Персональные данные посетителей на проходной бизнес-центра

Охрана бизнес-центра на входе фотографирует посетителей и переписывает паспортные данные в журнал. Разбираем, кто в этой цепочке считается оператором персональных данных и что нужно проверить компании-арендатору.

Охрана бизнес-центра на входе фотографирует посетителей и переписывает паспортные данные в журнал. Пропускной режим обычно ведёт не сама компания-арендатор, а управляющая компания или частное охранное предприятие. Но если к арендатору приходит клиент, курьер или подрядчик и его данные попадают в чужой журнал, вопрос, кто за это отвечает, касается и арендатора.

Что происходит на проходной

Фотографирование лица, запись серии и номера паспорта, фиксация времени входа и цели визита тоже относятся к обработке персональных данных по 152-ФЗ. Неважно, ведётся журнал на бумаге или в электронной системе контроля доступа. Закон одинаково распространяется на оба варианта.

Обработку в этом случае запускает не арендатор, а тот, кто установил порядок пропуска. Это управляющая компания бизнес-центра или охранное предприятие, с которым она заключила договор. Они определяют, какие данные собирать, как долго хранить и кому передавать, а значит, обладают признаками оператора персональных данных.

Может ли арендатор оказаться оператором

Сама по себе проходная не делает арендатора оператором чужих персональных данных. Но есть две ситуации, где ответственность смещается на компанию-арендатора.

Первая ситуация возникает, если арендатор сам просит охрану вести отдельный список своих гостей, передаёт охране данные посетителей заранее или получает от неё копии паспортных сведений для собственного учёта. Тогда компания начинает самостоятельно определять цель обработки и становится оператором наравне с охраной.

Вторая ситуация возникает, если сотрудник арендатора на входе лично переписывает паспортные данные гостя в свой блокнот или CRM «для порядка». Такая инициатива юридически отделена от процедуры бизнес-центра, и отвечать за неё будет компания, которая эти данные собрала.

Что проверить в договоре аренды

• Есть ли у управляющей компании политика обработки персональных данных и стенд с уведомлением о видеофиксации и записи паспортных данных на входе;
• Указано ли в договоре аренды или отдельном соглашении, кто отвечает за пропускной режим и обработку данных посетителей;
• Заключён ли между управляющей компанией и охранным предприятием договор поручения на обработку персональных данных, если функции пропуска переданы на аутсорс;
• Сколько хранятся записи камер и журналы прохода и передаются ли они третьим лицам, например арендодателю или страховой компании.

Если ответов на эти вопросы нет, арендатору лучше запросить их у управляющей компании официальным письмом. Это не обязанность арендатора по закону, но такая переписка защищает компанию, если субъект персональных данных предъявит претензию именно к ней как к стороне, пригласившей визит.

Что сделать арендатору

Если компания ведёт собственный учёт визитов, например регистрирует гостей в CRM, просит охрану присылать список посетителей или сама фотографирует документы на входе в офис, ей нужен минимальный комплект документов. Это политика обработки персональных данных, согласие посетителя на обработку и порядок хранения таких записей. Проверить, чего не хватает, поможет

Авто-аудит сайта — проверка на нарушения 152-ФЗ

Если арендатор только принимает гостей, а данные собирает исключительно охрана бизнес-центра, отдельно оформлять ничего не требуется. Достаточно убедиться, что уведомление о видеонаблюдении и сборе паспортных данных на входе размещено на самой проходной и посетитель может его увидеть до входа.

Частые вопросы

Нужно ли арендатору включать пропускной режим бизнес-центра в свою политику персональных данных?

Нет, если арендатор не участвует в сборе данных и не получает их от охраны. Пропускной режим ведёт управляющая компания или ЧОП, и они отвечают за него самостоятельно.

Что делать, если охрана передаёт арендатору списки посетителей с паспортными данными?

С этого момента компания сама обрабатывает переданные данные и должна оформить их так же, как любые другие персональные данные клиентов, с указанием цели обработки, срока хранения и, если требуется, согласия.

Может ли гость отказаться от фотографирования на проходной?

Формально да, но тогда управляющая компания вправе не пропустить его на территорию. Это условие доступа в здание, а не обработка, от которой можно отказаться и всё равно попасть внутрь.

Кто отвечает, если данные с проходной утекли третьим лицам?

Отвечает оператор, который их собирал и хранил. Обычно это управляющая компания или охранное предприятие. Арендатор отвечает только за данные, которые обрабатывал сам.