EN
×

打开手机,扫一扫二维码
即可通过手机访问网站

×

打开微信,扫一扫二维码
订阅我们的微信公众号

视频图像信息系统数据合规场景化解析

2025-02-27256

2025年2月10日,国务院发布了《公共安全视频图像信息系统管理条例》(以下简称《视频条例》),细化了《个人信息保护法》第26条关于公共安全安装采集设备的管理。本文尝试结合具体场景(包括《视频条例》的场景和其他场景,该些场景不是穷尽性列举),借鉴EDPB的《Guidelines 3/2019 on processing of personal data through video devices》,对视频监控设备的数据合规进行简要分析,以飨读者。



《视频条例》第7条第1和2款规定的公共场所和其他公共场所

公司入口、内部道路及公司区域内的建筑物外部

公司办公室和车间内部

带有摄像头的产品

个人信息处理者

县级以上人民政府或其授权行政机关;负有经营管理责任的单位

公司

公司

产品生产者

合法性基础

《个保法》第13条第1款第(七)项、《个保法》第26条和《视频条例》

1.个人同意,但以此作为安装摄像头合法性基础存在如下缺点:1)是否真正自由同意;2)如果个别人撤回同意,将可能导致该撤回同意的人必经过的摄像头无法使用;3)如果处理目的等发生变化还要重新取得同意        

2.按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需,但是该合法性基础较为牵强,需要结合处理目的(比如公司安全需要)进行细化分析,包括必要性分析。对此,GDPR规定了一个“legitimate interest”合法性基础,给予了此种场景安装摄像头的灵活处理的方法。

除了保密需要,不建议办公室内安装摄像头。车间内部安装摄像头,根据不同情况,合法性基础可以是为履行法定职责或者法定义务所必需(比如危化品仓库,劳动者保护)

                  

履行合同所必需(比如人形机器人或其他机器人中获取视觉信息 的摄像头是发挥机器人功能所必需,当然,可能需要必要性论证)

处理目的及必要性

公共安全,要合理确定安装的位置、角度、采集范围和运行时间

公司安全,必要性需要结合公司具体情况和有无其他对个人信息主体影响更小的方式保障安全细化分析。即使必要,也要合理确定安装的位置、角度、采集范围和运行时间

保密;危化品安全;劳动者保护

履行合同,实现机器人的功能

向第三人披露影像

建立信息调用登记制度,如实记录查阅、调取视频图像信息的事由、内容及调用人员的单位、姓名等信息,由于合法性基础是法律法规规定,不需要就披露取得个人同意

采取授权管理、访问控制等技术措施;

建立信息调用登记制度,如实记录查阅、调取视频图像信息的事由、内容及调用人员的姓名和调用时间

同左列

如果不是履行合同所必需,仍然要就披露这一处理行为确定合法性基础,如果合法性基础是个人同意,要取得相关个人的同意

个人信息主体的权利

生命健康、财产安全需要,经公共安全视频系统管理单位同意可以查阅关联图像信息;如果涉及人的数量巨大,个人信息主体应当明确其出现在视频中的合理的大致时间范围,提供查阅时最好将无关的个人图像信息打码;超出30日未删除的,个人信息主体有权要求删除        

                  

随时可查询有自己图像的视频信息,如果超出存储期限的视频,明确告知无法查询;提供时将他人的影像打码等;如果存储视频信息的,个人信息主体要求删除其个人信息,处理者应当立即删除

同左列

随时可查询有自己图像的视频信息,如果超出存储期限的视频,明确告知无法查询;如果存储视频信息的,个人信息主体要求删除其个人信息,处理者应当立即删除

公开透明原则

设置显著标识,但《视频条例》中未建议标识的样式,我们常见的样式为图片,但是并未出现处理目的、处理者名称以及获得更加全面处理信息的方式。欧盟建议:

图片但是该建议关于处理者名称的展示可能不适用于《视频条例》。但我们建议,公司内部以及产品设置摄像头的,可以进行类似的告


存储期限

一般为30日

没有法律规定,实现处理目的最短的存储期限        

没有法律规定,实现处理目的最短的存储期限

没有法律规定,实现处理目的最短的存储期限,如果仅需实时的,则不需要存储

技术和管理措施

产品、服务应当符合国家标准的强制性要求;建立健全管理制度,完善防攻击、防入侵、防病毒、防篡改、防泄露等安全技术措施;入职审查、保密教育、岗位培训等管理制度;授权管理、访问控制等技术措施;信息调用登记制度;

物理安全措施、系统安全措施、数据安全措施、访问控制等,相关标准如IEC TS 62045和ISO/IEC 27000

                  

同左列

同左列

个人信息保护影响评估

《视频条例》未出现,但是按照个保法第55条第(一)项或第(五)项,似乎需要进行个人信息保护影响评估

不需要,如果涉及跨境传输的则需要

不需要,如果涉及跨境传输的则需要

不需要,如果涉及跨境传输的则需要

跨境传输

未规定,但结合公共安全性质,我们认为不允许跨境传输        

可以,但需要符合出境合规要求

可以,但需要符合出境合规要求

可以,但需要符合出境合规要求


总之,正如其他处理场景一样,视频图像信息系统的个人数据合规,需要在安装前就结合法律规定、相关标准和最佳时间,进行合规分析与部署。


  • 打开微信,扫一扫二维码
    订阅我们的微信公众号

天驰君泰律师事务所 版权所有 | 免责声明 | 私隐保护声明 | 京ICP备15006147号-2 | 律谷科技出品