Персональные данные клиентов при установке камер и умного дома

Охранная компания или интегратор, который ставит клиенту видеонаблюдение, домофон с распознаванием лиц или систему умного дома, сам становится оператором персональных данных. Разбираем, какое согласие получить, нужна ли регистрация в Роскомнадзоре и что делать с биометрией.

Охранная компания ставит клиенту видеонаблюдение, домофон с распознаванием лиц или систему умного дома. С момента установки компания получает адрес заказчика, номер телефона, расписание, когда дом пустует, видеозапись, а иногда и голос членов семьи. Это персональные данные. И по 152-ФЗ компания, которая их собирает и хранит, становится оператором персональных данных, как банк или клиника.

Многие интеграторы об этом не думают. Договор подписан на монтаж оборудования, а не на "обработку персональных данных", поэтому кажется, что закон компании не касается. На деле касается с первой минуты работы камеры.

Почему интегратор становится оператором персональных данных

152-ФЗ называет оператором любое лицо, которое собирает, хранит, использует или передаёт персональные данные для своих целей. Охранная компания и интегратор умного дома делают именно это. Они получают ФИО и адрес заказчика при заключении договора, записывают видео с камер и звук с домофонов, а при технологии распознавания лиц обрабатывают биометрические данные членов семьи, сотрудников, курьеров и гостей. Кроме того, они хранят данные о графике охраны, то есть о том, когда объект под сигнализацией, а когда нет.

Отдельная сложность в том, что камера у подъезда или на фасаде снимает не только заказчика, но и соседей, прохожих, курьеров. Эти люди тоже становятся субъектами персональных данных, хотя договора с компанией у них нет.

Что оформить до установки оборудования

Список для компании, которая ставит камеры, домофоны и умный дом.

Политика обработки персональных данных. Базовый документ оператора, без него дальнейшие шаги бессмысленны.
Письменное согласие заказчика на обработку его персональных данных. Оформите его отдельным бланком или пунктом в договоре на монтаж и обслуживание.
Информирование о видеонаблюдении. Табличка на входе, в подъезде или на объекте уведомляет тех, кого компания не просила о согласии напрямую.
Договор с облачным провайдером, если записи хранятся не на сервере клиента, а в облаке подрядчика. Компания в этом случае поручает обработку данных третьему лицу и обязана прописать в договоре, какие действия с данными разрешены и как их защищают.

Отдельный случай распознавания лиц

Если система анализирует лица людей и сопоставляет их с базой, например для открытия двери или контроля доступа, это уже биометрические персональные данные. Статья 11 152-ФЗ требует на такую обработку отдельное письменное согласие. Общей формулировки "согласен на обработку персональных данных" недостаточно.

Согласие нужно получить у каждого, чьё лицо система распознаёт: у заказчика, членов его семьи и сотрудников, если система стоит в офисе. Для разовых гостей и курьеров, которых система не идентифицирует по базе, а просто фиксирует на видео, действует общий режим без отдельного согласия на биометрию.

Нужна ли регистрация в Роскомнадзоре

Статья 22 152-ФЗ обязывает оператора уведомить Роскомнадзор до начала обработки персональных данных. Из этого правила есть исключения, но охранная компания, которая ведёт видеозапись клиентов и хранит их контакты, как правило под них не подпадает. Уведомление подаётся один раз при начале такой деятельности, а не на каждого нового клиента отдельно.

Проверка компании в реестре операторов РКН

Что делать пошагово

Определить, какие данные собирает оборудование: контакты заказчика, видео, биометрию, данные о графике охраны.
Подготовить или обновить политику обработки персональных данных компании.
Включить в договор с клиентом согласие на обработку его данных и отдельно согласие на биометрию, если система распознаёт лица.
Заключить договор поручения с облачным провайдером, если записи хранятся не локально.
Подать уведомление в Роскомнадзор, если компания ещё не зарегистрирована как оператор.
Разместить информирование о видеонаблюдении на объекте, где это уместно.

Подробный порядок работы с согласиями и документами оператора смотрите в гайде

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд

Частые вопросы

Нужно ли согласие соседей, если камера снимает подъезд?

Прямое согласие получить сложно, потому что соседи не клиенты компании. Здесь работает информирование. Табличка о видеонаблюдении на входе выполняет обязанность уведомить людей, чьи данные попадают в объектив.

Что если компания не использует распознавание лиц, а просто пишет видео?

Отдельное согласие на биометрию не нужно, но обычные правила оператора всё равно действуют. Нужны политика обработки и согласие клиента на видеозапись.

Нужно ли новое уведомление в Роскомнадзор на каждого клиента?

Нет. Уведомление подаётся один раз, когда компания начинает обрабатывать персональные данные как оператор, а не отдельно по каждому объекту или заказчику.

Что грозит за отсутствие согласия на обработку?

Роскомнадзор вправе проверить компанию и выдать предписание устранить нарушение. Если оператор не исправит ситуацию, дело может дойти до штрафа по статье 13.11 КоАП РФ.