Видеонаблюдение и персональные данные: согласие, хранение записей, вывеска

Коротко: Запись с камер – это обработка персональных данных, если человека можно идентифицировать. Для охраны помещения основанием обычно служат законные интересы оператора (п. 7 ч. 1 ст. 6 152-ФЗ), согласие посетителей в этом случае не обязательно. Нужно указать цель и основание в политике, повесить табличку, подать уведомление в Роскомнадзор и уничтожать записи после истечения срока хранения. Согласие нужно, если записи используются для иных целей: публикация, реклама, распознавание лиц.

Видеонаблюдение на территории бизнеса – от магазина до офиса – давно стало нормой. Но с точки зрения закона «О персональных данных» (152-ФЗ) запись с камер – это обработка персональных данных, если по видео можно идентифицировать человека. А значит, нужно разобраться, когда требуется согласие на видеонаблюдение, сколько хранить записи и нужна ли предупреждающая табличка. Разберём ключевые моменты по порядку.

Когда видеозапись становится персональными данными

Не всякая камера на фасаде или в коридоре автоматически подпадает под 152-ФЗ. Закон вступает в силу, когда запись позволяет определить конкретного человека: его лицо, одежду, действия, номер машины, бейдж с именем. Если камера направлена на общий план парковки без возможности идентификации – это ещё не ПДн. Но как только вы начинаете хранить записи, где видно лицо посетителя, вы становитесь оператором персональных данных со всеми вытекающими обязанностями.

Категории данных на видео

Изображение человека относится к категории «иные персональные данные» (не специальные и не биометрические, если вы не используете систему распознавания лиц). Однако если вы применяете биометрию – например, Face ID для прохода – это уже ст. 11 152-ФЗ, и здесь требуется отдельное письменное согласие. По общему правилу, биометрические ПДн обрабатываются только с письменного согласия субъекта, кроме исключений (реадмиссия, правосудие, госрегистрация). При этом оператор не вправе отказать в услуге, если человек отказывается давать биометрию, когда такое согласие не обязательно по закону.

Согласие на видеонаблюдение: как оформить

Центральный вопрос – нужно ли согласие. Для охраны помещения основанием обычно служат законные интересы оператора (п. 7 ч. 1 ст. 6 152-ФЗ) или требования закона об антитеррористической защищённости; согласие посетителей в этих случаях не обязательно, но цель и основание нужно указать в политике и сообщить людям табличкой. Согласие нужно, если записи используются для иных целей (публикация, реклама, распознавание лиц). Когда согласие нужно, оно должно быть конкретным, предметным, информированным, сознательным и однозначным (ст. 9 152-ФЗ).

Форма согласия

Для обычного видеонаблюдения (без биометрии) согласие, если оно нужно, может быть дано в любой форме, подтверждающей факт его получения (ч. 1 ст. 9). На практике это означает:

• Сотрудники. Если для видеонаблюдения за сотрудниками берёте согласие – только отдельным документом, не в тексте трудового договора (ч. 1 ст. 9). О видеонаблюдении работника уведомляют локальным актом под подпись.
• Посетители. Если согласие всё же нужно (например, для публикации записей), подойдёт активное действие: отметка «галочка» при онлайн-записи или подпись в журнале. Молчаливое поведение (просто прошёл под камерой) согласием не является: оно должно быть конкретным и однозначным.
• Табличка – способ сообщить людям о съёмке; сама по себе согласие не заменяет.

Для письменного согласия закон требует указывать: ФИО субъекта, его адрес, данные паспорта (номер, дата выдачи, кем выдан), а также цель обработки, перечень действий с данными, срок действия согласия и порядок отзыва. Если согласие даёт представитель (например, родитель за ребёнка), дополнительно нужны реквизиты доверенности или иного документа, подтверждающего полномочия.

Согласие для сотрудников и посетителей

С сотрудниками проще: вы включаете пункт о видеонаблюдении в локальный нормативный акт (например, Положение о пропускном режиме) и знакомите работника под подпись. Если берёте согласие работника, оформляйте его отдельным документом, не в тексте трудового договора (ч. 1 ст. 9 152-ФЗ). Но помните: вы не можете вести скрытое наблюдение – сотрудник должен знать, что его снимают, и для каких целей.

С посетителями (клиентами, курьерами, случайными прохожими) сложнее. Если у вас магазин или офис с открытым доступом, порядок такой:

1. Указать цель и основание видеонаблюдения в политике обработки ПДн.
2. Разместить табличку о видеонаблюдении.
3. Если записи используются для иных целей (публикация, реклама), получить согласие – например, при онлайн-записи на сайте.
4. Для массовых мероприятий (концерты, выставки) – предупреждать на билетах или при входе.

Отзыв согласия и уничтожение записей

Человек вправе в любой момент отозвать согласие на обработку своих ПДн (ст. 9 152-ФЗ). После отзыва оператор обязан уничтожить данные в течение 30 дней. Это касается и видеозаписей: если бывший сотрудник или посетитель требует удалить кадры с его участием, вы должны это сделать, если только запись не нужна для других законных целей (например, для расследования инцидента).

Вывеска о видеонаблюдении: что на ней указать

Прямо закон табличку не требует, но это самый простой способ сообщить людям о съёмке и её цели и показать добросовестность обработки.

Что писать на вывеске

Рекомендуем указать:

• Факт ведения видеонаблюдения.
• Цель (например, «для обеспечения безопасности» или «для контроля доступа»).
• Контакты оператора (название организации, адрес, телефон или сайт).
• Ссылка на документ с полной информацией (Политика обработки ПДн), где можно узнать подробности и порядок отзыва согласия.

Размещайте вывеску до входа в зону наблюдения – чтобы человек мог принять решение: заходить или нет. Если камеры есть внутри помещения (в зале, коридоре), таблички вешают при входе в каждую зону.

Штрафы за отсутствие вывески

Отдельного состава за отсутствие таблички в ст. 13.11 КоАП нет. Но оператор определяет состав мер сам (ч. 1 ст. 18.1 152-ФЗ) и обязан обеспечить неограниченный доступ к политике обработки ПДн; за её неопубликование организации грозит штраф 30–60 тыс. ₽, ИП – 10–20 тыс. ₽ (ч. 3 ст. 13.11 КоАП). Табличка со ссылкой на политику помогает выполнить это требование.

Уведомление Роскомнадзора

Уведомление об обработке нужно при любом видеонаблюдении с записью: исключения ч. 2 ст. 22 152-ФЗ (государственные системы безопасности, обработка без средств автоматизации, транспортная безопасность) к обычным камерам не относятся. Цель «обеспечение безопасности, видеонаблюдение» указывают в уведомлении (ч. 1 и п. 2 ч. 3 ст. 22); подаётся оно через pd.rkn.gov.ru или Госуслуги. Если уведомление об обработке уже подано по другим целям, добавьте эту цель.

Хранение записей видеонаблюдения: сроки и порядок

Срок хранения видеозаписей – один из самых частых вопросов. 152-ФЗ не устанавливает конкретного срока для всех случаев, но есть общее правило: данные должны храниться не дольше, чем это необходимо для целей обработки.

Рекомендуемые сроки

• Для обеспечения безопасности – срок оператор устанавливает сам и фиксирует во внутреннем положении о видеонаблюдении; на практике для магазинов, офисов и бизнес-центров часто выбирают около 30 дней. Для объектов с требованиями к антитеррористической защищённости условия хранения архива задают отдельные нормативы.
• Для расследования инцидентов (кражи, конфликты) – до завершения разбирательства, но не более срока исковой давности (обычно 3 года).
• Для трудовых отношений (контроль рабочего времени) – срок тоже фиксируется в положении о видеонаблюдении и не должен быть дольше, чем нужно для этой цели. Само письменное согласие сотрудника хранится как документ 3 года после отзыва или истечения (приказ Росархива № 236).
• Для архивного хранения (документы по личному составу) – 50 лет, если оформлены после 1.01.2003; 75 лет – если раньше (ст. 22.1 125-ФЗ «Об архивном деле»). Но это касается именно документов, а не видеозаписей – записи обычно не относятся к документам по личному составу.

Уничтожение записей после истечения срока

После того как срок хранения истёк, записи должны быть уничтожены. Если вы храните их годами без цели, это нарушение принципа минимизации данных. Уничтожение подтверждают актом, а при автоматической обработке – и выгрузкой из журнала событий системы; документы хранят 3 года (приказ РКН от 28.10.2022 № 179). Если вы используете облачное видеонаблюдение, убедитесь, что провайдер автоматически удаляет записи по истечении заданного срока.

Сроки хранения зависят от цели обработки видеозаписей.

Ответственность за нарушения при видеонаблюдении

Размер ответственности зависит от того, какое требование нарушено.

Административные штрафы

Основная статья – 13.11 КоАП РФ (нарушение порядка обработки ПДн). Обработка без законного основания – 150–300 тыс. ₽ для организации и 50–100 тыс. ₽ для ИП (ч. 1); обработка биометрии без письменного согласия – 300–700 тыс. ₽ для организации и 100–300 тыс. ₽ для ИП (ч. 2). Штрафы по разным частям не складываются (ч. 5–6 ст. 4.4 КоАП). Малому бизнесу при первом нарушении в ряде случаев вместо штрафа назначают предупреждение (ст. 4.1.1 КоАП); условия уточняйте по действующей редакции кодекса.

Уголовная ответственность

В особо тяжёлых случаях (незаконный сбор или распространение видеозаписей с частной жизнью) возможна ответственность по ст. 137 УК РФ. С декабря 2024 года действует также ст. 272.1 УК – за незаконное использование, передачу, сбор или хранение компьютерной информации с ПДн, полученной незаконным путём. Штраф – до 300 000 рублей, принудительные работы или лишение свободы до 4 лет (ч. 1).

Утечка видеозаписей

Если записи попали в открытый доступ (например, из-за взлома облачного сервера), вы обязаны уведомить Роскомнадзор: первичное уведомление – в течение 24 часов, детальное (с результатами расследования) – в течение 72 часов. Штрафы за утечку с 30 мая 2025 года (420-ФЗ, ст. 13.11 КоАП): от 3 до 15 млн рублей в зависимости от числа людей (ч. 12–14, при утечке менее 1 000 человек штрафа по этим частям нет), за утечку биометрии – 15–20 млн рублей (ч. 17), за неуведомление Роскомнадзора – 1–3 млн рублей (ч. 11). При повторной утечке – оборотный штраф 1–3% годовой выручки, но не менее 20 млн и не более 500 млн рублей (ч. 15; для биометрии – ч. 18, от 25 млн).

Особые случаи: биометрия, скрытое наблюдение, аренда

Видеонаблюдение с распознаванием лиц

Если ваша система распознаёт лица (например, для автоматического прохода или поиска в базе), это обработка биометрических ПДн. Здесь нужно:

• Письменное согласие каждого субъекта.
• Сведения о биометрической обработке в уведомлении Роскомнадзора (см. раздел о видеонаблюдении выше: уведомление нужно при любом видеонаблюдении с записью).
• Определение уровня защищённости ПДн (УЗ) по Постановлению Правительства № 1119. Для биометрии уровень зависит от типа актуальных угроз – от УЗ-1 до УЗ-3.

Скрытое видеонаблюдение

Установка скрытых камер без предупреждения – прямое нарушение 152-ФЗ. Согласие на обработку ПДн должно быть информированным, а скрытое наблюдение делает его невозможным. Кроме того, это может быть расценено как вмешательство в частную жизнь (ст. 137 УК). Исключение – оперативно-розыскная деятельность, но она доступна только правоохранительным органам.

Видеонаблюдение в арендованных помещениях

Если вы арендуете офис или магазин, ответственность за соблюдение 152-ФЗ лежит на вас как на операторе (если камеры установлены вами). У арендодателя могут быть свои камеры в общих зонах (коридоры, парковка). Уточните у него, так ли это, и пропишите в договоре аренды, кто оператор этих записей и кто отвечает за их хранение.

Как проверить свой сайт на соответствие 152-ФЗ

Если на вашем сайте есть форма записи на приём, онлайн-чат с видео или вы публикуете фото/видео с посетителями, требования 152-ФЗ распространяются и на цифровую среду. Убедитесь, что:

• На сайте размещена Политика обработки ПДн.
• Формы сбора данных содержат активное согласие (галочка, а не предустановленное согласие).
• Вы не передаёте видеозаписи третьим лицам без законного основания – в том числе без согласия, когда оно требуется. Трансграничная передача данных, например в зарубежные облачные сервисы, требует уведомления Роскомнадзора до её начала – в любую страну. Перечень стран с адекватной защитой утверждает Роскомнадзор (приказ от 16.09.2026 № 253): проверьте страну облачного провайдера по нему. В страны вне перечня данные можно передавать только через 10 рабочих дней после уведомления, если Роскомнадзор не запретил передачу (ч. 9, 11 ст. 12).

Коротко о главном

Видеонаблюдение – удобный инструмент безопасности, но он требует чёткого соблюдения 152-ФЗ. Главное: определите основание обработки (для охраны помещения обычно законные интересы оператора), укажите цель в политике, повесьте табличку с информацией об операторе и целях съёмки, подайте уведомление в Роскомнадзор, установите разумные сроки хранения записей (обычно 30 дней) и уничтожайте их после истечения срока. Если согласие всё же берёте, помните: отзыв согласия влечёт уничтожение данных в течение 30 дней. Если используете биометрию – готовьте письменное согласие. А чтобы проверить, всё ли в порядке на вашем сайте, воспользуйтесь сканером – это поможет избежать штрафов и репутационных рисков.

Частые вопросы

На что опираемся

• 152-ФЗ «О персональных данных» – ст. 11 (биометрические персональные данные)
• КоАП РФ – ст. 13.11 (нарушение порядка обработки персональных данных)
• УК РФ – ст. 137 (нарушение неприкосновенности частной жизни)
• УК РФ – ст. 272.1 (незаконное использование компьютерной информации с персональными данными)
• Постановление Правительства № 1119 (уровни защищённости персональных данных)

Что сделать дальше

1. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
2. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.