Politik for databeskyttelse ved CCTV og fysisk overvågning

Politik for databeskyttelse ved CCTV og fysisk overvågning fastlægger databeskyttelseskontroller for overvågningsaktiviteter, der indsamler eller på anden måde behandler personhenførbare oplysninger (PII). Omfanget omfatter CCTV, videoovervågning, overvågning af besøgende, logfiler fra fysisk adgangsstyring, overvågningsregistreringer foretaget af vagter, systemer til overvågning af lokaler og relateret fysisk overvågning. Politikken gælder, hvor organisationen fungerer som dataansvarlig for PII i egne lokaler, og hvor den understøtter aktiviteter som databehandler eller underdatabehandler ved at drive, hoste, gennemgå, lagre, videregive, slette eller på anden måde behandle overvågningsoptagelser, besøgsdata eller fysiske adgangslogfiler på vegne af en kunde. Politikken er udformet for at sikre, at overvågning er formålsbestemt, gennemsigtig, forholdsmæssig, underlagt adgangsstyring, opbevares i definerede perioder, kun videregives gennem godkendte kanaler og understøttes af revisionsbart PIMS-bevismateriale. Før overvågning påbegyndes, skal procesejeren eller virksomhedsejeren registrere hver overvågningsaktivitet i REG02, herunder formål, behandlingsgrundlag, overvåget lokation, PII-kategorier, kategorier af registrerede, opbevaring, meddelelse, adgang og felter for videregivelse. Den databeskyttelsesansvarlige / PIMS-ansvarlige validerer disse poster før aktivering af en ny eller væsentligt ændret overvågningsaktivitet. Godkendte overvågede zoner, udelukkede zoner og indsamlingsafgrænsninger skal også registreres, før kameraer, sensorer, besøgslogfiler eller logning af adgangsstyring aktiveres. Politikken lægger vægt på gennemsigtighed og risikobaseret gennemgang. Skiltning om overvågning eller tilsvarende dokumentation for just-in-time-meddelelse skal registreres i REG07, før overvågede områder åbnes for registrerede, og hver meddelelse skal kobles til det tilhørende REG02-behandlingsformål. Alternative gennemsigtighedsforanstaltninger skal registreres for ikke-åbenlys overvågning eller nødovervågning. Overvågning med højere risiko, herunder systematisk overvågning, lydoptagelse, biometrisk identifikation, analyseunderstøttet detektion, følsomme lokationer, sårbare personer eller ikke-åbenlys overvågning, kræver en REG04-beslutning om databeskyttelsesrisiko før aktivering. Hvor overvågning er forbundet med høj risiko, ikke-åbenlys, i stor skala, rettet mod medarbejdere eller underlagt uafklaret eskalering vedrørende rettigheder eller hændelser, giver databeskyttelsesrådgiveren (DPO) / rådgiveren inden for databeskyttelse rådgivning i REG04 eller REG12. Driftskontroller omfatter adgang, visning, eksport, videregivelse, opbevaring, sletning og eskalering af hændelser. Den informationssikkerhedsansvarlige definerer godkendte adgangsroller for overvågningsoptagelser, besøgsregistreringer og fysiske adgangslogfiler, mens systemejeren / applikationsejeren konfigurerer adgangsbegrænsninger og registrerer resultater af gennemgang af privilegeret adgang mindst kvartalsvist i REG12. Rutinemæssig sletning, overskrivning eller deaktivering af udløbne overvågningsoptagelser skal konfigureres i overensstemmelse med REG02, med dokumentation for gennemført sletning eller overskrivning registreret mindst månedligt for repositories, der er omfattet af automatiseret eller planlagt sletning. Retlige tilbageholdelser og udtrukne kopier kræver godkendelse og registrering i REG12, før normal opbevaring forlænges. Eksterne videregivelser registreres i REG08 før videregivelse eller i REG10 inden for én arbejdsdag, når videregivelsen er en del af aktiv håndtering af sikkerhedshændelser. Politikken definerer også styring for udliciterede overvågnings- og fysiske sikringstjenester. Udliciterede udbydere af overvågningssystemer, vagtudbydere, udbydere af besøgsstyring og udbydere af fysisk adgangsstyring skal registreres i REG08 før servicestart, herunder omfang, status som databehandler eller underdatabehandler, adgangstilladelser, understøttelse af opbevaring, understøttelse af sletning, eskalering af hændelser og begrænsninger for videregivelse. Tilsyn opretholdes gennem kvartalsvise metrikker, årlige gennemgange, revisionstestning, undtagelseshåndtering, registrering af afvigelser, ejerskab for korrigerende handlinger og eskalering til øverste ledelse, hvor det kræves. Dette skaber en bevisbaseret ramme for styring af databeskyttelsesforpligtelser ved CCTV og fysisk overvågning på tværs af dataansvarlig- og databehandlerkontekster.