Информирование о факте обработки персональных данных без автоматизации
Документ, которым оператор уведомляет о правилах ручной обработки данных тех, кто работает с бумагами: кадровиков, бухгалтеров, вахтёров, курьеров, подрядчиков.
Зачем нужен документ
Закон о персональных данных распространяется не только на информационные системы. Обработка считается неавтоматизированной, если действия с данными каждого человека совершаются при непосредственном участии человека: заполнили журнал на вахте, разложили заявления по папкам, отнесли ведомость в бухгалтерию. Правила для такой обработки установлены отдельным постановлением Правительства, и одно из них касается не документов, а людей.
Вот это правило: те, кто обрабатывает данные без средств автоматизации, — включая сотрудников организации и лиц, работающих по договору с ней, — должны быть проинформированы о самом факте такой обработки, о категориях обрабатываемых данных и об особенностях и правилах работы с ними. Отсюда назначение документа, которое из названия не следует: адресат здесь не субъект, а работник.
Различие не формальное. Все соседние формы раздела адресованы человеку, чьи данные обрабатывают, и дают оператору основание. Эта — обращена внутрь организации и ничего не разрешает: она делает так, чтобы человек с папкой в руках знал, что у него в руках, и понимал, чего с этим делать нельзя.
Чем грозит отсутствие
Отдельного штрафа за неинформирование сотрудников кодекс не устанавливает — скажем это прямо, чтобы не запугивать. Требование живёт в постановлении Правительства, и его невыполнение фиксируется на проверке как нарушение правил обработки со всеми обычными последствиями: акт, предписание, срок на устранение и контроль исполнения.
Наказывают здесь не за молчание, а за то, к чему молчание приводит. Классический пример — журнал разового пропуска. Положение прямо запрещает копировать содержащуюся в нём информацию и разрешает вносить данные человека не более одного раза за каждый проход. Если охрана фотографирует страницы журнала «для отчётности», а маркетинг потом использует эти контакты для приглашений, начинается обработка, несовместимая с целями сбора, — часть 1 статьи 13.11 КоАП: 10–15 тысяч для граждан, 50–100 тысяч для должностного лица, 150–300 тысяч для организации.
Как ещё называют этот документ
Что должно быть в документе
Состав задан самой нормой: факт, категории, особенности и правила. Ниже — то, во что это разворачивается на практике, чтобы документ работал, а не просто лежал в папке.
Требования законодательства
Как связан с другими документами
Бумажная зона обслуживается тремя документами сразу, и путать их роли — типовая ошибка комплекта.
Когда обновлять документ
Документ живёт вместе с бумагой: появилась новая папка или новый человек рядом с ней — информирование нужно повторить.
Что спросит проверяющий
Бумажную зону проверяют глазами и ногами: смотрят вахту, кабинеты, шкафы. Документы изучают потом — чтобы понять, знали ли люди правила, которые нарушили.
Разбор эксперта
Название этой позиции комплекта обманывает почти всех, включая опытных юристов. «Информирование о факте обработки» читается как письмо человеку, чьи данные обрабатывают. А норма говорит ровно наоборот: проинформировать нужно тех, кто обрабатывает данные руками, — своих сотрудников и людей, работающих по договору с вами. Мы обычно так и объясняем: это единственная бумага в разделе согласий, которую подписывает не клиент и не работник как субъект, а работник как исполнитель.
Практическая ценность здесь ровно в том, что бумажная зона выпадает из поля зрения. Защиту данных в организациях строят вокруг информационных систем: пароли, доступы, журналы событий. А рядом стоит стол вахтёра с журналом посетителей, в котором лежат фамилии, номера телефонов и данные документов за полгода, и человек за этим столом искренне уверен, что персональные данные — это что-то в компьютере. Он сфотографирует страницу журнала, чтобы отчитаться перед начальником смены, и не увидит в этом ничего особенного, хотя копирование таких записей прямо запрещено.
Ещё одно место, где мы регулярно находим проблемы, — подрядчики. Требование информировать распространяется и на тех, кто обрабатывает данные по договору: приходящего бухгалтера, архивную компанию, курьерскую службу. Формально это ваша обязанность, а не их: вы оператор, вы и объясняете правила. На практике же папку с личными делами отдают курьеру без единого слова о том, что в ней, — и потом выясняют, что она сутки лежала в багажнике. Ответственность за это несёте вы, а не курьер, поэтому информирование дешевле любого разбирательства.
Начните с инвентаризации бумаги: журналы, папки, сейфы, распечатки, договоры с физическими лицами. По каждому носителю определите категории данных, место хранения и ответственного. Составьте список всех, кто с этими носителями работает, и обязательно включите туда вахту, курьеров, архив и подрядчиков — их забывают первыми. Информирование вручайте под подпись и встраивайте в пакет при приёме на работу, чтобы список не устаревал. Отдельно проговорите два запрета, которые нарушают чаще всего: не копировать журналы разового пропуска и не смешивать на одном листе данные с разными целями обработки. И включите бумажную зону в план внутреннего контроля — иначе проверять её будет только надзорный орган.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Тех, кто обрабатывает данные без средств автоматизации: сотрудников организации и лиц, выполняющих такую обработку по договору с ней. Субъект персональных данных адресатом этой формы не является.
Ситуация, когда действия с данными каждого человека совершаются при непосредственном участии человека. Наличие компьютера значения не имеет: распечатка из системы обрабатывается вручную.
Проверьте, действительно ли все. Журнал посетителей, бумажные заявления, личные дела и подписанные договоры — это уже ручная обработка.
На практике их вручают вместе, но это разные документы: обязательство запрещает разглашать, информирование сообщает о факте обработки, категориях данных и правилах работы с ними.
Да, для журналов разового пропуска копирование содержащейся информации прямо не допускается, а данные человека вносятся не более одного раза за каждый проход.
Да. Требование прямо распространяется на лиц, осуществляющих обработку по договору с оператором.
Отдельного состава нет. На проверке это фиксируется как нарушение правил обработки и устраняется по предписанию, а наказывают за последствия — например за использование собранных на вахте контактов для рассылки.
Отметкой об ознакомлении: подпись работника и дата. Без неё выполнение требования подтвердить нечем.