Защита персональных данных при видеонаблюдении за работниками в вопросах и ответах. Часть 1

Читать «Защита персональных данных при видеонаблюдении за работниками в вопросах и ответах. Часть 2»

Материал подготовлен с использованием правовых актов по состоянию на 28 февраля 2023 г.

Даются ответы на вопросы, возникающие у нанимателя по защите персональных данных при видеонаблюдении за работниками (с образцами необходимых документов).

ПРАВОВОЕ РЕГУЛИРОВАНИЕ

● Трудовой кодекс (далее – ТК)

● Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З)

Вопрос 1.

Можно ли установить видеокамеры в кабинете работника (над рабочим местом) в целях обеспечения производственно-технологической, исполнительской и трудовой дисциплины?

Нет, не рекомендуется.

Обработка персональных данных посредством применения системы видеонаблюдения может быть расценена как несоразмерная, несправедливая и избыточная.

Правовым основанием для использования системы видеонаблюдения может выступать абз. 8 ст. 6 Закона № 99-З, которым предусмотрено, что обработка персональных данных без согласия субъекта персональных данных может осуществляться при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством.

Как следует из постатейного комментария к Закону № 99-З, условие применения этого правового основания – закрепление необходимости обработки определенных персональных данных в законодательстве. К таким случаям относятся следующие ситуации:

● обработка персональных данных и круг обрабатываемых персональных данных работников прямо предусматриваются в НПА;

● в акте законодательства данная информация напрямую не указана, но необходимость такой обработки прямо вытекает из предписаний этого акта, возлагающего на нанимателя определенные обязанности или предоставляющего ему определенные полномочия.

Косвенное закрепление такой необходимости содержится в п. 2 ч. 1 ст. 55 ТК. Согласно указанной норме наниматель обязан обеспечивать производственно-технологическую, исполнительскую и трудовую дисциплину, что напрямую связанно с обработкой персональных данных работников.

Однако, несмотря на формальное наличие правового основания использования системы видеонаблюдения для обработки персональных данных (абз. 8 ст. 6 Закона № 99-З), применение системы видеонаблюдения должно соответствовать общим требованиям, предъявляемым к обработке персональных данных, предусмотренным в ст. 4 Закона № 99-З.

В п. 2 ст. 4 Закона № 99-З определено, что обработка персональных данных должна быть соразмерна заявленным целям их обработки и обеспечивать на всех этапах такой обработки справедливое соотношение интересов всех заинтересованных лиц.

В данной норме оговорены такие требования, как соразмерность и справедливость при обработке персональных данных.

Соразмерность. Согласно постатейному комментарию к Закону № 99-З обработка является соразмерной, когда цель обработки персональных данных без их обработки не будет достигнута или ее достижение будет серьезно затруднено.

Полагаем, что обеспечение нанимателем дисциплины может быть достигнуто и без применения средств видеонаблюдения.

Справедливость. Требование к справедливому соотношению интересов заинтересованных лиц отражает необходимость обеспечения баланса между интересами операторов и субъектов персональных данных (нанимателя и работника). Справедливость обработки также означает недопустимость злоупотребления сложившейся ситуацией. Однако при использовании видеонаблюдения возникают существенные риски использования полученных записей в личных целях.

Из этого следует, что установка видеокамер в кабинете работника (над рабочим местом) в целях обеспечения производственно-технологической, исполнительской и трудовой дисциплины не соответствует требованиям, установленным в п. 2 ст. 4 Закона № 99-З.

Также необходимо обратить внимание на п. 5 ст. 4 Закона № 99-З. Из содержания данной нормы следует, что при обработке персональных данных запрещена их избыточность.

Избыточность. Персональные данные избыточны по отношению к заявленной цели, когда такая цель может быть достигнута с использованием меньшего набора данных либо с использованием менее чувствительных их категорий.

Вместе с тем наниматель способен обеспечить производственно-технологическую, исполнительскую и трудовую дисциплину, обрабатывая значительно меньший набор персональных данных, чем тот, который получает при обработке записей с камер видеонаблюдения, получаемых из кабинета работников или иных подобных мест.

Из этого следует, что применение системы видеонаблюдения в рассматриваемом случае может быть расценена как избыточная обработка персональных данных по отношению к цели обеспечения производственно-технологической, исполнительской и трудовой дисциплины.

Для достижения указанной цели нанимателю достаточно меньшего набора персональных данных.

Таким образом, даже несмотря на наличие правового основания на обработку персональных данных (абз. 8 ст. 6 Закона № 99-З), применение в кабинетах работников или иных закрытых от общего доступа местах системы видеонаблюдения для обеспечения производственно-технологической, исполнительской и трудовой дисциплины может быть расценено как несоразмерная, несправедливая и избыточная обработка персональных данных.

Вопрос 2.

Можно ли использовать систему видеонаблюдения для учета фактически отработанного работником времени?

Нет, не рекомендуется.

Такая обработка персональных данных также может быть расценена как несоразмерная, несправедливая и избыточная.

Учет фактически отработанного времени может быть достигнут с помощью применения магнитных карт, ведения журнала учета рабочего времени и т.п.

Вопрос 3.

Можно ли установить видеокамеры над кассой в магазине, на строительной площадке или в иных подобных местах?

Установка системы видеонаблюдения допускается за пространством, требующим постоянного контроля.

Как следует из информации, размещенной на официальном Telegram-канале Национального центра защиты персональных данных, видеонаблюдение за пространством, где работники выполняют трудовые функции, в частности, охватывающие рабочие места работников, допускается в следующих ситуациях:

● при наличии высокой степени рисков, связанных с опасными условиями труда (на строительных площадках, травмоопасных производствах и т.п.);

● при работе с материальными ценностями (кассиров и т.п.) или связанной с непрерывным обслуживанием клиентов.

При этом контроль за деятельностью работника не может выступать в качестве единственной цели использования видеонаблюдения. Иными словами, система видеонаблюдения должна применятся по отношению к пространству, где работники могут осуществлять свои трудовые функции.

При таком применении системы видеонаблюдения следует допустить наличие соразмерности обработки персональных данных и справедливого соотношения интересов (п. 2 ст. 4 Закона № 99-З).

Как наниматель, так и работник заинтересованы в объективном рассмотрении неоднозначных и конфликтных ситуаций, например, связанных с хищением денежных средств из кассы магазина или несчастным случаем на производстве.

В рассматриваемой ситуации правовым основанием обработки персональных данных может выступать абз. 8 ст. 6 Закона № 99-З, поскольку наниматель согласно п. 2 ч. 1 ст. 55 ТК обязан обеспечивать производственно-технологическую, исполнительскую и трудовую дисциплину.

Вопрос 4.

Может ли наниматель взять с работников согласие на установку системы видеонаблюдения на рабочих местах работников?

Нет.

Как следует из рекомендаций об обработке персональных данных в связи с трудовой (служебной) деятельностью, необходимо учитывать, что в связи с неравным статусом сторон в рамках трудовых отношений согласие, как правило, не может выступать правовым основанием для обработки нанимателем персональных данных работников (работник находится в подчиненном положении, и такое согласие не носит свободного характера).

Свободный характер согласия. Согласие является свободным, когда работник самостоятельно, исходя из своего внутреннего убеждения выражает свою волю в отношении обработки персональных данных. Данное требование предполагает недопустимость понуждения работника к даче такого согласия под угрозой наступления неблагоприятных для него последствий.

Вопрос 5.

Как установить систему видеонаблюдения в организации, не нарушив законодательства о персональных данных?

Поскольку при видеонаблюдении осуществляется обработка персональных данных, то наниматель обязан реализовать правовые, организационные и технические меры по обеспечению защиты персональных данных (ст. 17 Закона № 99-З).

Алгоритм установки системы видеонаблюдения в организации с учетом обработки персональных данных:

Шаг 1. Разработка документа, определяющего порядок видеонаблюдения и обеспечивающего неограниченный доступ к нему.

Таким документом может быть Положение о политике видеонаблюдения в организации (далее – Положение).

Положение должно позволять субъектам персональных данных понимать, кем, как и для каких целей ведется видеонаблюдение, а также отражать имеющиеся у субъектов персональных данных права в контексте применения видеонаблюдения и механизм их реализации.

В связи с этим Положение должно включать в себя следующую информацию:

1. Общие положения.

В общих положениях необходимо отразить наименование организации, место ее нахождения, сферу применения такого документа и специфику применения системы видеонаблюдения.

2. Цели и правовые основания обработки персональных данных (ведения видеонаблюдения).

Цели и правовые основания обработки персональных данных, получаемых при видеонаблюдении, должны быть конкретными и законными.

3. Порядок и условия видеонаблюдения.

При определении порядка обработки персональных данных также следует указать перечень действий с видеозаписями (сбор, хранение, предоставление, удаление и т.п.).

4. Срок хранения видеозаписей.

5. Права субъектов персональных данных в контексте применения видеонаблюдения.

При перечислении прав субъектов персональных данных необходимо:

● описать конкретный механизм подачи соответствующих заявлений (ст. 14 Закона № 99-З);

● порядок рассмотрения таких заявлений (п. 2, 3 ст. 11, п. 2, 3 ст. 12, ст. 15 Закона № 99-З);

● указать данные лица (структурного подразделения), ответственного за осуществление внутреннего контроля за обработкой персональных данных, к которому можно обратиться за содействием в реализации прав субъекта персональных данных (электронную почту).

6. Иную информацию, необходимую для обеспечения прозрачности процесса видеонаблюдения.

Следует также обеспечить неограниченный доступ к Положению, разместив его, например, на информационных стендах организации. Если есть интернет-сайт организации, Положение целесообразно разместить на нем (оптимально в «подвале» сайта).

Пример 1.

Образец Положения о политике видеонаблюдения в организации

Пример 2.

Образец приказа об утверждении Положения о политике видеонаблюдения

Шаг 2. Ознакомление лиц, имеющих доступ к системе видеонаблюдения, с положениями законодательства о персональных данных, в т.ч. с требованиями по защите персональных данных, а также с Положением.

Работников организации и иных лиц, которые непосредственно обрабатывают персональные данные, необходимо ознакомить с положениями законодательства о персональных данных, в т.ч. с требованиями по защите персональных данных, а также с Положением.

Механизм ознакомления должен позволять подтвердить такое ознакомление (например, ознакомление под подпись работников в журнале).

Шаг 3. Установка порядка доступа к персональным данным, обрабатываемым в системе видеонаблюдения.

В организации также необходимо установить порядок доступа к персональным данным, обрабатываемым в системе видеонаблюдения.

Данный порядок может включать следующую информацию:

● описание круга персональных данных и категорий работников, которые имеют доступ к таким персональным данным в связи со своими должностными обязанностями;

● порядок доступа к персональным данным в иных случаях;

● порядок прекращения доступа работников к обработке персональных данных и т.п.

Пример 3.

Образец Положения о порядке доступа к персональным данным, в том числе обрабатываемым в информационном ресурсе (системе)

Шаг 4. Разработка перечня информационных ресурсов (систем), содержащих персональные данные, собственником (владельцем) которых является наниматель, а также категорий персональных данных, подлежащих включению в данные ресурсы (системы).

К таким ресурсам (системам) следует отнести и систему видеонаблюдения в организации.

Пример 4.

Образец перечня информационных ресурсов (систем), содержащих персональные данные, и категории персональных данных, подлежащих включению в них

Шаг 5. Ведение реестра обработки персональных данных.

С целью осуществления надлежащего контроля за обработкой персональных данных необходимо осуществить систематизацию и учет видов обработки персональных данных, в т.ч. получаемых из системы видеонаблюдения.

Пример 5.

Образец Положения о реестре обработки персональных данных.

В целом организации при приведении своей деятельности в соответствие законодательству о персональных данных рекомендуется обращаться к алгоритму действий оператора.