Василий Сеничев: «Видеонаблюдение в магазине: когда это биометрия, как хранятся записи, меняется цена ошибки и штрафы»

1 час назад

Камеры в торговом зале - где заканчивается безопасность и начинается штраф? При выборе камер обсуждают качество изображения и аналитику. Кто сможет выгружать записи и когда их удалять, решают редко, а спрашивают об этом при проверке и после утечки. Василий Сеничев, основатель «КиберОснова» и управляющий партнёр ИБ-интегратора «КРЕДО-С», рассказал журналу RUБЕЖ, когда видеонаблюдение превращается в обработку биометрии, кто отвечает за архив и что собственнику проверить в документах и настройках.

RUБЕЖ: Магазин поставил камеры в зале. Это уже обработка персональных данных?

Василий Сеничев: Да, если на записи можно узнать человека. Сохраняете такую запись, значит, собираете и храните персональные данные. Специального «разрешения на камеры» при этом не нужно, достаточно законного основания.

Для торгового зала основание обычно есть. Закон разрешает обрабатывать данные, когда это нужно для осуществления прав и законных интересов оператора. Предотвращение краж, разбор конфликтов, безопасность людей в помещении попадают под законный интерес. Условие одно: при этом не должны нарушаться права самого посетителя. И доказывать, что основание у вас есть, придётся вам, эта обязанность лежит на операторе.

По месту установки камера в зале и на кассе вопросов обычно не вызывает, но обязанностей это не снимает: цель, срок хранения и доступ нужны и для неё. А камера в примерочной или в туалете вызывает вопросы сразу, и ссылки на борьбу с воровством тут не работают.

— Согласие покупателя нужно?

На обычное наблюдение не нужно, если вы опираетесь на законный интерес. Ловить каждого входящего с бумагой никто не требует, это было бы абсурдом.

Но человека нужно уведомить. Закон для случая, когда данные получены не от самого человека, прямо перечисляет, что ему сообщают: наименование и адрес оператора, цель обработки и её правовое основание, перечень данных, предполагаемых пользователей и права субъекта. Отсюда и содержание таблички. Одной фразы «ведётся видеонаблюдение» для этого мало.

Отдельно про сотрудников. Работник должен знать, что за ним наблюдают, где именно и с какой целью. Надёжнее всего закрепить это во внутреннем документе и ознакомить с ним под подпись: при споре доказывать, что человек был в курсе, придётся вам.

— А что должно лежать в папке, кроме таблички?

Начните с положения о видеонаблюдении: где стоят камеры, для чего вы снимаете, сколько храните записи и кому разрешён доступ. Цель нужно назвать конкретно, например, разбор спорных расчётов на кассе и претензий покупателей.

Дальше список тех, кто может открыть архив, поимённо. Формулировка «служба безопасности» тут не годится: при разборе инцидента вы должны знать, кто именно смотрел записи. Журнал выдачи записей: кому, когда, на каком основании отдали фрагмент. Договор с подрядчиком, если архив или обслуживание не ваши.

Плюс уведомление в Роскомнадзор о том, что вы обрабатываете персональные данные. Его подают один раз, но проверяют в первую очередь: если оператора нет в реестре, а камеры висят, нарушение есть ещё до разговора о самих записях.

— Когда обычная камера превращается в биометрию и чем это грозит?

Само изображение лица ещё не делает запись биометрией. Нужно смотреть, для чего магазин её использует. По закону биометрические данные это сведения, которые характеризуют физиологические особенности человека, на основании которых можно установить его личность, и которые оператор использует именно для установления личности.

Посмотреть, что произошло на кассе, и искать посетителя по лицу в базе это разные задачи. Если запись нужна, чтобы разобрать происшествие, вы работаете с обычными персональными данными. Если система использует лицо, чтобы установить личность посетителя, начинается биометрия.

Для биометрии действуют отдельные требования. Вне единой биометрической системы её обрабатывают только с письменного согласия человека, и в торговом зале это практически неисполнимо: согласие нужно получить с каждого, кого система сравнивает, до того, как она его сравнила. При этом само по себе согласие посетителя не разрешает магазину вести собственную базу для идентификации. Закон запрещает организациям обрабатывать, в том числе собирать и хранить, биометрические данные в своих информационных системах в целях идентификации. Исключение сделано для сбора, который идёт в единую биометрическую систему.

Меняется и цена ошибки. Штраф за утечку обычных данных считают по числу пострадавших: начиная с тысячи человек это три-пять миллионов для юрлица, а если пострадало больше ста тысяч человек, доходит до пятнадцати. За утечку биометрии берут от пятнадцати до двадцати миллионов независимо от того, сколько человек пострадало. Повторная утечка биометрии обойдётся в один-три процента годовой выручки, минимум двадцать пять миллионов.

— То есть до покупки системы есть смысл спросить поставщика, как именно устроен поиск по лицам?

Обязательно. Спрашивать стоит не столько про точность распознавания, сколько про то, где хранится база эталонов и кто её формирует. Ответ «всё локально, у вас на сервере» как раз и означает собственную базу лиц.

— Сети просят сделать «чёрный список» воров по лицам. Это законно?

В том виде, как это рисуют на презентациях, нет. Как только система сравнивает посетителя с базой, чтобы опознать его, это идентификация по биометрии, а её нельзя делать в собственной системе.

Есть и второй запрет. Закон запрещает принимать решения, затрагивающие права человека, исключительно на основе автоматизированной обработки. Без письменного согласия такие решения запрещены. Система, которая сама закрывает турникет по совпадению лиц, как раз такое решение и принимает. Если совпадение проверяет охранник, это ещё не решает вопрос с самой базой лиц: отдельно нужно разобраться, законно ли она создана и используется.

Видеоаналитика при этом полезна там, где не устанавливает личность: подсчёт посетителей, тепловые карты, фиксация нетипичного поведения у кассы, оставленные предметы. Здесь она даёт сигнал сотруднику, а решение принимает человек. Это рабочий вариант, но основание обработки, сроки хранения и доступ к записям всё равно остаются на вас.

— Архив часто лежит не у магазина: облако, ЧОП, обслуживающая компания. Кто отвечает при утечке?

Отвечает магазин. Размещение архива у подрядчика не снимает с магазина ответственность перед посетителем: перед покупателем оператором остаётесь вы, и в реестре Роскомнадзора записаны тоже вы.

Передавать обработку подрядчику закон разрешает, но на своих условиях. Основание для передачи придётся продумать отдельно: общее правило говорит о согласии субъекта, если иное не установлено федеральным законом, и с видеонаблюдением этот вопрос стоит проговорить с юристом под вашу конкретную схему. Сам договор закон описывает подробно: перечень данных, перечень действий с ними, цели обработки, обязанность соблюдать конфиденциальность, требования к защите, обязанность по вашему запросу подтверждать документами принятые меры и обязанность уведомить вас об утечке.

Посмотрите в своём договоре, кому подрядчик должен сообщить об утечке и в какой срок. И кто получит это сообщение, если оно придёт ночью или в выходной. Без этого вы узнаёте об инциденте с задержкой, а ваши собственные сроки уведомления регулятора идут своим чередом: сутки на первое сообщение и трое суток на результаты внутреннего расследования.

— Сколько хранить записи?

Единого срока в законе нет. Правило звучит иначе: хранить не дольше, чем этого требуют цели обработки. Цель вы определяете сами, но потом должны ей следовать.

Поэтому срок нужно обосновать и записать. Тридцать суток для разбора инцидентов и претензий служат типичным ориентиром, который легко объяснить проверяющему.

А потом откройте архив и посмотрите самую старую доступную запись. Если в документах тридцать дней, а вы видите видео двухлетней давности, удаление работает не так, как вы рассчитывали. При утечке отвечать придётся за весь объём, который лежит на диске.

— Допустим, камеры стоят давно, а бумаг нет. С чего начинать?

Сверьте список камер с тем, что действительно подключено. Потом проверьте учётные записи: кто сейчас может открыть архив и все ли эти люди ещё работают у вас.

Я на аудите розничной сети попросил показать список пользователей в самой системе видеонаблюдения. Там была учётная запись бывшего управляющего, хотя в списке допущенных к архиву его уже не было. Мне объяснили, что при увольнении ему закрыли доступ к рабочей почте, а про отдельный вход к камерам забыли. Я попросил администратора открыть права этой учётной записи: просмотр и выгрузка записей оставались разрешены. Учётную запись при мне отключили и стали сверять остальных пользователей со списком действующих сотрудников.

Дальше разделите работу по срочности. Две вещи до конца аудита не ждут: съёмка в местах, где её быть не должно, и доступ посторонних к архиву. Это закрывают сразу. Распознавание лиц, если его включили просто потому, что оно было в комплекте, отключают до того, как юрист разберёт цель и схему под ограничения, о которых мы говорили.

Остальное распределите между теми, кто отвечает за камеры, за договоры и за персональные данные. Цель и срок хранения, таблички, проверка договора с подрядчиком, уведомление в Роскомнадзор. Объём становится понятен уже после первого шага.

— Что бы вы проверили первым, если бы пришли в магазин завтра?

Доступ к архиву. Попросил бы показать, кто может смотреть записи и кто может их выгружать, а потом сверил этот список с тем, что написано в документах. Случай с бывшим управляющим как раз отсюда.

Ранее Василий Сеничев рассказал читателям журнала RUБЕЖ, о том, сколько платят банки, МФО и операторы биометрии за утечки данных.