Обработка персональных данных при видеонаблюдении

За кем наблюдаем?

Следует отметить, что данные с записей камер видеонаблюдения, а именно изображения физических лиц, могут являться биометрическими ПД и, соответственно, специальными ПД (абз. 2 и 12 ст. 1 Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных», далее — Закон). К обработке таких ПД ст. 8 Закона предъявляет особые требования. 

Важно разграничить две ситуации при осуществлении видеонаблюдения: видеонаблюдение за посетителями и видеонаблюдение за работниками организации. Такое разделение имеет существенное значение для определения порядка работы с ПД в организации.

Видеонаблюдение за посетителями

Рассмотрим вопрос о правовом основании для обработки ПД посетителей при осуществлении видеонаблюдения. Полагаем, что применять общее правило об обработке ПД на основании согласия субъекта персональных данных (ч. 1 п. 3 ст. 4, п. 1 ст. 8 Закона) к рассматриваемой ситуации было бы нелогично: взять согласие субъекта ПД у каждого посетителя (например, торгового центра) едва ли возможно.

Справочно.
Брать согласие посетителей объекта (например, торгового центра или супермаркета) на ведение видеонаблюдения — неудачная идея еще и потому, что субъект ПД вправе в любой момент отозвать свое согласие (ст. 10 Закона), что не позволит оператору в дальнейшем обрабатывать его ПД.

Случаи обработки специальных ПД без согласия субъекта ПД предусмотрены п. 2 ст. 8 Закона. Проблема заключается в том, что указанные случаи не всегда можно применить для ситуации с видеонаблюдением за посетителями. Иногда обработка таких ПД необходима для выполнения обязанностей (полномочий), предусмотренных законодательными актами (абз. 16 п. 2 ст. 8 Закона), поскольку в некоторых случаях обязанность вести видеонаблюдение действительно предусмотрена законодательными актами (см. Указ Президента Республики Беларусь от 28.11.2013 № 527 «О вопросах создания и применения системы видеонаблюдения в интересах обеспечения общественного порядка» и постановление Совета Министров Республики Беларусь от 30.12.2013 № 1164 «О критериях отнесения объектов к числу подлежащих обязательному оборудованию средствами системы видеонаблюдения за состоянием общественной безопасности»). К примеру, система видеонаблюдения за состоянием общественной безопасности обязательна для объектов с возможностью единовременного массового пребывания граждан в количестве 100 и более человек.

Но что делать в ситуации, когда объект не подлежит обязательному оборудованию средствами системы видеонаблюдения? Для ответа на этот вопрос обратимся к российской практике, где подобные вопросы защиты ПД возникли раньше.

Российская практика

В Российской Федерации действует специальная норма, легализующая возможность обработки таких данных без согласия гражданина. Так, в соответствии с абз. 2 ч. 1 ст. 152.1 Гражданского кодекса Российской Федерации от 30.11.1994 № 51-ФЗ согласие на получение и использование изображения гражданина не требуется, когда такое изображение получено при съемке, которая проводится в местах, открытых для свободного посещения, или на публичных мероприятиях (собраниях, съездах, конференциях, концертах, представлениях, спортивных соревнованиях и подобных мероприятиях), за исключением случаев, когда такое изображение является основным объектом использования.

Справочно.
Норма абз. 2 ч. 1 ст. 152.1 ГК РФ касается не согласия на обработку ПД по смыслу законодательства о защите ПД, а согласия на получение и использование изображения гражданина как сделки по смыслу гражданского законодательства (п. 46 постановления Пленума Верховного Суда РФ от 23.06.2015 № 25 «О применении судами некоторых положений раздела I части первой Гражданского кодекса Российской Федерации»).

Применительно к законодательству о защите ПД существует подход, согласно которому в рассматриваемой ситуации такое законодательство вообще неприменимо, поскольку при ведении видеонаблюдения за посетителями их идентификации не происходит, а основная цель такого видеонаблюдения — обеспечение соблюдения общественного порядка и сохранности имущества организации. Такой подход отражен в разъяснениях Роскомнадзора от 02.09.2013 «О вопросах отнесения фото- и видеоизображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки». Обратим внимание, что указанные разъяснения стали неактуальными на основании письма Роскомнадзора от 19.11.2021 № 09-78548. Иных разъяснений в данной сфере Роскомнадзор пока не давал.

Так, в данных разъяснениях указывалось, что до передачи материалов видеосъемки в публичных местах и на охраняемой территории для установления личности снятого человека они не являются биометрическими ПД, обработка которых регулируется общими положениями Федерального закона «О персональных данных», поскольку не используются оператором (владельцем видеокамеры или лицом, организовавшим ее эксплуатацию) для установления личности. Однако указанные материалы, используемые органами, осуществляющими оперативно-розыскную деятельность, дознание и следствие в рамках проводимых мероприятий, являются биометрическими ПД в случае, если цель их обработки — установление личности конкретного физического лица.

Представляется, что такой подход может быть использован в Беларуси. Напомним, что согласно абз. 2 ст. 1 Закона биометрические ПД — это информация, характеризующая физиологические и биологические особенности человека, которая используется для его уникальной идентификации (отпечатки пальцев рук, ладоней, радужная оболочка глаза, характеристики лица и его изображение и др.). Следовательно, если такие данные не используются «для уникальной идентификации», действие Закона не распространяется на данные отношения.

Справочно.
Если записи камер видеонаблюдения будут переданы правоохранительным органам, уже они будут осуществлять идентификацию посетителя (например, идентифицировать лицо, которое осуществило административное правонарушение). В этом случае Закон будет действовать, однако для правоохранительных органов действует специальное основание для обработки ПД, исключающее необходимость получать согласие, — обработка для целей ведения административного и (или) уголовного процесса, осуществления оперативно-розыскной деятельности (абз. 7 п. 2 ст. 8 Закона).

Таким образом, если система видеонаблюдения необходима исключительно для обеспечения общественного порядка и сохранности имущества организации или иных аналогичных целей, а не для идентификации посетителей, согласие субъекта ПД получать не обязательно, равно как и искать иное основание для обработки таких данных.

В то же время, если камеры видеонаблюдения используются для идентификации посетителей (например, для того, чтобы распознавать предпочтения конкретного клиента), нормы Закона подлежат применению. В этой ситуации при отсутствии иных оснований, предусмотренных п. 2 ст. 8 Закона, применению подлежит общее правило об обработке ПД на основании согласия. Цели использования видеонаблюдения рекомендуется детально описывать в соответствующем локальном правовом акте организации.

Европейская практика

Описанное выше основано на анализе существа правоотношений и практики Российской Федерации. Отметим, что в Евросоюзе сформировался несколько иной подход в данной области. Так, в пп. 7 и 8 Руководящих принципов обработки персональных данных с помощью видеоустройств Европейский совет по защите данных (EDPB) указал, что по общему правилу записи камер видеонаблюдения позволяют идентифицировать личность, в связи с чем нормы Общего регламента защиты персональных данных (General Data Protection Regulation, GDPR) применяются к видеонаблюдению.

GDPR не распространяется на обработку данных, которые не относятся к субъекту ПД, то есть если его личность не может быть идентифицирована прямо или косвенно. В качестве примера таких случаев названо использование муляжей видеокамер или видеокамер в автомобиле для помощи при парковке. Однако GDPR закрепляет такое правовое основание обработки ПД, отсутствующее в белорусском законодательстве, как легитимный интерес. Именно это основание обычно используется при обработке ПД в рамках видеонаблюдения. При текущем правовом регулировании в Беларуси такой подход перенять представляется проблематичным. 

Видеонаблюдение за работниками

В случае организации видеонаблюдения за работниками также возникает вопрос о правовом основании для обработки их ПД.

Представляется, что основание, предусмотренное абз. 3 п. 2 ст. 8 Закона, а именно обработка при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта ПД в случаях, предусмотренных законодательством, вряд ли подходит к рассматриваемой ситуации, поскольку в законодательстве не установлены случаи, когда в рамках трудовых правоотношений необходимо видеонаблюдение. Исключение может составлять, пожалуй, только ситуация использования видеонаблюдения для целей контроля и учета рабочего времени. Так, в соответствии с п. 3 ч. 1 ст. 55 ТК при организации труда работников наниматель обязан вести учет фактически отработанного работником времени.

При этом нужно помнить о п. 2 ст. 4 Закона, согласно которому обработка ПД должна быть соразмерна заявленным целям их обработки и обеспечивать на всех этапах такой обработки справедливое соотношение интересов всех заинтересованных лиц. Следовательно, если на предприятии уже внедрена система электронного контрольно-пропускного режима с магнитными карточками, использование видеонаблюдения для данных целей может быть избыточно (п. 5 ст. 4 Закона). Как следствие — согласие работника на обработку его ПД в указанной ситуации все же необходимо.

Иные основания (за исключением случаев, когда объект подлежит обязательному оборудованию средствами системы видеонаблюдения), преду­смотренные п. 2 ст. 8 Закона, также едва ли возможно применить при видеонаблюдении за работниками.

Таким образом, представляется, что при видеонаблюдении за работниками следует брать их согласие на обработку ПД (кроме случаев, отмеченных ранее), поскольку нанимателем будет проводиться их идентификация (например, для контроля за недобросовестным выполнением служебных обязанностей или неправомерным использованием имущества нанимателя в личных целях).

Выбор надлежащего правового основания для обработки ПД работников в указанном случае является не единственной заботой нанимателя. Необходимо помнить про обязанности оператора согласно ст. 16 Закона, а также про обязательные меры по обеспечению защиты ПД в соответствии с п. 3 ст. 17 Закона.

Рекомендация.
Рекомендуем издать локальный правовой акт организации, детально описывающий использование видеонаблюдения, поскольку согласно п. 6 ст. 4 Закона обработка ПД должна носить прозрачный характер.

Информирование о ведении видеонаблюдения

Необходимо информировать субъектов ПД о ведении видеонаблюдения (это исключит возможные вопросы о скрытом видеонаблюдении). Напомним, что согласно ч. 3 ст. 11 Закона Республики Беларусь от 15.07.2015 № 307-З «Об оперативно-розыскной деятельности» использование организациями средств негласного получения (фиксации) информации запрещается. К таковым может быть отнесена и обычная видеокамера, если она скрыта (в частности, когда отсутствуют сведения о том, что ведется видеонаблюдение). Кроме того, в случае возникновения какой-либо конфликтной ситуации записи со скрытых камер видеонаблюдения не могут быть использованы в качестве надлежащего доказательства в суде (ч. 3 ст. 229 ГПК, ч. 3 ст. 90 ХПК). По сложившейся практике такое информирование происходит путем размещения соответствующих табличек.