Polityka prywatności CCTV i monitoringu fizycznego

Polityka prywatności CCTV i monitoringu fizycznego ustanawia środki kontrolne w zakresie prywatności dla działań monitoringowych, które gromadzą lub w inny sposób przetwarzają PII. Jej zakres obejmuje CCTV, monitoring wizyjny, monitoring odwiedzających, logi kontroli dostępu fizycznego, zapisy monitoringu prowadzonego przez pracowników ochrony, systemy monitorowania obiektów oraz powiązany monitoring fizyczny. Polityka ma zastosowanie, gdy organizacja działa jako administrator PII dla własnych obiektów oraz gdy wspiera działania podmiotu przetwarzającego lub podwykonawcy przetwarzania przez obsługę, hosting, przegląd, przechowywanie, ujawnianie, usuwanie lub inne przetwarzanie nagrań z monitoringu, danych odwiedzających lub logów dostępu fizycznego w imieniu klienta. Polityka została zaprojektowana tak, aby zapewnić, że monitoring jest celowy, przejrzysty, proporcjonalny, objęty kontrolą dostępu, przechowywany przez zdefiniowane okresy, ujawniany wyłącznie przez zatwierdzone kanały oraz wspierany dowodami PIMS możliwymi do prześledzenia audytowo. Przed rozpoczęciem monitoringu właściciel procesu lub właściciel biznesowy musi zarejestrować każde działanie monitoringowe w REG02, w tym cel, podstawę prawną, monitorowaną lokalizację, kategorie PII, kategorie osób, których dane dotyczą, retencję, klauzulę informacyjną, dostęp i pola dotyczące ujawniania. Osoba odpowiedzialna za prywatność / menedżer PIMS waliduje te wpisy przed aktywacją nowego lub istotnie zmienionego działania monitoringowego. Zatwierdzone strefy monitorowane, strefy wyłączone oraz granice gromadzenia danych również muszą zostać odnotowane przed włączeniem kamer, czujników, rejestrów odwiedzających lub rejestrowania kontroli dostępu. Polityka kładzie duży nacisk na przejrzystość oraz przegląd oparty na ryzyku. Oznakowanie monitoringu lub równoważne dowody klauzul informacyjnych just-in-time muszą zostać zarejestrowane w REG07 przed udostępnieniem monitorowanych obszarów osobom, których dane dotyczą, a każda klauzula informacyjna musi być powiązana z odpowiednim celem przetwarzania w REG02. Alternatywne środki przejrzystości muszą zostać odnotowane dla monitoringu nieoczywistego lub awaryjnego. Monitoring o wyższym ryzyku, w tym systematyczny monitoring, nagrywanie dźwięku, identyfikacja biometryczna, wykrywanie z użyciem analityki, lokalizacje wrażliwe, osoby szczególnie narażone lub monitoring nieoczywisty, wymaga decyzji REG04 dotyczącej ryzyka dla prywatności przed aktywacją. Gdy monitoring jest wysokiego ryzyka, nieoczywisty, prowadzony na dużą skalę, skierowany do pracowników albo podlega nierozwiązanej eskalacji dotyczącej praw lub incydentu, inspektor ochrony danych (IOD) / doradca ds. prywatności udziela porady w REG04 lub REG12. Operacyjne środki kontrolne obejmują dostęp, przeglądanie, eksport, ujawnianie, retencję, usuwanie i eskalację incydentów. Osoba odpowiedzialna za bezpieczeństwo informacji definiuje uprawnione role dostępu do nagrań z monitoringu, zapisów odwiedzających i logów dostępu fizycznego, natomiast właściciel systemu / właściciel aplikacji konfiguruje ograniczenia dostępu i co najmniej kwartalnie rejestruje wyniki przeglądu dostępu uprzywilejowanego w REG12. Rutynowe usuwanie, nadpisywanie lub wyłączanie przeterminowanych nagrań z monitoringu musi być skonfigurowane zgodnie z REG02, a dowody zakończenia usuwania lub nadpisywania muszą być rejestrowane co najmniej miesięcznie dla repozytoriów objętych zautomatyzowanym lub zaplanowanym usuwaniem. Wstrzymania usuwania oraz wyodrębnione kopie wymagają zatwierdzenia i rejestracji w REG12 przed przedłużeniem standardowej retencji. Ujawnienia zewnętrzne są rejestrowane w REG08 przed ujawnieniem albo w REG10 w ciągu jednego dnia roboczego, gdy ujawnienie jest częścią aktywnego reagowania na incydenty. Polityka definiuje także nadzór nad monitoringiem realizowanym w outsourcingu oraz usługami bezpieczeństwa fizycznego. Dostawcy systemów monitoringu realizowanych w modelu outsourcingowym, dostawcy usług ochrony, dostawcy zarządzania odwiedzającymi oraz dostawcy kontroli dostępu fizycznego muszą zostać zarejestrowani w REG08 przed rozpoczęciem świadczenia usługi, z uwzględnieniem zakresu, statusu podmiotu przetwarzającego lub podwykonawcy przetwarzania, uprawnień dostępu, wsparcia retencji, wsparcia usuwania, eskalacji incydentów oraz ograniczeń ujawniania. Nadzór jest utrzymywany przez kwartalne metryki, coroczne przeglądy, testy audytowe, obsługę wyjątków, rejestrowanie niezgodności, własność działań korygujących oraz eskalację do najwyższego kierownictwa, gdy jest wymagana. Tworzy to ramy oparte na dowodach do zarządzania obowiązkami w zakresie prywatności CCTV i monitoringu fizycznego w kontekstach administratora i podmiotu przetwarzającego.