CCTV ja füüsilise seire privaatsuspoliitika

CCTV ja füüsilise seire privaatsuspoliitika kehtestab privaatsuse kontrollimeetmed seiretegevuste jaoks, mille käigus kogutakse või muul viisil töödeldakse isikut tuvastavat teavet. Selle kohaldamisala hõlmab CCTV-d, videovalvet, külastajate seiret, füüsilise juurdepääsukontrolli logisid, valvetöötajate hallatavaid seirekirjeid, ruumide seiresüsteeme ja nendega seotud füüsilist seiret. Poliitikat kohaldatakse olukordades, kus organisatsioon tegutseb oma ruumide puhul isikut tuvastava teabe vastutava töötlejana, ning olukordades, kus ta toetab volitatud töötleja või alltöötleja tegevusi, käitades, majutades, läbi vaadates, säilitades, avalikustades, kustutades või muul viisil töödeldes seiresalvestisi, külastajaandmeid või füüsilise juurdepääsu logisid kliendi nimel. Poliitika eesmärk on tagada, et seire oleks eesmärgipärane, läbipaistev, proportsionaalne, juurdepääsukontrolliga kaitstud, kindlaksmääratud tähtaegade jooksul säilitatav, avalikustatav ainult heakskiidetud kanalite kaudu ning toetatud auditiks sobiva PIMS-i tõendusmaterjaliga. Enne seire alustamist peab protsessiomanik või ettevõtte omanik registreerima iga seiretegevuse REG02-s, sealhulgas eesmärgi, õigusliku aluse, jälgitava asukoha, isikut tuvastava teabe kategooriad, isikuandmesubjektide kategooriad, säilitamise, teavitamise, juurdepääsu ja avalikustamise väljad. Privaatsusvaldkonna juht / PIMS-i juht valideerib need kanded enne uue või oluliselt muudetud seiretegevuse aktiveerimist. Heakskiidetud jälgitavad tsoonid, välistatud tsoonid ja kogumise piirid tuleb samuti registreerida enne kaamerate, andurite, külastajalogi või juurdepääsukontrolli logimise lubamist. Poliitika pöörab suurt tähelepanu läbipaistvusele ja riskipõhisele läbivaatamisele. Seirest teavitavad sildid või samaväärne õigeaegse teate tõendusmaterjal tuleb REG07-s registreerida enne jälgitavate alade avamist isikuandmesubjektidele ning iga teade tuleb siduda vastava REG02 töötlemise eesmärgiga. Mitte-ilmse või hädaolukorra seire puhul tuleb registreerida alternatiivsed läbipaistvusmeetmed. Kõrgema riskiga seire, sealhulgas süstemaatiline seire, helisalvestus, biomeetriline tuvastamine, analüütikaga toetatud tuvastus, tundlikud asukohad, haavatavad isikud või mitte-ilmne seire, nõuab enne aktiveerimist REG04 privaatsusriski otsust. Kui seire on kõrge riskiga, mitte-ilmne, suuremahuline, töötajatele suunatud või seotud lahendamata õiguste taotluse või intsidendi eskaleerimisega, annab andmekaitseametnik / andmekaitsenõustaja nõu REG04-s või REG12-s. Operatiivsed kontrollimeetmed käsitlevad juurdepääsu, vaatamist, eksporti, avalikustamist, säilitamist, kustutamist ja intsidentide eskaleerimist. Infoturbe juht määratleb seiresalvestiste, külastajakirjete ja füüsilise juurdepääsu logide lubatud juurdepääsurollid, samal ajal kui süsteemiomanik / rakenduse omanik konfigureerib juurdepääsupiirangud ja registreerib privilegeeritud juurdepääsu läbivaatamise tulemused vähemalt kord kvartalis REG12-s. Aegunud seiresalvestiste rutiinne kustutamine, ülekirjutamine või keelamine tuleb konfigureerida REG02 kohaselt ning kustutamise või ülekirjutamise lõpetamise tõendusmaterjal tuleb automatiseeritud või ajastatud kustutamisega hõlmatud hoidlate puhul registreerida vähemalt kord kuus. Säilitamiskohustused ja väljavõetud koopiad nõuavad enne tavapärase säilitamise pikendamist heakskiitu ja registreerimist REG12-s. Välised avalikustamised registreeritakse REG08-s enne avalikustamist või REG10-s ühe tööpäeva jooksul, kui avalikustamine on osa aktiivsest intsidendihaldusest. Poliitika määratleb ka allhanke korras osutatavate seire- ja füüsilise turbe teenuste juhtimise. Allhanke korras kasutatavad seiresüsteemide pakkujad, valveteenuse osutajad, külastajahalduspakkujad ja füüsilise juurdepääsukontrolli pakkujad tuleb enne teenuse algust registreerida REG08-s, sealhulgas kohaldamisala, volitatud töötleja või alltöötleja staatus, juurdepääsuõigused, säilitamise tugi, kustutamise tugi, intsidendi eskaleerimine ja avalikustamispiirangud. Järelevalvet hoitakse kord kvartalis mõõdikute, iga-aastaste läbivaatamiste, audititestimise, erandite käsitlemise, mittevastavuste registreerimise, parandusmeetmete vastutuse ja vajaduse korral tippjuhtkonnale eskaleerimise kaudu. See loob tõendusmaterjalil põhineva raamistiku CCTV ja füüsilise seire privaatsuskohustuste haldamiseks nii vastutava töötleja kui ka volitatud töötleja kontekstis.