Советы — как не попасть при установке видеонаблюдения на неприятности. Статья напечатана на хабре здесь приводится с сокращениями и дополнениями.
На фоне ужесточения российского законодательства о персональных данных, скандалах с незаконной установкой камер, запретами на видеосъёмку и фотографирование, как не нарушить чьи-то права?
Нужно ли беспокоиться, покупая камеру, устанавливая комплект видеонаблюдения для своего магазина или резервируя облачный архив в дата-центре, расположенном за пределами родины?
В нашей отрасли есть два основных способа нарушить чьи-то права: сначала в принципе установить видеонаблюдение, а потом что-то сделать с полученными видеоданными.
Ответим на вопросы: где уместно ставить камеры, и что делать с полученной информацией.
Где без проблем можно установить видеонаблюдение?
Во-первых, в общественном месте, где бизнес ведёт свою деятельность, во-вторых, в рабочем пространстве организации (в офисе, на производстве и т.д.).
Законодательство России напрямую не запрещает монтаж и эксплуатацию систем видеонаблюдения в публичных местах. Требований к используемым системам оно также не предусматривает. Что оно регулирует, так это использование отснятого материала.
В ч. 1 ст. 152.2 Гражданского кодекса РФ указано, что согласие на получение и использование изображения гражданина не требуется, когда наблюдение ведётся в государственных или общественных интересах, в общедоступных местах и на публичных мероприятиях («за исключением случаев, когда такое изображение является основным объектом использования»); если человек позировал перед камерой на коммерческой основе.
По нашему опыту полное соответствие работы системы букве закона требуется доказывать в одном случае. Допустим, на записи с авторегистратора или камеры наблюдения зафиксирован какой-то инцидент, — та же кража, — и вы, придав делу официальный ход, хотите включить видео в доказательную базу.
Согласно принятой в России судебной практике, такие записи отправляют на экспертизу, с тем чтобы достоверно установить, не подвергались ли они модификации: например, не были ли вырезаны отдельные фрагменты или кадры, не были ли, наоборот, добавлены сцены или элементы изображения при постобработке.
В подобных ситуациях важнейший критерий оценки видеоматериала— то,
сколько времени прошло с момента инцидента до передачи записи
сотрудникам правоохранительных органов.
Скажем, если вы спохватились лишь через неделю после происшествия,
эксперты с большой вероятностью посчитают, что в видео за это время
могли быть внесены изменения. А это послужит веским доводом не
использовать запись как доказательство.
По закону обязательно устанавливать системы видеонаблюдения:
- Транспортная инфраструктура: аэропорты, морские и речные порты, транспортные средства, транспортной инфраструктуры в сфере дорожного хозяйства
- Объекты топливно-энергетического комплекса
- Объекты спорта
- Места массового пребывания людей
- Объекты (территории), подлежащие обязательной охране войсками национальной гвардии Российской Федерации
- Объекты (территории) Министерства строительства и жилищно-коммунального хозяйства Российской Федерации и организаций, находящихся в его ведении
- Объекты (территории) в сфере культуры
- Торговые объекты (территории)
- Гостиницы и иные средства размещения
- Общеобразовательные организации
- Объекты социально-культурного и коммунально-бытового назначения, нежилых помещений в многоквартирных домах, в которых согласно заданию на проектирование предполагается единовременное нахождение в любом из помещений более 50 человек и при эксплуатации которых не предусматривается установление специального пропускного режима
- Здания жилые многоквартирные (новостройки)
В принципе, по всех местах массового скопления людей, что связано в первую очередь с «обеспечением антитеррористической защищённости зданий и сооружений» (кстати, именно так называется свод правил об антитеррористической защищенности с требованиями к проектированию подобных объектов).
Нормативные акты нередко регламентируют и зону наблюдения, и требования по видеоаналитике, и технические характеристики изображения. Помимо всего прочего, такие объекты могут подключаться к государственным системам безопасности, например, по программе «Безопасный регион».
Частным лицам и организациям однозначно запрещена видеосъёмка (и видеонаблюдение) в сравнительном малом круге мест. Сюда относятся объекты государственной тайны, а также те, что подпадают под действие 57-ФЗ «О государственной охране».
Так что советуем внимательно изучить, что находится вокруг точки вашей дислокации. Даже в центре Москвы расположены секретные воинские части, и это не городская легенда. Кроме того, не допускается съёмка на территории некоторых объектов стратегического значения, например, атомных электростанций.
Львиной доле коммерческих предприятий, расположенных в общественных местах, включая магазины и заведения общественного питания, чтобы вести видеонаблюдение на той площади, где они работают, достаточно повесить хорошо заметную табличку с уведомлением «Внимание! Ведётся видеосъёмка». Например, администрации торгового центра необходимо разместить такое предупреждение на входе в комплекс.
А если в таком общественном месте предполагается присутствие граждан какой-либо зарубежной страны, то надписи необходимо дублировать на их родном языке. Например, Москва — один из самых привлекательных в мире туристических городов, так что если вы ведёте здесь деятельность в общественных местах, надпись о видеонаблюдении лучше продублировать как минимум на английском.
Вместе с тем следует помнить о неприкосновенности частной жизни, которую защищает ст. 137 УК РФ («Нарушение неприкосновенности частной жизни»). Диктуемые ей требования могут вступать в силу, когда часть пространства, покрываемого средствами видеонаблюдения, однозначно не относится к категории общественных мест.
Если на лестничной площадке внутри жилого здания камера размещена так, что захватывает значительную часть пространства внутри квартиры, когда её дверь открыта, то решение попадает под действие закона. Судебная практика в отношении подобных ситуаций неоднозначна, но были прецеденты, когда при сходных обстоятельствах истцы добивались демонтажа камер.
Видеонаблюдение в своем офисе
Видеонаблюдение внутри офиса или на производственном объекте допустимо. Более того, согласно ст. 209 ТК РФ, рабочее место должно находиться под контролем работодателя.
Видеонаблюдение как средство соблюдения такого контроля возможно, но только при условии, что не противоречит базовым, прописанным в Конституции правам граждан (в частности, на неприкосновенность частной жизни) и законодательству о персональных данных (ПД).
Существуют исключения из общего принципа. Системы видеонаблюдения внутри помещений, принадлежащих организации, нельзя использовать для сбора информации о конкретной персоне вне оперативно-разыскной деятельности. Как следствие, камеру не допускается монтировать в комнате, где постоянно трудится только один человек.
Определённо нельзя устанавливать средства видеонаблюдения в туалетах, раздевалках, примерочных комнатах и т.п. Иное будет прямым нарушением ст. 3 Конституции РФ («О неприкосновенности частной жизни»).
Наконец, согласно ст. 138.1 УК РФ («Незаконный оборот специальных технических средств, предназначенных для негласного получения информации»), запрещена скрытая съёмка. Как в помещениях, принадлежащих организации, так и в общественных местах.
Исчерпывающего списка запрещенноё аппаратуры нет, но известны её признаки (например, камеры, «закамуфлированные под бытовые предметы», «имеющие вынесенный значок входа — pin-hole» и т.д.): подробности вы найдёте в Постановлении Правительства. Соответствие устройства даже одному из этих признаков означает, что его покупка и эксплуатация нарушает закон.
Средства скрытого видеонаблюдения допускается применять только сотрудникам правоохранительных органов, в том числе полиции в рамках оперативно-разыскных мероприятий, ФСБ и т.д.
Для того чтобы обезопасить себя при организации видеонаблюдения на рабочем месте, работодатель должен уведомить о его наличии всех своих сотрудников — «под роспись». Нужно указывать, зачем ведётся такое наблюдение, как то: в целях безопасности, в целях трудовой дисциплины, в целях производственной дисциплины. Желательно внести соответствующие пункты в правила внутреннего трудового распорядка и в трудовой договор.
В названных документах также на всякий случай стоит оговорить и возможность аудиозаписи (конечно же, не скрытой).
Кстати, в некоторых отраслях фиксация визуальной или звуковой информации при взаимодействии с потребителями постепенно становится необходимостью, диктуемой регуляторами. В частности, Центробанк рекомендовал российским финансовым организациям открыто фиксировать переговоры с клиентами на видео- или аудионосители.
Поскольку офис — частная территория, то владелец бизнеса праве допускать или не допускать в него посторонних, например, клиентов. Но чтобы гарантированно обезопасить себя от претензий, нужно размесить на входе табличку с предупреждением о видеонаблюдении.
Подойти к вопросам обработки персональных данных внутри офиса или на производстве требуется не менее дотошно, чем в случае с видеонаблюдением за общественными местами. Видеосъёмка на рабочем месте допускается исключительно в рабочих же целях.
Помимо 152-ФЗ («О персональных данных») нужно иметь в виду и ст. 88 ТК РФ («Передача персональных данных работника), согласно которой доступ к персональным данным работников разрешается «только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций».
По всему сказанному сделаем вывод: в рабочих офисах нужно составлять внутренний регламент организации по режиму доступа к системам видеонаблюдения и архивам.
Распознавание лиц — это большая «головная боль» для инсталлятора
Сфера ответственности бизнеса, так или иначе собирающего и обрабатывающего личные данные граждан, по 152-ФЗ ощутимо расширилась, а штрафы за нарушение соответствующих норм были увеличены и доходят теперь до 300 тыс. руб.
По закону видео не является носителем персональных данных, так как не способно служить для однозначной идентификации личности. По существу, на видеозаписи присутствует лишь изображение некоего человека, не более того. Следовательно, хранить подобные данные можно без ограничений.
Однако если используется система распознавания лиц, в которой изображению присваивается идентификатор, названный закон вступает в силу. Производителям и пользователям таких платформ необходимо получать лицензию на обработку персональных данных. Правда, если идентификаторы обезличены (скажем, Ч1 — «человек-1», Ч2 — «человек-2»), это не требуется.
Законодательные требования в случае с face recognition пока расплывчаты. В частности, «хэш лица» некоего субъекта N. к персональным данным не относится: его фиксацию никакие юридические нормы не ограничивают. Но, скажем, когда такой хэш вместе с именем и фамилией занесён в базу данных, возникает спорная ситуация. В этом случае требуется консультация с юристами.
Хранение данных и глубина архива
«Глубина архива» или сроки хранения записей, полученных посредством систем видеонаблюдения, законодательно регулируется для некоторых объектов, подпадающих под действие мер, связанных с обеспечением антитеррористической защищённости зданий и сооружений.
Так, например, согласно Постановлению Правительства РФ от 14 апреля 2017 года № 447 гостиницы обязаны использовать камеры видеонаблюдения и хранить записи в течение 30 дней. Кроме того, система видеонаблюдения с учетом количества устанавливаемых камер и мест их размещения должна обеспечивать непрерывное видеонаблюдение за состоянием обстановки на территории гостиницы. Технические средства оповещения должны обеспечивать сохранение работоспособности при отключении централизованного энергоснабжения не менее 6 часов в режиме ожидания и не менее 1 часа в режиме передачи сигналов и информации оповещения.
Также некоторые организации следуют определенным стандартам, в которых регулируется необходимость и глубина архива. Все банки в России следуют стандарту PCI DSS (Payment Card Industry Data Security Standard), по которому данные, полученные с камер видеонаблюдения и (или) механизмов контроля доступа, хранятся не менее трех месяцев.
Резюме: что делать
По закону буквально — установка систем видеонаблюдения в общественных местах и их применение не запрещены. А вот дальнейшее использование записей (в рекламных целях, как доказательство в суде и т. д.) может требовать дополнительных действий и мер предосторожности со стороны бизнеса.
Если компания занимается обработкой и хранением персональных данных, то соответствие инфраструктуры, на которой хранятся данные, требованиям 152-ФЗ строго обязательно.
Сертифицировать собственную инфраструктуру — процесс дорогостоящий и затяжной. Проще и дешевле арендовать ресурсы в «облаке», уже сертифицированном для хранения персональных данных.
Разворачивая систему видеонаблюдения в общественном месте:
- удостоверьтесь в том, что в кадр не попадают секретные объекты или частное пространство граждан;
- разместите табличку с предупреждением о видеонаблюдении на видном месте при входе в здание или рабочее пространство;
- переведите предупреждение на языки тех стран, чьи граждане объективно с высокой степенью вероятности могут посещать это место.
На рабочем месте наниматель также вправе использовать системы видеонаблюдения. С оговоркой, что те не могут применяться для сбора информации за конкретным лицом и нарушать право на частную жизнь.
Разворачивая систему видеонаблюдения в своём рабочем пространстве:
- разместите табличку с предупреждением — ведется видеонаблюдение — на видном месте при входе в рабочее пространство;
- ознакомьте работников письменно с тем фактом, что на территории офиса или производственного объекта ведётся видеонаблюдение;
- обязательно обоснуйте необходимость видеонаблюдения и внесите пункты о видеонаблюдении в правила внутреннего трудового распорядка и трудовые договоры;
- составьте внутренний регламент по режиму доступа к системам видеонаблюдения и архивам (доступ должен быть только у специально уполномоченных лиц);
- не устанавливайте камеры в туалетах и раздевалках (это противоречит Конституции), а также в помещениях, где постоянно трудится только один человек (это будет расцениваться как сбор информации за конкретным лицом).