什么可以和不能在俄罗斯被跟踪

一个重要的警告。 这是对技术和管理决定的审查，而不是法律咨询。 这方面的规范在2024年和2025年发生了变化，并继续发生变化；公开来源的罚款数额有差异。 所有具体的数字和配方必须在使用前与当前版本的文件进行核对，基于法律理由的决定必须与律师协调。 如果"根据次要来源"的范围或条款如下所示，这意味着它所说的：必须打开主要来源。

检查不是从传感器开始的。 它从三个问题开始：您在什么基础上处理数据，您是否提交了通知，以及您究竟在收集什么。 如果这些问题有明确的答案，剩下的就是细节。 如果没有，技术上最准确的系统就会成为风险来源，无法与其成本相提并论。

运动数据何时成为个人数据

法律中的定义很宽泛：个人数据是与特定或可识别的个人直接或间接相关的任何信息。 关键字是 定义. 不是"数据库中是否有全名"，而是"是否有可能使用这些数据，包括与其他人结合使用，以了解我们正在谈论的是哪个人"。

让我们通过技术来分析它。

房间里的人数。 "现在区里有四十人，""一天过去了一千二百人。"这不是个人数据：没有主题，没有明确性。 最安静的模式，这就是为什么 没有图像的计数器和传感器 对任何物体来说都是最好的开始。

一团雷达点。 存在和位置而没有恢复外观的能力。 作为一般规则，这也不是个人数据。 有两个警告：如果房间里只有一个人并且知道谁进入了那里，匿名是有条件的;如果数据与轮班时间表或手镯的标记进行比较，则会出现明确性。

手镯的号码。 就其本身而言，它是一个非个人标识符。 关于合同，订阅，电话号码，全名-个人数据，以及这个手镯的运动的整个历史。

设备的MAC地址。 一个有争议的类别。 监管机构的立场通常归结为明确性：唯一的设备标识符可以与个人数据相关，如果它们允许用户识别，更重要的是与地理定位和其他信息相结合。 司法实践是异质的。 该项目的实际结论是 不要在mac地址不是个人数据的假设下构建架构 —这是一个必须捍卫的立场。 有关更多信息，请参阅 关于Wi-Fi的文章，其中还讨论了识别公共网络的用户的要求。

视频中的剪影。 这是整个主题最重要的分水岭，并已被监管机构澄清。 在 Roskomnadzor关于将照片和视频图像归因于生物识别个人数据的问题的解释，逻辑如下：当操作员使用图像来建立身份时，图像变成生物特征个人数据。 换句话说:

• 相机计数剪影，图像不与面部数据库进行比较，身份未建立—这是个人数据的处理（记录一个人），但不是生物识别。;
• 同一台相机将人脸与数据库进行比较，以找出它是谁-生物识别技术与所有必要的要求。

这种差异将责任范围改变了一个数量级，这就是为什么它应该在职权范围中明确说明："不使用人脸识别。"

人格解体。 法律上的非个人数据是指在没有额外信息的情况下不能用于识别主题的数据。 因此，主要的实际结论："我们不存储全名"并不能证明任何东西，如果有一个表链接手镯号码与合同。 真正的去人性化是断开连接，而不是将其存储在另一个表中。 工程方面的讨论在 关于数据的文章.

模式汇总表

你在收集什么	个人资料	生物测定学	基本职责
人数、就业区	非也。	非也。	最小
没有锚定的雷达点云	作为一项规则，没有	非也。	最低限度，道德意识
剪影计数视频	是的	非也。	依据、通知、政策、信息、截止日期
带人脸识别的视频	是的	是的	特殊模式，见下文
手镯没有绑定到脸上的事件	不是真正的人格解体	非也。	最小
与协议有关的手镯事件	是的	非也。	全套操作员责任
设备的MAC地址	值得商榷的，相当是的	非也。	全套，加上对公共网络的要求
客户应用程序数据	是的	非也。	同意、政策、邮寄规则
员工追踪	是的	取决于方法	加上劳动立法的要求

152-fz对与访客对象的步骤

1. 加工的基础

如果有其中一个法律依据，则允许处理。 对于与客人的对象，四个实际上是重要的。

合同。 凭证最自然的基础是您提供服务，为此您需要关税，访问时间和额外付款。 重要提示：基础"合同"涵盖了执行合同所必需的内容，并且不包括技术上可能组装的所有内容。 行为分析和营销通常不属于它。

批准。 在服务不需要处理的地方，它是必需的：营销，分析，图像发布，在许多情况下，生物识别。 同意必须是具体的，知情的和有意识的;"同意一切"不包括在访问规则中。

经营者的合法利益。 它用于视频监控，以确保财产的安全和安全，但这个原因要求您的利益与客人的权利相关联，并且在客人的利益明显超过的情况下不起作用。 这就是为什么他们不能证明摄像机在更衣室：监视那里不需要提供服务和不成比例地干扰隐私。

生命健康的保障。 适用于特定情况的狭隘基础，而不是不断监测"以防万一。"

实用建议：为每个子系统分别写出基础。 旋转门和售票处-一个协议。 大厅里的视频监控是合法的. 发出报价是同意. 人脸识别是一个单独的对话。 这个单页平板电脑是该项目的第一个文档。

2. Roskomnadzor的通知

通知书已提交 处理开始前. 根据法律评论，在2025年5月30日生效的更改之后，之前的例外情况已经显着缩小，几乎所有运营商，包括雇主和带有表格的网站的所有者，都需要通知。 通知表格由Roskomnadzor命令批准（根据次要来源-日期为10/28/2022的第180号命令），通过监管机构的个人数据门户提交，列入登记册大约在三十天内进行。

这对我们的项目意味着什么：视频 监察及访客登记系统是处理需要通知的个人资料，表示数据的类别和受试者的类别。 如果您正在启动生物识别技术，则会单独指出这一点，并且监管机构对此类运营商的关注度明显更高。

3. 处理政策和本地文件

我们需要：关于处理个人数据的政策（发布，包括在网站上），处理数据和目的的列表，任命负责人的命令，有权访问的人员列表，威胁模型和保护措施，期刊。 对于有访客的对象，访问规则添加了一个关于监控和数据处理的信息块。

4. 保质期和处置

数据的存储时间不超过所述目的所必需的时间。 对于跟踪系统来说，这意味着截止日期必须是合理的：事件—只要是计算和索赔所必需的;视频—根据规定;分析—以非个人的形式。 "我们永远保留一切，以防你需要它"是直接违反原则。

5. 主体的权利

客人有权了解正在处理有关他的哪些数据，要求澄清，阻止或销毁，并撤销同意。 系统在技术上应该允许您通过一个人查找和删除所有内容。 如果在不破坏报告的情况下这是不可能的，则体系结构设计不正确-请参阅 关于数据的文章.

6. 将处理工作分配给承办商

如果集成商或云服务代表您处理数据，则必须正式确定：目标，行动列表，尊重机密性和安全要求的义务，责任。 您仍然是操作员，无论是在客人面前还是在控制器前面。 因此，与承包商签订合同的实际要求是：处理个人资料的一节，而不仅仅是设备的规格。

7. 数据放置和对外服务

如果系统将数据存储在外国云中，则会立即出现两个问题：托管俄罗斯公民数据的要求和跨境传输规则。 对于视频分析和定位系统来说，这是选择供应商的实际问题：具有国外服务器的云平台可能不适用，无论其质量如何。 您需要在购买前检查。

视频监控：在可能的地方和绝对不可能的地方

通知。 客人在进入框架之前应该意识到监控：入口处和区域的标志，访问规则中的提及，政策中的信息。 在设施的公共区域进行秘密监视是一个单独的，更困难的故事。

公民的形象。 除了关于个人数据的立法外，《民法典》第152.1条也适用：使用公民形象（例如，在对象的广告材料中）需要他的同意。 这是一个与监控本身不同的问题，当相机图像进入对象的演示文稿或社交媒体时，它会被遗忘。

在不允许的地方。 更衣室、淋浴间、厕所、浴室和蒸汽房是一个人有权要求完全隐私的地方。 关于这个问题的法律论点是一致的：监督那里不能通过执行合同或保护财产来证明是合理的，因为它不是提供服务所必需的。 试图用相机掩盖更衣室里的盗窃案是一个经典的错误，它将价值数万卢布的问题变成了一个数量级的更大的风险。

什么来代替。 不形成图像的传感器是 雷达、飞行时间传感器和热阵列. 他们给一个存在，一个数字，甚至一个姿势（因此跌倒检测）没有一个人的图像。 这是一条合法且技术成熟的路径;添加 电子锁 还有一个存款政策，没有摄像头就解决了安全问题。

存档。 应在一份文件中说明记录的保留期限、有权访问的人员名单、应要求发放记录的程序以及存放事故材料的程序。 事件记录是证据，对它的要求高于常规档案。

生物识别：主题中最艰难的模式

这是大多数对象不需要人脸识别的部分。

一般模式。 生物识别个人数据是一个特殊的类别，其处理通常需要单独的书面同意和增强的安全措施。 如何确定您的视频是否是生物识别上面讨论：标准是它用于识别。

572-FZ和统一的生物识别系统。 一个单独的法律建立了一个根本不同的架构。 根据法律和行业人士的分析:

• 通过国家统一生物识别系统允许识别（"这是谁"）;
• 身份验证（"is this the one"）-通过EBS或通过与EBS交互的组织的认可系统;
• 组织在EBS之外为识别和认证目的而存储自己的生物识别数据库是有限的;
• 一个商业组织通过与EBS的整合来运作，如果它是由一个授权机构认可的。;
• 这是不可能强迫投降的生物识别技术，和一个人的拒绝，作为一般规则，是不是一个理由拒绝他的服务。;
• 不允许在识别和认证过程中跨境传输生物识别信息。

所有这些规定都是对次要来源的复述;在设计任何关于个人的系统之前，您需要阅读法律和附则，并且最有可能涉及专门从事这一特定领域的律师。

这实际上是什么。

设施内的面对面接达系统 是一个项目，需要一个单独的法律研究，而不是在旋转栅门旁边的规范中的位置。 对于健身俱乐部或热复合体来说，这很少是合理的：手镯和卡片以更简单的模式解决了同样的问题。

视频分析中的"计数独特访客"模块 是那个矿吗？ 视频文章中提到. 从技术上讲，它通常在人脸识别上实现：为了不将一个人数两次，您需要识别它们。 因此，在宏观文档中，相应的模块被描述为在人脸识别的基础上操作，具有从数据库中排除人脸（例如，员工）计数的能力。 商业要约中的无辜条款可能成为项目中最具约束力的部分。

做什么，而不是. 如果需要独特的访客和重复访问，这就是忠诚度计划的任务：客人自己出示卡片，手镯或代码，您计算Id，而不是面孔。 如果您需要流，请匿名计数。

责任。 根据次要消息来源，生物识别违规行为受到个人数据结构中最高的行政处罚。 评论中的具体金额不同，如果不使用当前版本的管理代码检查来引用它们是不正确的。

员工跟踪：另一项法律

相同的技术，不同的法律框架。

"劳动法"（关于保护员工个人数据的章节，第86-90条）规定了处理员工数据的程序：目标必须与雇佣关系有关，员工必须熟悉定义此类订单的文件，数据量不超过

人员跟踪项目的实际最低限度:

1. 地方监管法 用描述：什么是控制的，通过什么手段，在哪些区域，用于什么目的，谁有权访问数据，存储了多少。
2. 熟悉雇员 有一个签名，在某些情况下，同意。
3. 相称性。 过程控制（现场时间，危险区域的存在）与人类监控不同。 越接近第二个，争议的风险就越高。
4. 排除区域。 娱乐室，更衣室，浴室不受控制，以及为客人。
5. 一个单独的安全监控解决方案。 报警按钮和一个人在一个班次的控制被团队感知不同于生产的核算，它们应该单独发出，恰恰是作为劳动保护的手段。

关于员工控制的司法实践正在更新，职位正在发生变化。 在启动之前，您应该查看您所在地区的最新案例。

责任：2024-2025年发生了什么变化

使主题不再正式的两个变化。

行政责任。 根据法律审查，联邦法律第420-FZ号于2025年5月30日修订了行政法典第13.11条：个人数据的泄漏被分离为单独的结构，大额固定罚款和重复违规的循环罚款。 在几篇评论中重复的地标:

• 从1,000到10,000个受试者的数据泄漏对于一个法人实体来说大约是300-500万卢布。;
• 超过100,000名受试者的数据泄漏-约10-15万卢布;
• 重复泄漏—从年收入的1％到3％，但不低于20百万，不超过500百万卢布。

对于"正常"配方（不合理的处理，缺乏通知，不遵守规定），审查中的金额差异很大，因此这里没有给出它们。：请参阅当前版本。

刑事责任。 2024年30月11日第421-FZ号联邦法律介绍了《刑法》关于非法使用、转移、收集和存储包含个人数据的计算机信息的第272.1条。 根据分析，重罪化合物的处罚达到长期监禁，合格特征特别是未成年人的数据，特殊类别的数据和生物识别技术。 据工业出版社引用的内政部称，在1月至10月的2025中，该文章被应用了900多次，包括访问数据库的组织的员工。

跟踪项目的后续内容。 主要风险不是对未经请求的通知的惩罚，而是泄漏。 该系统，它收集链接到他们的手机和合同的客人的路线，创建一个有吸引力的阵列。 从中有三个实际的结论：收集必要的最低限度，尽早去人性化，限制访问并记录它。 这些不是合法的，而是工程措施-而且它们也比任何文件都更能降低法律风险。

人工智能：俄罗斯的监管是什么

一个单独的部分，因为这个问题不断被问到。

在俄罗斯，没有相当于欧洲关于人工智能的规定。 法律中没有列出禁止的做法，没有按风险级别对系统进行分类，也没有对视频分析系统本身的合规性评估要求。

有什么:

• 制定公共政策框架的国家人工智能发展战略;
• 实验性法律制度的机制，在该机制下，个别项目获得特殊条件;
• 人工智能领域的道德规范-自愿加入的文件;
• 某些方面的标准（GOST标准），主要是咨询性质的;
• 全面适用的一般立法：个人数据，消费者保护，劳工，民事。

主要的实际后果是责任在于运营商。 如果检测系统错过了某个事件或引发了误报，则对象负责，而不是模型开发人员。 模型的供应商在合同框架内对您负责，这正是合同内容比证书更重要的原因。 具体记录的内容在 关于关键事件的文章.

第二个后果是解决方案的可解释性成为你的问题。 如果根据系统的数据，您拒绝了向客人提供的服务，提出索赔或要求员工承担责任，则需要解释决策的依据。 "这就是神经网络如何展示它"是争议中不可接受的论点。 因此，对系统的要求是：不仅要存储输出，还要存储基帧、事件、时间戳、模型版本。

无线电频率及设备

购买后被记住的部分。

短程设备。 一般框架是 国家紧急情况委员会2007年7月5日第07-20-03-001号决定"关于向短程设备分配无线电频段" 附有附录。 基本要点是，使用应用程序中指定的频段是在没有注册单独的Rfc决定和每个特定用户使用无线电频率的许可的情况下进行的-取决于应用程序的条件。

超宽带设备（UWB）。 2009年12月15日的SCR第09–05-02号决定，作为上述决定的附录第16号发出：频带2.85-10.6ghz，UWB设备是信道宽度至少为500兆赫的设备。 根据复制申请文本的出版物，使用条件有限制，特别是禁止在爬升和下降期间在飞机上以及在机场货运站使用。

UHF RFID频段。 在俄罗斯，工作频段为866–868MHz，条件取决于功率：根据决定文本，在使用"传输前收听"模式时，在866.6-867.4MHz频段中允许高达100MW而不分配无线电频率，对于更强 因此，主要的购买警告: 美国和加拿大版本的设备在902-928MHz频段运行，不适用于俄罗斯;需要欧洲版本。

蓝牙和Wi-Fi。 2.4和5GHz频段非常庞大，在功率限制下使用不需要单独许可。

符合性的确认。 设备必须有符合EAEU要求的文件。 这不仅是一个正式的问题：在检查或调查事件时，缺乏无线电设备的文件是一个单独的问题。

购买前该做什么: 以书面形式要求供应商提供特定型号的工作频段和容量，合规性文件，并确认您的应用程序不需要频率分配或电子设备注册。 检查SCRC决定的当前版本是强制性的：文件已更改，公开出版物存在差异。

技术、模式、文件

科技	法律制度	申请什么
计数器，没有图像的存在传感器	通常，在个人数据之外	道德操守信息；合规文件
RFID腕带，非个人分析	会计轮廓中的个人资料	基础（合同）、通知、政策、截止日期、分析匿名化
蓝牙标签	如上	同；检查设备的容量
UWB	如上	检查GCR频段也是如此。
Wi-Fi，连接的客户端	个人资料	公共网络、用户识别、通知的要求
Wi-Fi、服务请求收集	有争议和有约束力	实施前的单独法律评估
视频，计数剪影	个人数据，而非生物识别	基础、资料、标志、存档日期、参赛作品"脸部识别不适用"
带人脸识别的视频	生物识别，特殊模式	独立研究、同意、EBS问题和认证
客人的申请	个人资料、同意	应用内策略、邮件规则
人员追踪	个人资料加劳动法	当地行为，熟悉，相称

"合法启动跟踪"清单

1. 我们写出了每个子系统的目标和每个子系统的处理基础。
2. 我们检查了没有子系统收集超过它的目的所需要的。
3. 我们在开始处理之前向Roskomnadzor提交了一份通知，其中包含正确的数据和主题类别。
4. 我们已经发布了处理政策并更新了访问规则。
5. 他们任命了一名负责组织处理的人员，并确定了一份有权访问的人员名单。
6. 在入口处和监控区域安装了有关视频监控的信息标志。
7. 我们确保更衣室，淋浴，浴室，浴缸和蒸汽浴室没有摄像头。
8. 我们在职权范围中写下了是否使用人脸识别，如果没有，我们明确地记录了它。
9. 我们为每种类型的数据定义了保留期，并配置了自动删除和去个性化。
10. 我们检查了系统能够根据主题的要求查找和删除数据。
11. 我们向承包商和云服务发出了处理订单，并检查了数据的物理存储位置。
12. 对于员工：发布了一项当地法案，并通知了员工。
13. 我们检查了射频部分：频段，容量，合规性文件，频率分配的需要。
14. 我们已经发布了访问视频档案和处理事件记录的程序的规定。
15. 他们描述了如何解释在自动化参与下做出的决定，以及在日志中保存的内容。

资料来源

资料来源

• Roskomnadzor关于将照片和视频图像归因于生物识别个人数据的解释 -识别准则
• Roskomnadzor：公共Wi-Fi网络的要求 -识别用户和设备
• SCRC第07-20-03-001号决定及申请(Garant), 修订为CNTD 短程设备、UWB设备、RFID带
• 检讨2025年30月5日起对《行政法典》第13.11条的修订, 组成表 -金额指引(次要来源，请与当前版本核对)
• 俄罗斯联邦刑法典第272.1条的分析和应用实践, 成分分析
• 向Roskomnadzor提交通知的程序 -表格、截止日期、登记处(次要来源)
• Macroscop：计算唯一访客的模块 是基于面部识别的功能的一个例子
• ConsultantPlus：关于MAC地址作为个人数据的材料选择