Приказ об утверждении перечня ПДн, обрабатываемых без средств автоматизации
Приказ, которым организация утверждает состав персональных данных, обрабатываемых на бумаге и в других материальных носителях, — по категориям, целям и подразделениям, а не по названиям папок.
Зачем нужен документ
Ручная обработка персональных данных живёт по отдельному постановлению Правительства, и оно устроено вокруг понятия категории. Ключевое требование звучит так: обработка без использования средств автоматизации должна вестись таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения носителей и установить перечень лиц, осуществляющих обработку либо имеющих к ним доступ.
Отсюда и берётся этот приказ. Отдельной нормы «утвердить перечень персональных данных, обрабатываемых без автоматизации» в законодательстве нет, и мы говорим об этом прямо. Но выполнить требование, не назвав категории, невозможно: определить места хранения и лиц с доступом можно только для того, что уже перечислено. Перечень — это список категорий, а приказ придаёт ему силу локального акта и фиксирует, с какого момента он действует.
Главная трудность документа не в форме, а в источнике сведений. Организации составляют перечень по номенклатуре дел: личные дела, трудовые договоры, приказы по личному составу, журналы. Список получается аккуратный и заведомо неполный, потому что бумажные данные почти не рождаются на бумаге. Ведомость печатается из бухгалтерской программы, список работников — из кадровой, таблица с контактами клиентов выгружается и распечатывается к совещанию, согласие подписывается на бумаге и сканируется обратно в систему. Перечень, составленный по папкам, всего этого не видит.
Правильный источник — процессы печати и выгрузки. Вопрос, который стоит задать каждому подразделению, звучит не «какие у вас папки», а «что вы печатаете, выгружаете и копируете и что с этим потом происходит». Ответы обычно удлиняют перечень вдвое, и это не раздувание документа: каждая такая строка — реальный массив персональных данных, у которого до сих пор не было ни места хранения, ни ответственного.
Чем грозит отсутствие
Прямого наказания за неутверждённый перечень нет. Есть наказание за то, к чему приводит его отсутствие: данные, которые нигде не названы, не имеют ни места хранения, ни круга допущенных лиц, и потому доступ к ним получает кто угодно — не взломав ничего, а просто взяв со стола или из общего шкафа.
Вторая, куда более дорогая часть риска считается по числу пострадавших. Неописанная категория — это почти всегда массив: распечатанный реестр клиентов, сводная ведомость по всем работникам, список участников программы лояльности. Когда такой документ уходит наружу, объём утечки считают по числу людей в нём, а не по числу листов: от 3 миллионов рублей для организации при тысяче субъектов и от 5 миллионов — начиная с десяти тысяч.
Как ещё называют этот документ
Что должно быть в документе
Приказ — одна страница, содержание — в приложении. Таблицу строят по категориям данных, а не по названиям папок: категория это то, что можно описать одной фразой «чьи данные, какие сведения, для какой цели».
Требования законодательства
Как связан с другими документами
Перечень категорий — вход в весь бумажный контур: остальные документы этой группы строятся по его строкам.
Когда обновлять документ
Перечень устаревает не от времени, а от появления новых бумаг. События, после которых он требует пересмотра:
Что спросит проверяющий
Перечень проверяют сравнением: сначала с другими документами организации, потом с тем, что лежит на столах. Второй способ быстрее.
Разбор эксперта
Перечень бумажных персональных данных почти всегда составляют по номенклатуре дел, и это выглядит логично: номенклатура и есть официальный список того, что организация хранит. Проблема в том, что номенклатура описывает дела — то, что подшито, пронумеровано и стоит на полке. А самый большой массив персональных данных на бумаге лежит не на полке. Он лежит на столах, в лотках принтеров, в ящиках рабочих столов и на досках объявлений: распечатанный список работников с телефонами, ведомость на выдачу, график отпусков, список участников обучения, черновик договора со всеми паспортными данными, второй экземпляр справки, который никому не понадобился.
Ни одна из этих бумаг не попадёт в перечень, составленный по номенклатуре, — и не потому, что кто-то что-то скрывает, а потому, что вопрос был задан неправильно. Спрашивать надо не «какие у вас дела», а «что вы печатаете и выгружаете». Мы обычно просим показать очередь печати за неделю и содержимое общего лотка — это занимает пятнадцать минут и даёт больше, чем неделя переписки с подразделениями. Практически всегда обнаруживаются две-три категории данных, которых нет ни в одном документе организации, и почти всегда среди них есть массив на сотни человек.
Из этого следует и практический вывод о том, как перечень сокращать. Сокращать надо не строки, а печать. Список работников на двери переговорной заменяется списком без дат рождения; ведомость, которая печаталась «на всякий случай», перестаёт печататься; черновики уничтожаются в конце дня, а не копятся до квартального разбора; лоток общего принтера перестаёт быть местом хранения. После такой работы перечень становится короче реального положения дел не на бумаге, а на деле — и это единственный честный способ его укоротить. Организация, которая просто вычеркнула неудобные строки, получает не короткий перечень, а ненайденные данные.
Начните не с папок, а с процессов: пройдите по подразделениям и выпишите, что там печатают, выгружают, копируют и заполняют от руки. Отдельно проверьте копии документов, удостоверяющих личность, — это самая чувствительная категория и самая частая находка. По каждой строке сразу ставьте цель, место хранения, круг лиц с доступом и срок хранения: без них перечень не выполняет требование постановления, а лишь перечисляет. И назначьте в приказе ответственного за актуализацию с обязанностью подразделений сообщать о новых формах документов — иначе перечень останется точным ровно один день.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Отдельной нормы с таким названием в законе нет. Но постановление № 687 требует, чтобы в отношении каждой категории данных можно было определить места хранения носителей и установить перечень лиц с доступом. Выполнить это, не перечислив категории, невозможно, поэтому перечень существует у всех операторов, работающих с бумагой, — а бумага есть у всех.
Да. Постановление прямо указывает, что нахождение данных в информационной системе само по себе не делает их обработку автоматизированной: критерий — непосредственное участие человека в действиях с данными. Распечатанная ведомость обрабатывается вручную со всеми вытекающими требованиями.
Этот перечень отвечает на вопрос, какие данные обрабатываются на бумаге: категории субъектов, состав сведений, цели. Перечень материальных носителей отвечает, на чём они физически существуют: дела, папки, журналы, картотеки. Первый — про содержание, второй — про форму.
Обязательно, и лучше отдельной строкой. Это самая чувствительная бумажная категория, и по ней в первую очередь спрашивают о правовом основании: для какой цели снята копия, чем предусмотрено её хранение и сколько она хранится.
Они тоже содержат персональные данные и подпадают под те же требования. Практическое решение — не описывать их как отдельную категорию, а исключить сам факт их накопления: уничтожать в конце рабочего дня и прямо записать это в приказе о безопасности носителей.
Технически можно, практически не стоит. Требования к ручной и автоматизированной обработке разные, и при объединении в общую таблицу теряется именно бумажная специфика: места хранения, раздельность по целям, круг лиц с доступом к носителям.
Проект готовит ответственный за организацию обработки персональных данных, но наполняют его подразделения: только они знают, что печатают и заполняют. Утверждает перечень руководитель организации своим приказом.
Периодичность нормативно не установлена. Разумно совмещать пересмотр с мероприятиями внутреннего контроля — раз в год, — и обязательно дополнять его при появлении новой формы документа или нового направления деятельности.