Видеоаналитика и приватность: что можно и нельзя

Приватность и аналитика: где проходит граница

Видеоаналитика на базе искусственного интеллекта давно перестала быть «технологией будущего». Её используют торговые центры и магазины, клиники, склады, производственные цеха и логистические терминалы: она считает посетителей, управляет очередями, следит за безопасностью и дисциплиной на объекте. Но чем больше возможностей у системы, тем выше ответственность владельца. Главный вопрос, который сегодня задают заказчики, — как получать пользу от камер, не нарушая права посетителей и сотрудников.

Ответ не сводится к формуле «просто не используйте распознавание лиц». Граница проходит тоньше. Федеральный закон № 152-ФЗ «О персональных данных» разделяет обычную видеоаналитику и биометрию, допускает обезличивание данных и обработку непосредственно на объекте. Если понять эти механизмы, можно строить полезные и при этом законные сценарии — от контроля очередей до детекции нарушений техники безопасности.

Эта статья — практический разбор: что измеряет видеоаналитика, где заканчивается аналитика и начинается идентификация, какие требования накладывает закон и как внедрить систему без юридических рисков. Обратите внимание: материал носит общий информационный характер и не является юридической консультацией; по конкретным сценариям стоит сверяться со специалистом и актуальной редакцией нормативных актов. Наши инженеры помогают выстроить техническую часть — подробнее о возможностях читайте в разделе видеоаналитики СИТИС.

Что может анализировать видеоаналитика

Ключевое свойство видеоаналитики в том, что она работает с объектами и событиями, а не с личностями. Нейросеть обнаруживает «человека», «автомобиль», «предмет», «действие» и отвечает на вопрос «что происходит», не пытаясь ответить «кто это». Именно поэтому большинство сценариев не требуют ни согласия, ни биометрических процедур — при условии, что система действительно не извлекает и не сопоставляет признаки личности.

Вот что технически можно анализировать без идентификации:

• Счёт и потоки посетителей. Количество вошедших и вышедших, направление движения, загрузка зала по времени суток.
• Тепловые карты и зоны скопления. Где люди задерживаются, какие витрины привлекают внимание, где образуются «пробки».
• Очереди и время ожидания. Длина очереди в кассу, регистратуру или зону выдачи, время обслуживания одного клиента.
• Занятость ресурсов. Свободные кассы, парковочные места, загрузка переговорных и кабинетов.
• Траектории движения. Обезличенные треки: как посетитель перемещается по залу, к каким отделам идёт.
• Оставленные предметы. Бесхозная сумка или коробка, лежащая дольше заданного времени.
• Средства индивидуальной защиты. Наличие каски, жилета, маски или спецодежды — детекция факта, а не личности.
• Опасные события. Вход в запретную зону, падение человека, скопление людей, дым или огонь, курение в неположенном месте.
• Торговые метрики. Полнота полок, соблюдение планограммы выкладки, пустые позиции, подозрительные действия на кассе самообслуживания.

В ритейле это превращается в рост конверсии и сокращение потерь — сценарии подробно описаны в разделе видеоаналитики для ритейла. В медицинских учреждениях — в управление потоками пациентов и загрузкой кабинетов, о чём рассказываем в решениях для клиник. На складах и терминалах — в контроль техники безопасности и дисциплины: см. видеоаналитику для склада.

Чем видеоаналитика отличается от биометрии

Разница формулируется одной фразой: аналитика отвечает на вопрос «что происходит», биометрия — «кто это». С юридической точки зрения эта разница принципиальна, потому что закон по-разному регулирует два этих класса обработки.

Биометрические персональные данные по статье 11 закона № 152-ФЗ — это сведения, которые характеризуют физиологические и биологические особенности человека и используются для установления его личности. Важно: изображение лица становится биометрией не потому, что на нём видно лицо, а потому, что его обрабатывают с целью идентификации — сравнивают с эталоном, сопоставляют с базой, используют для пропуска или входа по лицу.

Практический вывод такой. Камера, которая считает людей и строит тепловую карту, — это не биометрия. Камера, которая сверяет лицо с базой сотрудников для допуска на объект, — это биометрия со всеми вытекающими требованиями: письменное согласие, ограниченные и явно объявленные цели, повышенные меры защиты данных. Та же логика действует для «чёрных списков» недобросовестных клиентов: их ведение по лицу — это идентификация, а не аналитика.

Чтобы граница была наглядной, свели типичные сценарии в таблицу.

Правовая рамка: 152-ФЗ и смежные нормы

Видеоизображение человека — это персональные данные: по нему можно прямо или косвенно определить конкретное лицо. Поэтому любая система видеонаблюдения и видеоаналитики попадает в поле действия закона № 152-ФЗ, а её владелец становится оператором персональных данных. Ключевые точки, которые нужно учитывать:

• Согласие субъекта. Статья 9 закона требует согласия на обработку персональных данных, если нет иного законного основания. Для биометрии статья 11 устанавливает более строгий режим — письменное согласие.
• Уведомление Роскомнадзора. Статья 22 обязывает оператора до начала обработки уведомить регулятора, за исключением оговорённых законом случаев.
• Локализация баз данных. Часть 5 статьи 18 требует, чтобы при сборе персональных данных граждан РФ запись, накопление и хранение велись с использованием баз данных на территории России. Это прямо влияет на выбор между локальным сервером и зарубежным облаком.
• Минимизация и сроки. Обрабатывать нужно ровно столько данных, сколько необходимо для заявленной цели, и хранить не дольше, чем цель достигнута. Бессрочный видеоархив «на всякий случай» — типичное нарушение.

Помимо 152-ФЗ действуют и другие нормы. Статья 152.1 Гражданского кодекса охраняет изображение гражданина: публикация и использование изображения требуют согласия, кроме случаев, когда съёмка ведётся в местах, открытых для свободного посещения, и человек не является основным объектом съёмки, а изображение не используется в коммерческих целях. Для сотрудников работает статья 86–90 Трудового кодекса: наблюдение допустимо только в производственных целях, персонал должен быть уведомлён, скрытое наблюдение запрещено. Наконец, Приказ Роскомнадзора № 996 от 05.09.2013 задаёт требования и методы обезличивания персональных данных — это следующий важный инструмент.

Обезличивание: аналитика без идентификации

Обезличивание — это способ получить ценную аналитику, не обрабатывая персональные данные в их идентифицируемой форме. Суть в том, чтобы убрать или заменить признаки, по которым можно установить личность, сохранив при этом статистическую пользу.

На практике применяются несколько приёмов:

• Маскирование лиц. Нейросеть автоматически «заблюривает» лица на изображении до того, как кадр попадёт в хранилище или на экран оператора.
• Работа с метаданными вместо видео. Камера передаёт не видеопоток, а события и числа: «в зону вошло 3 человека», «очередь превысила 5 минут», координаты треков.
• Агрегация. Наверх уходят только итоговые показатели за период: среднее время обслуживания, пиковая загрузка, конверсия. Исходные треки удаляются сразу после подсчёта.
• Методы из Приказа № 996. Удаление, замена, обобщение и перемешивание — формализованные способы обезличивания, применимые и к видеоданным.

Важно не путать обезличивание с псевдонимизацией. Полное обезличивание делает восстановление личности невозможным без дополнительной информации, которой у оператора нет. Псевдонимизация лишь заменяет идентификатор на код — связь с личностью сохраняется в отдельной таблице, и такие данные остаются персональными. Для видеоаналитики безопасный путь — снимать с камеры уже обезличенный результат, а не хранить «сырое» видео с привязкой к людям.

Обработка на объекте: почему это меняет картину

Один из самых действенных способов снизить правовые и технические риски — обрабатывать видео там, где оно снято, то есть на самом объекте. В архитектуре edge-вычислений нейросеть работает прямо на камере или локальном сервере, а во внешнюю сеть или облако уходят только готовые результаты: счётчики, события, алерты.

Почему это важно с точки зрения приватности и закона:

• Меньше персональных данных в движении. Видеопоток с лицами не покидает объект — значит, сужается периметр, который нужно защищать.
• Проще соблюсти локализацию. Хранение и обработка происходят на серверах заказчика в России, что снимает вопрос о переносе данных за рубеж.
• Минимизация по умолчанию. Если системе для задачи нужны только метаданные, запись видео можно вообще не вести — тогда хранить персональные данные не приходится.
• Ниже риск утечки. Нет единой точки накопления «сырого» видео в облаке, которую проще атаковать.

Разумеется, edge не отменяет базовых мер: устройства должны получать обновления, быть защищены от физического доступа, а доступ к настройкам — логироваться. Но как архитектурный принцип «обработка на месте, наружу — только результат» закрывает значительную часть типичных претензий и к приватности, и к локализации данных.

Риски и типичные ошибки внедрения

Большинство проблем возникает не из-за злого умысла, а из-за невнимательности к деталям на этапе проектирования. Вот ошибки, которые встречаются чаще всего:

• Скрытое наблюдение за сотрудниками. Камеры в переговорных, комнатах отдыха, раздевалках и санузлах недопустимы в принципе; наблюдение за персоналом возможно только для производственных целей и с уведомлением.
• Распознавание лиц без согласия. Попытка вести «чёрные списки» или пропуск по лицу без письменного согласия — прямое нарушение режима биометрии.
• Бессрочный архив. Хранение видео «на всякий случай» без установленного срока противоречит принципу минимизации и хранения не дольше цели.
• Передача данных третьим лицам. Предоставление записей арендодателю, подрядчику или «для аналитики» без правового основания — отдельный риск.
• Зарубежное облако. Отправка видеоданных в облако с серверами вне России нарушает требование локализации баз данных.
• Отсутствие формальной части. Нет политики обработки персональных данных, нет уведомления Роскомнадзора, нет табличек о видеонаблюдении на входе.
• Избыточный сбор. Камеры стоят «на всё и везде», хотя задача требовала только счётчик посетителей у входа.

Штрафы по статье 13.11 КоАП РФ за нарушения в области персональных данных измеряются десятками и сотнями тысяч рублей, а при повторных нарушениях суммы растут. Но главный риск не денежный, а репутационный: одна утечка или скандал с незаконным распознаванием лиц перечёркивает доверие, которое компания строила годами.

Чек-лист: как внедрить без нарушений

Чтобы видеоаналитика работала на бизнес и не создавала юридических проблем, пройдитесь по этому списку до запуска.

1. Сформулируйте цель. Запишите, какую конкретно задачу решает система: счёт посетителей, контроль очередей, безопасность, дисциплина. Одна цель — один сценарий — минимум данных.
2. Проверьте необходимость биометрии. Если задачу можно решить без идентификации личности — решайте без неё. Распознавание лиц включайте только там, где оно действительно незаменимо, и с письменным согласием.
3. Выберите архитектуру. Предпочитайте обработку на объекте и метаданные вместо «сырого» видео. Это упрощает локализацию и минимизирует хранимые данные.
4. Установите сроки хранения. Определите, сколько хранится видео и метаданные, и настройте автоматическое удаление.
5. Оформите документы. Политика обработки персональных данных, уведомление Роскомнадзора, при необходимости — согласия. Разместите таблички о видеонаблюдении.
6. Разграничьте доступ. Кто смотрит записи, кто меняет настройки, кто получает алерты. Всё должно логироваться.

Отдельно — вопросы, которые стоит задать вендору до подписания договора: где физически обрабатываются и хранятся данные; можно ли отключить запись видео и оставить только события; есть ли маскирование лиц прямо на устройстве; как реализовано автоматическое удаление по сроку; кто имеет доступ к облачной части; готов ли вендор к удалению данных по запросу и к локализации баз данных. Ответы на эти вопросы быстро отделяют зрелые решения от «коробки с камерой».

Обсудить конкретный объект и подобрать архитектуру можно через форму обратной связи, а оценить, как система работает у реальных заказчиков, — в разделе отзывов клиентов.

Частые вопросы