Policy för integritet vid CCTV och fysisk övervakning

Policy för integritet vid CCTV och fysisk övervakning etablerar integritetskontroller för övervakningsaktiviteter som samlar in eller på annat sätt behandlar personuppgifter. Omfattningen innefattar CCTV, videoövervakning, besöksövervakning, loggar från fysisk åtkomstkontroll, övervakningsposter som hanteras av väktare, övervakningssystem för lokaler och relaterad fysisk övervakning. Policyn gäller där organisationen agerar som personuppgiftsansvarig för sina egna lokaler och där den stödjer aktiviteter som personuppgiftsbiträde eller underbiträde genom att drifta, hosta, granska, lagra, lämna ut, radera eller på annat sätt behandla övervakningsmaterial, besöksdata eller loggar över fysiskt tillträde för en kunds räkning. Policyn är utformad för att säkerställa att övervakning är ändamålsstyrd, transparent, proportionerlig, åtkomstkontrollerad, bevaras under definierade perioder, endast lämnas ut via godkända kanaler och stöds av PIMS-underlag som kan granskas. Innan övervakning inleds ska processägaren eller verksamhetsägaren registrera varje övervakningsaktivitet i REG02, inklusive ändamål, rättslig grund, övervakad plats, kategorier av personuppgifter, kategorier av registrerade, bevarande, integritetsmeddelande, åtkomst och fält för utlämnande. Integritetsansvarig/PIMS-ansvarig validerar dessa poster innan en ny eller väsentligt ändrad övervakningsaktivitet aktiveras. Godkända övervakade zoner, exkluderade zoner och insamlingsgränser ska också registreras innan kameror, sensorer, besöksloggar eller loggning för åtkomstkontroll aktiveras. Policyn lägger stor vikt vid transparens och riskbaserad granskning. Underlag för övervakningsskyltning eller motsvarande just-in-time-integritetsmeddelanden ska registreras i REG07 innan övervakade områden öppnas för registrerade, och varje integritetsmeddelande ska kopplas till motsvarande behandlingsändamål i REG02. Alternativa transparensåtgärder ska registreras för övervakning som inte är uppenbar eller som sker i nödläge. Övervakning med högre risk, inklusive systematisk övervakning, ljudinspelning, biometrisk identifiering, analysbaserad detektering, känsliga platser, sårbara personer eller övervakning som inte är uppenbar, kräver ett beslut om integritetsrisk i REG04 före aktivering. När övervakning är högrisk, inte uppenbar, storskalig, riktad mot anställda eller föremål för olöst eskalering av rättigheter eller incidenter, lämnar dataskyddsombudet/integritetsrådgivaren råd i REG04 eller REG12. Operativa kontroller omfattar åtkomst, visning, export, utlämnande, bevarande, radering och incidenteskalering. Informationssäkerhetsansvarig definierar behöriga åtkomstroller för övervakningsinspelningar, besöksregister och loggar över fysiskt tillträde, medan systemägaren/applikationsägaren konfigurerar åtkomstbegränsningar och registrerar resultat från granskning av privilegierad åtkomst minst kvartalsvis i REG12. Rutiner för radering, överskrivning eller inaktivering av utgångna övervakningsinspelningar ska konfigureras enligt REG02, med underlag för slutförd radering eller överskrivning registrerat minst månadsvis för lagringsplatser som omfattas av automatiserad eller schemalagd radering. Bevarandespärrar och extraherade kopior kräver godkännande och registrering i REG12 innan normal bevarandetid förlängs. Externa utlämnanden registreras i REG08 före utlämnande, eller i REG10 inom en arbetsdag när utlämnandet ingår i en aktiv incidenthantering. Policyn definierar också styrning för outsourcade övervaknings- och fysiska säkerhetstjänster. Outsourcade leverantörer av övervakningssystem, bevakningsleverantörer, leverantörer av besökshantering och leverantörer av fysisk åtkomstkontroll ska registreras i REG08 innan tjänsten startar, inklusive omfattning, status som personuppgiftsbiträde eller underbiträde, åtkomstbehörigheter, stöd för bevarande, stöd för radering, incidenteskalering och begränsningar för utlämnande. Tillsyn upprätthålls genom kvartalsvisa mätetal, årliga granskningar, revisionstestning, undantagshantering, registrering av avvikelse, ägarskap för korrigerande åtgärder och eskalering till högsta ledningen där det krävs. Detta skapar ett underlagsbaserat ramverk för att hantera integritetsskyldigheter vid CCTV och fysisk övervakning i sammanhang där organisationen är personuppgiftsansvarig eller personuppgiftsbiträde.