Хранение персональных данных на материальных носителях

В соответствии с п. 3 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закона о ПД) обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая хранение персональных данных (далее – ПД).

Соответственно, хранение ПД может осуществляться как с использованием, так и без использования средств автоматизации, то есть когда хранение ПД осуществляется на материальных носителях.

Согласно ч. 1 ст. 19 Закона о ПД оператор при обработке ПД обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты ПД от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПД, а также от иных неправомерных действий в отношении ПД.

Вместе с тем, постановлением Правительства РФ от 15.09.2008 № 687 утверждено Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации (далее – Положение).

Так, в силу п. 13 Положения обработка ПД, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории ПД можно было определить места хранения ПД (материальных носителей) и установить перечень лиц, осуществляющих обработку ПД либо имеющих к ним доступ.

Необходимо обеспечивать раздельное хранение ПД (материальных носителей), обработка которых осуществляется в различных целях (п. 14 Положения).

В соответствии с п. 15 Положения при хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность ПД и исключающие несанкционированный к ним доступ. Перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер, устанавливаются оператором.

Таким образом, на оператора ПД в целом возлагается обязанность по принятию правовых, организационных, технических мер для защиты ПД, при этом при хранении ПД на материальных носителях оператором ПД должно обеспечиваться следующее:

• в отношении каждой категории ПД должно быть определено место хранение ПД (материальных носителей);
• должен быть установлен перечень лиц, имеющих доступ к ПД;
• должно быть предусмотрено раздельное хранение ПД (материальных носителей), обработка которых осуществляется в различных целях;
• должны быть предусмотрены условия, обеспечивающие сохранность ПД и исключающие несанкционированный доступ.

Учитывая вышеизложенное, можно заключить, что образовательная организация, выступая оператором ПД, самостоятельно посредством издания соответствующих локальных нормативных актов устанавливает требования к хранению ПД на материальных носителях, в том числе требования к местам хранения ПД, обеспечив при этом их сохранность и исключив несанкционированный доступ к таким помещениям.

Одновременно с этим, на основании п. 7 ч. 1 ст. 86 Трудового кодекса Российской Федерации (далее – ТК РФ) в целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке ПД работника обязаны соблюдать общие требования, в том числе защита ПД работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств в порядке, установленном ТК РФ и иными федеральными законами.

В свою очередь, в силу ст. 87 ТК РФ порядок хранения и использования ПД работников устанавливается работодателем с соблюдением требований ТК РФ и иных федеральных законов.

Необходимо отметить, что ни Закон о ПД, ни ТК РФ не устанавливает каких-либо требований к помещениям, в которых осуществляется хранение ПД.

При этом, например, исходя из п. 21 Методических рекомендаций по ведению воинского учета в организациях, утвержденных Генштабом Вооруженных Сил РФ 11.07.2017, руководители организаций обязаны выделить для работников, осуществляющих воинский учет в организациях, специально оборудованные помещения и железные шкафы, обеспечивающие сохранность документов по воинскому учету.

Как следствие, можно заключить, что документы воинского учета, содержащие ПД работников, необходимо хранить в железных шкафах в специально оборудованных помещениях.

Таким образом, образовательной организации как работодателю необходимо принять локальный нормативный акт, устанавливающий порядок хранения ПД работников, с учетом требований Закона о ПД и Положения.

В тоже время, рассматривая указанные правовые нормы в совокупности, рекомендуем образовательной организации выделить для хранения ПД работников специально оборудованные помещения и железные шкафы, обеспечивающие сохранность ПД и исключающие несанкционированный доступ к ним.