Видеонаблюдение и персональные данные: где по закону может лежать архив

Закон Республики Узбекистан «О персональных данных» от 2 июля 2019 года № ЗРУ-547 определяет персональные данные как зафиксированную на электронном, бумажном или ином носителе информацию, относящуюся к определённому физическому лицу или дающую возможность его идентификации. Формулировка «дающую возможность идентификации» и есть ключ: запись, на которой различимо лицо человека, под это определение попадает.

Отсюда следует неожиданный для многих вывод: обычный видеорегистратор в офисе — это база персональных данных, а компания, которая его поставила и настроила себе, выступает их оператором. Со всеми вытекающими обязанностями, о которых обычно не думают до первой проверки или жалобы.

Закон выделяет биометрические данные отдельно: это персональные данные, характеризующие анатомические и физиологические особенности субъекта. Распознавание лица на турникете, отпечаток пальца на терминале учёта рабочего времени, шаблон радужной оболочки — всё это биометрия в смысле закона, а не просто «удобный способ открыть дверь».

Разница практическая. Карта доступа обезличена: потерял — выдали новую. Биометрический шаблон изменить нельзя, и утечка такой базы необратима. Именно поэтому к обработке биометрических данных закон предъявляет отдельные требования, и именно поэтому терминал с распознаванием лиц нельзя ставить «просто чтобы было».

Это самое важное для выбора оборудования. Закон дополнен статьёй 27-1 об особых условиях обработки персональных данных граждан Республики Узбекистан. Согласно ей, собственник или оператор при обработке персональных данных граждан республики с использованием информационных технологий, в том числе во всемирной информационной сети Интернет, обязан обеспечить их сбор, систематизацию и хранение в базах персональных данных на технических средствах, физически размещённых на территории Республики Узбекистан и зарегистрированных в установленном порядке в Государственном реестре баз персональных данных.

Уполномоченный государственный орган в этой области — Государственный центр персонализации при Кабинете Министров. Он ведёт Государственный реестр баз персональных данных, выдаёт свидетельство о регистрации базы и в пределах своих полномочий контролирует соблюдение законодательства.

Массовые облачные сервисы производителей камер удобны: поставил камеру, привязал к приложению, смотришь из любой точки. Вопрос в том, где физически лежит запись. Если система идентифицирует граждан Узбекистана, а сервер находится за пределами республики, конструкция вступает в противоречие с требованием о размещении базы на территории страны.

Отсюда наша инженерная позиция, которую мы объясняем каждому заказчику: локальный регистратор или сервер на объекте — это не консерватизм и не попытка продать железо. Удалённый доступ при этом никуда не девается: смотреть с телефона можно и через локальный регистратор, разница только в том, где хранится архив.

Первое — уведомление. Субъект при включении его персональных данных в базу должен быть письменно уведомлён о целях обработки и о своих правах. На практике это и есть та самая табличка «ведётся видеонаблюдение», но табличкой обязанность не исчерпывается: для сотрудников, чьи биометрические данные попадают в СКУД, нужен документ.

Второе — передача третьим лицам. Если персональные данные передаются третьему лицу, собственник или оператор в течение трёх дней письменно уведомляет об этом субъекта. Третье — сроки: обязанности по защите данных возникают с момента их сбора и действуют до момента уничтожения либо обезличивания. То есть «мы просто храним архив и никому его не показываем» от обязанностей не освобождает.

SAT Solutions проектирует системы так, чтобы архив и биометрические шаблоны оставались на объекте заказчика или на его сервере в Узбекистане: локальные регистраторы, серверы видеонаблюдения, СКУД с локальной базой. Удалённый доступ настраиваем через защищённое подключение, а не через перенос базы за рубеж.

Эта статья описывает требования закона в общем виде и не заменяет юридическую консультацию по конкретному объекту: состав данных, круг субъектов и схема обработки у каждого заказчика свои. Если вам нужна оценка конкретной конфигурации — присылайте описание системы, разберём вместе с вашим юристом.