CCTV- és fizikai megfigyelési adatvédelmi szabályzat

A CCTV- és fizikai megfigyelési adatvédelmi szabályzat adatvédelmi kontrollokat állapít meg azokhoz a megfigyelési tevékenységekhez, amelyek PII-t gyűjtenek vagy más módon kezelnek. Alkalmazási területe magában foglalja a CCTV-t, a videómegfigyelést, a látogatók megfigyelését, a fizikai hozzáférés-szabályozási naplókat, az őrszolgálat által vezetett megfigyelési nyilvántartásokat, a helyiségek megfigyelőrendszereit és a kapcsolódó fizikai megfigyelést. A szabályzat akkor alkalmazandó, ha a szervezet saját helyiségei tekintetében PII-adatkezelőként jár el, valamint akkor, ha ügyfél nevében működtetéssel, hosztolással, felülvizsgálattal, tárolással, adatközléssel, törléssel vagy más adatkezeléssel támogat adatfeldolgozói vagy al-adatfeldolgozói tevékenységeket megfigyelési felvételek, látogatói adatok vagy fizikai hozzáférési naplók kapcsán. A szabályzat célja annak biztosítása, hogy a megfigyelés célhoz kötött, átlátható, arányos, hozzáférés-szabályozott, meghatározott időtartamig megőrzött, kizárólag jóváhagyott csatornákon keresztül közölt és auditálható PIMS-bizonyítékokkal alátámasztott legyen. A megfigyelés megkezdése előtt a folyamatgazdának vagy az üzlettulajdonosnak minden megfigyelési tevékenységet rögzítenie kell a REG02-ben, beleértve a célt, a jogalapot, a megfigyelt helyszínt, a PII-kategóriákat, a PII-alanyok kategóriáit, a megőrzést, a tájékoztatást, a hozzáférést és az adatközlési mezőket. Az adatvédelmi vezető / PIMS-vezető az új vagy lényegesen módosított megfigyelési tevékenység aktiválása előtt ellenőrzi ezeket a bejegyzéseket. A jóváhagyott megfigyelt zónákat, kizárt zónákat és gyűjtési határokat szintén rögzíteni kell a kamerák, érzékelők, látogatói naplók vagy hozzáférés-szabályozási naplózás engedélyezése előtt. A szabályzat kiemelt hangsúlyt helyez az átláthatóságra és a kockázatalapú felülvizsgálatra. A megfigyelésre vonatkozó tájékoztató táblákat vagy azzal egyenértékű, helyben és időben adott tájékoztatás bizonyítékait a megfigyelt területek PII-alanyok előtti megnyitása előtt rögzíteni kell a REG07-ben, és minden tájékoztatót össze kell kapcsolni a megfelelő REG02 szerinti adatkezelési céllal. Nem nyilvánvaló vagy sürgősségi megfigyelés esetén alternatív átláthatósági intézkedéseket kell rögzíteni. A magasabb kockázatú megfigyelés, ideértve a rendszeres megfigyelést, a hangrögzítést, a biometrikus azonosítást, az analitikával támogatott észlelést, az érzékeny helyszíneket, a kiszolgáltatott személyeket vagy a nem nyilvánvaló megfigyelést, az aktiválás előtt REG04 szerinti adatvédelmi kockázati döntést igényel. Ha a megfigyelés magas kockázatú, nem nyilvánvaló, nagy léptékű, munkavállalókat érint, vagy megoldatlan joggyakorlási kérelemhez vagy incidens-eszkalációhoz kapcsolódik, az adatvédelmi tisztviselő / adatvédelmi tanácsadó tanácsot ad a REG04-ben vagy a REG12-ben. Az operatív kontrollok a hozzáférésre, megtekintésre, exportálásra, adatközlésre, megőrzésre, törlésre és incidens-eszkalációra terjednek ki. Az információbiztonsági vezető meghatározza a megfigyelési felvételekhez, látogatói nyilvántartásokhoz és fizikai hozzáférési naplókhoz kapcsolódó engedélyezett hozzáférési szerepköröket, míg a rendszergazda / alkalmazástulajdonos konfigurálja a hozzáférési korlátozásokat, és legalább negyedévente rögzíti az emelt jogosultságú hozzáférések felülvizsgálatának eredményeit a REG12-ben. A lejárt megfigyelési felvételek rutinszerű törlését, felülírását vagy letiltását a REG02 szerint kell konfigurálni, és az automatizált vagy ütemezett törlés alá tartozó adattárak esetében legalább havonta rögzíteni kell a törlés vagy felülírás teljesítésének bizonyítékait. A megőrzési zárolások és a kinyert másolatok jóváhagyást és REG12-ben történő rögzítést igényelnek, mielőtt a normál megőrzési idő meghosszabbításra kerül. A külső adatközléseket az adatközlés előtt a REG08-ban kell rögzíteni, vagy aktív incidensreagálás részeként történő adatközlés esetén egy munkanapon belül a REG10-ben. A szabályzat irányítást határoz meg a kiszervezett megfigyelési és fizikai biztonsági szolgáltatásokra is. A kiszervezett megfigyelőrendszer-szolgáltatókat, őrzés-védelmi szolgáltatókat, látogatókezelési szolgáltatókat és fizikai hozzáférés-szabályozási szolgáltatókat a szolgáltatás megkezdése előtt rögzíteni kell a REG08-ban, beleértve az alkalmazási területet, az adatfeldolgozói vagy al-adatfeldolgozói státuszt, a hozzáférési jogosultságokat, a megőrzés támogatását, a törlés támogatását, az incidens-eszkalációt és az adatközlési korlátozásokat. A felügyelet negyedéves mutatók, éves felülvizsgálatok, audittesztelés, kivételkezelés, meg nem felelés rögzítése, helyesbítő intézkedési felelősség és szükség esetén a felső vezetés felé történő eszkaláció útján valósul meg. Ez bizonyítékalapú keretrendszert hoz létre a CCTV-vel és fizikai megfigyeléssel kapcsolatos adatvédelmi kötelezettségek kezelésére adatkezelői és adatfeldolgozói környezetekben.