Видеонаблюдение и персональные данные: требования, согласие и хранение записей

Видеокамера фиксирует изображение человека — а изображение является персональными данными (ст. 3 Федерального закона № 152-ФЗ). Это значит, что любая система видеонаблюдения, записывающая людей, — это обработка ПДн. Оператор обязан соблюдать все требования 152-ФЗ: уведомить Роскомнадзор, определить цели обработки, обеспечить безопасность данных.

При видеонаблюдении обрабатываются следующие категории ПДн:

• Изображение лица — позволяет идентифицировать конкретного человека
• Время и место нахождения — фиксируется метаданными камеры
• Данные СКУД — ФИО, должность, номер пропуска (при интеграции)
• Биометрические данные — если система использует распознавание лиц (подробнее ниже)

Разъяснение Роскомнадзора от 02.09.2013: видеозапись, позволяющая определить личность, является персональными данными. При этом запись с камер общего обзора (парковка, коридор), где лица не различимы, формально ПДн не содержит — но на практике современные камеры с разрешением от 2 Мп фиксируют лица даже на общих планах.

Принципиальный момент: даже без записи, если камера транслирует видео в реальном времени на пост охраны — это всё равно обработка ПДн (сбор и использование). Запись просто добавляет ещё одну операцию — хранение.

Статья 11 Федерального закона № 152-ФЗ устанавливает особый режим для биометрических персональных данных — сведений, характеризующих физиологические и биологические особенности человека, на основании которых можно установить его личность.

Видеозапись становится биометрией, если одновременно выполняются два условия:

1. Запись позволяет идентифицировать конкретного человека по физиологическим особенностям (лицо, походка, силуэт)
2. Оператор использует запись именно для установления личности

Ключевое разъяснение Роскомнадзора (письмо от 02.09.2013): видеозапись, используемая для обеспечения общей безопасности (охрана территории, контроль технологических процессов), не является биометрией, даже если на ней различимы лица. Биометрией она становится, когда оператор целенаправленно использует изображение для идентификации — например, при распознавании лиц в СКУД.

Что это значит на практике:

Если видеонаблюдение признаётся обработкой биометрических ПДн, оператор обязан получить письменное согласие субъекта (п. 1 ст. 11 152-ФЗ). Исключения — случаи, прямо предусмотренные законом: безопасность транспортной инфраструктуры, оперативно-розыскная деятельность, государственная служба.

Видеонаблюдение на рабочих местах регулируется одновременно двумя законами: Трудовым кодексом (ст. 214.2) и 152-ФЗ. Это создаёт практические сложности.

Правовое основание по ТК РФ. С 1 марта 2022 года статья 214.2 ТК РФ прямо разрешает работодателю вести видеонаблюдение и аудиозапись на рабочих местах — но только в целях обеспечения безопасности и контроля за условиями труда. Работодатель обязан уведомить работников, однако их согласие на само наблюдение по ТК РФ не требуется.

Правовое основание по 152-ФЗ. Поскольку видеозапись — это обработка ПДн, нужно правовое основание из ст. 6 152-ФЗ. Для трудовых отношений это:

• п. 5 ч. 1 ст. 6 — обработка для исполнения договора (трудового), стороной которого является субъект ПДн
• п. 7 ч. 1 ст. 6 — законный интерес оператора (безопасность, сохранность имущества)

Таким образом, для камер общего обзора на рабочих местах согласие работника не требуется, если:

1. Видеонаблюдение закреплено в Положении об обработке ПДн или в отдельном локальном акте
2. Работники уведомлены под подпись
3. Цель обработки — безопасность, контроль условий труда, сохранность имущества
4. Камеры НЕ установлены в раздевалках, санузлах, комнатах отдыха

Когда согласие всё-таки нужно:

• При использовании распознавания лиц (биометрия — ст. 11 152-ФЗ)
• При передаче видеозаписей третьим лицам (ЧОП, материнская компания за рубежом)
• При использовании аудиозаписи (более высокая степень вторжения в личную жизнь)

Форму согласия на обработку ПДн для видеонаблюдения можно подготовить в нашем конструкторе документов. Также полезно изучить статью о ПДн сотрудников — там подробнее о правовых основаниях обработки в рамках трудовых отношений.

152-ФЗ не устанавливает конкретных сроков хранения видеозаписей — закон лишь требует, чтобы ПДн хранились не дольше, чем этого требуют цели обработки (ст. 5 ч. 7). Конкретные сроки определяются отраслевым законодательством и внутренними документами оператора.

Типовые сроки хранения:

Практические рекомендации:

• Зафиксируйте срок хранения в Положении об обработке ПДн или в приказе о видеонаблюдении
• Настройте автоматическое удаление записей по истечении срока — не оставляйте на усмотрение администратора
• Если запись стала доказательством (инцидент, кража, травма) — она сохраняется до завершения расследования, отдельным решением
• Хранение «про запас» дольше установленного срока — прямое нарушение ст. 5 152-ФЗ

Штрафы за нарушение сроков хранения ПДн — от 100 000 до 300 000 рублей для юрлиц (ст. 13.11 КоАП РФ, часть 6). При повторном нарушении — до 500 000 рублей. Полный перечень штрафов за нарушения в области ПДн смотрите в таблице.

Готовы привести видеонаблюдение в соответствие с 152-ФЗ? Создайте полный пакет документов в конструкторе — положение, приказ, согласия и уведомление за 15 минут.

Обязанность информировать субъектов ПДн о сборе данных прямо следует из ст. 18.1 152-ФЗ. Для видеонаблюдения это реализуется через информационные таблички (наклейки, знаки).

Минимальное содержание таблички:

• Пиктограмма камеры (понятная без текста)
• Текст: «Ведётся видеонаблюдение»
• Наименование оператора (организации)
• Цель видеонаблюдения (безопасность, контроль доступа)

Расширенный вариант (рекомендуется):

• Контактные данные оператора или ответственного за обработку ПДн
• Ссылка на политику обработки ПДн (QR-код на документ на сайте)
• Указание на основание обработки (ст. 6 152-ФЗ)

Где размещать:

• При входе на территорию / в здание — до того, как человек попадёт в зону видимости камер
• В каждом помещении с камерами — на видном месте
• На проходных и КПП

Роскомнадзор при проверках фиксирует отсутствие табличек как нарушение принципа информированности (ст. 5 152-ФЗ). Отдельного штрафа за отсутствие таблички нет, но это входит в состав нарушения по ст. 13.11 КоАП РФ (обработка ПДн без надлежащего уведомления субъекта).

Частая ошибка: табличка «Ведётся видеонаблюдение» без указания оператора. Субъект ПДн имеет право знать, КТО обрабатывает его данные (ст. 14 152-ФЗ). Если на объекте работает подрядчик (ЧОП) — указывается и заказчик, и оператор камер.

Система контроля и управления доступом (СКУД) с распознаванием лиц — один из самых сложных сценариев с точки зрения 152-ФЗ. Здесь пересекаются требования к обычным ПДн, биометрии и трудовому законодательству.

Что обрабатывает СКУД:

• ФИО, должность, подразделение (общие ПДн, категории ПДн)
• Фотография для идентификации (биометрия по ст. 11 152-ФЗ)
• Биометрический шаблон лица — математическая модель, привязанная к физиологии (биометрия)
• Логи проходов — дата, время, точка прохода (общие ПДн)

Обязательные действия для СКУД с распознаванием лиц:

1. Получить письменное согласие каждого субъекта на обработку биометрических ПДн. Форма — согласие на обработку ПДн с прямым указанием биометрии
2. Обеспечить альтернативу — пропускная карта для тех, кто отказался от биометрии. Нельзя принуждать к сдаче биометрии
3. Уведомить Роскомнадзор о начале обработки биометрических ПДн (форма уведомления — приказ РКН № 187)
4. Назначить ответственного за обработку биометрических данных
5. Обеспечить защиту — шифрование биометрических шаблонов, контроль доступа к базе СКУД

Федеральный закон № 572-ФЗ (вступил в силу 01.06.2023) ввёл Единую биометрическую систему (ЕБС). По этому закону коммерческие организации обязаны передавать собранные биометрические данные в ЕБС — однако это касается банков и аккредитованных организаций. Обычный работодатель со СКУД пока не обязан интегрироваться с ЕБС, но обязан соблюдать все требования ст. 11 152-ФЗ.

Срок хранения биометрии в СКУД: не дольше, чем это необходимо для целей обработки. При увольнении сотрудника — биометрический шаблон удаляется. Рекомендуемый срок — не позднее 30 дней после прекращения трудовых отношений.

Организация, внедряющая видеонаблюдение, должна подготовить комплект документов. Без них видеонаблюдение формально незаконно, а при проверке Роскомнадзора — гарантированное предписание.

Обязательные документы:

1. Приказ о введении видеонаблюдения. Содержит цели, перечень зон и помещений, ответственного, срок хранения записей
2. Положение об обработке ПДн — дополнить разделом о видеонаблюдении (цели, правовое основание, сроки хранения, порядок доступа к записям)
3. Уведомление Роскомнадзора — если видеонаблюдение ранее не было указано в уведомлении, нужно внести изменения (форма на портале pd.rkn.gov.ru)
4. Перечень зон видеонаблюдения — схема расположения камер с указанием помещений
5. Информационные таблички — во всех зонах видеонаблюдения

Для трудовых отношений (дополнительно):

• Дополнение к ПВТР (или отдельный ЛНА) — положение о видеонаблюдении на рабочих местах
• Уведомление работников — ознакомление под подпись до начала работы камер
• Пункт в трудовом договоре — для новых работников, информирование о видеонаблюдении

При использовании биометрии (дополнительно):

• Согласие на обработку биометрических ПДн — письменное, от каждого субъекта
• Регламент работы со СКУД — порядок регистрации, удаления шаблонов, доступ к базе
• Модель угроз для подсистемы биометрической идентификации

При привлечении подрядчика (ЧОП, облачный сервис):

• Поручение на обработку ПДн (ч. 3 ст. 6 152-ФЗ) — договор с подрядчиком, определяющий перечень действий с ПДн, цели, обязанности по защите

Все эти документы можно подготовить в нашем конструкторе — от положения об обработке ПДн до согласий и приказов. Перед запуском видеонаблюдения рекомендуем провести аудит на соответствие 152-ФЗ, чтобы убедиться в полноте документации.