Politika privatnosti za CCTV i fizički nadzor

Politika privatnosti za CCTV i fizički nadzor uspostavlja kontrole privatnosti za aktivnosti nadzora kojima se prikupljaju ili na drugi način obrađuju osobni podaci (PII). Njezin opseg uključuje CCTV, videonadzor, nadzor posjetitelja, dnevničke zapise kontrole fizičkog pristupa, zapise nadzora koje vode zaštitari, sustave nadzora prostora i povezani fizički nadzor. Politika se primjenjuje kada organizacija djeluje kao voditelj obrade osobnih podataka (PII) za vlastite prostore te kada podržava aktivnosti izvršitelja obrade ili podizvršitelja obrade tako što u ime klijenta upravlja, hostira, pregledava, pohranjuje, otkriva, briše ili na drugi način obrađuje snimke nadzora, podatke o posjetiteljima ili zapise fizičkog pristupa. Politika je osmišljena kako bi se osiguralo da je nadzor namjenski, transparentan, razmjeran, pod kontrolom pristupa, zadržan tijekom definiranih razdoblja, otkriven samo kroz odobrene kanale i potkrijepljen revizijski provjerljivim dokazima PIMS-a. Prije početka nadzora vlasnik procesa ili vlasnik poslovanja mora evidentirati svaku aktivnost nadzora u REG02, uključujući svrhu, pravnu osnovu, lokaciju nadzora, kategorije osobnih podataka (PII), kategorije ispitanika, zadržavanje, obavijest, pristup i polja za otkrivanje. Voditelj privatnosti / voditelj PIMS-a potvrđuje te unose prije aktivacije nove ili značajno izmijenjene aktivnosti nadzora. Odobrene zone nadzora, izuzete zone i granice prikupljanja također se moraju evidentirati prije omogućavanja kamera, senzora, zapisa posjetitelja ili zapisivanja kontrole pristupa. Politika snažno naglašava transparentnost i pregled temeljen na riziku. Oznake videonadzora ili ekvivalentni dokazi o obavijesti u trenutku prikupljanja moraju se evidentirati u REG07 prije nego što se nadzirana područja otvore ispitanicima, a svaka obavijest mora biti povezana s odgovarajućom svrhom obrade u REG02. Alternativne mjere transparentnosti moraju se evidentirati za neočit ili hitan nadzor. Nadzor višeg rizika, uključujući sustavno praćenje, snimanje zvuka, biometrijsku identifikaciju, detekciju omogućenu analitikom, osjetljive lokacije, ranjive pojedince ili neočit nadzor, zahtijeva odluku REG04 o riziku za privatnost prije aktivacije. Kada je nadzor visokorizičan, neočit, velikog opsega, usmjeren na zaposlenike ili podliježe neriješenoj eskalaciji zahtjeva za ostvarivanje prava ili incidenta, službenik za zaštitu podataka / savjetnik za privatnost daje savjet u REG04 ili REG12. Operativne kontrole obuhvaćaju pristup, pregledavanje, izvoz, otkrivanje, zadržavanje, brisanje i eskalaciju incidenata. Voditelj informacijske sigurnosti definira ovlaštene uloge pristupa za snimke nadzora, evidencije posjetitelja i zapise fizičkog pristupa, dok vlasnik sustava / vlasnik aplikacije konfigurira ograničenja pristupa i najmanje tromjesečno evidentira rezultate pregleda pristupa s povišenim ovlastima u REG12. Rutinsko brisanje, prepisivanje ili onemogućavanje isteklih snimki nadzora mora biti konfigurirano prema REG02, uz evidentiranje dokaza o dovršetku brisanja ili prepisivanja najmanje mjesečno za repozitorije koji podliježu automatiziranom ili planiranom brisanju. Obustave brisanja i izdvojene kopije zahtijevaju odobrenje i evidentiranje u REG12 prije produljenja uobičajenog zadržavanja. Vanjska otkrivanja evidentiraju se u REG08 prije otkrivanja ili u REG10 u roku od jednog radnog dana kada je otkrivanje dio aktivnog odgovora na incidente. Politika također definira upravljanje vanjski ugovorenim uslugama nadzora i fizičke sigurnosti. Vanjski ugovoreni pružatelji sustava nadzora, pružatelji zaštitarskih usluga, pružatelji usluga upravljanja posjetiteljima i pružatelji kontrole fizičkog pristupa moraju se evidentirati u REG08 prije početka pružanja usluge, uključujući opseg, status izvršitelja obrade ili podizvršitelja obrade, dopuštenja pristupa, podršku zadržavanju, podršku brisanju, eskalaciju incidenata i ograničenja otkrivanja. Nadzor se održava kroz tromjesečne metrike, godišnje preglede, revizijsko testiranje, postupanje s iznimkama, evidentiranje nesukladnosti, vlasništvo nad korektivnim radnjama i eskalaciju prema najvišem rukovodstvu kada je potrebno. Time se stvara okvir temeljen na dokazima za upravljanje obvezama privatnosti u vezi s CCTV-om i fizičkim nadzorom u kontekstu voditelja obrade i izvršitelja obrade.