Видеонаблюдение и персональные данные: основные правила

Запись с камеры может быть персональными данными. Федеральный закон № 152-ФЗ относит к ним любую информацию, связанную с прямо или косвенно определенным либо определяемым физическим лицом. Если на записи можно определить посетителя, работника, жильца или другого человека, правила работы с персональными данными нельзя игнорировать.

Но из этого не следует, что любое изображение человека автоматически является биометрическими персональными данными. Для биометрии действует дополнительный критерий: сведения о физиологических или биологических особенностях должны использоваться оператором именно для установления личности человека.

Разница существенная. Обычная камера у входа, сохраняющая архив для разбора кражи, и система, которая распознает посетителя по лицу и открывает ему турникет, юридически не одно и то же.

Когда видеозапись считается персональными данными

Закон не содержит отдельного списка вроде «лицо на видео — персональные данные, силуэт — нет». Работает общее определение.

Персональными становятся сведения, которые относятся к определенному или определяемому человеку. Поэтому значение имеет содержание записи и возможность связать его с конкретным лицом.

Например, человек хорошо различим в кадре, камера фиксирует его вход в офис, а организация может сопоставить запись с пропуском, временем приема или другими сведениями. В такой ситуации связь с конкретным человеком очевидна.

Если в дальнем углу записи видна неразличимая фигура, по которой невозможно прямо или косвенно определить человека, вывод уже не настолько однозначен.

При этом персональными данными может быть не только лицо крупным планом. Совокупность признаков иногда позволяет определить человека и без него: место работы, форма, номер пропуска, автомобиль, регулярное время появления и связанные записи.

Для владельца системы важен практический вопрос: может ли он сам или вместе с имеющимися у него сведениями установить, кто находится в кадре.

Является ли видеонаблюдение биометрическими персональными данными

Не всегда.

Статья 11 Федерального закона № 152-ФЗ определяет биометрические персональные данные как сведения о физиологических и биологических особенностях человека, на основании которых можно установить его личность и которые оператор использует для такого установления.

Роскомнадзор в письме от 1 августа 2024 года № 62450-02-11/77 отдельно рассматривал вопрос фотографии и видеозаписи. Ведомство указало, что в случаях, когда фото или видео не относятся законодательством к биометрическим данным, их обработка может осуществляться на основаниях статьи 6 Закона № 152-ФЗ.

Поэтому сама фраза «камера снимает лицо» еще не означает, что оператор ведет биометрическую обработку.

Типичная охранная камера, которая записывает происходящее на случай кражи или конфликта, отличается от системы, которая строит шаблон лица и использует его для идентификации или аутентификации человека.

Сценарий	Обычные персональные данные	Возможна биометрическая обработка
Запись входа в магазин для безопасности	Да, если человека можно определить	Обычно нет
Архив камеры в офисе	Да, если работники определимы	Не автоматически
Поиск конкретного человека вручную по записи после происшествия	Персональные данные	Зависит от способа обработки
Автоматическое распознавание лица для прохода	Да	Да, применяется специальный режим
Сравнение изображения с эталонным шаблоном лица	Да	Как правило, речь идет об идентификации по биометрии

Для биометрических персональных данных статья 11 по общему правилу требует письменного согласия, если не применяется одно из предусмотренных законом исключений.

Поэтому включать распознавание лиц как еще одну галочку в настройках регистратора — совсем не то же самое, что повысить качество изображения с Full HD до 4K.

Нужно ли получать согласие каждого человека перед камерой

Согласие — одно из возможных оснований обработки персональных данных, но не единственное.

Статья 6 Закона № 152-ФЗ содержит несколько оснований. Помимо согласия, закон допускает обработку, например, когда она необходима для исполнения предусмотренных законом обязанностей или для осуществления прав и законных интересов оператора либо третьих лиц, если при этом не нарушаются права и свободы человека.

Поэтому правило «любая камера законна только после письменного согласия каждого посетителя» неверно.

Но неверен и обратный подход: поставить камеру, сослаться на безопасность и считать, что статья 6 автоматически разрешает все дальнейшие действия.

Оператор должен уметь объяснить:

• конкретную цель наблюдения;
• почему камера действительно нужна для этой цели;
• почему выбран именно такой сектор обзора;
• какие записи сохраняются;
• кому они доступны;
• сколько они хранятся;
• почему объем собираемой информации не является избыточным.

Статья 5 требует ограничивать обработку конкретными, заранее определенными и законными целями, а объем данных должен соответствовать этим целям и не быть избыточным.

Например, защита кассовой зоны может оправдывать камеру, направленную на кассу и подходы к ней. Та же цель гораздо хуже объясняет объектив, постоянно направленный в комнату отдыха персонала.

Что изменилось для согласий с 1 сентября 2025 года

Если оператор действительно использует согласие как правовое основание, с 1 сентября 2025 года оно должно оформляться отдельно от иных документов и информации, которые подписывает или подтверждает человек. Это правило внесено Федеральным законом № 156-ФЗ.

То есть спрятать согласие на обработку персональных данных внутри большого договора одной строкой становится особенно плохой идеей.

Это правило не означает, что письменное согласие внезапно стало обязательным для любой камеры. Оно определяет способ оформления согласия в ситуациях, когда оператор на него опирается.

Нужна ли табличка о видеонаблюдении

Для открытой системы предупреждение о съемке остается разумным способом заранее сообщить посетителям, что они входят в контролируемую зону.

При этом Закон № 152-ФЗ не устанавливает для обычного магазина, офиса или подъезда единую государственную форму предупреждения, обязательный размер А4 или универсальный текст.

Табличка о видеонаблюдении помогает сделать обработку прозрачнее, но не заменяет правовое основание, документы оператора, защиту архива и другие обязанности.

Если организация хочет дать посетителю больше информации, рядом с предупреждением можно указать наименование оператора, цель наблюдения и способ ознакомиться с политикой обработки персональных данных.

Что должна оформить организация

Для юридического лица работа с архивом камер — не только техническая настройка регистратора.

Статья 18.1 Закона № 152-ФЗ требует принимать необходимые и достаточные меры для выполнения обязанностей оператора. В частности, юридическое лицо определяет политику обработки персональных данных, принимает локальные акты, определяет для каждой цели категории данных и субъектов, способы и сроки обработки и хранения, порядок уничтожения и меры внутреннего контроля.

Практический комплект зависит от конкретной организации, но для видеонаблюдения обычно необходимо определить как минимум:

1. кто является оператором персональных данных;
2. точную цель видеонаблюдения;
3. правовое основание обработки;
4. категории людей, попадающих в кадр;
5. места установки и секторы обзора камер;
6. правила доступа к прямому эфиру и архиву;
7. срок хранения;
8. порядок удаления записей;
9. порядок выдачи и передачи фрагментов;
10. меры защиты;
11. отношения с подрядчиком или облачным сервисом;
12. необходимость уведомления Роскомнадзора.

Наличие положения с красивым названием ситуацию не спасает, если на практике пароль от регистратора висит на мониторе, а архив может открыть половина офиса.

Подрядчик и облачное хранение

Монтажная компания, охранная организация или поставщик облачного сервиса может получить доступ к записям.

Если обработка поручается другому лицу, статья 6 требует соответствующего правового оформления поручения. В нем определяются перечень данных и операций, цели обработки, требования конфиденциальности и безопасности, а также другие обязанности обработчика.

Поэтому формулировки договора с облачным сервисом следует проверить до того, как туда отправится первый архив.

Если сервис предполагает использование зарубежной инфраструктуры, отдельно проверяют требования к локализации и трансграничной передаче персональных данных. Для сбора данных граждан России часть 5 статьи 18 устанавливает требования к использованию баз данных, находящихся на территории РФ, с предусмотренными законом исключениями.

Нужно ли уведомлять Роскомнадзор

По действующей редакции статьи 22 оператор до начала обработки персональных данных обязан уведомить Роскомнадзор, кроме прямо предусмотренных законом исключений. После реформы 2022 года большинство прежних исключений было отменено. Одно из сохранившихся относится к обработке исключительно без использования средств автоматизации.

Современная цифровая система видеонаблюдения обычно использует электронные камеры, видеорегистратор, программное обеспечение, сервер или облако. Поэтому автоматически рассчитывать на исключение для полностью неавтоматизированной обработки нельзя.

Организации следует проверить свое действующее уведомление и сведения в реестре операторов: наличие записи в реестре по другим процессам компании еще не означает, что описание целей и категорий обработки охватывает новую систему камер.

С 30 мая 2025 года ответственность за отсутствие или несвоевременную подачу уведомления значительно выросла. На 10.09.2026 часть 10 статьи 13.11 КоАП РФ предусматривает за такое нарушение штраф для юридических лиц от 100 000 до 300 000 рублей.

В Перми вопросы государственного надзора в этой сфере относятся к компетенции Управления Роскомнадзора по Пермскому краю. В официальных реквизитах территориального органа указан адрес: Пермь, ул. Ленина, 68.

Регион здесь влияет на территориальный орган, но не меняет базовые требования к обработке записей: Федеральный закон № 152-ФЗ действует одинаково в Перми и других регионах России.

Сколько можно хранить записи

Универсального требования «любая камера должна хранить архив 30 дней» в Законе № 152-ФЗ нет.

Статья 5 устанавливает другой принцип: данные должны храниться в форме, позволяющей определить человека, не дольше, чем этого требуют цели обработки, если конкретный срок не установлен федеральным законом или договором.

Следовательно, оператор сначала определяет цель, затем устанавливает соответствующий ей период хранения.

Например, организация может обосновать определенный период необходимостью выявлять происшествия и разбирать обращения посетителей. Но просто записывать годами потому, что жесткий диск большой, — плохое объяснение.

Отдельный срок хранения записей следует закрепить в локальных документах и технически настроить автоматическое удаление или перезапись архива.

Статья 21 также устанавливает общее правило: после достижения цели обработки оператор должен прекратить обработку и уничтожить данные в срок не более 30 дней, если закон, договор или иное предусмотренное законом основание не позволяют продолжить обработку. Эти 30 дней — срок для прекращения и уничтожения после достижения цели, а не универсальная продолжительность хранения любого видеоархива.

Это различие полезно помнить: «30 дней на уничтожение после достижения цели» и «обязательно хранить камеру 30 дней» — совершенно разные утверждения.

Кто может смотреть записи

Доступ должен получать не тот, кто знает пароль, а тот, кому он действительно требуется для выполнения конкретной функции.

Статья 19 обязывает оператора применять правовые, организационные и технические меры для защиты персональных данных от неправомерного и случайного доступа, копирования, предоставления, распространения, изменения и других неправомерных действий.

Для обычной системы это означает как минимум:

• отдельные учетные записи вместо общего пароля;
• ограничение прав пользователей;
• надежные пароли и их смену;
• запрет открытого доступа регистратора из интернета;
• защищенный удаленный доступ;
• фиксацию выдачи фрагментов при необходимости;
• физическую защиту регистратора;
• своевременное обновление оборудования и ПО;
• ограничение доступа подрядчика;
• удаление доступа бывших сотрудников.

Передача ролика в рабочий чат «посмотрите, кто вчера приходил» тоже является действием с данными. Архив камеры не становится общедоступным только потому, что его удобно отправить в мессенджере.

Для работодателя ситуация дополнительно регулируется трудовым законодательством. Видеонаблюдение сотрудников необходимо оценивать с учетом статей о персональных данных работников, целей контроля, локальных актов и информирования персонала. Статья 86 ТК РФ прямо ограничивает цели обработки данных работника, а статья 88 регулирует их передачу и доступ уполномоченных лиц.

Можно ли публиковать запись с камеры

Хранить запись для безопасности и выкладывать ее в интернет — разные способы использования.

Статья 152.1 ГК РФ предусматривает общее правило: обнародование и дальнейшее использование изображения гражданина допускаются с его согласия, кроме предусмотренных законом случаев. Одно из исключений касается съемки в местах, открытых для свободного посещения, но и там действует оговорка: изображение конкретного человека не должно становиться основным объектом использования.

Пленум Верховного Суда также разъяснял, что размещение изображения в интернете является одним из способов его обнародования.

Поэтому ситуация «камера сняла кражу — запись сохранили и передали полиции» не равна ситуации «выложили крупный план предполагаемого нарушителя в соцсети с подписью».

Перед публикацией записи нужно отдельно оценивать нормы об изображении гражданина, персональных данных, частной жизни и обстоятельства конкретного происшествия.

Что меняется для камеры в подъезде

Для частной камеры существует исключение из сферы действия Закона № 152-ФЗ: он не распространяется на обработку физическим лицом исключительно для личных и семейных нужд, пока при этом не нарушаются права субъектов персональных данных.

Но исключение не означает «дома закон не действует вообще».

Если камера в подъезде постоянно направлена на дверь соседа, позволяет наблюдать за его посетителями или видеть внутреннее пространство квартиры, возникают отдельные вопросы частной жизни и использования общего имущества многоквартирного дома.

Еще заметнее меняется ситуация, когда камерами управляет ТСЖ, управляющая организация или коммерческий сервис и записи доступны не одному физическому лицу для бытовых нужд.

Камеры на улице и парковке

То, что человек находится на улице, не отменяет требований к персональным данным автоматически.

Уличные камеры видеонаблюдения могут фиксировать лица, автомобили, маршруты посетителей и другие сведения. Оператору по-прежнему необходимо сопоставить объем наблюдения с заявленной целью.

Если камера нужна для контроля входа в магазин, захват половины соседнего двора может оказаться избыточным. Именно поэтому статья 5 требует соответствия содержания и объема обрабатываемых данных целям обработки.

Особенно осторожно следует обращаться с поворотными камерами и большим оптическим увеличением: техническая возможность увидеть больше еще не означает необходимость это записывать.

Что делать при утечке видеоархива

Утечка архива с людьми в кадре может стать инцидентом с персональными данными.

Статья 21 Закона № 152-ФЗ требует при установлении факта неправомерной или случайной передачи, предоставления, распространения либо доступа к персональным данным, повлекших нарушение прав субъектов, уведомить Роскомнадзор. Первичное уведомление направляется в течение 24 часов, сведения о результатах внутреннего расследования — в течение 72 часов.

Поэтому обнаруженный открытый порт регистратора или публичная ссылка на облачный архив — не повод просто сменить пароль и забыть.

Нужно зафиксировать происшествие, прекратить несанкционированный доступ, установить объем затронутых данных, выполнить предусмотренные законом обязанности по уведомлению и провести внутреннее расследование.

С 30 мая 2025 года за нарушение обязанности уведомить Роскомнадзор об инциденте установлена отдельная ответственность. Для юридического лица часть 11 статьи 13.11 КоАП РФ предусматривает штраф от 1 до 3 млн рублей. За саму неправомерную передачу крупных массивов персональных данных действуют отдельные, значительно более высокие составы ответственности.

Частые ошибки

Считать любую запись биометрией

Обычная видеозапись с узнаваемым человеком может содержать персональные данные, но биометрической она становится не автоматически. Ключевое значение имеет использование физиологических или биологических особенностей для установления личности.

Считать табличку согласием

Предупреждение информирует о съемке. Оно не является универсальным согласием на любые действия с изображением и не дает права свободно публиковать архив.

Получить согласие и больше ничего не делать

Даже при наличии согласия остаются требования к цели, объему данных, безопасности, сроку хранения, доступу и другим обязанностям оператора.

Хранить записи бессрочно

Фраза «вдруг пригодится» не является хорошей целью обработки. Срок хранения должен вытекать из конкретной задачи системы.

Дать подрядчику полный доступ без оформления

Сам факт, что сторонняя компания обслуживает камеры, не снимает обязанностей с оператора. Условия поручения обработки и защиты данных должны быть оформлены надлежащим образом.

Не проверить уведомление Роскомнадзора

Наличие организации в реестре операторов не решает вопрос автоматически: нужно проверить, соответствует ли поданное уведомление фактическим целям, категориям данных и способам обработки.

Практический чек-лист владельцу системы

Перед эксплуатацией видеонаблюдения проверьте:

1. Понятно, зачем работает каждая камера.
2. Определено правовое основание обработки.
3. В кадр не попадает лишнее пространство.
4. Понятно, какие категории людей записываются.
5. Проверена необходимость информирования людей о съемке.
6. Для организации приняты необходимые локальные документы.
7. Доступ к просмотру и архиву ограничен.
8. Определен срок хранения и настроено удаление.
9. Подрядчики и облачные сервисы оформлены юридически и технически.
10. Проверена обязанность уведомления Роскомнадзора.
11. Подготовлен порядок действий при утечке.
12. Распознавание лиц отдельно проверено на требования к биометрическим персональным данным.

Основное правило здесь довольно приземленное: камера должна собирать ровно столько информации, сколько действительно нужно для заявленной цели, а доступ к ней должны получать ровно те люди, которым он действительно необходим.

Пошагово

Как оформить обработку данных при видеонаблюдении

1. 1

   Определите цель наблюдения

   Для каждой группы камер сформулируйте конкретную цель — например, безопасность посетителей, защита имущества или контроль доступа.

   Проверка: Можно объяснить, зачем нужна каждая камера и почему ее сектор обзора соответствует этой цели.

2. 2

   Выберите правовое основание

   Сопоставьте цель с основаниями статьи 6 Федерального закона № 152-ФЗ и отдельно проверьте специальные правила для работников и биометрии.

   Проверка: Для каждой цели обработки определено применимое правовое основание.

3. 3

   Оформите документы

   Внесите видеонаблюдение в политику и необходимые локальные акты, определите категории субъектов и данных, сроки хранения, порядок доступа и удаления.

   Проверка: Документы соответствуют реальной конфигурации системы, а не описывают абстрактное видеонаблюдение.

4. 4

   Ограничьте доступ

   Определите сотрудников и подрядчиков, которым нужен доступ к прямому эфиру и архиву, настройте отдельные учетные записи и права.

   Проверка: Посторонний сотрудник не может открыть архив только потому, что знает общий пароль.

5. 5

   Проверьте Роскомнадзор

   Определите, требуется ли уведомление об обработке персональных данных, и проверьте актуальность сведений, если организация уже состоит в реестре операторов.

   Проверка: Фактическое видеонаблюдение соответствует сведениям, направленным уполномоченному органу.

6. 6

   Настройте хранение и удаление

   Установите обоснованный срок хранения и настройте автоматическое удаление или перезапись записей после его истечения.

   Проверка: Архив не хранится неопределенно долго и удаляется по установленному правилу.

7. 7

   Подготовьтесь к инциденту

   Определите ответственных и порядок действий при утечке, несанкционированном доступе или публикации записей.

   Проверка: Ответственные знают о сроках уведомления Роскомнадзора 24 и 72 часа в предусмотренной законом ситуации.

Что важно знать о персональных данных с камер

Является ли лицо человека на камере персональными данными?

Если изображение или совокупность имеющихся сведений позволяет прямо или косвенно определить человека, запись может содержать его персональные данные. При этом обычное изображение лица не становится автоматически биометрическими персональными данными.

Нужно ли письменное согласие посетителей магазина на видеонаблюдение?

Не во всех случаях. Согласие является одним из оснований обработки, но статья 6 Федерального закона № 152-ФЗ предусматривает и другие основания. Организации нужно определить применимое основание для своей цели и убедиться, что права посетителей не нарушаются.

Считается ли распознавание лиц биометрической обработкой?

Если система использует изображение или сформированные по нему признаки именно для установления личности человека, применяются специальные правила о биометрических персональных данных. Это существенно отличается от обычной охранной записи.

Обязательно ли регистрировать видеонаблюдение в Роскомнадзоре?

Регистрируется не камера как оборудование. Оператор по общему правилу уведомляет Роскомнадзор о намерении обрабатывать персональные данные, если к нему не относится предусмотренное статьей 22 исключение. Для обычной современной цифровой системы видеонаблюдения этот вопрос нужно проверять отдельно.

Можно ли отправить запись с посетителем в общий рабочий чат?

Без понятной рабочей необходимости так делать не следует. Передача и предоставление записи являются действиями с персональными данными, поэтому доступ должен быть ограничен теми сотрудниками, которым он нужен для определенной функции.

Куда обращаться в Перми при нарушении правил обработки персональных данных?

Государственный надзор в этой сфере осуществляет Роскомнадзор. Для Пермского края действует территориальное Управление Роскомнадзора по Пермскому краю; актуальные реквизиты перед обращением следует проверить на официальном ресурсе ведомства.