Política de privacidad de CCTV y monitorización física

La Política de privacidad de CCTV y monitorización física establece controles de privacidad para las actividades de monitorización que recopilan o tratan de otro modo datos personales. Su alcance incluye CCTV, videovigilancia, monitorización de visitantes, registros de control de acceso físico, registros de monitorización operados por personal de vigilancia, sistemas de monitorización de instalaciones y monitorización física relacionada. La política se aplica cuando la organización actúa como responsable del tratamiento de datos personales en sus propias instalaciones y cuando presta soporte a actividades de encargado del tratamiento o subencargado del tratamiento mediante la operación, alojamiento, revisión, almacenamiento, divulgación, supresión u otro tratamiento de grabaciones de videovigilancia, datos de visitantes o registros de control de acceso físico por cuenta de un cliente. La política está diseñada para garantizar que la monitorización tenga una finalidad definida, sea transparente, proporcionada, esté sujeta a control de acceso, se conserve durante períodos definidos, se divulgue únicamente a través de canales aprobados y esté respaldada por evidencias auditables del PIMS. Antes de iniciar la monitorización, el Propietario del proceso o el Propietario de la empresa debe registrar cada actividad de monitorización en REG02, incluidos la finalidad, la base jurídica, la ubicación monitorizada, las categorías de datos personales, las categorías de interesados, la conservación, el aviso, el acceso y los campos de divulgación. El Responsable de Privacidad / Responsable del PIMS valida estas entradas antes de la activación de una actividad de monitorización nueva o modificada materialmente. Las zonas monitorizadas aprobadas, las zonas excluidas y los límites de recogida también deben registrarse antes de habilitar cámaras, sensores, registros de visitantes o registros de control de acceso. La política pone un énfasis significativo en la transparencia y la revisión basada en riesgos. La señalización de videovigilancia o evidencias equivalentes de aviso justo a tiempo deben registrarse en REG07 antes de abrir las áreas monitorizadas a los interesados, y cada aviso debe vincularse con la finalidad de tratamiento correspondiente en REG02. Las medidas alternativas de transparencia deben registrarse para monitorización no evidente o de emergencia. La monitorización de mayor riesgo, incluida la monitorización sistemática, la grabación de audio, la identificación biométrica, la detección basada en analítica, las ubicaciones sensibles, las personas vulnerables o la monitorización no evidente, requiere una decisión sobre riesgos de privacidad en REG04 antes de la activación. Cuando la monitorización sea de alto riesgo, no evidente, a gran escala, dirigida a empleados o sujeta a escalado no resuelto de derechos o incidentes, el Delegado de Protección de Datos (DPO) / Asesor de Privacidad proporciona asesoramiento en REG04 o REG12. Los controles operativos abordan el acceso, la visualización, la exportación, la divulgación, la conservación, la supresión y el escalado de incidentes. El Responsable de Seguridad de la Información define los roles de acceso autorizados para grabaciones de monitorización, registros de visitantes y registros de control de acceso físico, mientras que el Propietario del sistema / Propietario de la aplicación configura las restricciones de acceso y registra los resultados de la revisión de acceso privilegiado al menos trimestralmente en REG12. La supresión rutinaria, la sobrescritura o la deshabilitación de grabaciones de monitorización caducadas deben configurarse conforme a REG02, con evidencias de finalización de supresión o sobrescritura registradas al menos mensualmente para repositorios sujetos a supresión automatizada o programada. Las retenciones de conservación y las copias extraídas requieren aprobación y registro en REG12 antes de ampliar la conservación normal. Las divulgaciones externas se registran en REG08 antes de la divulgación, o en REG10 dentro de un día hábil cuando la divulgación forma parte de una respuesta a incidentes activa. La política también define la gobernanza para servicios externalizados de monitorización y seguridad física. Los proveedores externalizados de sistemas de monitorización, proveedores de vigilancia, proveedores de gestión de visitantes y proveedores de control de acceso físico deben registrarse en REG08 antes del inicio del servicio, incluido el alcance, la condición de encargado del tratamiento o subencargado del tratamiento, los permisos de acceso, el soporte de conservación, el soporte de supresión, el escalado de incidentes y las restricciones de divulgación. La supervisión se mantiene mediante métricas trimestrales, revisiones anuales, pruebas de auditoría, gestión de excepciones, registro de no conformidades, propiedad de acciones correctivas y escalado a la Alta Dirección cuando sea necesario. Esto crea un marco basado en evidencias para gestionar las obligaciones de privacidad de CCTV y monitorización física en contextos de responsable del tratamiento y encargado del tratamiento.