Согласие и уведомление в видеонаблюдении

Это инженерное руководство, а не юридический совет. Уточняйте конкретику у квалифицированного юриста.

Кратко

Уведомление и согласие – это две разные задачи, и большинство ошибок в наблюдении возникает из-за того, что их путают: уведомление – это сказать людям, что камера работает, и это вы должны почти всегда; согласие – это получить разрешение каждого человека, на которое для обычных камер почти никогда не опираются и которое становится жёстким требованием в момент сбора биометрии. По европейскому Общему регламенту о защите данных (GDPR) обычная камера законна на задокументированном основании без согласия плюс уведомление – на знаке, – потому что действительное согласие должно быть свободным, конкретным, информированным, однозначным и отзываться так же легко, как даётся, а этих условий нельзя выполнить для каждого, кто входит в кадр. Сбор биометрии меняет вопрос: в ЕС шаблон лица – это особая категория данных, которой нужно явное согласие по статье 9, а в Иллинойсе закон BIPA требует информированного письменного согласия до сбора – и ни того, ни другого знак на стене дать не может. Самая дорогая ошибка во всей этой области – считать, что «мы повесили знак» и есть согласие; это уведомление, и только если знак действительно говорит правильные вещи.

Почему это важно

Это статья о слое согласия и уведомления в блоке приватности и комплаенса, написанная для системного интегратора, продакт-менеджера, руководителя ритейла или умного здания, владельца корпоративной безопасности – для того, кто проектирует или закупает систему наблюдения и должен правильно получить разрешение до того, как камера кого-либо запишет. Вопрос «нужно ли нам их согласие или достаточно знака?» лежит под почти каждым развёртыванием наблюдения, и ответ переворачивается в зависимости от того, просто ли вы записываете или запускаете распознавание лиц, в ЕС вы или в США, и кто в кадре – сотрудники или незнакомцы. Ошибётесь в «дешёвую» сторону – декоративный знак, связанная галочка, биометрические часы без подписанного согласия – и вы встроили незаконную обработку прямо в продукт. Юридическое образование для чтения не нужно: каждый термин определён простым языком и привязан к названной норме, а цель – оставить вас способным отличить соответствующий норме дизайн от несоответствующего ещё до того, как он построен.

Сначала разведём два слова, которые используют как одно

В словосочетании «согласие и уведомление» прячутся две идеи, и инженеры, вендоры и заказчики постоянно их смешивают. Разделить их – это и есть вся статья.

Уведомление – это сказать людям, что происходит. Знак у входа «Ведётся видеонаблюдение» плюс более полное объяснение, до которого можно добраться, – это уведомление. Оно одностороннее: вы информируете, и долг выполнен, прочитал кто-то знак или нет. Почти любая система наблюдения должна уведомление, потому что у людей есть право знать, что их записывают, и узнать детали.

Согласие – это получить разрешение. Оно двустороннее: человек должен сделать реальный выбор и обозначить согласие, и – вот что удивляет – он должен иметь возможность позже передумать. Согласие – гораздо более высокая планка, чем уведомление, и для обычных камер на него почти никогда не опираются.

Полезная житейская картинка: уведомление – это табличка на двери магазина «открыто с 9 до 17». Согласие – это сам магазин, действительно согласившийся вас обслужить. Табличка информирует; она сама по себе не создаёт соглашения. Самая дорогая ошибка в наблюдении – считать знак соглашением.

Нажмите, чтобы увеличить

Почему обычные камеры почти никогда не работают на согласии

В ЕС, прежде чем камера запишет идентифицируемого человека, нужно правовое основание – одно из шести оснований статьи 6 Общего регламента о защите данных (GDPR), Регламент (ЕС) 2016/679, делающих обработку персональных данных законной. Согласие (ст. 6(1)(a)) – одно из них. Для камер оно редко правильное, и полезно увидеть, почему именно.

GDPR определяет согласие (ст. 4(11)) как «любое свободно данное, конкретное, информированное и однозначное волеизъявление субъекта данных, которым он заявлением или явным утвердительным действием выражает согласие на обработку». Статья 7 затем добавляет условия, делающие это определение рабочим: контролёр должен доказать, что согласие дано (ст. 7(1)); запрос должен быть чётко отделён, понятен и на простом языке (ст. 7(2)); человек может отозвать согласие в любой момент, и отзыв должен быть так же лёгок, как дача (ст. 7(3)); и согласие не «свободно дано», если услугу неправомерно ставят в зависимость от него (ст. 7(4)).

Теперь приложите это к камере у входа в магазин. Чтобы работать на согласии, понадобилось бы свободно данное, задокументированное, отзываемое согласие каждого, кто входит в дверь, – включая людей, которые не выбирали там оказаться и которых нельзя реально спросить заранее. А поскольку согласие отзываемо, любой мог бы позже потребовать прекратить обработку и удалить его запись, чего камера у входа не может исполнить выборочно. Европейский совет по защите данных (EDPB) – орган ЕС, издающий официальные разъяснения GDPR, – говорит именно это в своих Guidelines 3/2019 о видеоустройствах: согласие по ст. 6(1)(a) может быть основанием лишь «в довольно исключительных случаях», а обычное видеонаблюдение должно опираться на законный интерес (ст. 6(1)(f)). Законный интерес – это задокументированный трёхчастный тест на баланс, а не свободный пропуск; мы разбираем его в статье GDPR для видеонаблюдения.

Практическое правило для обычных камер: опирайтесь на основание без согласия и говорите людям знаком. Согласие – неправильный инструмент, потому что оно не масштабируется на людей, которые не выбирали быть в кадре.

Математика, доказывающая, что согласие не масштабируется

Проговорим арифметику один раз вслух. Пусть одна камера у входа в торговый центр среднего размера видит около 8 000 уникальных людей в день.

незаконных захватов/день = посетители × (1 − доля согласий)
                         = 8 000 × (1 − 0,99)
                         = 80 человек/день
за год                   = 80 × 365 ≈ 29 200 захватов

Даже при нереально идеальной доле согласий в 99% каждый день 80 человек снимаются без действительного согласия – и у вас нет правового основания для их данных, пока вы всё равно не вернётесь к законному интересу. Одна камера, один год, примерно 29 200 человек, обработанных незаконно. С большим числом камер и реалистичной долей согласий цифра только хуже. Поэтому видеонаблюдение в открытых зонах работает на законном интересе плюс уведомлении, а согласие приберегают для узких случаев ниже, где его действительно можно получить.

Что требует действительное согласие – когда оно вам нужно

Иногда согласие – правильный инструмент или требуемый по закону (биометрия, ниже). Когда вы на него опираетесь, оно должно быть настоящим. Разложим определение GDPR на четыре признака, каждый из которых должен соблюсти проектировщик системы.

Свободно дано. У человека должен быть подлинный выбор без наказания. Если «нет» стоит ему услуги, работы или значимого доступа, согласие не свободно. Преамбула 43 GDPR прямо называет дисбаланс власти – особенно между работодателем и работником или органом власти и гражданином – ситуацией, где согласие вряд ли действительно.

Конкретно. Согласие охватывает одну определённую цель. Одна галочка, разрешающая «безопасность, маркетинг и аналитику» вместе, – недопустимая связка; каждой цели нужен свой выбор.

Информированно. До согласия человек должен знать, кто контролёр, что собирается, зачем, на какой срок, кто получает и что можно отозвать. Информированное согласие и уведомление здесь пересекаются – но проинформировать человека лишь вход в согласие, а не само согласие.

Однозначно, явным утвердительным действием. Молчание, бездействие или предустановленная галочка – не согласие (преамбула 32 GDPR). Человек должен активно что-то сделать – подписать, нажать «согласен», зарегистрироваться.

Поверх этих четырёх статья 7 требует, чтобы вы могли доказать согласие позже, подать его отдельно от прочих условий простым языком и сделать отзыв таким же лёгким, как дачу. Поток согласия без механизма отзыва несостоятелен по своей сути.

Нажмите, чтобы увеличить

«Частая ошибка: предустановленная или связанная галочка согласия. Заранее отмеченная галочка или одна галочка, покрывающая безопасность и маркетинг, – не действительное согласие по преамбуле 32 и ст. 7(2) GDPR. Если ваш экран регистрации поставляется с уже выбранным согласием или сворачивает несколько целей в одно принятие, он не собирает ничего, что признает регулятор, – а данные вы обработали без основания.»

Уведомление, которое действительно работает

Поскольку большинство камер работают на уведомлении, а не на согласии, именно качество уведомления стоит между вами и нарушением прозрачности. Долг прозрачности GDPR живёт в статьях 12 и 13, а Европейский совет по защите данных превращает его в практическую двухслойную модель в Guidelines 3/2019. Та же структура работает далеко за пределами ЕС, так что стоит построить её один раз и переиспользовать.

Первый слой – это знак-предупреждение, который человек встречает до входа в зону наблюдения. EDPB (Guidelines 3/2019, п. 114) говорит, что он должен нести самую важную информацию: цель наблюдения, личность контролёра, наличие прав субъекта данных и информацию о наибольших последствиях обработки – и должен указывать, где находится более полное уведомление. Пункт 115 добавляет, что знак должен включать всё, что может удивить человека, например передачу записи третьим лицам (особенно за пределы ЕС) и срок хранения. Пункт 116 – о размещении: ставьте знак на разумном расстоянии от мест наблюдения, чтобы человек узнал ситуацию до входа в неё.

Знак первого слоя, отвечающий планке, выглядит так:

⚠ ВЕДЁТСЯ ВИДЕОНАБЛЮДЕНИЕ
Цель: контроль краж и безопасности этого магазина
Оператор: ООО «Пример» · dpo@example.com
Запись хранится 30 дней · не передаётся, кроме как полиции по запросу
У вас есть права на эту запись (доступ, удаление, возражение).
Полное уведомление: [QR-код] или спросите на стойке.

Второй слой – это полное уведомление, содержащее всё, что требует статья 13: правовое основание (и для законного интереса – преследуемый интерес), срок хранения, получателей, международные передачи и как реализовать права. До него надо иметь возможность добраться, не входя в зону наблюдения: на стойке регистрации, по QR-коду на знаке или на чётко обозначенной веб-странице. Мы рассматриваем знаки как обязанность GDPR в статье GDPR для видеонаблюдения; здесь суть – механика, которая делает уведомление достаточным, а не декоративным.

Нажмите, чтобы увеличить

«Частая ошибка: декоративный знак. Знак, на котором написано только «Улыбнитесь, вас снимают», – не уведомление: он не называет ни контролёра, ни цель, ни срок, ни права, ни путь к полному уведомлению. На протяжении 2025 года регуляторы ЕС многократно наказывали операторов именно за этот разрыв между «камера есть» и «людей правильно проинформировали». Знак, не проходящий тест содержания п. 114–116, не выполняет долг, ради которого повешен.»

Биометрия меняет вопрос целиком

Всё выше – об обычной записи. В момент, когда система строит биометрический шаблон – математическую модель лица, радужки или голоса для идентификации конкретного человека, – правовой вопрос перестаёт быть «уведомление или согласие?» и становится «есть ли у нас то конкретное, требовательное согласие, которое нужно биометрии?». Знак на это «да» ответить не может.

В ЕС шаблон лица – это особая категория биометрических данных по ст. 4(14) GDPR, и статья 9 запрещает его обработку по умолчанию. Единственный реальный способ сделать коммерческое распознавание лиц законным – исключение явного согласия в ст. 9(2)(a), более сильное, opt-in, ясно заявленное согласие. Собственный пример EDPB показывает, почему это рушится в общественном месте: отель, запускающий распознавание лиц, чтобы приветствовать VIP-гостей, не может опереться на согласие VIP-ов, потому что та же камера обрабатывает биометрию каждого другого гостя и прохожего, от которых явное согласие невозможно. Уведомление на стене ни от кого явного согласия не даёт. Мы разбираем конвейер распознавания лиц и реалии его точности в статье распознавание лиц в видеонаблюдении.

В США строжайшее правило задаёт Иллинойс, и это правило согласия, а не уведомления. Закон о приватности биометрической информации (BIPA, 740 ILCS 14) в разделе 15(b) гласит, что ни одна частная организация не может собрать биометрический идентификатор, не сначала: (1) уведомив человека письменно, что биометрия собирается или хранится, (2) уведомив письменно о конкретной цели и сроке и (3) получив подписанное им согласие. Раздел 10 BIPA определяет это «письменное согласие» как информированное письменное согласие. Раздел 15(a) добавляет долг в стиле уведомления сверху: публичную письменную политику хранения и уничтожения. То есть Иллинойс накладывает жёсткое требование согласия (15(b)) поверх требования публичного уведомления (15(a)) – и для камеры, снимающей шаблон каждого прохожего, шаг «подписанное согласие до сбора» структурно невозможен. Мы разбираем судебный механизм BIPA и ущерб «на человека» в статье BIPA и биометрические законы США.

Вывод: для биометрии уведомление необходимо, но никогда не достаточно. Нужно реальное opt-in-согласие – явное согласие по ст. 9(2)(a) в ЕС, подписанное согласие BIPA в Иллинойсе – а там, где его нельзя получить от всех в кадре, законный ход – вообще не строить шаблон. Детекция и подсчёт, которые никогда не идентифицируют конкретного человека, остаются вне правил о биометрии; та же граница управляет чтением номеров, о чём – в статье распознавание автомобильных номеров (LPR/ANPR).

Нажмите, чтобы увеличить

Рабочее место – самый трудный случай, и он режет в обе стороны

Камеры на работе создают острейшую проблему согласия из-за дисбаланса власти, о котором предупреждает преамбула 43 GDPR. Работник, которого просят «согласиться» на мониторинг, не делает свободного выбора – «нет» рискует работой, – так что у работодателя почти никогда нет действительного согласия на камеры на рабочем месте. Европейские органы по защите данных сделали это замечание годы назад в Заключении Рабочей группы по статье 29 № 2/2017 об обработке данных на работе, и оно всё ещё в силе: опирайтесь на законный интерес плюс ясное уведомление (и во многих странах ЕС – консультацию с представителями работников), а не на согласие.

Затем биометрия переворачивает давление в другую сторону. Биометрические часы учёта в Иллинойсе – фабула, стоящая за волной классовых исков BIPA, – действительно требуют письменного согласия работника по разделу 15(b), потому что правило согласия BIPA применяется независимо от трудовых отношений. Так что одно и то же рабочее место может быть местом, где согласие – неправильное основание для обычных камер и обязательное для отпечатка или часов по лицу. Противоречия нет, если держать две идеи раздельно: для обычного мониторинга – уведомление на основании законного интереса; для сбора биометрии – задокументированное подписанное согласие и публичная политика хранения, с функцией, выключенной по умолчанию, пока нет обоих.

«Частая ошибка: биометрические часы без подписанного согласия. Развернуть часы по отпечатку или лицу, потому что железо это умеет, без письменного согласия 15(b) и публичной политики 15(a) – ровно тот шаблон, что породил сотни исков BIPA. Удобная функция вендора становится ответственностью работодателя «на человека» в момент включения.»

США: в основном режим уведомления, с двумя ловушками

Вне биометрии право США о наблюдении легче европейского и опирается на уведомление, а не на согласие. Запись видео в местах, где у людей нет разумных ожиданий приватности – торговые залы, холлы, парковки, – обычно разрешена при должном уведомлении и запрещена там, где такие ожидания есть, например в туалетах и примерочных. Закон Калифорнии о приватности потребителей (CCPA, с поправками CPRA, Cal. Civ. Code § 1798.100) добавляет долг уведомления при сборе: бизнес должен сказать людям в момент сбора или до него, какие категории персональной информации он собирает и зачем. По CPRA биометрическая информация для идентификации человека – это «чувствительная персональная информация» с дополнительным правом ограничить её использование. Это всё ещё режим уведомления-и-контроля, а не opt-in-согласия – кроме случаев, где специальный закон о биометрии вроде BIPA его навязывает.

Две ловушки ловят команды, считающие, что «в США расслабленно».

Первая – аудио. Федеральный закон о прослушивании (18 U.S.C. § 2511) разрешает запись разговора с согласия одной стороны, но около дюжины штатов – включая Калифорнию и Иллинойс – требуют согласия всех сторон. Камера наблюдения с включённым микрофоном, записывающая разговоры в штате с согласием всех сторон, может быть уголовным нарушением, даже когда видео идеально законно. Безопасный дефолт – отключать аудио, пока у вас нет конкретного законного повода и согласия, которого требует штат.

Вторая – биометрия, уже разобранная: Иллинойс BIPA, Техас CUBI и закон Вашингтона превращают «функцию» в обязанность согласия с реальными зубами. Карта исков и детали по штатам – в статьях BIPA и биометрические законы США и карта регионального регулирования.

Собираем вместе: уведомление или согласие, по ситуации

Решение маленькое, как только две идеи разделены. Таблица ниже – вся статья, сжатая.

Нажмите, чтобы увеличить

Где здесь Фора Софт

Мы строим системы видеонаблюдения и компьютерного зрения, и в этой работе граница согласия и уведомления – архитектурное решение, а не бумажная формальность задним числом. Системы, которые выдерживают и реальную нагрузку, и вопросы регулятора, – это те, где биометрическая аналитика поставляется выключенной по умолчанию, где конвейер может вести детекцию и подсчёт, ни разу не строя шаблон личности, и где сбор можно гео-ограничить, чтобы функция распознавания лиц просто не включалась на площадке без потока согласия. Мы проектируем наблюдение и аналитику с этими воротами внутри – точно, честно о реалиях precision/recall распознавания и так, чтобы правовое основание решалось до записи, а не обнаруживалось потом. Вертикали, которые мы знаем лучше всего, – видеонаблюдение, компьютерное зрение, стриминг, конференции – именно там это и важно.

Ключевые выводы

• Уведомление – это сказать людям; согласие – получить разрешение; это разные долги с разной планкой.
• Обычные камеры работают на основании без согласия плюс уведомлении; согласие не масштабируется на всех в кадре.
• Действительное согласие GDPR свободно, конкретно, информированно, однозначно и отзываемо (ст. 4(11), ст. 7).
• Корректный знак первого слоя несёт цель, контролёра, права, срок и указатель (EDPB 3/2019).
• Биометрии нужно явное согласие (ЕС ст. 9) или подписанное согласие BIPA – знака никогда не достаточно.
• На работе для обычных камер – уведомление; биометрическим часам в Иллинойсе всё равно нужно письменное согласие.

Что почитать дальше

• GDPR для видеонаблюдения – тест правового основания и полный долг прозрачности.
• BIPA и биометрические законы США – правило письменного согласия и ущерб «на человека».
• Приватность по проектированию для видеонаблюдения – как согласие и уведомление встают в общую позицию приватности.