Что такое обработка персональных данных без использования средств автоматизации?

Добрый день! Веду документы клиентов и сотрудников на бумаге — анкеты, журналы учёта, личные дела. Что вообще считается обработкой персональных данных без использования средств автоматизации и какие обязанности это на меня накладывает?

Здравствуйте!

Коротко: Обработка без автоматизации — это работа с бумажными носителями персональных данных при непосредственном участии человека, без компьютерных операций с данными субъекта (п. 1 Положения, утв. постановлением Правительства РФ от 15.09.2008 № 687). Действуют все требования 152-ФЗ.

Ниже разберём подробнее, какие действия и носители подпадают под неавтоматизированную обработку, какие организационные меры обязан соблюдать оператор и когда этот вопрос имеет практическое значение.

Что считается обработкой персональных данных без использования средств автоматизации?

Определение дано в пункте 1 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утверждённого постановлением Правительства РФ от 15.09.2008 № 687. Обработка персональных данных считается неавтоматизированной, если такие действия, как использование, уточнение, распространение и уничтожение данных в отношении каждого конкретного субъекта, совершаются при непосредственном участии человека — то есть без применения средств вычислительной техники непосредственно для этой операции с данными этого субъекта. Ключевое здесь — «в отношении каждого субъекта»: если сведения хранятся и обрабатываются на бумаге, а компьютер используется лишь для распечатки типового бланка или составления списка адресатов рассылки без обращения к данным конкретного человека, это само по себе не превращает обработку в автоматизированную.

На практике к неавтоматизированной обработке чаще всего относят: бумажные анкеты и заявления с персональными данными, журналы учёта посетителей и регистрации обращений, личные дела сотрудников на бумажном носителе, рукописные списки клиентов, письменные согласия и договоры с указанием паспортных данных. Как только те же сведения вносятся в электронную базу, таблицу или программу учёта и обрабатываются с её помощью — это уже автоматизированная обработка, на которую распространяются свои требования к защите информации, а Положение № 687 к ней не применяется.

Какие обязательные меры нужно соблюдать при неавтоматизированной обработке?

Бумажный документооборот не освобождает оператора — работодателя, предпринимателя или организацию — от общих принципов Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»: обработка допускается только с согласия субъекта или по основаниям, прямо предусмотренным законом (статья 6), данные собираются строго для заявленной цели и не используются шире неё, доступ к ним ограничивается кругом лиц, которым он необходим по работе.

Дополнительно Положение № 687 устанавливает конкретные организационные меры:

• материальные носители с персональными данными, собранными для разных, несовместимых между собой целей, хранятся раздельно (п. 4 Положения);
• типовая форма для сбора данных (анкета, бланк) должна исключать объединение полей с данными, цели обработки которых заведомо не совместимы, и позволять субъекту ознакомиться со своими данными, не затрагивая данные других лиц (п. 8 Положения);
• оператор определяет место хранения материальных носителей и круг лиц, имеющих доступ к обработке, ограничивая доступ тех, у кого таких полномочий нет (п. 13 Положения).

Нужно ли уведомлять Роскомнадзор при неавтоматизированной обработке?

Да — сам факт бумажного ведения документов не отменяет обязанность, установленную статьёй 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»: до начала обработки оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о своём намерении обрабатывать персональные данные. Часть 2 статьи 22 того же закона перечисляет случаи, когда уведомление не требуется — в частности, при обработке данных работников в рамках трудовых отношений (кадровый учёт, расчёт заработной платы, исполнение обязанностей работодателя); полный перечень исключений стоит сверять по действующей редакции нормы применительно к конкретной ситуации.

Отдельно статья 22.1 того же закона обязывает оператора — юридическое лицо назначить лицо, ответственное за организацию обработки персональных данных в организации. Это требование не зависит от способа обработки — автоматизированного или нет — и касается в том числе компаний, ведущих бумажный документооборот. За нарушение установленных требований к обработке и хранению персональных данных предусмотрена административная ответственность — о том, кто возбуждает такие дела и куда обращаться, мы подробно писали в материале «Ужесточение наказания за обработку персональных данных».

Когда этот вопрос возникает на практике?

Чаще всего с этим вопросом сталкиваются работодатели и индивидуальные предприниматели, которые ведут документы клиентов или сотрудников на бумаге: личные дела, журналы инструктажей, договоры и заявления с указанием паспортных данных. Формально они являются операторами персональных данных наравне с теми, кто хранит информацию в электронных базах, и обязаны соблюдать те же принципы обработки, обеспечивать сохранность носителей и при необходимости направить уведомление в Роскомнадзор. Понимание того, что бумажный документооборот не освобождает от требований 152-ФЗ, помогает вовремя привести делопроизводство в порядок: организовать раздельное хранение папок по целям обработки, ограничить к ним доступ и закрепить это во внутреннем положении организации, не дожидаясь проверки или жалобы субъекта персональных данных.

Частые вопросы

Нужно ли получать согласие клиента на бумажную анкету с его данными?

Как правило, да — согласие требуется на общих основаниях по статье 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», если обработка не подпадает под случаи, когда закон допускает её без согласия, например при исполнении договора с самим субъектом данных.

Распространяется ли закон на бумажные журналы учёта посетителей?

Да, если по записям можно идентифицировать конкретного человека — фамилию, имя, паспортные данные. Такой журнал считается материальным носителем персональных данных, и на него распространяются требования 152-ФЗ и Положения № 687 в полном объёме.

Нужно ли уничтожать бумажные анкеты и заявления после того, как цель обработки достигнута?

Да, персональные данные не должны храниться дольше, чем этого требует цель обработки, если иной срок хранения не установлен законом или договором. По достижении цели материальные носители подлежат уничтожению либо данные на них — обезличиванию.

Обязан ли ИП, ведущий бумажный учёт клиентов, соблюдать 152-ФЗ?

Да — индивидуальный предприниматель, как и организация, признаётся оператором персональных данных, если самостоятельно определяет цели и способы их обработки, и обязан соблюдать все требования закона независимо от того, ведётся учёт на бумаге или в электронном виде.

Что грозит за нарушение правил хранения и обработки бумажных персональных данных?

Административная ответственность по статье 13.11 КоАП РФ — штраф для граждан, должностных лиц, индивидуальных предпринимателей и юридических лиц, размер которого зависит от конкретного нарушения и статуса привлекаемого лица.

Краткая сводка: обработка персональных данных без автоматизации

• Обработка без автоматизации — это работа с материальными носителями персональных данных при непосредственном участии человека (п. 1 Положения, утв. постановлением Правительства РФ от 15.09.2008 № 687).
• На неё распространяются все требования Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» — согласие, цель обработки, ограничение доступа.
• Носители с данными несовместимых целей хранятся раздельно (п. 4 Положения № 687), типовые формы не должны объединять такие данные (п. 8), место хранения и круг лиц с доступом определяет оператор (п. 13).
• Обязанность уведомить Роскомнадзор о начале обработки сохраняется (статья 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»), за исключениями из части 2 той же статьи — например, для обработки данных работников в рамках трудовых отношений.
• Оператор — юридическое лицо обязан назначить ответственного за организацию обработки персональных данных (статья 22.1 того же закона).
• За нарушение правил хранения и обработки персональных данных предусмотрена ответственность по статье 13.11 КоАП РФ.

Таким образом, обработка персональных данных без использования средств автоматизации — это не «серая зона» вне закона, а тот же режим 152-ФЗ, только применительно к бумажным и иным материальным носителям: с теми же требованиями к согласию, цели обработки, ограничению доступа, раздельному хранению и уведомлению Роскомнадзора. Работодателям и предпринимателям, ведущим документы клиентов и сотрудников на бумаге, стоит проверить, приведено ли это в соответствие с Положением № 687 и Федеральным законом «О персональных данных», а при сомнениях — обратиться за юридическим сопровождением.

С уважением, адвокат Анатолий Антонов, управляющий партнер адвокатского бюро «Антонов и партнеры».

Адвокатское бюро «Антонов и партнеры» готово оказать юридическую помощь по всем категориям дел в любых регионах России. Эффективно и качественно решаем возникшие у Вас юридические задачи любой сложности.

Получить дополнительную информацию или ознакомиться с нашими услугами по данной теме можно по ссылкам ниже:

• Защита персональных данных
• Абонентское юридическое сопровождение бизнеса