附录： Milestone XProtect VMS系统和GDPR

未涵盖的组件和设备

此处不涵盖以下组件：

插件可用于 Milestone marketplace
XProtect Access （默认禁用）
XProtect LPR （默认禁用）
XProtect Transact （默认禁用）
XProtect Interconnect
XProtect DLNA服务器
Milestone Open Network Bridge （安全的私有到公共视频集成）
XProtect Rapid REVIEW
XProtect 事件服务器插件
音频数据的处理（默认禁用）
元数据处理（默认禁用）
处理来自输入和输出设备的数据（默认禁用）
XProtect 通过Amazon Marketplace提供的BYOL

升级指南

如果要升级 Milestone XProtect VMS 安装版本2018 R2或更低，必须手动删除旧的日志文件，安装才能符合GDPR。

升级后 XProtect VMS，可以使用本文中描述的信息和工具删除旧的日志文件 Knowledge Base 文章.

备份SQL Server数据库

建议对SQL Server数据库进行备份，尤其是在开始升级之前，以便在升级失败时恢复之前的工作安装。升级是否从以下位置进行 XProtect 安装程序或 Management Client或通过本机SQL Server功能制作，如果云供应商在欧盟之外（如Microsoft），则必须将备份数据保存在安全的地方，而不是将其存储在云盘上。

不使用托管SQL Server服务

While XProtect 支持使用外部管理的数据库，如AzureSQL数据库，这可能会将个人数据暴露在欧盟之外。为符合GDPR要求，请勿使用SQL Server托管服务。

用于身份验证和数据传输的安全网络

设计一个尽可能使用物理网络或VLAN分段的网络基础架构。

Milestone 建议您选择支持HTTPS的摄像机。建议在单独的VLAN上设置摄像机，并对摄像机使用HTTPS记录服务器通信，以及对客户端记录服务器通信。

建议 XProtect Smart Client 和 XProtect Smart Wall 与服务器在同一VLAN中。

使用VPN加密网络或类似功能（如果使用） Smart Client 或 Smart Wall 从远程位置。

对所有通信启用加密。

数据收集和隐私设置

当您可以在以下位置收集使用数据时 XProtect Mobile 服务器, XProtect Mobile 客户端，和 XProtect Web Client这可能会违反GDPR。

从 XProtect Management Client，您可以在“隐私设置”选项卡的“选项”对话框中启用使用数据收集。

此使用数据提供了有关崩溃和使用统计的信息。数据使用Google Firebase进行处理。

如果您启用数据收集，则可能会通过激活Google Analytics而违反GDPR。

注意

Google的处理发生在欧盟之外。

注意

虽然数据设置为匿名， Milestone 不能保证Google不能从他们处理的数据中获取个人数据。

在进行合法利益评估(LIA)时，请参阅以下内容：

欧洲数据保护委员会(EDPB)认为，根据GDPR第49(1)(a)条达成的同意不适用于谷歌分析，因为出于分析目的的处理并不例外（请参阅Schrems II上的国际隐私专业人士协会）。

请参考欧盟委员会官方网站上对施雷姆斯二号判决的任何更新。

在访问的情况下对个人进行屏蔽

根据GDPR第15条，数据主体有权访问其正在处理的个人数据，例如数据主体的视频记录。

数据主体被授予向公司询问有关正在处理的个人数据（关于他或她）以及此类处理的理由的信息。

因为 XProtect VMS 不支持自动识别个人，您必须采取额外措施来保护个人的权利。在视频管理软件上下文中，请参阅附录：现场通知.

更重要的是， XProtect VMS 不支持屏蔽与访问权申请人一起记录的其他移动人员。

多个 Milestone 在Milestone Marketplace上可以找到技术合作伙伴解决方案，用于在导出前对所有或其他人进行动态模糊。或者，可以在导出后手动或辅助向单个图像或视频流添加模糊处理。一些公司将模糊作为一种服务提供（例如，FACIT数据系统）。

部分删除视频记录

根据GDPR第17条，数据主体有权要求删除其数据。在视频管理软件环境中，由于压倒一切的合法利益（欺诈检测、健康和安全）或视频监控政策中规定的其他商业目的(请参阅被遗忘权（删除权）和附录：视频监控政策)。视频监控政策定义了确保自动删除录像的自动保留（默认7天），这必须在数据主体的权利与合理的业务目的之间取得平衡。

如果数据主体请求删除其数据，则建议数据控制者使用数据主体请求来记录声明（请参阅数据主体请求）。有关数据主体请求的样例模板，请参阅 Milestone 数据主体请求模板.

您必须删除相关摄像机的所有记录。

要保留不应删除的所有其他记录，请导出所有数据并确保其安全。您无法将此数据恢复到视频管理软件中。

任何导出都必须加密并进行数字签名，并且不包括特定指定摄像机的指定时间间隔。也就是说，导出至时间/日期，导出至时间/日期后。这可能会导致多时间段备份。

该 Smart Client – Player 然后可用于查看数据。

建议数据控制者在执行数据主体被遗忘权之前寻求法律顾问，进行业务影响评估和隐私影响评估（请参阅进行影响评估），因为删除可能会引入新的业务风险，从而可能打破利益平衡，并引入影响其他数据主体的隐私保护的风险。

使用地理背景 XProtect Smart Client

XProtect Smart Client 支持使用地理背景。这些背景显示地图背景。

如果您使用以下任何地图服务，则可能会违反GDPR：

Bing 地图
Google 地图
Milestone Map Service

这些服务对于在美国处理个人数据没有提供足够的保障。客户成为关于用户数据处理的（联合）控制器。

请参考欧盟委员会官方网站上对施雷姆斯二号判决的任何更新。

作为替代方法，建议您为地理背景设置私有OpenStreetMap服务。

来自注册合作伙伴的集成

激活许可证后， Milestone 在“每个集成”的基础上收集数据。该 XProtect VMS 收集有关插件和插件制造商以及客户使用的插件和集成的数据。

从每个安装中收集的数据为：

集成名称
集成制造商
集成版本
集成类型(独立， Smart Client, Management Client事件服务器)以及每种类型的实例数量（即运行插件的客户端数量）

插件开发人员在注册产品时绝不能使用个人姓名。仅使用公司名称。

数据仅由以下人员处理 Milestone 如果插件制造商在市场上列出，并且已批准出于改进目的对数据进行处理 Milestone XProtect Corporate （不用于市场营销和市场调研）。如果未注册插件，则数据会立即删除。处理的法律依据是GDPR的第6(1)(f)条，该条表明了以下内容的合法利益 Milestone 以及视频管理软件的用户。

其他保护措施

为了更好地确保 Milestone XProtect VMS 配置符合GDPR，此列表为您提供一些在配置系统时要记住的额外保护措施。

问题	对隐私的负面影响	数据控制器的提示
PTZ摄像机和隐私屏蔽无法协同工作。屏蔽不遵循PTZ移动的原则。	可以避免屏蔽的隐私增强效果。	Milestone 建议您执行以下操作之一：您不应使用 XProtect PTZ摄像机内置的隐私屏蔽功能，因为屏蔽相对于图像的解码像素是静态的，而非PTZ摄像机的实际方向/位置。使用屏蔽时取消激活PTZ功能。购买支持动态隐私屏蔽的PTZ摄像机（这样，无论摄像机的位置和缩放比例如何，所选区域始终会被屏蔽）。
使用麦克风或元数据设备可能会侵犯个人隐私。(在 XProtect Corporate，这些默认情况下已取消激活。)	麦克风的使用可能很容易违反GDPR合规性。	在激活麦克风或元数据设备之前，必须确保有明确的合理目的来收集数据。请参阅您是否有收集数据的合法依据？
操作员和管理员可以将视频数据、视频存档、配置备份和审核日志导出或复制到本地硬盘驱动器或可移动媒体（如CD、DVD、USB闪存驱动器等）。	个人数据离开治理边界 XProtect VMS. 数据不受以下保护 XProtect VMS的访问控制机制不再可用，并且无法由以下对象删除 XProtect VMS 到达保留期限时。这存在数据存储时间超过允许的时间、数据用于不同目的以及数据机密性被侵犯的风险。	数据控制者应采取技术和组织措施保护越界数据 XProtect VMS. 请参阅处理导出的数据了解可以采取的措施。
审核日志数据和其他个人数据在存储在SQL Server数据库之前，不会被本产品加密。数据库管理员可以使用数据库客户端访问审核日志数据。XProtect Corporate 无法控制或记录此访问权限。	特别是，敏感的审核日志数据可能会泄露给未经授权的使用者。请参阅保护存储和传输的数据。	执行以下操作：为数据库管理实施适当的角色概念。将数据库访问权限制在经过授权的人员范围内。如果可能，使用数据库机制激活数据库加密。
SQL Server配置数据库的备份未加密。	设置系统配置密码以保护敏感帐户信息（扩展到加密SQL Server数据库）。当配置数据库受密码保护时，将自动加密SQL Server配置数据库的备份。	通过分配系统配置密码来保护整体系统配置。分配系统配置密码后，备份将受此密码保护。密码设置存储在运行管理服务器的计算机上的一个安全文件夹中。您将需要此密码来：从使用与当前密码设置不同的密码设置创建的配置备份中还原配置由于硬件故障（恢复）在另一台计算机上移动或安装管理服务器在具有集群的系统中配置其他管理服务器
产品将实现备份功能。此功能备份视频管理软件的配置，但不备份审核日志数据库。	如果以物理方式销毁保存审核日志数据库的数据载体，则当审核日志没有备份时，数据控制者可能无法履行其责任义务。	考虑创建审核日志数据库备份。如果数据控制器决定创建审核日志数据库的备份，则还应该建立一个过程，以在达到保留期限时删除备份，并保护其免受未经授权的访问（例如，加密备份、锁定备份媒体等）。
在拆分模式下操作VPN可能会泄露的私有IP地址 XProtect VMS 用户.	启用拆分通道后，用户将绕过网络基础设施中可能存在的网关级别的安全措施。	执行以下操作：使用安全的VPN连接（VPN默认是安全的，但一些旧的VPN协议不会加密服务器和客户端之间交换的数据）始终使用全通道使用支持的最高身份验证协议（如果存在）使用Active Directory对VPN用户进行身份验证
该产品允许为审核日志、视频数据、警报和其他个人数据设置保留时间。	将保留时间设置为太长可能会违反GDPR对存储限制的要求(GDPR第5(1)(e)条和第17条)。	保留时间必须根据处理目的进行调整(请参阅被遗忘权（擦除权）)。
管理员可以配置电子邮件收件人，当特定事件发生时，他们可能会从视频管理软件接收视频片段或图像静止。无法为此类电子邮件收件人配置允许的域的白名单。	当第三方收到包含视频数据和系统警报的电子邮件时，拼写错误可能会导致数据泄露。	让数据控制者意识到这一风险。 Milestone 建议您建立组织流程，如四眼原则，以减少输入电子邮件地址失败的风险。
通知是发送到指定电子邮件地址的电子邮件。创建通知时，管理员可以选择包括一组快照或片段的AVI。	由于通知中附加的快照和AVI片段会离开视频管理软件，因此它们不受视频管理软件对用户访问和保留的控制范围。	由于电子邮件及其内容会离开用户对视频管理软件的访问和保留控制，因此建议不要将图像或AVI片段附加到电子邮件通知。如果客户需要此功能，他们至少必须确保对谁接收电子邮件以及如何处理它们有组织程序和控制。请参阅在通知和电子邮件中处理导出的数据。
启用推送通知后，移动操作系统供应商（即Google或Apple）会处理数据以将推送通知提供给智能手机。	虽然推送通知消息的内容设置为匿名， Milestone 不能保证Google和Apple无法从他们处理的数据中获得个人数据。移动操作系统供应商（即Google或Apple）使用消息寻址方案。此方案涉及移动客户端应用程序的注册令牌和安装ID。这使供应商能够将消息传递到设备上的相应应用程序。对于Google和Apple，令牌和安装ID是假名。	根据GDPR第49条第(1)款(a)项，如果激活推送通知，则需要获得视频管理软件操作员的同意。建议获取同意或以其他方式停用推送消息。
该 XProtect Incident Manager 使组织能够记录事件(incident)，并将它们与来自它们的片段证据（视频，也可能是音频）相结合 XProtect VMS. 管理员或操作员可以创建事件报告，其中包含添加到事件项目的文本信息。这些报告可能包含控制者或操作员的个人数据，即他们的姓名。	当事件报告在控制者或操作员的范围之外可用时，可能会泄露个人数据。根据报告的目的和接收方，只有当有明确需要时，控制者或操作员才应创建带有清晰的、可识别的控制者或操作员名称的报告。	只有当包含控制器或操作员的名称有特定且合理的目的时，才在事件报告中包含这些名称。控制器或操作员应仅选择显示用户名如果有特定且合理的目的在报告中包含名称，则选中该复选框。
控制器或操作员可以创建警报报告，其中包含警报相关信息，包括警报历史以及发生警报时的静态图像（如果可用）。这些报告可能包含控制者或操作员的个人数据，即他们的姓名。	当警报在控制器或操作员的范围之外可用时，可能会泄露个人数据。根据报告的目的和接收方，只有当有明确需要时，控制者或操作员才应创建带有清晰的、可识别的控制者或操作员名称的报告。	只有在包含控制器或操作员名称有特定且合理的目的时，才在警报报告中包含这些名称。只有在报告包含名称有特定且合理的目的时，控制者或操作员才应选中“显示名称”复选框。
警报报告可能包含显示旁观者的图像。	如果向第三方报告，可能侵犯不参与的旁观者的权利。	可以考虑手动将PDF报告或打印输出上的图像变黑或屏蔽。

GDPR 隐私指南