Privacybeleid voor CCTV en fysieke monitoring

Het privacybeleid voor CCTV en fysieke monitoring stelt privacybeheersmaatregelen vast voor monitoringactiviteiten die persoonlijk identificeerbare informatie (PII) verzamelen of anderszins verwerken. De reikwijdte omvat CCTV, videomonitoring, bezoekersmonitoring, logboeken van fysieke toegangscontrole, door beveiligingspersoneel beheerde monitoringregistraties, monitoringsystemen voor bedrijfsruimten en gerelateerde fysieke monitoring. Het beleid is van toepassing wanneer de organisatie optreedt als verwerkingsverantwoordelijke voor persoonlijk identificeerbare informatie (PII) voor haar eigen bedrijfsruimten en wanneer zij verwerkers- of subverwerkersactiviteiten ondersteunt door camerabeelden, bezoekersgegevens of fysieke toegangslogboeken namens een klant te beheren, te hosten, te beoordelen, op te slaan, te verstrekken, te verwijderen of anderszins te verwerken. Het beleid is ontworpen om te waarborgen dat monitoring doelgericht, transparant, proportioneel, toegangsbeheerst, gedurende gedefinieerde perioden bewaard, uitsluitend via goedgekeurde kanalen verstrekt en ondersteund door auditeerbaar PIMS-bewijsmateriaal is. Voordat monitoring begint, moet de proceseigenaar of bedrijfseigenaar elke monitoringactiviteit in REG02 vastleggen, inclusief doel, rechtsgrondslag, gemonitorde locatie, categorieën van persoonlijk identificeerbare informatie (PII), categorieën betrokkenen, bewaring, kennisgeving, toegang en verstrekkingsvelden. De privacyverantwoordelijke / PIMS-manager valideert deze registraties vóór activering van een nieuwe of wezenlijk gewijzigde monitoringactiviteit. Goedgekeurde gemonitorde zones, uitgesloten zones en grenzen van gegevensverzameling moeten ook worden vastgelegd voordat camera’s, sensoren, bezoekerslogboeken of logging van toegangscontrole worden ingeschakeld. Het beleid legt sterke nadruk op transparantie en risicogebaseerde beoordeling. Monitoringsignalering of gelijkwaardig just-in-time-bewijsmateriaal van kennisgeving moet in REG07 worden vastgelegd voordat gemonitorde gebieden voor betrokkenen worden geopend, en elke kennisgeving moet worden gekoppeld aan het overeenkomstige REG02-verwerkingsdoel. Alternatieve transparantiemaatregelen moeten worden vastgelegd voor niet-zichtbare of noodmonitoring. Monitoring met een hoger risico, waaronder systematische monitoring, audio-opname, biometrische identificatie, detectie met analytics, gevoelige locaties, kwetsbare personen of niet-zichtbare monitoring, vereist een REG04-beslissing over privacyrisico vóór activering. Waar monitoring een hoog risico heeft, niet zichtbaar is, grootschalig is, gericht is op werknemers of onderworpen is aan onopgeloste escalatie van rechten of incidenten, geeft de Functionaris voor gegevensbescherming (FG) / privacyadviseur advies in REG04 of REG12. Operationele beheersmaatregelen behandelen toegang, inzage, export, verstrekking, bewaring, verwijdering en incidentescalatie. De informatiebeveiligingsverantwoordelijke definieert geautoriseerde toegangsrollen voor monitoringopnamen, bezoekersregistraties en fysieke toegangslogboeken, terwijl de systeemeigenaar / applicatie-eigenaar toegangsbeperkingen configureert en resultaten van beoordelingen van geprivilegieerde toegang ten minste elk kwartaal in REG12 vastlegt. Routinematige verwijdering, overschrijving of deactivering van verlopen monitoringopnamen moet volgens REG02 worden geconfigureerd, waarbij bewijsmateriaal van voltooide verwijdering of overschrijving ten minste maandelijks wordt vastgelegd voor repositories waarop geautomatiseerde of geplande verwijdering van toepassing is. Opschortingen van verwijdering en geëxtraheerde kopieën vereisen goedkeuring en vastlegging in REG12 voordat de normale bewaartermijn wordt verlengd. Externe verstrekkingen worden vóór verstrekking in REG08 vastgelegd, of binnen één werkdag in REG10 wanneer de verstrekking onderdeel is van een actieve incidentrespons. Het beleid definieert ook governance voor uitbestede monitoring en fysieke beveiligingsdiensten. Aanbieders van uitbestede monitoringsystemen, beveiligingsdienstverleners, aanbieders van bezoekersbeheer en aanbieders van fysieke toegangscontrole moeten vóór de start van de dienst in REG08 worden vastgelegd, inclusief reikwijdte, verwerkers- of subverwerkersstatus, toegangsrechten, ondersteuning voor bewaring, ondersteuning voor verwijdering, incidentescalatie en verstrekkingsbeperkingen. Toezicht wordt onderhouden via kwartaalmetrieken, jaarlijkse beoordelingen, audittests, afhandeling van uitzonderingen, vastlegging van non-conformiteiten, eigenaarschap van corrigerende maatregelen en escalatie naar topmanagement waar vereist. Dit creëert een op bewijsmateriaal gebaseerd kader voor het beheren van privacyverplichtingen voor CCTV en fysieke monitoring in contexten van verwerkingsverantwoordelijken en verwerkers.