Politika ochrany soukromí pro kamerové systémy (CCTV) a fyzické monitorování

Politika ochrany soukromí pro kamerové systémy (CCTV) a fyzické monitorování stanoví opatření ochrany soukromí pro činnosti monitorování, které shromažďují nebo jinak zpracovávají PII. Její rozsah zahrnuje kamerové systémy (CCTV), videomonitorování, monitorování návštěvníků, logy fyzického řízení přístupu, záznamy monitorování prováděného ostrahou, systémy monitorování prostor a související fyzické monitorování. Politika se uplatní tam, kde organizace vystupuje jako správce PII pro vlastní prostory, a tam, kde podporuje činnosti zpracovatele nebo dílčího zpracovatele tím, že jménem zákazníka provozuje, hostuje, přezkoumává, ukládá, zpřístupňuje, maže nebo jinak zpracovává kamerové záznamy, údaje o návštěvnících nebo logy fyzického přístupu. Politika je navržena tak, aby zajistila, že monitorování je účelové, transparentní, přiměřené, řízené z hlediska přístupu, uchovávané po stanovené doby, zpřístupňované pouze schválenými kanály a podložené auditovatelnými důkazy PIMS. Před zahájením monitorování musí vlastník procesu nebo vlastník podnikové činnosti zaznamenat každou monitorovací činnost v REG02, včetně účelu, právního základu, monitorovaného místa, kategorií PII, kategorií subjektů PII, uchovávání, oznámení, přístupu a polí zpřístupnění. Vedoucí ochrany soukromí / manažer PIMS tyto záznamy validuje před aktivací nové nebo významně změněné monitorovací činnosti. Schválené monitorované zóny, vyloučené zóny a hranice shromažďování musí být rovněž zaznamenány před zapnutím kamer, senzorů, návštěvních logů nebo protokolování řízení přístupu. Politika klade důraz na transparentnost a přezkum založený na rizicích. Důkazy o informačním označení monitorování nebo rovnocenném oznámení just-in-time musí být zaznamenány v REG07 před zpřístupněním monitorovaných prostor subjektům PII a každé oznámení musí být propojeno s odpovídajícím účelem zpracování v REG02. U nezjevného nebo nouzového monitorování musí být zaznamenána alternativní opatření transparentnosti. Monitorování s vyšším rizikem, včetně systematického monitorování, zvukového záznamu, biometrické identifikace, detekce s analytickými funkcemi, citlivých míst, zranitelných osob nebo nezjevného monitorování, vyžaduje před aktivací rozhodnutí REG04 o riziku pro soukromí. Pokud je monitorování vysoce rizikové, nezjevné, rozsáhlé, zaměřené na zaměstnance nebo podléhá nevyřešené eskalaci žádostí o uplatnění práv nebo incidentu, pověřenec pro ochranu osobních údajů / poradce pro ochranu osobních údajů poskytne stanovisko v REG04 nebo REG12. Provozní opatření řeší přístup, prohlížení, export, zpřístupnění, uchovávání, výmaz a eskalaci incidentů. Vedoucí informační bezpečnosti definuje oprávněné přístupové role pro záznamy monitorování, záznamy návštěvníků a logy fyzického přístupu, zatímco vlastník systému / vlastník aplikace konfiguruje omezení přístupu a nejméně čtvrtletně zaznamenává výsledky přezkumu privilegovaného přístupu v REG12. Rutinní výmaz, přepisování nebo vypnutí expirovaných záznamů monitorování musí být nakonfigurovány podle REG02, přičemž důkazy o dokončení výmazu nebo přepsání musí být zaznamenávány alespoň měsíčně u repozitářů podléhajících automatizovanému nebo plánovanému výmazu. Retenční blokace a extrahované kopie vyžadují schválení a záznam v REG12 před prodloužením běžné doby uchovávání. Externí zpřístupnění se zaznamenávají v REG08 před zpřístupněním, nebo v REG10 do jednoho pracovního dne, pokud je zpřístupnění součástí aktivní reakce na incidenty. Politika rovněž definuje správu a řízení outsourcovaného monitorování a služby fyzické bezpečnosti. Poskytovatelé outsourcovaných monitorovacích systémů, poskytovatelé ostrahy, poskytovatelé správy návštěv a poskytovatelé fyzického řízení přístupu musí být před zahájením služby zaznamenáni v REG08, včetně rozsahu, statusu zpracovatele nebo dílčího zpracovatele, přístupových oprávnění, podpory uchovávání, podpory výmazu, eskalace incidentů a omezení zpřístupnění. Dohled je zajišťován prostřednictvím čtvrtletních metrik, každoročních přezkumů, auditního testování, ošetření výjimek, zaznamenávání neshod, vlastnictví nápravných opatření a eskalace k vrcholovému vedení, je-li to vyžadováno. Tím vzniká rámec založený na důkazech pro řízení povinností ochrany soukromí u kamerových systémů (CCTV) a fyzického monitorování v kontextu správce i zpracovatele.