото человека автоматически становится биометрическими данными. Фотография сотрудника в разделе «О компании» или в паспорте не превращается в биометрию, пока она не используется системой для установления личности. А вот тот же снимок, загруженный в модуль распознавания лиц для входа в личный кабинет, - уже биометрические персональные данные специальной категории.
Для вашего сценария это значит, что придется получать отдельное письменное согласие пользователя именно на обработку биометрических данных - общего согласия на обработку персональных данных на сайте недостаточно. Плюс потребуются усиленные меры защиты хранения этих данных, потому что закон относит биометрию к наиболее чувствительной категории персональных данных наравне со сведениями о здоровье и убеждениях.