Однако конституционное право не является абсолютным и может быть ограничено федеральным законом, в частности при обработке персональных данных. Видеоизображение человека, особенно в раздевалке, относится к персональным данным (поскольку позволяет идентифицировать личность и содержит информацию о частной жизни). В силу статьи 6 Федерального закона «О персональных данных» обработка персональных данных допускается только в строго определённых случаях, и основным легальным основанием для сбора изображений посетителей является согласие субъекта персональных данных. В данной ситуации администрация не может ссылаться на иные законные основания (например, исполнение договора или защиту жизни), поскольку видеонаблюдение в раздевалке не обусловлено оказанием услуги бассейна и не является необходимым для исполнения договора. Следовательно, для законности обработки необходимо получить согласие каждого посетителя, который попадает в зону действия камеры.
"1. Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;"
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 6
Само по себе согласие должно отвечать строгим требованиям, установленным статьёй 9 того же закона. Оно должно быть конкретным, предметным, информированным, сознательным и однозначным. Это означает, что посетитель должен ясно понимать, какие именно данные собираются (в данном случае видеоизображение в момент переодевания), в каких целях, кем и как долго будут обрабатываться. Маленькая табличка, расположенная высоко и плохо заметная, не может обеспечить информированность субъекта: человек, не заметивший предупреждение, не знает о видеосъёмке и не может дать осознанное согласие. Более того, в раздевалке, где люди ожидают приватности, сама по себе табличка без получения явного активного согласия (например, подписи или отметки в договоре) не доказывает, что согласие было получено. Закон возлагает бремя доказывания получения согласия на оператора — администрацию бассейна. Таким образом, в описанной ситуации согласие не может считаться полученным надлежащим образом.
"Статья 9. Согласие субъекта персональных данных на обработку его персональных данных. 1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. ... 2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. ... 3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных ... возлагается на оператора."
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 9
Кроме того, администрация как оператор персональных данных обязана соблюдать конфиденциальность полученных сведений. Статья 7 Закона о персональных данных предписывает не раскрывать и не распространять персональные данные без согласия субъекта. В раздевалке видеозапись может зафиксировать интимные моменты, и доступ к ней персонала (для просмотра записей в целях борьбы с кражами) уже является формой распространения этих данных. Если согласие не получено, любой доступ к записи — нарушение. Таким образом, установка камеры без явного информированного согласия влечёт также нарушение обязанности по неразглашению.
"Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом."
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 7
В связи с отсутствием в предоставленном контексте специальных норм, прямо запрещающих видеонаблюдение в раздевалках, следует отметить, что на практике такие запреты могут вытекать из подзаконных актов или разъяснений уполномоченных органов (например, Роскомнадзора), а также из судебной практики, признающей подобные места зонами абсолютной приватности, где даже информированное согласие может быть признано ничтожным в силу самого характера места (невозможность добровольного отказа от приватности). Однако в рамках приведённых норм однозначный вывод таков: без получения согласия, соответствующего всем требованиям статьи 9, обработка персональных данных незаконна, а малозаметная табличка не может считаться надлежащим уведомлением, порождающим информированное согласие.