Как оформить запись видеосовещаний в ВКС по 152-ФЗ

Российские сервисы ВКС записывают совещания по умолчанию, и в этой записи есть голос и лицо каждого участника, то есть персональные данные. Разбираем, какое согласие нужно получить от сотрудников и внешних участников, сколько хранить запись и что учесть при выборе сервиса видеосвязи, чтобы не нарушить 152-ФЗ.

Компании переходят с Zoom и Teams на российские сервисы видеосвязи и записывают совещания по умолчанию. В записи звучит голос и видно лицо каждого участника. Это персональные данные, и у компании возникают обязанности оператора: получить согласие, определить срок хранения и закрыть доступ посторонним.

Что считается персональными данными в записи совещания

К персональным данным относится любая информация, которая относится к конкретному человеку и позволяет его определить (статья 3 152-ФЗ). Голос, изображение лица, имя в профиле и реплики в чате подходят под это определение.

Есть нюанс с биометрическими персональными данными. Простая запись совещания сама по себе биометрией не становится. Данные становятся биометрическими, когда компания использует запись для идентификации человека по голосу или лицу, например прогоняет её через систему распознавания лиц. Для протокола совещания это обычно не требуется, поэтому действует общий режим 152-ФЗ, а не более строгие правила для биометрии.

Нужно ли согласие на запись

Да. Участник должен знать, что совещание записывают, и дать согласие на обработку голоса и изображения. Для сотрудников это закрывают локальным актом и пунктом в согласии на обработку персональных данных, которое человек подписывает при трудоустройстве. Для внешних участников, клиентов, подрядчиков, кандидатов на собеседовании готового согласия нет, и компания получает его отдельно.

Проще всего сделать это в начале звонка. Ведущий предупреждает голосом или в чате, что совещание записывается и участие в звонке означает согласие на запись. Устное уведомление снижает риски, но письменное согласие с понятной целью обработки надёжнее при проверке. Компании, которые регулярно встречаются с одними и теми же клиентами, включают условие о записи в договор или в отдельное согласие, которое подписывают один раз.

Что делать с записью после совещания

Определите срок хранения записи и закрепите его в локальном документе, например в Политике обработки персональных данных или в отдельном регламенте по ВКС. Храните запись ровно столько, сколько нужно для цели её создания, будь то сверка договорённостей, протокол или разбор спорного вопроса. После истечения срока запись удаляют, а не оставляют на всякий случай.

Ограничьте доступ к архиву записей. Доступ получают только сотрудники, которым он нужен по работе, остальным его не открывают. Если запись выгружают на личный диск сотрудника или в общий чат, это тоже обработка персональных данных, и компания отвечает за то, куда данные попали дальше.

Что учесть при выборе сервиса ВКС

Российский сервис видеосвязи, такой как Яндекс Телемост, VK Звонки, Контур.Толк или TrueConf, обычно хранит данные на серверах в России, и это снимает вопрос локализации персональных данных по статье 18 152-ФЗ. Если компания продолжает использовать зарубежный сервис или хранит записи в зарубежном облаке, ей нужно учитывать правила трансграничной передачи персональных данных, включая уведомление Роскомнадзора и оценку страны получателя.

Перед подключением сервиса проверьте его политику хранения записей, круг сотрудников провайдера с доступом к серверам и наличие договора поручения на обработку персональных данных с вашей компанией. Без такого договора компания не может подтвердить, что подрядчик обрабатывает данные участников совещаний законно.

Авто-аудит сайта — проверка на нарушения 152-ФЗ

Что грозит за запись без согласия

Если компания записывает совещания с клиентами или кандидатами без уведомления и согласия, это нарушение условий обработки персональных данных по статье 9 152-ФЗ. При проверке или жалобе участника Роскомнадзор вправе выдать предписание, а при повторном нарушении сумма штрафа вырастет. Оценить возможные потери поможет

Калькулятор штрафов по 152-ФЗ

С чего начать, чтобы закрыть это правильно

Добавьте в Политику обработки персональных данных пункт о записи видеосовещаний и определите срок хранения. Настройте у ведущих звонков голосовое уведомление о записи в начале встречи. Проверьте договор с сервисом ВКС на предмет договора поручения на обработку персональных данных. Эти три шага закрывают основной риск за один рабочий день.

Частые вопросы

Нужно ли согласие, если запись делают только для внутреннего протокола?

Да. Цель использования записи не влияет на факт обработки персональных данных. Даже короткая заметка для памяти требует уведомления участников и определённого срока хранения.

Можно ли включить условие о записи в оферту или пользовательское соглашение?

Можно, если участник соглашается с офертой до звонка и формулировка описывает именно запись видео и звука, а не обработку персональных данных в целом. Отдельное согласие на запись совещаний надёжнее общей формулировки.

Что делать, если запись случайно попала не тем участникам?

Это инцидент с персональными данными. Компания фиксирует его, оценивает, какие данные и скольких людей затронуты, и решает, нужно ли уведомлять Роскомнадзор.

Нужно ли уведомлять РКН? — пройти тест

Нужно ли хранить запись, если участник отозвал согласие?

Нет. После отзыва согласия компания прекращает обработку и удаляет запись, если у неё нет другого законного основания её хранить, например обязанность по договору или неразрешённый спор.