GDPR не запрещает видеонаблюдение и видеоаналитику как класс технологий. Он требует, чтобы организация заранее определила цель, правовое основание, минимальный объём данных, срок хранения и меры защиты. Распознавание лиц добавляет отдельный слой риска, потому что обработка лица для уникальной идентификации может стать обработкой биометрических данных особой категории.
Материал актуален на 8 сентября 2026 года и носит информационный характер. GDPR может применяться к российской компании, если её деятельность подпадает под территориальную сферу регламента, например связана с предложением товаров или услуг людям в ЕС либо мониторингом их поведения в ЕС. Для реального проекта требуется проверка юристом применимого национального права.
Сначала разделите три разных сценария
Обычная видеозапись
Если человек различим, видео обычно содержит персональные данные. Это не означает, что каждое изображение лица автоматически является биометрией, но требования GDPR к законности, прозрачности, хранению и безопасности уже применимы.
Анонимный подсчёт и агрегированная аналитика
Система может считать поток людей или заполненность зоны без сохранения идентификаторов и без возможности выделить конкретного человека. Такой дизайн снижает риск. Но слово «анонимный» нужно подтверждать архитектурой: не сохраняются ли исходные кадры, траектории, уникальные признаки или идентификаторы устройств.
Биометрическая идентификация или верификация
Когда выполняется специальная техническая обработка признаков лица для установления или подтверждения личности, возникают биометрические данные. EDPB в Guidelines 3/2019 подчёркивает повышенный риск распознавания лиц и необходимость отдельных гарантий.
Шаг 1. Запишите конкретную цель
Цель «безопасность» слишком широка. Лучше: защита закрытого склада вне рабочего времени, расследование подтверждённых инцидентов или анонимное измерение очереди. Однажды собранное видео нельзя автоматически использовать для новой аналитики, маркетинга или оценки сотрудников.
Статья 5 GDPR закрепляет ограничение цели, минимизацию данных, точность, ограничение хранения, целостность и конфиденциальность, а также ответственность контролёра за соблюдение этих принципов.
Шаг 2. Выберите правовое основание
Для обычного видео требуется основание по статье 6 GDPR. В частном секторе часто рассматривают законный интерес, но это не автоматическое разрешение: нужно показать необходимость, сопоставить интерес организации с правами людей и предложить разумный способ возражения там, где он применим.
Согласие подходит только когда оно свободное, конкретное, информированное и его можно отозвать без негативных последствий. Камера в обязательном проходе обычно не создаёт реального выбора.
Для биометрических данных, обрабатываемых для уникальной идентификации, дополнительно требуется исключение из запрета статьи 9. По оценке EDPB, частное распознавание лиц для маркетинга, статистики или безопасности во многих случаях потребует явного согласия всех затронутых лиц, если не применимо другое подходящее исключение. Обычного законного интереса по статье 6 здесь недостаточно.
Шаг 3. Проверьте необходимость и менее рискованную альтернативу
Если задача решается датчиком двери, анонимным счётчиком или пропуском, постоянная идентификация лиц может быть несоразмерной. Документируйте, почему выбранная камера и аналитика нужны, какие зоны исключены и почему срок хранения не может быть короче.
Privacy by design означает не обещание «мы соблюдаем GDPR», а технические решения: маскирование приватных зон, обработку на устройстве, передачу метаданных вместо потока, отключение лишних классов, локальное хранение и минимальные права доступа.
Шаг 4. Проведите DPIA до запуска
Оценка воздействия на защиту данных (DPIA) обязательна, когда обработка с высокой вероятностью создаёт высокий риск, в том числе при масштабном систематическом мониторинге общедоступных мест. Биометрия, новые технологии, уязвимые группы и объединение нескольких источников дополнительно повышают риск.
DPIA должна описывать процесс, необходимость и пропорциональность, угрозы правам людей и меры снижения риска. Если высокий остаточный риск нельзя снизить, может потребоваться предварительная консультация надзорного органа.
Шаг 5. Информируйте людей в два слоя
Предупреждение должно быть видно до входа в контролируемую зону. Первый слой сообщает факт наблюдения, ключевую цель, контролёра и путь к подробной информации. Второй слой раскрывает основания, сроки хранения, получателей, права и контакты.
Табличка не заменяет правовое основание и не превращает проход человека в согласие. Для распознавания лиц одной пиктограммы камеры недостаточно.
Шаг 6. Ограничьте хранение и доступ
Установите срок удаления по цели, а не по максимальной ёмкости диска. Более длительное сохранение конкретного фрагмента для расследования оформляйте как исключение. Ограничьте экспорт, используйте персональные учётные записи, журнал действий, шифрование и регулярный пересмотр прав.
С поставщиком облака или аналитики определите роли контролёра и обработчика, заключите договор по статье 28 и проверьте субподрядчиков. Для передачи данных за пределы ЕЭЗ нужен отдельный механизм и оценка требований страны назначения.
Что меняет EU AI Act
GDPR продолжает действовать параллельно с EU AI Act. С февраля 2025 года применяются запреты, в частности на создание или расширение баз распознавания лиц через неизбирательный сбор изображений из интернета или CCTV, на некоторые виды биометрической категоризации и на распознавание эмоций на работе и в образовании, кроме ограниченных медицинских или защитных целей.
Часть систем биометрической идентификации относится к высокорисковым. По актуальной информации Европейской комиссии, соответствующие правила для сфер Annex III должны применяться с 2 декабря 2027 года; сроки и переходные положения менялись, поэтому перед закупкой проверяйте официальную страницу и финальный текст применимых актов.
Использование удалённой биометрической идентификации в реальном времени правоохранительными органами в публичных местах в целом запрещено, за исключением узких предусмотренных законом случаев и процедур. Это не означает разрешения аналогичного наблюдения для частной компании.
Privacy-first подсчёт людей: практическая архитектура
- Камера обрабатывает кадр локально.
- Система выделяет объект как «человек», не устанавливая личность.
- За пределы камеры передаётся только агрегированное значение или событие.
- Исходный поток не сохраняется для аналитической цели либо хранится отдельно по иному обоснованному сценарию безопасности.
- Нет постоянного идентификатора и возможности восстановить маршрут конкретного посетителя.
- Метрика хранится только столько, сколько нужно для отчётности.
Такая схема не гарантирует автоматическое исключение GDPR: всё зависит от фактических данных и возможности идентификации. Но она сокращает поверхность риска по сравнению с облачным хранением лиц и индивидуальных траекторий.
Чек-лист перед запуском
- Определены территория действия закона и роли сторон.
- Каждая цель описана отдельно.
- Есть основание по статье 6 и, для биометрии, условие статьи 9.
- Проверены необходимость и менее рискованные варианты.
- DPIA завершена до промышленного запуска.
- Уведомления размещены до входа в зону.
- Сроки удаления и исключения документированы.
- Доступ, экспорт, журналирование и реагирование на утечки проверены.
- Есть порядок ответа на запросы субъектов данных.
- Изменение цели или модели запускает повторную оценку.
Итог
Легальная ИИ-видеоаналитика начинается не с галочки в интерфейсе, а с цели и архитектуры данных. Чем меньше идентифицируемой информации попадает в систему, чем короче её жизненный цикл и понятнее ответственность, тем проще обосновать проект и защитить людей.
Для технической части privacy-first проекта обсудите объект с MIRTAL; правовое основание и документы необходимо согласовать с профильным юристом и ответственным за защиту данных.