Современные системы видеонаблюдения и мониторинга (надзора) всё чаще используют внешние видеoadapterы (eGPU, аппаратные ускорители кодирования/декодирования, специализированные карты захвата) для обработки видеопотоков перед их записью на носители. Однако внедрение такого оборудования несет в себе не только технические, но и серьезные правовые риски. В данной статье подробно разбираются ключевые юридические аспекты, регулирующие хранение данных, полученных с помощью внешних видеoadapterов, в контексте требований законодательства о персональных данных, гостайне и архивном деле.

Нормативная правовая база: фундамент соответствия

Главным «китом», на котором держится вся юридическая часть хранения видеоданных в Российской Федерации, является Федеральный закон от № 152-ФЗ «О персональных данных» (далее — 152-ФЗ). Видеозапись человека, по которой его можно идентифицировать (лицо, походка, одежда, контекст), безусловно относится к категории персональных данных (ПДн).

Ключевые нормативные акты, регламентирующие процесс:

• 152-ФЗ «О персональных данных» — базовые требования к обработке, хранению и защите ПДн.
• Постановление Правительства РФ от № 1119 — утверждение требований к защите ПДн при их обработке в информационных системах персональных данных (ИСПДн).
• ФЗ-272 «Об антитеррористической защите», законодательно регулирует сроки и порядок хранения для объектов, подпадающих под действие мер антитеррористической защищенности.
• ФЗ-149 «Об информации, информационных технологиях и о защите информации» — требования к локализации баз данных (хранение на территории РФ).
• Федеральный закон «Об архивном деле в РФ» (№ 125-ФЗ) — правила архивного хранения электронных документов.
• Акты ФСТЭК и ФСБ (например, Приказ ФСТЭК от № 21 о составе и параметрах мер защиты информации).

Квалификация внешних видеoadapterов как элемента ИСПДн

С юридической точки зрения, внешний видеoadapter — это не просто «железо», а техническое средство обработки персональных данных. Если он выполняет функции транскодирования, анализа (видеоаналитика, распознавание лиц/номеров) или временного буферизации кадра перед записью на диск, он входит в контур информационной системы персональных данных (ИСПДн).

Последствия включения в контур ИСПДн:

1. Необходимость аттестации: Система с eGPU должна пройти аттестацию соответствия требованиям ФСТЭК (для ГИС 1-3 классов или КС 1-4 классов) или сертификацию ФСБ (для гостайны/КГИ). Использование неаттестованного «железа» для обработки ПДн — прямое нарушение ст. 19 152-ФЗ.
2. Модель угроз: В модель угроз ИСПДн необходимо включить угрозы, специфичные для GPU: утечка данных через видеопамять (VRAM), побочные каналы (Side-channel attacks), уязвимости драйверов, DMA-атаки (Direct Memory Access) через интерфейсы Thunderbolt/PCIe.
3. Защита от НСД: На видеoadapterе должны быть реализованы средства защиты от несанкционированного доступа (ИА, разграничение доступа, аудит действий администраторов GPU).

Требования к хранению: сроки, локализация и носители

Сроки хранения видеоархива (актуально на 2026 год)

Сроки хранения не установлены едино для всех в 152-ФЗ (ст. 19: «хранение не дольше, чем этого требуют цели обработки»). Конкретные сроки диктуются:

• Отраслевыми стандартами и приказами (банки, торговля, транспорт, охрана).
• ФЗ-272 (Антитеррор): для объектов КВО (категорий I-IV) — минимум 30 суток непрерывной записи.
• Внутренними локальными актами организации (Политикой по обработке ПДн), согласованными с юристами.

Важно: Использование внешних видеoadapterов для сжатия (H.265/HEVC, AV1) не отменяет требований к срокам хранения исходного или сжатого потока. Качество сжатия не должно приводить к потере идентифицирующих признаков субъекта ПДн.

Локализация данных (ст. 18 152-ФЗ, ФЗ-149)

Если внешний видеoadapter является частью облачной/распределенной инфраструктуры (Edge-компьютинг), база данных, содержащая ПДн (видеоархив, метаданные аналитики), должна находиться на территории РФ. Передача видеопотока на обработку на GPU, расположенные за рубежом (даже временная, в VRAM), требует соблюдения условий трансграничной передачи (согласие субъекта, договор, адекватная защита в стране-реципиенте). На практике для систем надзора это недопустимо — обработка и хранение должны быть локальными.

Носители и формат хранения

Закон не предписывает конкретные бренды дисков или типы RAID-массивов, но требует обеспечения сохранности, целостности и доступности.

• Использование внешних видеoadapterов для записи на съемные носители (USB-SSD, SD-карты) требует организации защиты от кражи/потери носителя (шифрование AES-256, физическая защита).
• Для долгосрочного архивного хранения (сроки > 10 лет, судебные доказательства) допустимо использование оптических дисков типа CD-R/DVD-R/BD-R (WORM, Write Once Read Many), что исключает подделку записи.
• Применение ЭЦП (электронной цифровой подписи) к видеофайлам или их хеш-суммам (в реестре/журнале учета) обязательно для приведения записей в качестве доказательств в суд (ГК РФ, АПК РФ).

Персональные данные и права субъектов

Обработка видео с помощью внешних видеoadapterов часто подразумевает автоматизированное принятие решений (распознавание лиц, подсчет посетителей, анализ поведения).

Ключевые риски:

• Отсутствие согласия: Для биометрических ПДн (лицо — уникальный идентификатор) требуется письменное согласие субъекта (ч. 1 ст. 11 152-ФЗ), если обработка не основана на законе (охрана, ГО/ЧО) или договоре. Видеоаналитика на eGPU часто выходит за рамки «обычного» видеонаблюдения.
• Право на доступ и удаление: Субъект ПДн может потребовать предоставить записи или удалить их. Архитектура хранения на внешних адаптерах/накопителях должна позволять селективно находить и удалять фрагменты, касающиеся конкретного человека, не нарушая целостность остального архива.
• DPIA (Оценка последствий): При внедрении новых технологий (GPU-видеоаналитика) оператор обязан провести оценку последствий обработки ПДн до начала обработки.

Информационная безопасность: специфика GPU-ускорения

Внешние видеoadapterы вводят уникальные векторы атак, которые должны быть закрыты организационно-техническими мерами (состав мер закрепляется в Приказе ФСТЭК № 21):

Документационное обеспечение (Compliance)

Для подтверждения законности хранения данных на системах с внешними видеoadapterами организация должна иметь актуальный пакет документов:

1. Политика по обработке ПДн (опубликованная на сайте/доступная субъектам).
2. Модель угроз ИСПДн (с учетом GPU-угроз).
3. Перечень мер защиты информации (соответствует модели угроз и Приказу ФСТЭК № 21).
4. Акт категорирования объекта ИСПДн (определение класса КС/ГИС).
5. Акт аттестации ИСПДн (после внедрения eGPU — переаттестация или дополнительная аттестация).
6. Журналы учета (доступ к видеoadapterам, выдача/возврат съемных носителей, инциденты ИБ).
7. Договоры с подрядчиками (если обслуживание GPU/драйверов аутсорсится — ст. 28 152-ФЗ, обязательные условия договора).
8. Локальные акты по срокам хранения и порядку уничтожения (ссылка на Архивный закон).

Ответственность за нарушения

Несоблюдение требований при хранении данных с помощью внешних видеoadapterов влечет:

• Административную: ст. 13.11 КоАП РФ (до 15 млн руб. за повторные нарушения 152-ФЗ; до 500 тыс. руб. за нарушение прав субъектов).
• Гражданско-правовую: возмещение ущерба и морального вреда субъектам ПДн (ст. 151, 1064 ГК РФ).
• Уголовную: ст. 137 УК РФ (незаконные сбор, распространение сведений о частной жизни), ст. 272 УК РФ (несанкционированный доступ к компьютерной информации).
• Репутационные риски и блокировку ресурсов Роскомнадзором.

Чек-лист: Внедрение внешних видеoadapterов «по закону»

1. [ ] Провести категорирование ИСПДн с учетом новых технических средств (GPU).
2. [ ] Обновить Модель угроз (добавить DMA, VRAM leakage, Driver exploits).
3. [ ] Подобрать сертифицированные СЗИ (контроль целостности, шифрование дисков, ИА) совместимые с GPU-стеком.
4. [ ] Обеспечить физическую защиту eGPU-блоков (серверная, пломбы, доступ по биометрии/ключам).
5. [ ] Настроить шифрование «в покое» (диски) и «в движении» (поток между камерой, GPU, хранилищем — TLS/IPsec/SRTP).
6. [ ] Провести ДПИА (Оценку последствий) для видеоаналитики на GPU.
7. [ ] Получить согласия субъектов (или обосновать законный интерес/закон) на биометрическую обработку.
8. [ ] Пройти аттестацию ИСПДн (или согласовать изменения с аттестатором/ФСТЭК).
9. [ ] Зафиксировать всё в локальных актах (Политика, Приказ о сроках хранения, Инструкция администратора GPU).
10. [ ] Обучить персонал (админов, операторов СКУД/видеонаблюдения) работе с новой архитектурой и инцидентами.

Использование внешних видеoadapterов для хранения и обработки данных при надзоре — это мощный технический тренд (Edge AI, высокая плотность кодирования), но юридически это расширение контура ИСПДн. Главное правило: юридическая природа данных не меняется от «железа», на котором они обрабатываются. Видеокадр, прошедший через eGPU, остается персональными данными, биометрией или гостайной с теми же требованиями к защите, локализации, срокам хранения и правам субъектов.

Комплексный подход — от модели угроз и аттестации до настройки журналов аудита и заключения договоров с подрядчиками — является единственным способом избежать штрафов Роскомнадзора, судов с субъектами ПДн и инцидентов информационной безопасности. Инвестиции в правовую экспертизу архитектуры на этапе проектирования (Pre-deployment) в разы дешевле устранения последствий нарушений на продакшене.

Данная статья носит информационный характер и не является правовым консультированием. Для решения конкретных вопросов соответствия вашей инфраструктуры требованиям законодательства обратитесь к квалифицированным юристам в области ИБ и ПДн, а также к аккредитованным аттестаторам ФСТЭК.