Πολιτική ιδιωτικότητας για CCTV και παρακολούθηση φυσικών χώρων

Η Πολιτική ιδιωτικότητας για CCTV και παρακολούθηση φυσικών χώρων καθορίζει ελέγχους ιδιωτικότητας για δραστηριότητες παρακολούθησης που συλλέγουν ή με άλλο τρόπο επεξεργάζονται δεδομένα προσωπικού χαρακτήρα. Το πεδίο εφαρμογής της περιλαμβάνει CCTV, βιντεοεπιτήρηση, παρακολούθηση επισκεπτών, αρχεία καταγραφής ελέγχου φυσικής πρόσβασης, αρχεία παρακολούθησης που τηρούνται από προσωπικό φύλαξης, συστήματα παρακολούθησης εγκαταστάσεων και συναφή παρακολούθηση φυσικών χώρων. Η πολιτική εφαρμόζεται όπου ο οργανισμός ενεργεί ως υπεύθυνος επεξεργασίας δεδομένων προσωπικού χαρακτήρα για τις δικές του εγκαταστάσεις και όπου υποστηρίζει δραστηριότητες εκτελούντος την επεξεργασία ή υπεργολάβου επεξεργασίας μέσω λειτουργίας, φιλοξενίας, ανασκόπησης, αποθήκευσης, κοινολόγησης, διαγραφής ή άλλης επεξεργασίας υλικού βιντεοεπιτήρησης, δεδομένων επισκεπτών ή αρχείων καταγραφής φυσικής πρόσβασης για λογαριασμό πελάτη. Η πολιτική έχει σχεδιαστεί ώστε να διασφαλίζει ότι η παρακολούθηση έχει καθορισμένο σκοπό, είναι διαφανής, αναλογική, ελεγχόμενη ως προς την πρόσβαση, διατηρείται για καθορισμένες περιόδους, κοινολογείται μόνο μέσω εγκεκριμένων διαύλων και υποστηρίζεται από ελέγξιμα τεκμήρια PIMS. Πριν από την έναρξη της παρακολούθησης, ο Ιδιοκτήτης Διεργασίας ή ο Ιδιοκτήτης της επιχείρησης πρέπει να καταγράφει κάθε δραστηριότητα παρακολούθησης στο REG02, συμπεριλαμβανομένων των πεδίων σκοπού, νομικής βάσης, παρακολουθούμενης τοποθεσίας, κατηγοριών δεδομένων προσωπικού χαρακτήρα, κατηγοριών υποκειμένων των δεδομένων, διατήρησης, ειδοποίησης, πρόσβασης και κοινολόγησης. Ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS επικυρώνει αυτές τις καταχωρίσεις πριν από την ενεργοποίηση νέας ή ουσιωδώς μεταβληθείσας δραστηριότητας παρακολούθησης. Οι εγκεκριμένες παρακολουθούμενες ζώνες, οι εξαιρούμενες ζώνες και τα όρια συλλογής πρέπει επίσης να καταγράφονται πριν ενεργοποιηθούν κάμερες, αισθητήρες, αρχεία επισκεπτών ή καταγραφή ελέγχου πρόσβασης. Η πολιτική δίνει ιδιαίτερη έμφαση στη διαφάνεια και στην ανασκόπηση βάσει κινδύνου. Η σήμανση παρακολούθησης ή ισοδύναμα τεκμήρια ειδοποίησης κατά τον χρόνο της συλλογής πρέπει να καταγράφονται στο REG07 πριν οι παρακολουθούμενοι χώροι ανοίξουν για τα υποκείμενα των δεδομένων, και κάθε ειδοποίηση πρέπει να συνδέεται με τον αντίστοιχο σκοπό επεξεργασίας στο REG02. Εναλλακτικά μέτρα διαφάνειας πρέπει να καταγράφονται για μη προφανή ή έκτακτη παρακολούθηση. Παρακολούθηση υψηλότερου κινδύνου, συμπεριλαμβανομένης της συστηματικής παρακολούθησης, της ηχογράφησης, της βιομετρικής ταυτοποίησης, της ανίχνευσης με χρήση αναλυτικής επεξεργασίας, των ευαίσθητων τοποθεσιών, των ευάλωτων φυσικών προσώπων ή της μη προφανούς παρακολούθησης, απαιτεί απόφαση REG04 για κίνδυνο ιδιωτικότητας πριν από την ενεργοποίηση. Όταν η παρακολούθηση είναι υψηλού κινδύνου, μη προφανής, μεγάλης κλίμακας, αφορά εργαζομένους ή υπόκειται σε μη επιλυμένη κλιμάκωση αιτημάτων άσκησης δικαιωμάτων ή περιστατικών, ο Υπεύθυνος Προστασίας Δεδομένων / Σύμβουλος Ιδιωτικότητας παρέχει γνώμη στο REG04 ή στο REG12. Οι επιχειρησιακοί έλεγχοι καλύπτουν την πρόσβαση, την προβολή, την εξαγωγή, την κοινολόγηση, τη διατήρηση, τη διαγραφή και την κλιμάκωση περιστατικών. Ο Επικεφαλής Ασφάλειας Πληροφοριών ορίζει εξουσιοδοτημένους ρόλους πρόσβασης για καταγραφές παρακολούθησης, αρχεία επισκεπτών και αρχεία καταγραφής φυσικής πρόσβασης, ενώ ο Ιδιοκτήτης συστήματος / Ιδιοκτήτης Εφαρμογής διαμορφώνει περιορισμούς πρόσβασης και καταγράφει αποτελέσματα ανασκόπησης προνομιούχας πρόσβασης τουλάχιστον ανά τρίμηνο στο REG12. Η τακτική διαγραφή, αντικατάσταση ή απενεργοποίηση ληγμένων καταγραφών παρακολούθησης πρέπει να διαμορφώνεται σύμφωνα με το REG02, με τεκμήρια ολοκλήρωσης διαγραφής ή αντικατάστασης που καταγράφονται τουλάχιστον μηνιαία για αποθετήρια που υπόκεινται σε αυτοματοποιημένη ή προγραμματισμένη διαγραφή. Οι δεσμεύσεις διατήρησης και τα εξαγόμενα αντίγραφα απαιτούν έγκριση και καταγραφή στο REG12 πριν παραταθεί η κανονική διατήρηση. Οι εξωτερικές κοινολογήσεις καταγράφονται στο REG08 πριν από την κοινολόγηση ή στο REG10 εντός μίας εργάσιμης ημέρας όταν η κοινολόγηση αποτελεί μέρος ενεργής απόκρισης σε περιστατικά. Η πολιτική ορίζει επίσης διακυβέρνηση για υπηρεσίες παρακολούθησης και φυσικής ασφάλειας που παρέχονται μέσω εξωτερικής ανάθεσης. Οι πάροχοι συστημάτων παρακολούθησης εξωτερικής ανάθεσης, οι πάροχοι φύλαξης, οι πάροχοι διαχείρισης επισκεπτών και οι πάροχοι ελέγχου φυσικής πρόσβασης πρέπει να καταγράφονται στο REG08 πριν από την έναρξη της υπηρεσίας, συμπεριλαμβανομένων του πεδίου εφαρμογής, της κατάστασης ως εκτελούντος την επεξεργασία ή υπεργολάβου επεξεργασίας, των δικαιωμάτων πρόσβασης, της υποστήριξης διατήρησης, της υποστήριξης διαγραφής, της κλιμάκωσης περιστατικών και των περιορισμών κοινολόγησης. Η εποπτεία διατηρείται μέσω τριμηνιαίων μετρικών, ετήσιων ανασκοπήσεων, δοκιμών ελέγχου, διαχείρισης εξαιρέσεων, καταγραφής μη συμμορφώσεων, ιδιοκτησίας διορθωτικών ενεργειών και κλιμάκωσης στην Ανώτατη Διοίκηση όπου απαιτείται. Αυτό δημιουργεί ένα πλαίσιο βάσει τεκμηρίων για τη διαχείριση υποχρεώσεων ιδιωτικότητας που σχετίζονται με CCTV και παρακολούθηση φυσικών χώρων σε πλαίσια υπευθύνου επεξεργασίας και εκτελούντος την επεξεργασία.