Обработка персональных данных без средств автоматизации: требования, документы и типичные ошибки

Статья 3 Федерального закона 152-ФЗ определяет обработку персональных данных как любое действие с ПДн: сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение. Но закон не разделяет обработку на «бумажную» и «электронную» — это делают подзаконные акты.

Постановление Правительства РФ от 15.09.2008 №687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» устанавливает специальные правила именно для неавтоматизированной обработки.

Согласно п. 1 ПП №687, обработка ПДн является неавтоматизированной, если она осуществляется при непосредственном участии человека. Ключевой критерий — не форма носителя (бумага или файл), а роль человека в процессе:

• Неавтоматизированная обработка — человек вручную заполняет, копирует, систематизирует, извлекает данные. Даже если используется компьютер как «пишущая машинка» для набора текста, но выборка и систематизация выполняются оператором вручную
• Автоматизированная обработка — данные обрабатываются информационной системой (ИСПДн): база данных, CRM, 1С, ERP. Здесь действует Приказ ФСТЭК №21, а не ПП №687

Типичные примеры неавтоматизированной обработки:

• Бумажные личные дела сотрудников — трудовые договоры, копии паспортов, приказы на бумаге
• Анкеты клиентов, заполненные от руки в точках продаж, клиниках, фитнес-клубах
• Журналы посетителей на проходной — ФИО, паспортные данные, время входа/выхода
• Медицинские карты в бумажном виде — амбулаторные карты, истории болезни
• Бумажные согласия на обработку ПДн с подписью субъекта
• Бумажные реестры и картотеки (например, картотека пациентов в поликлинике)

На практике большинство организаций ведут смешанную обработку: часть данных — в информационных системах (автоматизированная), часть — на бумажных носителях (неавтоматизированная). В этом случае оператор обязан соблюдать оба нормативных акта: и Приказ ФСТЭК №21, и ПП №687.

Одна из самых частых ошибок операторов — путаница между ПП №687 и Приказом ФСТЭК №21. Оба документа регулируют обработку ПДн, но для разных сценариев:

Важно: если оператор ведёт, например, журнал посетителей на бумаге, но потом сканирует его и загружает в электронную систему — с момента попадания данных в ИСПДн начинает действовать Приказ ФСТЭК №21. Одни и те же данные могут в разные моменты подпадать под разные нормы.

Ещё один нюанс: ПП №687 применяется ко всем операторам без исключения, независимо от формы собственности, размера организации и объёма обрабатываемых данных. Нет порога «менее 100 субъектов — можно не соблюдать». Даже ИП с одним бумажным журналом посетителей обязан выполнять требования Постановления.

Пункты 13–15 ПП №687 устанавливают ряд конкретных требований к хранению персональных данных на материальных (бумажных) носителях. Эти требования значительно строже, чем то, что большинство организаций выполняют на практике.

1. Раздельное хранение (п. 13)

Оператор обязан обеспечить раздельное хранение персональных данных, обработка которых осуществляется в различных целях. Это означает:

• Личные дела сотрудников (цель: трудовые отношения) хранятся отдельно от анкет клиентов (цель: исполнение договора)
• Журнал посетителей (цель: пропускной режим) — отдельно от бухгалтерских документов с ПДн (цель: бухучёт)
• Медицинские данные сотрудников (цель: охрана труда) — отдельно от основного кадрового дела

На практике это реализуется через отдельные шкафы, сейфы, полки, папки с маркировкой целей обработки.

2. Условия хранения, исключающие несанкционированный доступ (п. 13)

Оператор обязан обеспечить сохранность ПДн и исключить несанкционированный доступ к ним. Конкретные меры:

• Запираемые шкафы и сейфы для документов с ПДн
• Ограничение доступа в помещения, где хранятся носители — доступ только уполномоченным сотрудникам
• Учёт лиц, получающих доступ к носителям ПДн

3. Типовые формы документов (п. 7)

При использовании типовых форм документов (анкеты, бланки, журналы), содержащих ПДн, оператор обязан соблюдать ряд условий:

• Типовая форма должна содержать сведения о цели обработки ПДн, ФИО и адрес оператора
• В форме должно быть поле для подписи субъекта, подтверждающей согласие на обработку
• Типовая форма должна быть составлена так, чтобы каждый субъект мог ознакомиться со своими ПДн, не получая доступа к данным других субъектов

Последний пункт фактически запрещает общие списки, где все субъекты видят данные друг друга. Классический нарушитель — журнал посетителей в виде открытого списка на стойке ресепшена, где каждый новый посетитель видит ФИО и паспортные данные всех предыдущих.

4. Уведомление субъектов (п. 8)

При ведении журналов, реестров и картотек оператор обязан уведомить субъекта о факте обработки его ПДн, целях и правовом основании — до начала обработки.

Требование раздельного хранения по п. 13 ПП №687 — одно из самых сложных для выполнения, потому что на практике одни и те же документы могут содержать ПДн, обрабатываемые в разных целях. Разберём типичные ситуации и решения.

Ситуация 1: Кадровый отдел

Личное дело сотрудника содержит данные для трудовых отношений (трудовой договор, приказы), для бухучёта (реквизиты банковского счёта), для воинского учёта (военный билет). Формально — три разных цели.

Решение: Разделить личное дело на тематические разделы (подпапки) с маркировкой цели. Либо принять Положение об обработке ПДн, в котором эти данные объединены в рамках одной комплексной цели — «обеспечение трудовых отношений и выполнение обязанностей работодателя».

Ситуация 2: Медицинская организация

Медкарта пациента содержит данные для оказания медпомощи, для страхования (ОМС/ДМС), для статистической отчётности.

Решение: Медицинская документация хранится в отдельном помещении (архив медкарт), страховые документы — в бухгалтерии, статистические формы — в отделе статистики. Каждый массив — в отдельном запирающемся шкафу.

Ситуация 3: Рецепция / проходная

Журнал посетителей и данные пропускного режима хранятся на посту охраны. Но часто тут же лежат папки с договорами контрагентов, содержащие ПДн подписантов.

Решение: Журнал посетителей — на посту охраны в закрытом ящике. Договоры — в юридическом отделе или канцелярии. Нельзя хранить документы с разными целями обработки в одном месте без разделения.

Практический чек-лист раздельного хранения:

• Составить перечень всех целей обработки ПДн в организации (обычно 5–15 целей)
• Определить, какие бумажные носители относятся к каждой цели
• Обеспечить физическое разделение: отдельные шкафы, сейфы, полки с маркировкой
• Назначить ответственных за каждое место хранения — ответственный за обработку ПДн контролирует соблюдение правил
• Закрепить порядок в приказе об обработке ПДн или во внутреннем регламенте

Практика проверок Роскомнадзора показывает, что нарушения при обработке ПДн без средств автоматизации встречаются чаще, чем при автоматизированной обработке. Причина — операторы привыкли воспринимать бумажные документы как «неопасные» и не применяют к ним те же стандарты защиты, что и к ИСПДн.

Ошибка 1: Открытый журнал посетителей

Журнал в виде общего списка на стойке ресепшена, где каждый посетитель видит данные предыдущих. Нарушение п. 7 ПП №687 — субъект не должен получать доступ к ПДн других субъектов. Решение: индивидуальные бланки-карточки или журнал с отрывными листами.

Ошибка 2: Смешанное хранение

Все документы с ПДн — кадровые, бухгалтерские, договоры с клиентами — хранятся в одном шкафу без разделения по целям. Нарушение п. 13 ПП №687. Решение: раздельное хранение по целям обработки.

Ошибка 3: Отсутствие типовых форм с обязательными реквизитами

Организация использует анкеты и бланки без указания цели обработки, ФИО оператора и поля для подписи субъекта. Нарушение п. 7 ПП №687.

Ошибка 4: Копии паспортов «на всякий случай»

Хранение ксерокопий паспортов сотрудников, клиентов, контрагентов без конкретной цели и правового основания. Если цель достигнута (договор заключён, сотрудник оформлен) — копию необходимо уничтожить. Нарушение ст. 5 ч. 7 152-ФЗ и п. 2 ПП №687.

Ошибка 5: Нет учёта доступа к носителям

К шкафу с личными делами имеют доступ все сотрудники кадрового отдела, бухгалтерии, а иногда и руководители подразделений. Кто и когда обращался к документам — не фиксируется. Нарушение п. 13 ПП №687 (обеспечение сохранности).

Ошибка 6: Уничтожение без акта

Бумажные документы с ПДн выбрасываются в мусорную корзину или уничтожаются шредером без составления акта уничтожения. Нарушение ст. 21 152-ФЗ — оператор не может подтвердить факт уничтожения при проверке.

Ошибка 7: Нет внутренних документов по неавтоматизированной обработке

Организация имеет политику обработки ПДн и модель угроз ИСПДн, но полностью игнорирует бумажный документооборот — нет положения, нет инструкций для сотрудников, нет приказа с назначением ответственных за хранение бумажных носителей.

Для выполнения требований ПП №687 и 152-ФЗ в части неавтоматизированной обработки оператору необходим комплект организационно-распорядительных документов. Ниже — минимальный перечень с пояснениями.

1. Положение об обработке персональных данных

Основной внутренний документ оператора, который должен содержать в том числе порядок обработки ПДн без средств автоматизации: перечень обрабатываемых данных, цели, сроки хранения бумажных носителей, порядок доступа.

2. Приказ об организации обработки ПДн

Назначает ответственного за организацию обработки ПДн (требование ст. 22.1 152-ФЗ), определяет перечень лиц, допущенных к обработке ПДн на бумажных носителях, закрепляет места хранения.

3. Инструкция по обработке персональных данных

Пошаговый регламент для сотрудников: как заполнять типовые формы, как хранить документы, как обеспечить раздельное хранение, как уничтожать носители, как действовать при утрате документа.

4. Перечень лиц, осуществляющих обработку ПДн

Список сотрудников с указанием, к каким категориям ПДн и к каким носителям каждый из них допущен. Должен пересматриваться при кадровых изменениях.

5. Типовые формы документов

Все бланки, анкеты, журналы, содержащие ПДн, должны соответствовать п. 7 ПП №687: содержать наименование и адрес оператора, цель обработки, перечень данных, поле для подписи субъекта.

6. Согласия на обработку ПДн

Для каждой цели обработки — отдельное согласие (п. 9 ПП №687, ст. 9 152-ФЗ). Нельзя собирать одно «универсальное» согласие на все цели сразу.

7. Акты уничтожения ПДн

Фиксируют факт уничтожения бумажных носителей: дата, состав данных, основание, способ уничтожения, подписи членов комиссии.

Создать комплект документов по обработке ПДн можно в конструкторе Кибероснова — система автоматически учтёт требования как для автоматизированной, так и для неавтоматизированной обработки.

Нарушения требований ПП №687 квалифицируются по ст. 13.11 КоАП РФ — той же статье, что и нарушения при автоматизированной обработке. Роскомнадзор не делает «скидку» на бумажный формат.

Основные составы нарушений:

При повторных нарушениях штрафы увеличиваются кратно. Кроме того, с 2025 года действуют оборотные штрафы за утечки ПДн — они применимы и к случаям утраты бумажных документов, если это привело к неправомерному доступу третьих лиц к ПДн.

Что проверяет Роскомнадзор при плановой проверке:

• Наличие внутренних документов (положение, приказы, инструкции)
• Соответствие типовых форм требованиям п. 7 ПП №687
• Условия хранения бумажных носителей (шкафы, сейфы, помещения)
• Раздельное хранение ПДн по целям
• Наличие и правильность оформления согласий
• Сроки хранения — не хранятся ли данные сверх необходимого
• Акты уничтожения

По данным отчётов РКН, нарушения при бумажной обработке выявляются практически в каждой второй проверке. Подготовиться к проверке Роскомнадзора значительно проще, если документы подготовлены заранее.

Приведение бумажной обработки ПДн в соответствие с законодательством — задача на 2–4 недели для средней организации. Вот пошаговый план действий:

Шаг 1. Инвентаризация бумажных носителей

Пройдите по всем подразделениям и составьте реестр бумажных документов, содержащих ПДн: что хранится, где хранится, кто имеет доступ, для какой цели, на каком основании. Особое внимание — кадровый отдел, бухгалтерия, юридический отдел, рецепция, архив.

Шаг 2. Определение целей обработки

Для каждого выявленного массива данных определите цель и правовое основание обработки. Если цель достигнута (уволенный сотрудник, исполненный договор) — данные подлежат уничтожению по истечении установленного срока хранения.

Шаг 3. Организация раздельного хранения

Обеспечьте физическое разделение документов по целям обработки. Закупите при необходимости запирающиеся шкафы, промаркируйте полки и папки. Ограничьте доступ — ключи только у уполномоченных сотрудников.

Шаг 4. Приведение типовых форм в соответствие

Проверьте все бланки, анкеты, журналы на соответствие п. 7 ПП №687. Добавьте недостающие реквизиты: наименование оператора, цель обработки, поле для подписи. Замените общие журналы на индивидуальные формы, где это необходимо.

Шаг 5. Подготовка комплекта документов

Разработайте или актуализируйте положение об обработке ПДн, приказ и инструкцию. В конструкторе Кибероснова можно сгенерировать весь комплект с учётом специфики вашей организации.

Шаг 6. Обучение сотрудников

Проведите инструктаж для всех сотрудников, допущенных к обработке ПДн на бумажных носителях. Зафиксируйте факт ознакомления подписью. Обновляйте инструктаж ежегодно и при изменениях в законодательстве. Включите проверку бумажных носителей в программу ежегодного аудита на соответствие 152-ФЗ.

Шаг 7. Уничтожение лишнего

Проведите «генеральную уборку»: уничтожьте документы с истёкшими сроками хранения, ненужные копии паспортов, устаревшие анкеты. Оформите акты уничтожения. Это одно из первых, на что обращает внимание Роскомнадзор при проверке.