ФЗ-152 для школ и детских садов: как законно установить видеонаблюдение

Что ФЗ-152 говорит о видеонаблюдении в школах и детских садах

Видеозаписи учеников и персонала в школе или детском саду являются персональными данными, так как по ним можно идентифицировать человека. Это означает, что на образовательное учреждение распространяются все требования Федерального закона № 152-ФЗ «О персональных данных». Если система используется для автоматического распознавания лиц (например, в СКУД), то такие данные считаются биометрическими и требуют еще более строгой защиты. Чтобы привести систему видеонаблюдения в соответствие с законом, первым делом проверьте, есть ли в учреждении Положение об обработке персональных данных, назначьте приказом ответственного и разместите на видных местах информационные таблички о съёмке.

Согласно статье 3 ФЗ-152, персональные данные (ПДн) — это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. Изображение человека, по которому его можно идентифицировать, полностью подпадает под это определение. Видеокамеры фиксируют не только факт присутствия, но и индивидуальные черты, что позволяет установить личность. Поэтому любая запись, на которой видны ученики, учителя или посетители, подпадает под действие закона о персональных данных.

Особого внимания требуют биометрические персональные данные. Согласно статье 11 ФЗ-152, к ним относятся сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность. Простая видеозапись, не используемая для распознавания лиц, обычно не является биометрической. Однако, если ваша система видеонаблюдения или СКУД использует функции автоматического распознавания (например, для прохода по лицу), то такие видеоданные считаются биометрическими и требуют повышенных мер защиты.

Как только видеозапись признается персональными данными, образовательное учреждение становится «оператором персональных данных» и обязано соблюдать ряд требований. Основные из них: наличие законного основания для обработки, уведомление субъектов о ведении съемки, а также принятие правовых, организационных и технических мер для защиты этих данных от несанкционированного доступа или утечки. Эти меры призваны обеспечить конфиденциальность и целостность видеоархива.

Теперь, когда мы определили, что видео — это персональные данные, разберемся, на каком основании учреждение имеет право их обрабатывать и всегда ли нужно получать письменное согласие от родителей и сотрудников.

Законные основания для видеонаблюдения: когда согласие родителей и сотрудников не требуется

Один из самых частых вопросов у руководителей образовательных учреждений: нужно ли брать согласие на видеонаблюдение в школе с каждого родителя, а также с учителей и другого персонала? В большинстве случаев, если цель видеонаблюдения — обеспечение безопасности, сбор таких письменных согласий не требуется.

Федеральный закон № 152-ФЗ в части 1 статьи 6 перечисляет основания, когда обработка персональных данных (ПДн) допускается без согласия субъекта. Для образовательных учреждений наиболее применим пункт 2, который позволяет обрабатывать ПДн для осуществления и выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей.

Ключевой функцией образовательного учреждения является обеспечение безопасности обучающихся и сотрудников. Это требование закреплено в ряде нормативных актов, включая законодательство об образовании и документы по антитеррористической защищенности. Например, Постановление Правительства РФ от 2 августа 2019 г. N 1006 прямо обязывает принимать меры по обеспечению безопасности.

Таким образом, если видеонаблюдение ведется исключительно в целях безопасности (охрана жизни и здоровья, сохранность имущества, поддержание правопорядка), учреждение имеет законное основание для обработки видеозаписей без согласия субъекта. В этих случаях достаточно лишь надлежащим образом уведомить всех о ведении съемки.

Однако существуют ситуации, когда письменное согласие от субъектов ПДн или их законных представителей все же потребуется. Это касается случаев, когда обработка видеоданных выходит за рамки обеспечения безопасности. Например, если учреждение планирует публикацию видеозаписей на своем сайте, передачу третьим лицам без законных оснований или использование изображения человека в рекламных целях. В таких ситуациях получение согласия является обязательным.

Важно понимать: даже если согласие не требуется, обязанность информировать граждан о ведении съемки остается. Вместо сбора согласий, образовательное учреждение должно обеспечить заметное и понятное уведомление о съемке. Это достигается размещением информационных табличек на видных местах, о чем мы подробно расскажем далее.

Даже при наличии законных оснований для видеонаблюдения без согласия, необходимо разработать и утвердить комплекс внутренних документов, чтобы регламентировать обработку персональных данных. Рассмотрим этот обязательный пакет далее.

Пакет документов для соответствия ФЗ-152: пошаговый чек-лист для директора

Для легального использования системы видеонаблюдения недостаточно просто установить камеры. Федеральный закон № 152-ФЗ требует от оператора (школы, детского сада или колледжа) принятия конкретных организационно-распорядительных мер. Эти меры выражаются в разработке и утверждении пакета внутренних документов, которые регламентируют все процессы, связанные с видеозаписями.

Руководителю учреждения важно не только иметь эти локальные нормативные акты, но и понимать их назначение. Предлагаем пошаговый чек-лист обязательных документов.

Обязательные организационные документы

1. Положение об обработке и защите персональных данных (общее)

   Этот базовый документ определяет общие правила работы со всеми персональными данными в учреждении. В нём закрепляются цели обработки ПДн, категории субъектов и ПДн, принципы и условия обработки, права субъектов, обязанности оператора и меры по защите данных.

2. Положение о системе видеонаблюдения

   Этот документ детализирует правила, специфичные для видеонаблюдения. Его можно оформить как самостоятельное положение или как раздел (приложение) к общему. В нём должны быть чётко прописаны:

   • Цели ведения видеонаблюдения: обеспечение безопасности учащихся и сотрудников, охрана имущества, профилактика правонарушений.
   • Места установки камер: точные зоны охвата, с исключением мест, где видеонаблюдение запрещено (раздевалки, туалеты).
   • Ответственные лица: сотрудники, имеющие доступ к системе и видеоархиву.
   • Сроки хранения видеозаписей: обычно не более 30 дней, если иное не установлено для расследования инцидента.
   • Порядок доступа к видеоархиву: кто, при каких условиях и в каком порядке может просматривать или получать записи.

   Наличие такого положения прямо соответствует требованиям статьи 18.1 ФЗ-152.

3. Приказ о назначении ответственного за организацию обработки персональных данных

   Назначение конкретного сотрудника (например, заместителя директора по безопасности или IT-специалиста) ответственным — одно из ключевых требований закона (статья 18.1 ФЗ-152). Этот приказ закрепляет его обязанности и полномочия.

4. Приказ об утверждении перечня лиц, допущенных к обработке персональных данных (видеозаписей)

   Этот приказ определяет круг сотрудников, которые могут просматривать, копировать или иным образом работать с видеозаписями, а также их обязанности по неразглашению информации.

5. Журнал учета обращений субъектов персональных данных

   Субъекты ПДн (родители, учащиеся старше 14 лет, сотрудники) имеют право запрашивать информацию о своих данных. Учреждение обязано вести учёт таких обращений и фиксировать ответы на них.

Технический документ, требующий внимания

6. Модель угроз безопасности персональных данных

   Это документ, который описывает потенциальные угрозы безопасности ПДн (например, несанкционированный доступ к видеоархиву), возможные последствия и меры противодействия. Его разработка требует технических знаний и является основой для определения технических мер защиты.

Уведомление в Роскомнадзор: когда оно не нужно?

Многие руководители беспокоятся о необходимости подавать уведомление в Роскомнадзор. Однако для большинства образовательных учреждений, которые ведут видеонаблюдение исключительно в целях безопасности, такое уведомление не требуется. Согласно подпункту 2 части 2 статьи 22 ФЗ-152, оператор вправе осуществлять обработку ПДн без уведомления, если она ведется для исполнения функций, возложенных на него законодательством.

Поскольку обеспечение безопасности – это прямая обязанность образовательного учреждения, оно, как правило, подпадает под это исключение. Однако это не освобождает от выполнения всех остальных требований ФЗ-152.

Правильные документы — это половина дела. Вторая — обеспечить реальную защиту данных. Рассмотрим, какие технические и организационные меры для этого нужны.

Техническая защита видеоархива: как выполнить требования закона

Поскольку видеозаписи являются персональными данными, закон обязывает образовательное учреждение как оператора принять исчерпывающие меры для их защиты. Статья 19 ФЗ-152 требует внедрения организационных и технических мер для предотвращения неправомерного доступа, копирования, уничтожения и других незаконных действий с видеоархивом. Конкретные требования к защите данных в информационных системах детализированы в Постановлении Правительства РФ № 1119 от 01.11.2012.

1. Физическая защита оборудования

Первый шаг — обеспечение физической безопасности носителя видеоархива. Видеорегистратор (DVR/NVR) или сервер, где хранятся записи, должен находиться в запираемом помещении с ограниченным доступом. Это может быть серверная комната, кабинет ответственного сотрудника или надежный металлический шкаф/сейф.

• Ограниченный доступ: Доступ к помещению или шкафу с оборудованием должен быть строго регламентирован. Ключи выдаются только назначенным приказом ответственным лицам.
• Защита от вандализма и кражи: Металлический шкаф или сейф предотвращает случайные повреждения, несанкционированное изъятие или уничтожение записей.
• Условия эксплуатации: Убедитесь, что место хранения обеспечивает подходящие температурные условия и вентиляцию для стабильной работы оборудования.

2. Программная защита и разграничение прав доступа

После физической защиты необходимо обеспечить программную безопасность видеоархива от несанкционированного доступа через сеть или локально.

• Надежные пароли: Всегда меняйте заводские пароли на оборудовании и в ПО. Используйте сложные комбинации из заглавных и строчных букв, цифр и символов.
• Разграничение прав пользователей: Создайте разные учетные записи для каждого сотрудника с доступом к системе. Права должны быть минимальными для выполнения обязанностей:
  • Администратор: Полный доступ к настройкам. Только для ответственного за IT/безопасность.
  • Оператор: Доступ только к просмотру текущего видео и архива, без прав на изменение настроек или удаление записей.
  Перечень таких лиц должен быть утвержден отдельным приказом.
• Фиксация фактов доступа: Современные системы позволяют вести журнал действий пользователей (кто, когда и что просматривал). Активируйте эту функцию.

3. Сроки хранения видеозаписей

ФЗ-152 обязывает хранить ПДн не дольше, чем этого требуют цели их обработки. Для целей безопасности разумный срок хранения должен быть закреплен в локальном акте (например, в Положении о видеонаблюдении).

• Обоснование срока: Обычно срок хранения составляет от 7 до 30 дней. Этого достаточно для расследования большинства инцидентов.
• Автоматическое удаление: Настройте систему на автоматическое циклическое удаление старых записей по истечении установленного срока.

4. Защита от несанкционированного копирования

Неконтролируемое копирование и распространение может привести к утечке персональных данных.

• Организационные меры: Запретите сотрудникам копировать видеозаписи на внешние носители (USB-флешки) без служебной необходимости и официального запроса. Все случаи копирования должны фиксироваться.
• Технические меры: Если возможно, рассмотрите отключение или блокировку USB-портов на видеорегистраторе для всех, кроме администратора.

Приведение системы видеонаблюдения в соответствие с ФЗ-152 — это комплексная работа. Компания «Камера39» готова помочь вам в Калининграде и области провести аудит текущей системы, разработать необходимые рекомендации по технической защите и настроить оборудование в соответствии с законодательством.

Правила размещения камер и информационных табличек

Корректное размещение камер и правильное информирование о съемке – это не только вопрос этики, но и строгое требование закона. Неправильная установка камер в школе по закону может стать основанием для жалоб и проверок Роскомнадзора.

Где можно и нельзя устанавливать камеры?

В образовательных учреждениях зоны видеонаблюдения должны соответствовать целям безопасности, зафиксированным в ваших локальных актах.

• Разрешенные зоны: Входы и выходы, периметр территории, коридоры, холлы, гардеробы, столовые, спортивные и актовые залы. В этих местах камеры помогают контролировать общую безопасность.
• Спорные зоны (требуют обоснования): Учебные классы. Установка камер в учебном классе возможна, но должна быть четко обоснована в локальных актах (например, для контроля во время ЕГЭ или для безопасности на лабораторных работах) и не нарушать право на частную жизнь. Видеонаблюдение должно быть минимально интрузивным.
• Запрещенные зоны: Туалетные комнаты, раздевалки, душевые, медицинские кабинеты и комнаты отдыха персонала. Установка камер в этих местах — прямое нарушение конституционного права на неприкосновенность частной жизни (статьи 23 и 24 Конституции РФ) и повлечет за собой серьезные последствия.

Требования к информационным табличкам

Уведомление о ведении видеонаблюдения – обязательное условие его легальности. Простая надпись «Ведется видеонаблюдение» недостаточна.

Информационная табличка должна быть размещена на видном месте перед входом в зону наблюдения. Ее цель – проинформировать людей о том, что их изображение будет обрабатываться.

На табличке обязательно должны быть указаны:

• Наименование оператора (полное название образовательного учреждения).
• Контактные данные оператора (адрес или телефон).
• Цель видеонаблюдения (например: «обеспечение безопасности»).
• Возможно, ссылка на локальный акт, где можно ознакомиться с подробностями.

Пример правильной информационной таблички:

Соблюдение этих правил крайне важно, поскольку их нарушение может повлечь за собой серьезные последствия. Рассмотрим, какая ответственность предусмотрена законом.

Ответственность и штрафы за нарушения правил обработки персональных данных

Использование видеонаблюдения без соблюдения требований ФЗ-152 влечет за собой серьезные юридические последствия. Контроль за исполнением закона возложен на Роскомнадзор и прокуратуру.

Основные виды ответственности предусмотрены Кодексом об административных правонарушениях (КоАП РФ) и Уголовным кодексом (УК РФ).

Административная ответственность (КоАП РФ)

Большинство нарушений попадают под действие статьи 13.11 КоАП РФ. Размер штрафов зависит от состава правонарушения. Важно отметить, что актуальные размеры штрафов могут меняться, поэтому всегда следует проверять действующую редакцию законодательства.

Уголовная ответственность (УК РФ)

В некоторых случаях может наступить уголовная ответственность. Статья 137 УК РФ предусматривает наказание за незаконный сбор или распространение сведений о частной жизни лица без его согласия. Это актуально при намеренной установке камер в запрещенных зонах или при утечке конфиденциальных видеозаписей.