Федеральный закон №152-ФЗ «О персональных данных» регулирует обработку любых персональных данных, включая данные систем контроля доступа. Разбираем, что нужно учитывать при выборе и эксплуатации СКУД.
Какие данные СКУД подпадают под 152-ФЗ
Любая информация, позволяющая идентифицировать человека:
- ФИО в базе пропусков
- Номера телефонов
- Фотографии (в том числе с камер видеонаблюдения)
- Госномера автомобилей
- Данные о проходах (время, точка доступа)
- Биометрические данные (если используется распознавание лиц)
Обязанности оператора СКУД
1. Уведомить Роскомнадзор
Организация, эксплуатирующая СКУД, обязана подать уведомление в РКН о том, что обрабатывает персональные данные. Это касается УК, БЦ, складов — любого объекта с системой контроля доступа.
2. Получить согласие
Для обработки персональных данных нужно согласие субъекта. Исключение — обработка для исполнения договора (например, договор аренды может включать обязательство по пропускному режиму).
3. Обеспечить защиту
Данные должны храниться с применением технических мер защиты: шифрование, контроль доступа к базе, журналирование операций.
4. Хранить в РФ
Персональные данные граждан РФ должны обрабатываться с использованием баз данных, расположенных на территории России.
Как облачная СКУД соответствует 152-ФЗ
При выборе облачного решения обратите внимание на:
- Расположение серверов — дата-центр должен находиться в РФ
- Шифрование — данные шифруются при передаче (TLS) и хранении (AES-256)
- Разграничение доступа — только авторизованные сотрудники видят персональные данные
- Журналирование — все операции с данными фиксируются
- Соглашение об обработке — провайдер СКУД выступает как обработчик данных
Штрафы за нарушения
С 2024 года штрафы за нарушение 152-ФЗ существенно выросли:
- Обработка без согласия — до 300 000 ₽ для юрлиц
- Утечка данных — до 500 000 ₽ (за первый инцидент)
- Хранение за рубежом — до 6 000 000 ₽
Чек-лист соответствия
- Подать уведомление в Роскомнадзор
- Получить согласия субъектов или обеспечить правовое основание
- Убедиться, что серверы СКУД в РФ
- Проверить наличие шифрования и журналирования
- Назначить ответственного за обработку ПД
- Разработать политику обработки ПД
- Регулярно проводить аудит безопасности