Головна
Ресурси
Відеоаналітика і закон про персональні дані: що можна і що треба зробити

Відеоаналітика і закон про персональні дані: що можна і що треба зробити

9 хв читання · Для кого: власникам і директорам підприємств, юристам, кадровикам, відповідальним за захист персональних даних · Оновлено 2026-10-14

Коротко

Відеозапис людей у цеху є обробкою персональних даних, тож на нього поширюється Закон України «Про захист персональних даних» № 2297-VI.
Роботодавцю потрібні задокументована мета, законна підстава, обґрунтування пропорційності, строк зберігання й список тих, хто має доступ.
Працівників повідомляють до початку відеоконтролю: пункт у правилах внутрішнього трудового розпорядку, положення про відеоспостереження й ознайомлення під підпис.
Біометричні дані належать до особливої категорії (стаття 7), тому розпізнавання облич потребує окремої підстави й, як правило, повідомлення Уповноваженого.
За розʼясненням Уповноваженого, туалети, душові й роздягальні знімати заборонено; приховану зйомку Цивільний кодекс допускає лише у випадках, встановлених законом.

Це юридична консультація?

Це не юридична консультація. Матеріал пояснює, які норми чинного законодавства стосуються відеоаналітики на підприємстві, і посилається на першоджерела. Ваш конкретний випадок має оцінити юрист, який бачить ваші документи, процеси й камери. Номери статей ми звірили з текстом закону на сайті Верховної Ради станом на 14.10.2026.

Чи є відеозапис персональними даними?

Так. Стаття 2 Закону № 2297-VI визначає персональні дані як відомості про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована. Людину на відео можна впізнати за обличчям, статурою, одягом, місцем роботи й часом зміни, тому запис працівників підпадає під закон. Уповноважений Верховної Ради з прав людини у своїх розʼясненнях щодо камер відповідає на це питання так само.

Відеоаналітика, яка шукає шапочку чи ящик на підлозі й не встановлює особу, все одно обробляє кадри з людьми. Картка події з кадром, часом і місцем роботи дозволяє зрозуміти, хто це був. Тому вимоги закону діють і тоді, коли система не розпізнає облич.

На якій підставі роботодавець може вести відеоконтроль?

Стаття 11 закону перелічує шість підстав для обробки. Для відеоконтролю на виробництві зазвичай розглядають дві:

виконання обовʼязку володільця, передбаченого законом (пункт 5). Наприклад, харчове підприємство за Законом № 771/97-ВР зобовʼязане забезпечити гігієну персоналу й вести записи щодо НАССР;
захист законних інтересів володільця (пункт 6), якщо права працівника не переважають ці інтереси.

Згода працівника є слабкою підставою в трудових відносинах. Уповноважений у розʼясненні про камери зазначає, що згода має бути вільною, а працівник фактично залежить від роботодавця. Тому роботодавці обґрунтовують відеоконтроль умовами праці й законними інтересами, а згоду лишають для того, від чого людина справді може відмовитися.

Стаття 6 додає три загальні вимоги. Мета обробки має бути записана в документах володільця (частина 1). Склад даних має бути адекватним і ненадмірним щодо мети (частина 3). Дані у формі, що дозволяє ідентифікувати особу, зберігаються не довше, ніж потрібно для цієї мети (частина 8).

Які документи потрібні на підприємстві?

Уповноважений у розʼясненні «Камери відеоспостереження: що варто знати кожному, щоб захистити свою приватність» перелічує мінімум для роботодавця. Ми звели його в таблицю.

Документ	Що в ньому
Оцінка законних інтересів	Мета відеоконтролю, чому її не досягти менш втручальними засобами, як урівноважено права працівників
Пункт у правилах внутрішнього трудового розпорядку	Факт відеоконтролю як умова праці
Положення (політика) про відеоспостереження	План розташування камер, їхні можливості (чи пишеться звук, чи є аналітика), години роботи, строк зберігання, порядок доступу й видалення
Ознайомлення під підпис	Підтвердження, що кожен працівник прочитав правила до початку контролю
Наказ про відповідальних	Хто відповідає за обробку даних і хто має доступ до записів
Навчання відповідальних	Регулярне, з записами про проведення

Типовий порядок обробки персональних даних (наказ Уповноваженого № 1/02-14) вимагає також визначити строк і умови зберігання, порядок доступу та процедуру фіксації операцій з даними. Для відеоаналітики це означає журнал: хто відкрив картку події, коли й що з нею зробив.

Як повідомити працівників?

Стаття 12 закону вимагає повідомити людину в момент збору даних про володільця, склад даних, мету, її права й осіб, яким дані передаються. Стаття 29 Кодексу законів про працю зобовʼязує роботодавця до початку роботи поінформувати працівника про умови праці й правила внутрішнього трудового розпорядку.

За розʼясненням Уповноваженого повідомлення про відеоконтроль має містити щонайменше мету, правову підставу, кількість і розташування камер та їхні можливості, години моніторингу, права працівника, порядок обробки й захисту, умови доступу та строк зберігання.

Повідомте до встановлення камер. Новим працівникам давайте документ під підпис при оформленні.
Розмістіть таблички біля входів у зони з камерами, з назвою володільця й контактом відповідальної особи.
Якщо система рахує людей, перерви чи присутність на робочому місці, назвіть це в положенні прямо. Мета «безпека» не покриває облік робочого часу.
Зміна мети на несумісну з попередньою вимагає нового погодження (стаття 6, частина 1).

Чому розпізнавання облич вимагає окремої уваги?

Частина 1 статті 7 забороняє обробку біометричних і генетичних даних, даних про здоровʼя та інших особливих категорій. Частина 2 перелічує винятки, зокрема однозначну згоду людини (пункт 1) і обробку, необхідну для прав та обовʼязків роботодавця у трудових відносинах відповідно до закону, із забезпеченням захисту (пункт 2).

Стаття 9 вимагає повідомити Уповноваженого протягом 30 робочих днів про обробку, яка становить особливий ризик. Порядок повідомлення до таких видів відносить, серед іншого, біометричні дані та «місцеперебування та/або шляхи пересування особи». Для обробки, необхідної в трудових відносинах відповідно до закону, порядок передбачає виняток. Чи підпадає під нього ваша система, має вирішити юрист. Хто підлягає повідомленню, той за статтею 24 також визначає відповідальну особу або підрозділ.

Наш підхід такий. У цеху ми обличь не розпізнаємо: правила оцінюють спецодяг, дії й предмети. Біометрію використовуємо лише на прохідній і лише за письмовою згодою працівника.

Де камери ставити не можна?

Туалети, душові, роздягальні й інші місця, де людина розраховує на приватність. Уповноважений називає їх прямо.
Приміщення, де працює одна людина, Уповноважений радить не знімати без вагомих підстав, бо такий запис фактично стежить за конкретною особою.
Приховані камери. Стаття 307 Цивільного кодексу дозволяє знімати людину без її згоди, зокрема таємно, лише у випадках, встановлених законом.

Поле зору камери обмежуйте зоною, для якої вона потрібна. Якщо в кадр потрапляє кімната відпочинку, а правило стосується лише конвеєра, закрийте зайве маскою приватності в налаштуваннях камери.

Скільки зберігати записи й кадри подій?

Закон не встановлює конкретного числа днів. Строк визначає сам володілець у положенні, виходячи з мети, а стаття 15 вимагає видалити дані після його закінчення. Зручно розділяти дві категорії.

Що зберігається	Від чого залежить строк
Безперервний запис камер	Скільки часу потрібно, щоб помітити інцидент і підняти запис. Зазвичай це короткий кільцевий архів
Картка події з кадром у журналі	Для харчових підприємств записи НАССР за статтею 21 Закону № 771/97-ВР зберігаються щонайменше три місяці після закінчення строку придатності продукції. Якщо картка є таким записом, строк привʼязують до цього
Кадри для навчання AI-моделі під ваші задачі	Окрема мета, яку треба назвати в положенні, з окремим строком і обмеженим доступом

Хто має доступ і як це довести?

Стаття 10 дозволяє працівникам володільця використовувати персональні дані лише відповідно до службових обовʼязків. Стаття 24 зобовʼязує захищати дані від втрати й незаконного доступу.

Розподіліть ролі: хто бачить живе відео, хто судить картки, хто вивантажує записи.
Ведіть журнал доступу й вивантажень.
Визначте, де обробляються кадри. Ми розгортаємо систему на території підприємства, у вашій хмарі або в нашій захищеній хмарі; обробка на місці зменшує кількість передач. Передача даних іноземним субʼєктам, наприклад у хмару за кордоном, регулюється статтею 29 закону.
Постачальник, який налаштовує систему й має доступ до кадрів, є розпорядником. Закріпіть з ним договором, що він робить з даними й коли видаляє.

Що з камерами на приватному будинку й сусідами?

Частина 2 статті 25 дозволяє фізичній особі обробляти дані виключно для особистих чи побутових потреб без застосування решти положень закону. Камера над власним двором під цей виняток зазвичай підпадає.

Уповноважений застерігає, що зйомка сусідньої ділянки без дозволу може порушувати право на приватне й сімейне життя. Якщо камера охоплює дорогу чи інше місце загального користування, потрібна табличка про відеоспостереження. Камера в підʼїзді, що бачить двері сусідів або спільний майданчик, потребує погодження з ними. Для ОСББ і керуючих компаній виняток для побутових потреб не діє.

Чи потрібен GDPR, якщо ми експортуємо до ЄС?

Регламент ЄС 2016/679 (GDPR) за статтею 3 застосовується до організацій із представництвом у ЄС, а також до тих, хто пропонує товари чи послуги людям у ЄС або відстежує їхню поведінку там. Відеоконтроль власних працівників в Україні, як правило, під пряму дію GDPR не підпадає. Покупці з ЄС і їхні аудитори все одно можуть вимагати порівнянного рівня захисту за договором.

Біометричні дані для однозначної ідентифікації належать до особливих категорій (стаття 9 GDPR).
Систематичний моніторинг загальнодоступних місць у великому масштабі вимагає оцінки впливу на захист даних, DPIA (стаття 35).
Європейська рада із захисту даних видала Настанови 3/2019 щодо відеопристроїв. Офіс Уповноваженого оприлюднив їхній український переклад.

Україна ратифікувала Конвенцію Ради Європи № 108 про захист осіб у звʼязку з автоматизованою обробкою персональних даних (Закон № 2438-VI). Законопроєкт № 8153 «Про захист персональних даних», що наближає українське право до GDPR, станом на 14.10.2026 у картці Верховної Ради має статус «готується на друге читання». Чинним лишається Закон № 2297-VI.

Яка відповідальність за порушення?

Стаття 28 закону відсилає до відповідальності, встановленої іншими законами. Стаття 188-39 Кодексу про адміністративні правопорушення передбачає штрафи, зокрема за неповідомлення або несвоєчасне повідомлення Уповноваженого про обробку, що підлягає повідомленню, і за невиконання його приписів. Розмір штрафів визначено в неоподатковуваних мінімумах доходів громадян і зростає при повторному порушенні протягом року.

Короткий список до запуску відеоаналітики

Записана мета для кожного правила й підстава за статтею 11.
Оцінка законних інтересів і пропорційності.
Пункт у правилах внутрішнього трудового розпорядку й положення про відеоспостереження.
Ознайомлення працівників під підпис і таблички на входах.
Наказ про відповідальних і ролі доступу, журнал доступу.
Строки зберігання для запису, карток і навчальних кадрів.
Рішення юриста щодо повідомлення Уповноваженого, якщо є біометрія або відстеження переміщень.
Договір з постачальником як розпорядником даних.