CCTV ir fizinės stebėsenos privatumo politika

CCTV ir fizinės stebėsenos privatumo politika nustato privatumo kontrolės priemones stebėsenos veikloms, kuriomis renkama arba kitaip tvarkoma PII. Jos taikymo sritis apima CCTV, vaizdo stebėseną, lankytojų stebėseną, fizinės prieigos kontrolės žurnalus, apsaugos darbuotojų vykdomos stebėsenos įrašus, patalpų stebėsenos sistemas ir susijusią fizinę stebėseną. Politika taikoma, kai organizacija veikia kaip PII duomenų valdytojas savo patalpų atžvilgiu ir kai ji palaiko duomenų tvarkytojo arba subtvarkytojo veiklas, kliento vardu eksploatuodama, talpindama, peržiūrėdama, saugodama, atskleisdama, ištrindama arba kitaip tvarkydama vaizdo stebėjimo įrašus, lankytojų duomenis arba fizinės prieigos žurnalus. Politika skirta užtikrinti, kad stebėsena būtų tikslinga, skaidri, proporcinga, kontroliuojama prieigos priemonėmis, saugoma nustatytais laikotarpiais, atskleidžiama tik patvirtintais kanalais ir pagrindžiama audituojamais PIMS įrodymais. Prieš pradedant stebėseną, procesų savininkas arba verslo savininkas turi užregistruoti kiekvieną stebėsenos veiklą REG02, įskaitant tikslą, teisinį pagrindą, stebimą vietą, PII kategorijas, duomenų subjektų kategorijas, saugojimo, pranešimo, prieigos ir atskleidimo laukus. Privatumo vadovas / PIMS vadovas patvirtina šiuos įrašus prieš naujos arba iš esmės pakeistos stebėsenos veiklos aktyvavimą. Patvirtintos stebimos zonos, neįtrauktos zonos ir rinkimo ribos taip pat turi būti užregistruotos prieš įjungiant kameras, jutiklius, lankytojų žurnalus arba prieigos kontrolės žurnalavimą. Politikoje daug dėmesio skiriama skaidrumui ir rizika grindžiamai peržiūrai. Stebėjimo informacinių ženklų arba lygiaverčių pranešimų tinkamu momentu įrodymai turi būti užregistruoti REG07 prieš atveriant stebimas zonas duomenų subjektams, o kiekvienas pranešimas turi būti susietas su atitinkamu REG02 tvarkymo tikslu. Alternatyvios skaidrumo priemonės turi būti užregistruotos neakivaizdžios arba avarinės stebėsenos atvejais. Didesnės rizikos stebėsena, įskaitant sistemingą stebėseną, garso įrašymą, biometrinį identifikavimą, analitika grindžiamą aptikimą, jautrias vietas, pažeidžiamus asmenis arba neakivaizdžią stebėseną, prieš aktyvavimą reikalauja REG04 privatumo rizikos sprendimo. Kai stebėsena yra didelės rizikos, neakivaizdi, didelio masto, nukreipta į darbuotojus arba susijusi su neišspręstu prašymų įgyvendinti teises ar incidentų eskalavimu, duomenų apsaugos pareigūnas / privatumo konsultantas teikia konsultaciją REG04 arba REG12. Operacinės kontrolės priemonės apima prieigą, peržiūrą, eksportą, atskleidimą, saugojimą, ištrynimą ir incidentų eskalavimą. Informacijos saugumo vadovas apibrėžia autorizuotus prieigos vaidmenis stebėsenos įrašams, lankytojų įrašams ir fizinės prieigos žurnalams, o sistemos savininkas / taikomosios programos savininkas sukonfigūruoja prieigos apribojimus ir bent kartą per ketvirtį REG12 užregistruoja privilegijuotos prieigos peržiūros rezultatus. Įprastinis nebegaliojančių stebėsenos įrašų ištrynimas, perrašymas arba išjungimas turi būti sukonfigūruotas pagal REG02, o ištrynimo arba perrašymo užbaigimo įrodymai saugykloms, kurioms taikomas automatizuotas arba suplanuotas ištrynimas, turi būti registruojami bent kartą per mėnesį. Saugojimo sulaikymai ir ištrauktos kopijos prieš pratęsiant įprastą saugojimą turi būti patvirtinti ir užregistruoti REG12. Išoriniai atskleidimai užregistruojami REG08 prieš atskleidimą arba REG10 per vieną darbo dieną, kai atskleidimas yra aktyvaus reagavimo į incidentus dalis. Politikoje taip pat apibrėžiama išorės stebėsenos ir fizinio saugumo paslaugų valdysena. Išorės stebėsenos sistemų paslaugų teikėjai, apsaugos paslaugų teikėjai, lankytojų valdymo paslaugų teikėjai ir fizinės prieigos kontrolės paslaugų teikėjai turi būti užregistruoti REG08 prieš paslaugos pradžią, įskaitant taikymo sritį, duomenų tvarkytojo arba subtvarkytojo statusą, prieigos leidimus, saugojimo palaikymą, ištrynimo palaikymą, incidentų eskalavimą ir atskleidimo apribojimus. Priežiūra palaikoma taikant ketvirtinius rodiklius, metines peržiūras, audito testavimą, išimčių tvarkymą, neatitikčių registravimą, korekcinių veiksmų savininkystę ir eskalavimą aukščiausiajai vadovybei, kai to reikia. Taip sukuriama įrodymais grindžiama sistema CCTV ir fizinės stebėsenos privatumo įpareigojimams valdyti duomenų valdytojo ir duomenų tvarkytojo kontekstuose.