Видеонаблюдение и персональные данные: где по закону может лежать архив

Закон Республики Узбекистан «О персональных данных» от 2 июля 2019 года № ЗРУ-547 определяет персональные данные как зафиксированную на электронном, бумажном или ином носителе информацию, относящуюся к определённому физическому лицу или дающую возможность его идентификации. Формулировка «дающую возможность идентификации» и есть ключ: запись, на которой различимо лицо человека, под это определение попадает.

Отсюда следует неожиданный для многих вывод: обычный видеорегистратор в офисе — это база персональных данных, а компания, которая его поставила и настроила себе, выступает их оператором. Со всеми вытекающими обязанностями, о которых обычно не думают до первой проверки или жалобы.

Закон выделяет биометрические данные отдельно: это персональные данные, характеризующие анатомические и физиологические особенности субъекта. Распознавание лица на турникете, отпечаток пальца на терминале учёта рабочего времени, шаблон радужной оболочки — всё это биометрия в смысле закона, а не просто «удобный способ открыть дверь».

Разница практическая. Карта доступа обезличена: потерял — выдали новую. Биометрический шаблон изменить нельзя, и утечка такой базы необратима. Именно поэтому к обработке биометрических данных закон предъявляет отдельные требования, и именно поэтому терминал с распознаванием лиц нельзя ставить «просто чтобы было».

Это самое важное для выбора оборудования. Закон дополнен статьёй 27-1 об особых условиях обработки персональных данных граждан Республики Узбекистан. Согласно ей, собственник или оператор при обработке персональных данных граждан республики с использованием информационных технологий, в том числе во всемирной информационной сети Интернет, обязан обеспечить их сбор, систематизацию и хранение в базах персональных данных на технических средствах, физически размещённых на территории Республики Узбекистан и зарегистрированных в установленном порядке в Государственном реестре баз персональных данных.

Уполномоченный государственный орган в этой области — Государственный центр персонализации при Кабинете Министров. Он ведёт Государственный реестр баз персональных данных, выдаёт свидетельство о регистрации базы и в пределах своих полномочий контролирует соблюдение законодательства.

Массовые облачные сервисы производителей камер удобны: поставил камеру, привязал к приложению, смотришь из любой точки. Вопрос в том, где физически лежит запись. Если система идентифицирует граждан Узбекистана, а сервер находится за пределами республики, конструкция вступает в противоречие с требованием о размещении базы на территории страны.

Отсюда наша инженерная позиция, которую мы объясняем каждому заказчику: локальный регистратор или сервер на объекте — это не консерватизм и не попытка продать железо. Удалённый доступ при этом никуда не девается: смотреть с телефона можно и через локальный регистратор, разница только в том, где хранится архив.

Первое — уведомление. Субъект при включении его персональных данных в базу должен быть письменно уведомлён о целях обработки и о своих правах. На практике это и есть та самая табличка «ведётся видеонаблюдение», но табличкой обязанность не исчерпывается: для сотрудников, чьи биометрические данные попадают в СКУД, нужен документ.

Второе — передача третьим лицам. Если персональные данные передаются третьему лицу, собственник или оператор в течение трёх дней письменно уведомляет об этом субъекта. Третье — сроки: обязанности по защите данных возникают с момента их сбора и действуют до момента уничтожения либо обезличивания. То есть «мы просто храним архив и никому его не показываем» от обязанностей не освобождает.

Готового перечня «здесь камеры запрещены» в законодательстве Узбекистана нет — граница выводится из нескольких норм сразу. Статья 31 Конституции Республики Узбекистан (принята на референдуме 30 апреля 2023 года) гарантирует каждому неприкосновенность частной жизни, личную и семейную тайну, а также право требовать уничтожения сведений о себе, собранных незаконно. Статья 25 Закона № ЗРУ-547 относит сведения о частной жизни к специальным персональным данным: их обработка запрещена, кроме перечисленных в законе случаев, и главный из них для частного владельца камер — письменное согласие самого человека.

Обычная камера в магазине или офисе работает на другом основании. Статья 18 того же закона допускает обработку данных для осуществления прав и законных интересов собственника — например, защиты имущества, — но с оговоркой: если при этом не нарушаются права и законные интересы субъектов. Отсюда практическое правило, которого мы придерживаемся на каждом объекте: камера смотрит на вход, кассу, склад, парковку и коридор, а места, где человек раздевается или рассчитывает на уединение, — санузлы, душевые, раздевалки, примерочные, комнаты отдыха и сна персонала, — как и окна и двери чужого жилья, остаются вне кадра.

Отдельно о жилище: та же статья 31 Конституции закрепляет его неприкосновенность. Камера над собственной калиткой, которая видит улицу, — обычная практика; камера, развёрнутая так, что в кадр попадает соседний двор или окна соседнего дома, — уже вторжение в чужую частную жизнь, и такой ракурс лучше не выставлять, даже если кронштейн позволяет. Для этих случаев в камерах есть маска приватности: выбранный участок кадра закрашивается и в архив не пишется.

Подъезд, лестничная клетка и лифт — места общего пользования, а не чья-то квартира, поэтому камера там сама по себе в частную жизнь не вторгается. Более того, в новых домах она обязательна: по постановлению Президента № ПП-48 от 5 февраля 2026 года с 1 мая 2026 года камеры в каждом подъезде, в лифтах и на прилегающей территории закладываются в проект, а установленное оборудование относится к общему имуществу дома. В уже построенном доме камеру в подъезде разумнее ставить по договорённости с соседями и управляющей организацией: пространство общее, и вопрос, у кого хранится архив, лучше решить заранее.

Камера у своей двери уместна, когда она снимает свою дверь и площадку перед ней. Направить объектив в дверной проём или глазок соседа, держать в кадре его прихожую каждый раз, когда открывается дверь, а тем более выкладывать записи соседей в общие чаты — всё это может быть расценено как незаконное собирание или распространение сведений о частной жизни. Статья 46-1 Кодекса об административной ответственности предусматривает за это штраф от 10 до 40 базовых расчётных величин, а повторное нарушение после административного взыскания подпадает уже под статью 141-1 Уголовного кодекса.

Трудовой кодекс Республики Узбекистан от 28 октября 2022 года посвящает персональным данным работника статьи 175–180. Статья 175 включает в них и сведения о фактах, событиях и обстоятельствах жизни работника, ставших известными работодателю, и относит такую информацию к конфиденциальной. Запись, на которой работник узнаваем, по смыслу под это определение подходит.

Статья 176 обязывает работодателя сообщить работнику о целях, источниках и способах получения его персональных данных и ознакомить работников под подпись с документами, которые устанавливают порядок их обработки. Для видеонаблюдения на практике это означает приказ или положение о видеонаблюдении (какие зоны, зачем, сколько хранится архив, у кого доступ), подпись каждого сотрудника об ознакомлении и таблички на входе в зоны съёмки. Скрытая камера в рабочем кабинете этим требованиям не отвечает.

Ещё одна деталь из статьи 177: условие трудового договора или внутреннего документа, по которому работник отказывается от защиты своих персональных данных, недействительно. Строчка «согласен на любое видеонаблюдение» в договоре нормальное положение не заменяет. За нарушение законодательства о персональных данных статья 46-2 Кодекса об административной ответственности предусматривает штраф для граждан в размере 7, для должностных лиц — 50 базовых расчётных величин.

SAT Solutions проектирует системы так, чтобы архив и биометрические шаблоны оставались на объекте заказчика или на его сервере в Узбекистане: локальные регистраторы, серверы видеонаблюдения, СКУД с локальной базой. Удалённый доступ настраиваем через защищённое подключение, а не через перенос базы за рубеж.

Эта статья описывает требования закона в общем виде и не заменяет юридическую консультацию по конкретному объекту: состав данных, круг субъектов и схема обработки у каждого заказчика свои. Если вам нужна оценка конкретной конфигурации — присылайте описание системы, разберём вместе с вашим юристом.