Retencja nagrań monitoringu w firmie: jak ją ustalić

Retencja nagrań monitoringu to nie parametr techniczny, tylko decyzja, która ma jednocześnie warstwę prawną i sprzętową. Ten artykuł pokazuje, jak ustalić ją od celu, a nie od pojemności dysku, od czego zależy zajętość miejsca i o czym trzeba pamiętać, zanim ktokolwiek dobierze rejestrator.

Zastrzeżenie. Ten artykuł opisuje stronę techniczną i organizacyjną doboru retencji. Nie jest poradą prawną. Ustalenie podstawy prawnej, celu przetwarzania i dopuszczalnego okresu przechowywania wymaga oceny konkretnego przypadku przez prawnika lub inspektora ochrony danych. Jeżeli monitoring obejmuje pracowników, dochodzą do tego odrębne obowiązki wynikające z prawa pracy.

Retencja nagrań monitoringu to decyzja, nie ustawienie

Typowa rozmowa o monitoringu zaczyna się od pytania, ile dni nagrań zmieści się na dyskach, choć jest to pytanie postawione od złej strony.

Właściwa kolejność jest odwrotna, ponieważ najpierw ustala się, po co nagrania są przechowywane i jak długo mogą pozostać w systemie, a dopiero potem dobiera sprzęt, który to zrealizuje.

Powód jest praktyczny, nie tylko formalny, ponieważ kupując najpierw rejestrator, dopasowujesz cel do jego pojemności, czyli odwracasz właściwą logikę. Zasada ograniczenia przechowywania wymaga, aby dane osobowe przechowywać nie dłużej, niż jest to niezbędne do celów przetwarzania, a nagranie z kamery, na którym można rozpoznać osobę, jest taką daną.

Najpierw cel

Zanim padnie jakakolwiek liczba dni, warto odpowiedzieć na cztery pytania, które porządkują zarówno warstwę organizacyjną, jak i techniczną:

Po co jest ten monitoring: ochronę mienia, bezpieczeństwo osób, kontrolę procesu oraz dokumentowanie zdarzeń na rampie trzeba rozpatrywać osobno, ponieważ różne cele uzasadniają różne okresy.

Ile czasu realnie mija, zanim zdarzenie zostanie zauważone: to kluczowe pytanie, które bywa najczęściej pomijane, ponieważ kradzież z magazynu może wyjść na jaw dopiero przy inwentaryzacji, podczas gdy zdarzenie parkingowe zostaje zwykle zgłoszone szybciej. Retencja krótsza niż typowy czas wykrycia sprawia, że monitoring nie realizuje swojego celu.

Czy monitoring obejmuje pracowników: jeżeli tak, zastosowanie ma odrębny reżim prawny, ponieważ polskie prawo pracy reguluje monitoring w zakładzie pracy osobno, w tym kwestię okresu przechowywania i obowiązki informacyjne wobec pracowników oraz nowych zatrudnianych osób. Sprawdź aktualne brzmienie przepisów i skonsultuj je z prawnikiem, gdyż nie jest to obszar, w którym warto opierać się na artykule branżowym.

Co się dzieje z nagraniem zabezpieczonym na potrzeby postępowania: materiał zapisany jako dowód podlega innym zasadom niż bieżące nagrania i nie powinien zostać skasowany przez automatyczne nadpisywanie, dlatego potrzebna jest procedura wyjęcia go z normalnego cyklu.

Dopiero po uzyskaniu tych czterech odpowiedzi ma sens rozmowa o dyskach i parametrach systemu.

Od czego zależy zajętość miejsca

Strona techniczna jest prostsza, choć bywa mylnie sprowadzana wyłącznie do rozdzielczości obrazu.

Zajętość miejsca zależy od strumienia danych z kamery pomnożonego przez liczbę urządzeń i czas, podczas gdy sam strumień wynika z kilku czynników:

Czynnik	Wpływ
Rozdzielczość	więcej pikseli, większy strumień
Liczba klatek na sekundę	zwykle liniowo
Kodek kompresji	nowsze kodeki dają mniejszy strumień przy podobnej jakości
Złożoność i zmienność sceny	ruch, deszcz, drgająca roślinność, zmienne oświetlenie zwiększają strumień
Tryb nagrywania	ciągły, na detekcję, mieszany

Najczęstsze zaskoczenie: kamera skierowana na ruchliwą scenę generuje znacznie większy strumień niż identyczne urządzenie obserwujące pustą halę przy tych samych ustawieniach, ponieważ kompresja wideo wykorzystuje różnice między klatkami, przez co obraz statyczny zajmuje mniej miejsca niż pełen ruchu.

Ma to dwie konsekwencje praktyczne, ponieważ wyliczenie oparte na katalogowym strumieniu pozostaje szacunkiem, nie gwarancją, a retencja policzona latem może nie sprawdzić się jesienią, gdy padający deszcz i kołyszące się gałęzie zwiększą strumień, przez co wcześniejsze nagrania będą nadpisywane szybciej.

Tryb nagrywania zmienia rachunek

Nagrywanie ciągłe daje przewidywalną zajętość, ponieważ w każdej godzinie powstaje podobna ilość danych, co ułatwia obliczenia, ale wymaga największej pojemności.

Nagrywanie na detekcję zajmuje mniej, ale wykorzystanie miejsca staje się nieprzewidywalne, ponieważ zależy od liczby zdarzeń, a ponadto ma istotną wadę: jeżeli detekcja nie zadziała, nagrania po prostu nie ma. Nie powstaje pusty materiał, który można później obejrzeć, lecz luka.

W praktyce często stosuje się tryb mieszany, łącząc nagrywanie ciągłe w niższej jakości z jakością podwyższaną w momentach detekcji, dzięki czemu powstaje kompromis między pewnością a pojemnością.

Wybór trybu jest decyzją o ryzyku, nie tylko o oszczędności, dlatego warto podjąć ją świadomie i zapisać przyjęte uzasadnienie.

Jak to policzyć

Poniższą metodę można przejść samodzielnie, zachowując kolejność od celu do infrastruktury:

1. Ustal cel i dopuszczalny okres (sekcja o celu, z konsultacją prawną).
2. Wypisz kamery i przypisz każdej charakter sceny: statyczna, umiarkowana, ruchliwa.
3. Ustal tryb i parametry dla każdej: rozdzielczość, liczba klatek, ciągłe czy na detekcję.
4. Weź strumień z karty katalogowej kamery dla tych parametrów.
5. Policz zajętość dobową dla każdej kamery i zsumuj.
6. Pomnóż przez liczbę dni retencji.
7. Dodaj zapas. Na scenę bardziej zmienną niż zakładano, na sezon, na dodanie kamery, na materiał zabezpieczony poza cyklem.

Punkt siódmy decyduje o tym, czy wyliczenie przetrwa zderzenie z rzeczywistością, ponieważ instalacja policzona bez zapasu utrzymuje deklarowaną retencję jedynie do pierwszej zmiany warunków.

Warto również sprawdzić rzecz odwrotną, czyli czy rejestrator w ogóle udźwignie sumaryczny strumień ze wszystkich kamer, ponieważ pojemność dysku i wydajność zapisu stanowią dwa różne ograniczenia.

Pamięć masowa

Przed doborem dysków warto znać kilka zasad, które wpływają na bezpieczeństwo oraz rzeczywistą pojemność:

• dyski do monitoringu to inna kategoria niż dyski biurowe. Zapis z rejestratora jest ciągły, wielostrumieniowy i trwa bez przerwy. Producenci wydzielają serie przeznaczone do takiego obciążenia i warto ich użyć,
• awaria dysku oznacza utratę nagrań. Jeżeli materiał ma znaczenie, rozważ konfigurację z nadmiarowością. To zmniejsza pojemność użytkową, więc trzeba to uwzględnić w wyliczeniu,
• nadpisywanie działa automatycznie i nie pyta o zgodę. Najstarsze nagrania znikają, gdy zabraknie miejsca. Dlatego materiał zabezpieczony musi być wyjęty z cyklu ręcznie i świadomie,
• retencja rzeczywista bywa krótsza od deklarowanej. Warto sprawdzić po miesiącu i po zmianie sezonu, ile dni faktycznie jest dostępne.

Ostatni punkt odróżnia instalację doglądaną od porzuconej, ponieważ rejestrator nie musi zgłosić, że przechowuje materiał znacznie krócej, niż założono.

Co warto zapisać

Niezależnie od strony technicznej warto zapisać ustalenia, aby można je było później zweryfikować:

• cel monitoringu i podstawę przetwarzania,
• ustalony okres przechowywania i jego uzasadnienie,
• kto ma dostęp do nagrań i w jakim zakresie,
• procedurę zabezpieczania materiału na potrzeby postępowania,
• procedurę reagowania na żądania osób, których nagrania dotyczą,
• zakres obserwacji: co kamery obejmują, a czego celowo nie.

Ostatni punkt ma również wymiar techniczny, ponieważ jeśli kamera obejmuje obszar, którego obserwować nie powinna, można ograniczyć kadr maskowaniem strefy w konfiguracji. Rozwiązanie to bywa łatwiejsze niż przestawianie urządzenia, dlatego warto je sprawdzić przy odbiorze.

Sam dobór kadru i pola widzenia opisujemy w artykule o rozmieszczeniu kamer i martwych polach, rozgraniczając projekt obrazu od obliczeń retencji.

Najczęstsze błędy

• ustalenie retencji od pojemności dysku, a nie od celu,
• retencja krótsza niż typowy czas wykrycia zdarzenia w danej firmie,
• brak zapasu i brak weryfikacji po sezonie,
• brak procedury zabezpieczania materiału, przez co dowód znika przy nadpisaniu,
• nagrywanie wyłącznie na detekcję tam, gdzie luka w materiale jest nieakceptowalna,
• brak ustaleń, kto ma dostęp do nagrań,
• traktowanie monitoringu pracowników jak monitoringu mienia.

Jak to robimy

Zaczynamy od rozmowy o celu oraz czasie, który w tej konkretnej firmie upływa do wykrycia zdarzenia, a dopiero później liczymy strumienie, dobieramy pojemność i tryb oraz pokazujemy przyjęty zapas.

Warstwę prawną pozostawiamy prawnikowi lub inspektorowi ochrony danych, przygotowując opis techniczny, którego taka osoba potrzebuje: zakres kamer, ustawienia, sposób nadpisywania oraz zasady dostępu. Nie zastępujemy tej oceny i nie deklarujemy, że instalacja jest z czymkolwiek zgodna.

Po wdrożeniu monitoring może zostać pod stałą opieką, obejmującą kontrolę rzeczywistej retencji, stan dysków, sprawność zapisu i reakcję, zanim przy zdarzeniu okaże się, że nagrań nie ma. To właśnie ten element, który najczęściej zawodzi w instalacjach pozostawionych samym sobie.

Zakres obejmuje budowę i utrzymanie sieci firmowych, w tym również instalacje monitoringu IP połączone ze stałym nadzorem.

Umów bezpłatny przegląd IT i omówmy, jak sprawdzić, ile dni nagrań naprawdę masz.

Źródła

• EROD, Wytyczne 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo: wersja polska, przyjęte 10 lipca 2019, wersja ostateczna 30 stycznia 2020
• Urząd Ochrony Danych Osobowych: polska wersja wytycznych i stanowiska krajowe