Kameravalvonnan ja fyysisen valvonnan tietosuojapolitiikka

Kameravalvonnan ja fyysisen valvonnan tietosuojapolitiikka määrittää tietosuojakontrollit valvontatoimille, joissa kerätään tai muutoin käsitellään henkilötietoja. Sen soveltamisala kattaa kameravalvonnan, videovalvonnan, vierailijoiden valvonnan, fyysisen pääsynhallinnan lokit, vartioinnin tuottamat valvontakirjaukset, toimitilojen valvontajärjestelmät ja niihin liittyvän fyysisen valvonnan. Politiikkaa sovelletaan tilanteissa, joissa organisaatio toimii rekisterinpitäjänä omissa toimitiloissaan, sekä tilanteissa, joissa se tukee henkilötietojen käsittelijän tai alikäsittelijän toimintoja käyttämällä, ylläpitämällä, katselmoimalla, säilyttämällä, luovuttamalla, poistamalla tai muutoin käsittelemällä asiakkaan puolesta valvontatallenteita, vierailijatietoja tai fyysisen pääsyn lokeja. Politiikan tarkoituksena on varmistaa, että valvonta on tarkoitussidonnaista, läpinäkyvää, oikeasuhtaista, pääsynhallinnalla suojattua, määritellyn ajan säilytettävää, vain hyväksyttyjen kanavien kautta luovutettavaa ja auditoitavissa olevalla PIMS:n todentavalla aineistolla tuettua. Ennen valvonnan aloittamista prosessin omistajan tai liiketoimintavastaavan tulee kirjata kukin valvontatoimi REG02:een, mukaan lukien tarkoitus, oikeusperuste, valvottu sijainti, henkilötietoluokat, rekisteröityjen ryhmät, säilytys, ilmoitus, pääsy ja luovutuskentät. Tietosuojavastaava / PIMS-päällikkö validoi nämä kirjaukset ennen uuden tai olennaisesti muuttuneen valvontatoimen käyttöönottoa. Hyväksytyt valvontavyöhykkeet, poissuljetut vyöhykkeet ja keruun rajat tulee myös kirjata ennen kameroiden, anturien, vierailijalokien tai pääsynhallinnan lokituksen käyttöönottoa. Politiikka painottaa läpinäkyvyyttä ja riskiperusteista katselmointia. Valvontakyltit tai vastaava oikea-aikainen ilmoitusnäyttö tulee kirjata REG07:ään ennen kuin valvotut alueet avataan rekisteröidyille, ja jokainen ilmoitus tulee yhdistää vastaavaan REG02:n käsittelytarkoitukseen. Vaihtoehtoiset läpinäkyvyystoimet tulee kirjata ei-ilmeistä tai hätätilanteessa tehtävää valvontaa varten. Korkeamman riskin valvonta, mukaan lukien järjestelmällinen valvonta, äänitallennus, biometrinen tunnistaminen, analytiikkaan perustuva havaitseminen, arkaluonteiset sijainnit, haavoittuvassa asemassa olevat henkilöt tai ei-ilmeinen valvonta, edellyttää REG04-tietosuojariskipäätöstä ennen käyttöönottoa. Kun valvonta on korkeariskistä, ei-ilmeistä, laajamittaista, työntekijöihin kohdistuvaa tai siihen liittyy ratkaisemattomia rekisteröidyn oikeuksia koskevia pyyntöjä tai poikkeamaeskalointia, tietosuojavastaava / tietosuojaneuvonantaja antaa neuvoja REG04:ssä tai REG12:ssa. Operatiiviset kontrollit koskevat pääsyä, katselua, vientiä, luovutusta, säilytystä, poistamista ja poikkeamien eskalointia. Tietoturvavastaava määrittää valtuutetut pääsyroolit valvontatallenteille, vierailijatallenteille ja fyysisen pääsyn lokeille, ja järjestelmäomistaja / sovellusomistaja konfiguroi pääsyrajoitukset sekä kirjaa etuoikeutettujen käyttöoikeuksien katselmoinnin tulokset vähintään neljännesvuosittain REG12:een. Vanhentuneiden valvontatallenteiden rutiininomainen poistaminen, ylikirjoittaminen tai poistaminen käytöstä tulee konfiguroida REG02:n mukaisesti, ja poistamisen tai ylikirjoittamisen valmistumisnäyttö kirjataan vähintään kuukausittain tietovarastoista, joihin sovelletaan automatisoitua tai aikataulutettua poistamista. Säilytysvelvoitteet ja poimitut kopiot edellyttävät hyväksyntää ja kirjausta REG12:een ennen normaalin säilytysajan pidentämistä. Ulkoiset luovutukset kirjataan REG08:aan ennen luovutusta tai REG10:een yhden työpäivän kuluessa, kun luovutus on osa aktiivista tietoturvapoikkeamiin reagointia. Politiikka määrittää myös hallinnointivaatimukset ulkoistetuille valvonta- ja fyysisen turvallisuuden palveluille. Ulkoistetut valvontajärjestelmätoimittajat, vartiointipalvelujen tarjoajat, vierailijahallinnan tarjoajat ja fyysisen pääsynhallinnan tarjoajat tulee kirjata REG08:aan ennen palvelun aloittamista, mukaan lukien soveltamisala, henkilötietojen käsittelijän tai alikäsittelijän asema, pääsyoikeudet, säilytyksen tuki, poistamisen tuki, poikkeamien eskalointi ja luovutusrajoitukset. Valvontaa ylläpidetään neljännesvuosittaisten mittareiden, vuosittaisten katselmointien, auditointitestauksen, poikkeusten käsittelyn, poikkeamien kirjaamisen, korjaavien toimenpiteiden omistajuuden ja tarvittaessa ylimmälle johdolle tehtävän eskaloinnin avulla. Tämä muodostaa näyttöön perustuvan viitekehyksen kameravalvonnan ja fyysisen valvonnan tietosuojavelvoitteiden hallintaan rekisterinpitäjän ja henkilötietojen käsittelijän konteksteissa.