Положение о видеонаблюдении

Определение персональных данных в ст. 3 152-ФЗ не ограничивается текстовой информацией — это любые сведения, относящиеся к прямо или косвенно определённому физическому лицу. Изображение человека на видеозаписи, если по нему можно установить личность, подпадает под это определение так же, как ФИО или номер телефона.

Практическое следствие: оператор, который ведёт видеонаблюдение с фиксацией лиц посетителей или сотрудников, обязан выполнять требования 152-ФЗ в полном объёме — иметь законное основание для съёмки, обеспечивать безопасность записей, соблюдать сроки хранения и права субъектов, чьё изображение попало в кадр.

Это не означает, что каждая камера требует отдельного письменного согласия каждого посетителя — для большинства ситуаций видеонаблюдения есть другие законные основания обработки, но обязанность информировать о факте съёмки и соблюдать остальные требования закона сохраняется в любом случае.

Получить письменное согласие каждого, кто попадает в объектив камеры на входе в магазин, практически невозможно, поэтому видеонаблюдение чаще всего опирается на другие основания из ст. 6 152-ФЗ, а не на согласие:

• Защита жизни, здоровья и имущества — типичное основание для камер в общественных зонах, на входах, в местах с материальными ценностями. Цель съёмки — обеспечение безопасности, а не сбор данных как таковой.
• Осуществление прав и законных интересов оператора — например, контроль за соблюдением пропускного режима, фиксация фактов на случай споров с посетителями или контрагентами.
• Исполнение трудового договора и локальных актов работодателя — видеонаблюдение в производственных и рабочих зонах в целях контроля трудовой дисциплины и охраны труда, при условии, что работники об этом проинформированы.

Независимо от того, какое основание применяется, оператор обязан соблюдать принцип соответствия объёма обработки заявленной цели по ст. 5 152-ФЗ: камеры не должны фиксировать больше, чем нужно для конкретной цели, а записи не должны использоваться для целей, не связанных с этой целью.

Обязанность информировать субъекта о ведущейся обработке его персональных данных вытекает из общих принципов 152-ФЗ. Применительно к видеонаблюдению стандартная практика - информационная табличка или наклейка на входе в зону, где ведётся съёмка, с обозначением того, что территория находится под видеонаблюдением.

Табличка обычно содержит: сам факт видеонаблюдения, наименование оператора, ведущего съёмку, и контакты для обращения по вопросам обработки данных, например, ссылку на политику обработки ПДн, где подробно раскрыты цели и сроки хранения записей. Примерный текст таблички:

ВЕДЁТСЯ ВИДЕОНАБЛЮДЕНИЕ

Оператор: ООО «Компания»
Обработка персональных данных осуществляется в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»
Подробнее: политика обработки персональных данных на сайте оператора или по телефону, указанному на входе

Формулировка «Ведётся видеонаблюдение» без указания оператора недостаточна для полноценного выполнения обязанности информировать. В табличке должен быть указан именно оператор, ведущий съёмку, а не только факт наблюдения.

Для сотрудников информирование дополнительно оформляют письменно, под подпись при приёме на работу или отдельным уведомлением, если видеонаблюдение вводится в уже работающей организации. Это отдельная обязанность работодателя, вытекающая из общих принципов трудовых отношений и обязанности информировать работника об условиях труда.

Положение о видеонаблюдении должно закреплять, кто в организации имеет доступ к архиву записей и на каком основании. По общему принципу минимизации доступа круг лиц, которые могут просматривать и выгружать записи, стоит ограничивать сотрудниками службы безопасности или иным ответственным подразделением, а не открывать доступ всем желающим внутри компании.

Срок хранения записей закон прямо не устанавливает — оператор определяет его самостоятельно исходя из цели обработки и принципа, закреплённого в ст. 5 152-ФЗ: хранение не может продолжаться дольше, чем требует цель обработки. На практике компании чаще всего устанавливают срок хранения записей от нескольких дней до нескольких недель, если иное не диктуется отраслевыми требованиями или необходимостью зафиксировать конкретный инцидент дольше обычного срока.

По истечении срока хранения записи подлежат уничтожению в порядке, аналогичном требованиям ст. 21 152-ФЗ к уничтожению персональных данных, — с фиксацией факта уничтожения, если это предусмотрено внутренним регламентом оператора.

Структура документа обычно включает:

1. цели ведения видеонаблюдения и правовое основание по ст. 6 152-ФЗ;
2. перечень зон, оборудованных камерами, и зон, где видеонаблюдение не ведётся, — например, санитарные помещения;
3. порядок информирования субъектов о видеонаблюдении, включая образец таблички;
4. перечень должностей, имеющих доступ к записям, и порядок предоставления доступа;
5. срок хранения записей и порядок их уничтожения по истечении срока;
6. порядок предоставления записи по запросу — правоохранительным органам, суду или самому субъекту в части, касающейся его данных;
7. меры по обеспечению безопасности записей — ограничение физического и сетевого доступа к оборудованию и архиву.

Положение утверждается руководителем организации и, в части, касающейся видеонаблюдения за работниками, доводится до сведения сотрудников под подпись как локальный нормативный акт, затрагивающий условия труда.