Камеры на территории: карта целей, зон, доступа и сроков хранения

Соберите карту целей и зон для каждой камеры

Первый документ, который запросит инспектор Роскомнадзора или представитель работника в суде, — это письменная логика «проблема — цель — камера». Перечень «для безопасности вообще» не работает: обработка персональных данных по 152-ФЗ требует конкретных и заранее определённых целей, а видеозапись, на которой человек различим, признаётся персональными данными, даже если вы используете её только для охраны периметра.

До закупки оборудования составьте таблицу по каждой точке: адрес камеры, что должно попасть в кадр, какая проблема решается, какие менее интрузивные альтернативы уже рассмотрены (усиление замков, освещение, физическая охрана, контроль доступа). Этот же документ станет основой оценки воздействия на персональные данные и доказательством добросовестности при проверке.

Для наблюдения за сотрудниками как за исполнителями труда статья 214.2 Трудового кодекса разрешает съёмку, но только в целях обеспечения безопасности и контроля условий труда. Если цель шире — например, оценка производительности, — потребуется отдельное правовое обоснование и, вероятно, согласие работников.

• Формулируйте цель операционально: «контроль доступа в серверную», «пресечение выноса материальных ценностей», а не общее «безопасность».
• Для каждой камеры фиксируйте границы обзора и настройки зоны приватности (privacy mask).
• Задокументируйте, почему альтернативы недостаточны, — хотя бы два-три предложения на камеру.

Определите правовое основание: согласие или законный интерес

Законодательство России не требует согласия каждого сотрудника на обычную видеосъёмку рабочих мест, если обработка опирается на законный интерес оператора или исполнение трудового договора (пункты 5 и 7 части 1 статьи 6 Закона № 152-ФЗ). Однако работники должны быть уведомлены о введении наблюдения; при изменении существенных условий трудового договора уведомление направляется за два месяца в порядке, предусмотренном статьёй 74 ТК РФ.

Иное дело — биометрия. Если ваша система распознаёт лицо по базе или сверяет изображение для идентификации личности, видеозапись попадает под статью 11 152-ФЗ. В этом случае требуется письменное согласие каждого субъекта, а также уведомление Роскомнадзора об обработке биометрических данных. Практический вывод: пока камера только пишет и хранит — это обычные персональные данные; как только добавляется автоматическое сравнение — это уже биометрия с отдельным режимом.

• Согласие не требуется для камер общего обзора, если цель — безопасность, имущество или технологический контроль.
• Привлекайте профсоюз или представительный орган работников при изменении правил внутреннего трудового распорядка.
• Запросите разъяснения Роскомнадзора в спорных случаях: позиция ведомства менялась, и новые письма отменяют старые разъяснения 2013 года.

Постройте карту запретных и допустимых зон

Главный ограничитель видеонаблюдения — пространства, где человек имеет право на приватность. Безусловный запрет действует для раздевалок, душевых, санузлов и комнат приёма пищи или отдыха; размещение камер там почти наверняка будет признано незаконным сбором сведений о частной жизни (статья 24 Конституции РФ). На практике суды также признают недопустимой съёмку рабочих мест в кабинетах с прозрачными стенами, если наблюдение направлено на контроль действий конкретного сотрудника.

Зоны въезда, парковки, склады и коридоры общего пользования обычно допустимы, но камера должна захватывать только необходимый участок. Если объектив выходит за пределы вашей территории и снимает соседний участок или общественную дорогу, потребуются дополнительные согласования, а в ряде регионов — уведомительный порядок для камер, направленных на публичное пространство.

Для предприятий с особыми требованиями (транспортная безопасность, топливно-энергетический комплекс, объекты критической информационной инфраструктуры) действуют отдельные нормативы по количеству камер и срокам хранения; их нужно проверять отдельно от общих норм 152-ФЗ.

• Раздевалки, душевые, санузлы, комнаты отдыха и приёма пищи — съёмка запрещена всегда.
• Места возможного нахождения посетителей с высокими ожиданиями приватности — переговорные, примерочные — допустимы только при исключительных обстоятельствах.
• Пост охраны с видеостеной не должен выводить на экраны зоны, не имеющие отношения к цели наблюдения.

Закрепите роли доступа и порядок передачи записей

Доступ к записям должен быть минимальным и ролевым. Утвердите приказом список должностей, которым разрешён просмотр: обычно это руководитель службы безопасности, сотрудник, ответственный за обработку персональных данных, и оператор видеостены. Бухгалтерия, кадровая служба и линейные менеджеры не должны иметь доступ к архиву без отдельного решения по конкретному инциденту.

Каждый просмотр записей фиксируйте в журнале или электронном логе: дата, время, ФИО сотрудника, причина. Это защищает организацию от обвинений в тотальной слежке и позволяет ответить на запросы субъектов персональных данных о том, кто и когда знакомился с их изображением.

Передача записей третьим лицам — частному охранному предприятию, облачному видеорегистратору или материнской компании — требует отдельного соглашения. В договоре с подрядчиком пропишите перечень разрешённых действий, обязательства по защите и уничтожению данных; передача должна происходить исключительно по поручению оператора. Правоохранительным органам записи предоставляются по письменному запросу в рамках расследования без согласия субъектов, но такой факт необходимо регистрировать.

• Назначьте ответственного за обработку персональных данных приказом и отразите это в положении.
• Не давайте сотрудникам охраны права удаления или редактирования записей без эскалации.
• Закройте удалённый доступ к архиву через VPN и двухфакторную аутентификацию, если он предусмотрен архитектурой.

Установите сроки хранения и автоматизируйте уничтожение

152-ФЗ не задаёт универсального срока хранения видеозаписей: закон лишь требует, чтобы данные хранились не дольше, чем это необходимо для целей обработки (часть 7 статьи 5). На практике для офисов, складов и магазинов типовым считается срок 30 календарных дней, после чего записи уничтожаются. Для банков, транспортной инфраструктуры и спортивных объектов действуют отраслевые нормативы: от 60–90 дней до 6 месяцев.

Главная ошибка — хранение «про запас» на случай, если что-то случится. Такой подход прямо нарушает принцип минимизации и ведёт к штрафу по части 5 статьи 13.11 КоАП РФ. Настройте автоматическое удаление записей по истечении установленного срока или делайте это плановой задачей администратора, а не отложенным действием.

Если запись стала доказательством инцидента — кражи, травмы, конфликта, — сделайте копию, зафиксируйте факт изъятия в журнале и храните оригинал до завершения расследования либо до истечения срока исковой давности. На остальной период все записи должны удаляться автоматически в штатном режиме.

• Фиксируйте срок хранения в положении об обработке персональных данных и в приказе о введении видеонаблюдения.
• При использовании подрядчика (ЧОП) проверьте, что удаление записей также автоматизировано.
• При увольнении сотрудника, чьи биометрические шаблоны хранились в СКУД, удаляйте их не позднее 30 дней с момента прекращения трудовых отношений.

Обеспечьте прозрачность: таблички и уведомления

Информирование субъектов персональных данных — обязательное условие законности обработки (статья 18.1 152-ФЗ). Минимальная табличка должна включать пиктограмму камеры, текст о ведении видеонаблюдения, наименование оператора и цель съёмки. Расширенный вариант добавляет контакты ответственного, ссылку на политику обработки и QR-код для перехода к полному тексту уведомления.

Таблички располагаются до входа в зону видимости камер: на въездных воротах, перед входом в здание, при входе в каждый зал или коридор с камерой. Человек должен узнать о съёмке до того, как попадёт в кадр; табличка, размещённая за камерой, не выполняет функцию предупреждения и не защитит вас при проверке.

Для сотрудников процедура более строгая: ознакомление с положением о видеонаблюдении под подпись, включение соответствующего пункта в правила внутреннего трудового распорядка и дополнительные соглашения к трудовому договору при изменении условий труда. Разъяснения Роскомнадзора рекомендуют предупреждать персонал о введении камер за два месяца.

• На каждой табличке указывайте, кто именно оператор: ваша организация, арендодатель или ЧОП.
• Размещайте информацию на сайте организации, но помните, что публикация в интернете не заменяет физические знаки.
• Проверяйте читаемость табличек с расстояния реального подхода: шрифт должен быть различим для пешехода и водителя.