Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: сентябрь 2026 года. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
Наклейка на двери — это не документ
В кофейне на кассе висит табличка «Ведётся видеонаблюдение». Четыре камеры: зал, касса, склад, вход. Записи хранятся на регистраторе, пароль от него знает управляющая и ещё двое бариста, потому что «так удобнее смотреть, кто разбил витрину».
Владелец уверен, что всё в порядке — табличка же висит. На деле у него нет ни одного документа, который требует закон, а сама конструкция «пароль знают трое» — это готовый эпизод утечки.
Видеонаблюдение — самая недооценённая зона в 152-ФЗ. Про политику на сайте помнят почти все, про камеры — почти никто. При этом видеоархив содержит больше персональных данных, чем форма обратной связи: лица посетителей, лица сотрудников, время прихода и ухода, иногда — экран рабочего компьютера в кадре.
Почему запись с камеры — персональные данные
Спор о том, регулирует ли видеонаблюдение персональные данные, закон закрывает определением из статьи 3 152-ФЗ: персональные данные — это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Изображение человека позволяет его определить, поэтому видеозапись с распознаваемым лицом попадает под закон целиком.
Из этого следует всё остальное. Вы — оператор персональных данных (если сомневаетесь в статусе, разбор здесь: кто является оператором). Значит, вам нужно основание обработки, цель, срок хранения, меры защиты, запись в реестре и раздел в политике.
Отдельный вопрос — камера, которая физически не пишет, а только транслирует изображение на монитор охраны. Формально записи нет, но обработка есть: закон относит к обработке в том числе сбор и просмотр. Практический вывод простой: если камера видит людей, документы нужны в обоих случаях, просто в режиме без записи их меньше.
На каком основании вы снимаете
Самое частое заблуждение: «нужно брать согласие у каждого посетителя». Брать согласие у человека, входящего в магазин, физически невозможно, и закон этого не требует.
Пункт 7 части 1 статьи 6 152-ФЗ разрешает обработку, когда она необходима для осуществления прав и законных интересов оператора или третьих лиц — при условии, что при этом не нарушаются права и свободы субъекта. Охрана имущества, безопасность посетителей, фиксация конфликтных ситуаций на кассе — это именно те законные интересы, на которые опирается видеонаблюдение в торговом зале, офисе или на складе.
Условие в конце фразы — не формальность. Оно означает, что интерес оператора должен быть соразмерен вмешательству. Камера над кассой соразмерна. Камера, направленная на рабочий стол конкретного сотрудника с постоянной записью звука, — уже вопрос, на который придётся отвечать.
Практический вывод: основание нужно зафиксировать письменно, до того как о нём спросят. Формулировка «цель — обеспечение сохранности имущества и безопасности посетителей и работников, основание — п. 7 ч. 1 ст. 6 152-ФЗ» должна стоять в положении о видеонаблюдении и в политике конфиденциальности. Без этого обработка выглядит как обработка без основания, а это часть 1 статьи 13.11 КоАП: для юридических лиц штраф 150 000–300 000 ₽.
Сотрудники — отдельный режим
Работники не посетители. Их данные защищены дополнительно — главой 14 Трудового кодекса, и здесь одного законного интереса мало.
Что нужно сделать до включения камеры:
- Принять локальный нормативный акт — положение о видеонаблюдении, где указаны цели, зоны съёмки, срок хранения и круг лиц с доступом.
- Ознакомить каждого работника под подпись. Это ключевой пункт: без листа ознакомления вы не докажете, что человек знал о наблюдении.
- Внести упоминание в трудовой договор или допсоглашение — не обязательно во всех случаях, но снимает большую часть споров.
- Обозначить зоны наблюдения информационными табличками на входе в помещение и в самих зонах.
Скрытое наблюдение за сотрудниками — плохая идея не потому, что «неэтично», а потому что запись, полученная скрыто, чаще всего не работает как доказательство в трудовом споре, зато отлично работает как основание для жалобы работника в трудовую инспекцию и Роскомнадзор одновременно. Остальные кадровые документы по персональным данным разобраны в материале про 152-ФЗ для HR.
Где камера переводит разговор в уголовную плоскость
Есть зоны, где видеонаблюдение недопустимо независимо от целей и документов: туалеты, душевые, раздевалки, примерочные, комнаты отдыха и приёма пищи, медицинские кабинеты.
Здесь речь уже не о 152-ФЗ и не о штрафе, а о статье 137 Уголовного кодекса — нарушении неприкосновенности частной жизни. Ни согласие работника, ни положение о видеонаблюдении такую камеру не легализуют.
Пограничный случай — камера в коридоре, направленная на дверь раздевалки. Сама по себе допустима, но угол обзора нужно проверить лично, а не по описанию монтажников: если в кадр попадает часть помещения при открытой двери, это уже проблема.
Когда видеонаблюдение становится биометрией
Ключевая развилка, которую путают чаще всего. Обычная камера, которая пишет архив для охраны, биометрию не обрабатывает. Статья 11 152-ФЗ относит к биометрическим данным сведения о физиологических и биологических особенностях человека, на основании которых можно установить его личность, и которые используются оператором для установления личности.
Пока запись просто лежит в архиве — это изображение, а не биометрия. Как только вы подключаете распознавание лиц: пропуск в офис по лицу, идентификация постоянных покупателей, автоматическое сравнение с базой «нежелательных гостей» — режим меняется. Для биометрии нужно письменное согласие субъекта, и получить его до входа человека в помещение практически нереально, а значит, сценарий «камера сама узнаёт всех входящих» в открытом для посещения помещении юридически не выстраивается. Подробнее о границах — в статье про биометрию в бизнесе.
Практическое следствие: если поставщик системы предлагает «умную аналитику с распознаванием лиц», выясните до подписания договора, сохраняются ли биометрические шаблоны и кто их оператор. Часто эту функцию проще отключить, чем документально обеспечить.
Сколько хранить запись
Закон не называет конкретный срок. Работает принцип из статьи 5: хранение не дольше, чем этого требует цель обработки. Отсюда два вывода.
Первый: срок надо выбрать самостоятельно и обосновать целью. В практике охраны объектов чаще всего используют 30 суток — этого хватает, чтобы обнаружить и разобрать инцидент. Больший срок требует объяснения, зачем он вам.
Второй: срок должен быть указан в положении и в политике, а по его истечении запись должна фактически удаляться, а не просто перезаписываться «когда диск заполнится». Циклическая перезапись — приемлемый механизм, если её глубина совпадает с заявленным сроком. Общий порядок работы со сроками и актами разобран в материале про срок хранения и уничтожение ПДн.
Отдельно фиксируйте выгрузки. Если по запросу полиции или для служебного расследования запись скопировали на флешку, файл живёт уже вне системы и вне срока — нужен журнал выдачи с указанием кому, когда и на каком основании.
Комплект документов
Минимальный набор, который стоит иметь до, а не после проверки:
- Приказ о вводе системы видеонаблюдения в эксплуатацию с перечнем камер и зон съёмки.
- Положение о видеонаблюдении — цели, основание, зоны, срок хранения, порядок доступа к архиву, порядок выдачи записей третьим лицам.
- Лист ознакомления работников под подпись.
- Информационные таблички на входе в зоны наблюдения.
- Раздел в политике конфиденциальности с указанием цели, основания и срока.
- Запись в реестре обработки — видеонаблюдение это отдельный процесс со своим составом данных; как вести реестр, описано здесь.
- Приказ о назначении ответственного за организацию обработки и список лиц с доступом к архиву.
Пункт 7 закрывает историю из начала статьи: доступ к регистратору не может быть «у всех, кому удобно». Это перечень конкретных сотрудников, утверждённый приказом, с индивидуальными учётными записями.
Облачное видеонаблюдение
Если записи уходят в облако провайдера, добавляется ещё один слой. Провайдер обрабатывает ваши данные по вашему поручению, а часть 3 статьи 6 152-ФЗ требует для этого договора с обязательным перечнем условий: цели, перечень действий, обязанность конфиденциальности и требования к защите.
Проверьте три вещи в договоре с оператором облачного видеонаблюдения: где физически расположены серверы, есть ли раздел о поручении обработки, в какой срок провайдер обязан уведомить вас об инциденте. Последнее критично: при утечке у вас есть 24 часа на уведомление Роскомнадзора и 72 часа на передачу результатов внутреннего расследования. Если провайдер по договору сообщает «в разумный срок», вы этот норматив не выполните.
Цена ошибки здесь выросла: за утечку персональных данных штраф достигает 20 млн ₽, а при повторном нарушении применяется оборотный штраф 1–3% выручки с минимумом 20 млн и максимумом 500 млн ₽.
Что делать прямо сейчас
Начните с инвентаризации: пройдите по помещению и выпишите каждую камеру, её зону обзора и то, куда идёт запись. Почти всегда обнаруживается минимум одна камера, о которой забыли, и минимум один человек с доступом к архиву, которому он больше не нужен. Дальше — документы по списку выше и наведение порядка в доступах.
Уверены, что ваш сайт не сдаёт вас раньше, чем камеры? Запустите бесплатный аудит на соответствие 152-ФЗ → — он покажет, какие данные собирают формы и сторонние сервисы на страницах, есть ли корректная политика и каких документов не хватает под ваш набор процессов, включая видеонаблюдение.
Статья актуальна на сентябрь 2026 года. Нормативные акты: 152-ФЗ «О персональных данных» (ст. 3, 5, 6, 11, 18.1, 19, 20, 21, 22), Трудовой кодекс РФ (гл. 14), КоАП РФ ст. 13.11 в редакции ФЗ № 420-ФЗ от 30.11.2024, ст. 137 УК РФ.