Politika ochrany súkromia pre CCTV a monitorovanie fyzických priestorov

Politika ochrany súkromia pre CCTV a monitorovanie fyzických priestorov ustanovuje kontroly ochrany súkromia pre monitorovacie činnosti, ktoré zhromažďujú alebo inak spracúvajú osobne identifikovateľné údaje (PII). Jej rozsah zahŕňa CCTV, videomonitorovanie, monitorovanie návštevníkov, logy riadenia fyzického prístupu, záznamy z monitorovania vykonávaného strážnou službou, systémy monitorovania priestorov a súvisiace monitorovanie fyzických priestorov. Politika sa uplatňuje tam, kde organizácia koná ako prevádzkovateľ PII pre svoje vlastné priestory, a tam, kde podporuje činnosti sprostredkovateľa alebo ďalšieho sprostredkovateľa prevádzkovaním, hostingom, preskúmavaním, uchovávaním, poskytovaním, vymazávaním alebo iným spracúvaním záznamov z monitorovania, údajov návštevníkov alebo logov fyzického prístupu v mene zákazníka. Politika je navrhnutá tak, aby zabezpečila, že monitorovanie je účelové, transparentné, primerané, podlieha riadeniu prístupu, uchováva sa počas definovaných období, poskytuje sa len cez schválené kanály a je podporené overiteľnými dôkazmi PIMS. Pred začatím monitorovania musí vlastník procesu alebo vlastník organizácie zaznamenať každú monitorovaciu činnosť v REG02 vrátane účelu, právneho základu, monitorovaného miesta, kategórií PII, kategórií dotknutých osôb, uchovávania, oznámenia, prístupu a polí poskytovania. Vedúci ochrany súkromia / manažér PIMS validuje tieto záznamy pred aktiváciou novej alebo podstatne zmenenej monitorovacej činnosti. Schválené monitorované zóny, vylúčené zóny a hranice zberu musia byť tiež zaznamenané pred zapnutím kamier, snímačov, záznamov o návštevách alebo logovania riadenia prístupu. Politika kladie silný dôraz na transparentnosť a preskúmanie založené na riziku. Dôkazy o označení monitorovania alebo rovnocennom oznámení v čase potreby musia byť zaznamenané v REG07 pred sprístupnením monitorovaných priestorov dotknutým osobám a každé oznámenie musí byť prepojené so zodpovedajúcim účelom spracúvania v REG02. Alternatívne opatrenia transparentnosti musia byť zaznamenané pre monitorovanie, ktoré nie je zjavné, alebo pre núdzové monitorovanie. Monitorovanie s vyšším rizikom vrátane systematického monitorovania, zvukového záznamu, biometrickej identifikácie, detekcie s využitím analytiky, citlivých miest, zraniteľných osôb alebo monitorovania, ktoré nie je zjavné, vyžaduje pred aktiváciou rozhodnutie REG04 o riziku ochrany súkromia. Ak je monitorovanie vysoko rizikové, nie je zjavné, je rozsiahle, týka sa zamestnancov alebo podlieha nevyriešenej eskalácii práv alebo incidentov, zodpovedná osoba za ochranu osobných údajov / poradca pre ochranu súkromia poskytuje odporúčanie v REG04 alebo REG12. Prevádzkové kontroly riešia prístup, zobrazovanie, export, poskytovanie, uchovávanie, výmaz a eskaláciu incidentov. Vedúci informačnej bezpečnosti definuje oprávnené prístupové roly pre záznamy z monitorovania, záznamy návštevníkov a logy fyzického prístupu, zatiaľ čo vlastník systému / vlastník aplikácie konfiguruje obmedzenia prístupu a zaznamenáva výsledky revízie privilegovaného prístupu najmenej štvrťročne v REG12. Rutinný výmaz, prepisovanie alebo deaktivácia záznamov z monitorovania po uplynutí lehoty musí byť nakonfigurovaná podľa REG02, pričom dôkazy o dokončení výmazu alebo prepisovania sa zaznamenávajú najmenej mesačne pre úložiská podliehajúce automatizovanému alebo plánovanému výmazu. Pozastavenie výmazu a extrahované kópie vyžadujú schválenie a zaznamenanie v REG12 pred predĺžením bežného uchovávania. Externé poskytnutia sa zaznamenávajú v REG08 pred poskytnutím alebo v REG10 do jedného pracovného dňa, ak je poskytnutie súčasťou aktívnej reakcie na incidenty. Politika tiež definuje správu a riadenie outsourcovaného monitorovania a služieb fyzickej bezpečnosti. Poskytovatelia outsourcovaných monitorovacích systémov, poskytovatelia strážnych služieb, poskytovatelia správy návštevníkov a poskytovatelia riadenia fyzického prístupu musia byť zaznamenaní v REG08 pred začiatkom poskytovania služby vrátane rozsahu, štatútu sprostredkovateľa alebo ďalšieho sprostredkovateľa, prístupových oprávnení, podpory uchovávania, podpory výmazu, eskalácie incidentov a obmedzení poskytovania. Dohľad sa udržiava prostredníctvom štvrťročných metrík, ročných preskúmaní, auditného testovania, ošetrenia výnimiek, zaznamenávania nezhôd, vlastníctva nápravných opatrení a eskalácie na vrcholový manažment, ak je to potrebné. Tým vzniká dôkazmi podložený rámec na riadenie povinností ochrany súkromia pri CCTV a monitorovaní fyzických priestorov v kontextoch prevádzkovateľa a sprostredkovateľa.