CCTV un fiziskās uzraudzības privātuma politika

CCTV un fiziskās uzraudzības privātuma politika nosaka privātuma kontroles pasākumus uzraudzības darbībām, kurās tiek vākta vai citādi apstrādāta personu identificējoša informācija (PII). Tās darbības joma ietver CCTV, videonovērošanu, apmeklētāju uzraudzību, fiziskās piekļuves kontroles žurnālus, apsardzes veiktas uzraudzības ierakstus, telpu uzraudzības sistēmas un saistītu fizisko uzraudzību. Politika ir piemērojama gadījumos, kad organizācija darbojas kā PII pārzinis savām telpām, kā arī gadījumos, kad tā atbalsta apstrādātāja vai apakšapstrādātāja darbības, klienta vārdā ekspluatējot, mitinot, pārskatot, glabājot, izpaužot, dzēšot vai citādi apstrādājot videonovērošanas ierakstus, apmeklētāju datus vai fiziskās piekļuves žurnālus. Politika ir izstrādāta, lai nodrošinātu, ka uzraudzība ir mērķtiecīga, pārredzama, samērīga, pakļauta piekļuves kontrolei, glabāta noteiktu termiņu, izpausta tikai caur apstiprinātiem kanāliem un pamatota ar auditējamiem PIMS pierādījumiem. Pirms uzraudzības sākšanas procesa īpašniekam vai uzņēmuma īpašniekam katra uzraudzības darbība jāreģistrē REG02, iekļaujot nolūku, tiesisko pamatu, uzraudzīto atrašanās vietu, PII kategorijas, datu subjektu kategorijas, glabāšanas, paziņojuma, piekļuves un izpaušanas laukus. Privātuma vadītājs / PIMS vadītājs validē šos ierakstus pirms jaunas vai būtiski mainītas uzraudzības darbības aktivizēšanas. Apstiprinātās uzraudzītās zonas, izslēgtās zonas un vākšanas robežas arī jāreģistrē pirms kameru, sensoru, apmeklētāju žurnālu vai piekļuves kontroles žurnālu veidošanas iespējošanas. Politika īpaši uzsver pārredzamību un uz risku balstītu pārskatīšanu. Uzraudzības informatīvās zīmes vai līdzvērtīgi tieši laikā sniegta paziņojuma pierādījumi jāreģistrē REG07, pirms uzraudzītās zonas tiek atvērtas datu subjektiem, un katrs paziņojums jāsasaista ar attiecīgo REG02 apstrādes nolūku. Alternatīvi pārredzamības pasākumi jāreģistrē acīmredzami nepamanāmai vai ārkārtas uzraudzībai. Paaugstināta riska uzraudzībai, tostarp sistemātiskai uzraudzībai, audioierakstīšanai, biometriskai identifikācijai, ar analītiku iespējotai atklāšanai, sensitīvām atrašanās vietām, neaizsargātām personām vai acīmredzami nepamanāmai uzraudzībai, pirms aktivizēšanas nepieciešams REG04 privātuma riska lēmums. Ja uzraudzība ir augsta riska, acīmredzami nepamanāma, liela mēroga, vērsta uz darbiniekiem vai saistīta ar neatrisinātu datu subjektu tiesību īstenošanas pieprasījumu vai incidenta eskalāciju, datu aizsardzības speciālists / privātuma konsultants sniedz konsultāciju REG04 vai REG12. Operatīvie kontroles pasākumi aptver piekļuvi, skatīšanu, eksportu, izpaušanu, glabāšanu, dzēšanu un incidentu eskalāciju. Informācijas drošības vadītājs nosaka autorizētās piekļuves lomas uzraudzības ierakstiem, apmeklētāju ierakstiem un fiziskās piekļuves žurnāliem, savukārt sistēmas īpašnieks / lietotnes īpašnieks konfigurē piekļuves ierobežojumus un vismaz reizi ceturksnī REG12 reģistrē privileģētās piekļuves pārskatīšanas rezultātus. Rutīnas dzēšana, pārrakstīšana vai termiņu pārsniegušu uzraudzības ierakstu atspējošana jākonfigurē saskaņā ar REG02, un dzēšanas vai pārrakstīšanas pabeigšanas pierādījumi vismaz reizi mēnesī jāreģistrē repozitorijiem, uz kuriem attiecas automatizēta vai plānota dzēšana. Glabāšanas termiņa pagarināšanai un izvilktām kopijām pirms parastās glabāšanas pagarināšanas nepieciešams apstiprinājums un reģistrācija REG12. Ārējās izpaušanas tiek reģistrētas REG08 pirms izpaušanas vai REG10 vienas darba dienas laikā, ja izpaušana ir aktīvas reaģēšanas uz incidentiem daļa. Politika nosaka arī ārpakalpojuma uzraudzības un fiziskās drošības pakalpojumu pārvaldību. Ārpakalpojuma uzraudzības sistēmu pakalpojumu sniedzēji, apsardzes pakalpojumu sniedzēji, apmeklētāju pārvaldības pakalpojumu sniedzēji un fiziskās piekļuves kontroles pakalpojumu sniedzēji pirms pakalpojuma sākšanas jāreģistrē REG08, iekļaujot darbības jomu, apstrādātāja vai apakšapstrādātāja statusu, piekļuves tiesības, glabāšanas atbalstu, dzēšanas atbalstu, incidentu eskalāciju un izpaušanas ierobežojumus. Pārraudzība tiek uzturēta ar ceturkšņa metriku, ikgadējām pārskatīšanām, audita testēšanu, izņēmumu pārvaldību, neatbilstību reģistrēšanu, korektīvo darbību īpašumtiesībām un eskalāciju Augstākajai vadībai, ja tas nepieciešams. Tas izveido uz pierādījumiem balstītu ietvaru CCTV un fiziskās uzraudzības privātuma pienākumu pārvaldībai pārziņa un apstrādātāja kontekstos.