Видеонаблюдение и персональные данные: что требует закон

Камеры стоят почти везде — в магазинах, офисах, салонах, подъездах. Как только на записи можно узнать конкретного человека, это уже обработка персональных данных, а распознавание лиц — ещё и биометрия с особым режимом. Разберём, что требует закон от того, кто ведёт видеонаблюдение.

Когда это обработка ПДн

Если по видеозаписи можно установить личность (узнаваемое изображение человека), это персональные данные, и на оператора распространяется 152-ФЗ. А если система автоматически распознаёт людей по лицу для идентификации — это уже обработка биометрических ПДнПерсональные данные — Любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн). (статья 11 152-ФЗ) с повышенными требованиями, включая, как правило, письменное согласие. Обычная же съёмка без автоматической идентификации биометрией не считается.

На каком основании можно вести

Для охраны имущества и обеспечения безопасности видеонаблюдение в нежилых помещениях и на территории чаще всего ведут без отдельного согласия — на основании законных интересов оператора или требований закона. Для работников основанием служит трудовое законодательство, но их нужно письменно уведомить о видеоконтроле. Скрытое наблюдение по общему правилу недопустимо.

Информирование и таблички

Людей нужно заранее информировать о видеонаблюдении: таблички и предупреждающие знаки «Ведётся видеонаблюдение» на входе и в зоне съёмки, а также сведения в политике обработки ПДн (цель, кто оператор). Это базовое требование прозрачности обработки.

Сроки хранения и доступ

Записи хранят не дольше, чем нужно для заявленной цели (часто это разумный короткий срок — например, до 30–60 дней, если иное не предусмотрено), затем удаляют. Доступ к архиву ограничивают кругом ответственных лиц; запись с камер — это тоже ИСПДнИнформационная система персональных данных — Совокупность персональных данных в базах данных и обеспечивающих их обработку информационных технологий и технических средств. со своими мерами защиты.

Что оформить

• Приказ о вводе видеонаблюдения с указанием целей, зон и сроков хранения.
• Информирование: таблички и раздел в политике обработки ПДн; уведомление работников под подпись.
• Для распознавания лиц — отдельное письменное согласие и альтернатива; см. биометрию.

Типичные ошибки

• Нет информирования. Камеры есть, табличек и сведений в политике нет.
• Распознавание лиц без согласия. Биометрическую идентификацию ведут как обычное наблюдение.
• Бессрочное хранение и открытый доступ. Записи лежат годами, доступ к ним есть у кого угодно.

Главное

Видеонаблюдение, на котором узнаваемы люди, — это обработка персональных данных, а распознавание лиц — биометрия со строгим режимом. Вести наблюдение можно на законном основании (безопасность, трудовые отношения), но обязательно информировать людей табличками и политикой, ограничивать сроки хранения и доступ, а для распознавания лиц брать письменное согласие. ГрамотаИБ помогает оформить документы под видеонаблюдение и определить меры защиты — попробовать можно в сервисе.