Автоматизированная и неавтоматизированная обработка персональных данных: где закон проводит границу

Аннотация

УДК 342.9

В регистратуре небольшой клиники стоят компьютер с программой записи, стеллаж с бумажными картами пациентов и журнал на стойке. Какой здесь способ обработки персональных данных – автоматизированный, неавтоматизированный или «смешанный», – заведующей приходится решать, когда она заполняет уведомление Роскомнадзора. На этом примере в статье видно, когда бумага попадает под закон: если в картотеке, журнале или папке нужную запись находят по заданному правилу, например по алфавиту фамилий. Видно и то, как различаются правила для компьютера и для бумаги, которые работают в одной регистратуре. «Смешанная» обработка в законе не названа: это слово электронной формы портала Роскомнадзора. Оператору остаётся сначала описать свои операции, а затем выбирать отметки в уведомлении и писать политику.

Ключевые слова: автоматизированная обработка, неавтоматизированная обработка, смешанная обработка, 152-ФЗ, постановление № 687, уведомление Роскомнадзора, средства вычислительной техники, картотека.

Abstract

Abstract. Using the example of a small clinic, where a booking program, paper patient records and a visitor log work side by side, the article explains how automated and non-automated processing of personal data differ in Russian law. It shows when paper records fall within the Act: where a card index, a log or a folder allows a record to be found by a predetermined rule, such as the alphabetical order of surnames. It also shows how the rules for the computer and for the paper in one reception area differ. The phrase “mixed processing” is traced to the electronic notification form of the Roskomnadzor portal rather than to the text of the law. The operator is advised to describe the operations first, then choose the options in the notification and draft the policy.

Keywords: automated processing, non-automated processing, mixed processing, 152-FZ, Decree No. 687, Roskomnadzor notification, computing technology, card index.

Введение

Уведомление для Роскомнадзора заполняется быстро, пока вы не доберётесь до поля «способы обработки». Там три варианта: автоматизированная, неавтоматизированная, смешанная.

Возьмём заведующую небольшой клиники. В регистратуре у неё компьютер с программой записи, а рядом стеллаж: карты пациентов стоят по алфавиту, на каждом корешке фамилия. На стойке лежит журнал, куда вписывают тех, кто пришёл без записи. Раз в неделю администратор распечатывает из программы список оплат, и бухгалтер сверяет его с банком карандашом. Заведующая открывает форму, доходит до нужного поля, вспоминает совет знакомого юриста: «Ставь смешанную, не ошибёшься» – и ставит. А потом пробует объяснить самой себе, что именно в её клинике с чем смешано, и объяснение не складывается.

За одной галочкой стоят три вопроса, и каждый решается отдельно. Есть ли в регистратуре обработка персональных данных вообще. Если есть, автоматизирована ли она. И что из этого записывать в уведомление. Ответ на первый вопрос не определяет ответ на второй, и ответ на второй не определяет третий. Разберём их по порядку на примерах из той же регистратуры.

1. Что считать обработкой

Обработка в законе понимается широко. Это любое действие с персональными данными – сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение – и совершается оно с помощью средств автоматизации или без них (так определяет обработку Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных», далее – закон).

Поэтому администратор, который вписал в тетрадь фамилию и телефон пациента, уже совершил сбор и запись. Отправил сведения в лабораторию – совершил передачу. Вырвал из тетради лист с записью и сжёг его – совершил уничтожение. Ручка и клавиатура здесь равны: важно само действие, каким бы инструментом его ни выполнили.

Первый вопрос решается быстро: если в клинике записывают, хранят или передают сведения о людях, обработка есть. Интереснее второй – каким способом она совершается и какие правила к этому способу добавляются.

2. Автоматизированная обработка

Автоматизированной закон называет обработку с помощью средств вычислительной техники; что входит в такие средства, он не перечисляет. В регистратуре всё очевидно – компьютер, на котором ведут запись, и сервер, где лежит база. Труднее с пограничными случаями: планшет врача, который открывает карту через удалённый доступ, телефон администратора с мессенджером, облачный сервис с клиентской базой. Закрытого перечня нет, значение имеет фактическое участие вычислительной техники в операции, и слова «это же просто телефон» ничего не отменяют. Калькулятор на стойке и бумажная картотека вычислительной техникой не становятся, как бы их ни называли в разговоре.

Рядом стоит информационная система персональных данных – базы данных и всё, что обеспечивает их обработку. Для автоматизированной обработки это самая привычная среда, однако одной системой квалификация операции не исчерпывается. Данные можно достать из системы и дальше вести на бумаге. Запись, сделанная от руки, может попасть в систему, и дальше с ней работает программа. Фраза «всё лежит в компьютере» сама по себе ничего не значит; значение имеет то, что происходит с данными в каждой операции.

В законе рядом стоят два оборота, и стоит развести их с самого начала. «Автоматизированная обработка» определена через вычислительную технику. Слова «с использованием средств автоматизации» и «без использования таких средств» встречаются в другом месте – в описании сферы действия закона и в самом понятии обработки. Знака равенства между ними закон не ставит. Связь для бумажной обработки устанавливает Положение об особенностях обработки персональных данных без использования средств автоматизации, утверждённое постановлением Правительства РФ от 15 сентября 2008 г. № 687. Употреблять оба оборота рядом можно, отождествлять их без этой оговорки не стоит.

3. Когда бумажная обработка подпадает под закон

Бумага попадает под закон не всегда. Порог закон описывает так: обработка без средств автоматизации входит в его сферу, если по характеру действий она похожа на автоматизированную. Для этого она должна позволять по заданному алгоритму искать персональные данные, зафиксированные на материальном носителе и собранные в картотеках или иных систематизированных собраниях, и (или) получать к ним доступ (часть 1 статьи 1).

Под «заданным алгоритмом» понимают обыкновенное правило поиска: по алфавиту фамилий, по номеру дела, по дате в журнале, по адресу, по шифру. Кто знает это правило, находит запись за минуту, и тот же поиск повторит любой другой человек, которому правило известно. Слова «картотека» и «систематизированное собрание» закон не определяет; на практике это условие входа.

Проще всего увидеть правило на библиотечном каталоге. Длинный шкаф, десятки узких выдвижных ящиков, на лицевой стороне каждого табличка с буквами, например «Ки – Ко». Читатель, которому нужен автор на «Ко», идёт прямо к нужному ящику и перебирает карточки, стоящие по алфавиту. Читатель пользуется правилом, не задумываясь о нём, и именно такой способ поиска закон называет заданным алгоритмом.

Теперь заменим карточки книг карточками людей. Каталог книг персональных данных не содержит, закону важно устройство поиска, а предмет закона – сведения о людях. Карты пациентов на стеллаже регистратуры, где они стоят по участкам и по алфавиту, – картотека. Личные карточки работников в ящике отдела кадров – картотека. Журнал посетителей, где записи идут по датам, и папка анкет, из которой карточку достают по фамилии, – тоже систематизированные собрания. Стопка визиток в ящике стола как правило, собранием не является: правила поиска нет, листают всё подряд. Те же визитки, вставленные во вращающуюся картотеку с алфавитными вкладками, уже собрание, потому что появилось правило, по которому их находят.

С этого момента бумага входит в сферу действия закона. Автоматизированной обработкой она от этого не становится: способ остаётся неавтоматизированным, просто закон на него распространяется. Порог показывает, действует ли закон, а способ обработки определяют отдельно, по правилам следующего раздела.

Есть и исключения. Из сферы закона исключены, в частности, обработка данных физическим лицом исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных; организация хранения, комплектования, учёта и использования архивных документов по законодательству об архивном деле; обработка сведений, составляющих государственную тайну. Визитки в личном ящике стола для личных нужд под закон не подпадают, а у оператора в организации подпадают.

4. Неавтоматизированная обработка

Когда бумага уже под законом, применяется Положение, утверждённое постановлением № 687; срок действия постановления установлен до 1 сентября 2030 года. Критерий Положения расходится с бытовой интуицией. Обработка данных, лежащих в информационной системе или извлечённых из неё, считается неавтоматизированной, если использование, уточнение, распространение и уничтожение данных каждого субъекта совершаются при непосредственном участии человека. Сам по себе факт хранения данных в системе или извлечения их оттуда не делает обработку автоматизированной.

Администратор распечатал карточку пациента из программы, положил на стол и правит ручкой, сверяя с бумажным договором. Пока он правит именно эту карточку, участие администратора непосредственное, и операция неавтоматизированная. Если же программа сама каждую ночь обновляет записи в базе по заданному правилу, человек в действиях с данными каждого пациента не участвует, и по смыслу Положения такая обработка автоматизированная.

Что такое «непосредственное участие», Положение не расшифровывает, его читают вместе с перечнем действий и словами «в отношении каждого из субъектов». Разъяснений регулятора по этому вопросу в доступных нам источниках нет, поэтому ниже наше собственное прочтение. Если человек сам решает, что изменить в записи конкретного пациента, его участие непосредственное. Если он один раз настроил правило, а дальше всё делает система, то в конкретной операции его участие уже иное.

Остальные требования Положения – как отделять данные на носителе, как поступать с несовместимыми целями на одном листе, как вести журналы пропуска – составляют отдельный набор требований, и подробно он разобран в статье о неавтоматизированной обработке по постановлению № 687.

5. Откуда берётся «смешанная» обработка

В законе слов «смешанная обработка» нет. Нет их и в Положении № 687, и в требованиях к защите данных в информационных системах (постановление Правительства РФ от 1 ноября 2012 г. № 1119), и в приказе ФСТЭК России от 18 февраля 2013 г. № 21. Это слово встречается в другом месте – в практике заполнения уведомления на Портале персональных данных Роскомнадзора.

Формы уведомлений утверждены приказом Роскомнадзора от 28 октября 2022 г. № 180. В текстах форм поле о способах обработки отсылает к части 3.1 статьи 22 закона и трёх готовых вариантов не перечисляет. Три группы – «автоматизированная», «неавтоматизированная» и «смешанная», с признаками передачи по внутренней сети и по сети Интернет – задают электронная форма портала и методические материалы к ней. Отдельного разъяснения Роскомнадзора о том, как квалифицировать способы обработки и что означает «смешанная», в доступных нам источниках нет. В методических материалах портала неавтоматизированной названа обработка на материальных носителях, и это проще критерия Положения; «смешанная» там не определена. Норма об указании способов обработки – часть 3.1 статьи 22: оператор сообщает о них для каждой цели обработки.

Выбор «смешанной» – удобный способ заполнить поле, когда по одной цели у оператора есть и система, и бумага. В нашей клинике так и есть: пациентов записывают в программу, а часть карт ведётся на бумаге, и администратор сверяет их вручную. Отметка в уведомлении при этом операции не квалифицирует. Квалифицируются сами операции. Меры защиты по части 1 статьи 19 закона нужны при любом способе; к операциям в системе добавляются требования части 2 той же статьи, постановление № 1119 и приказ ФСТЭК № 21, к бумажным – Положение. При совмещении действуют оба набора требований, и отметка в форме ни один из них не заменяет. Заведующая из начала статьи потому и не смогла объяснить свою отметку, что выбрала слово, не описав операций.

6. Что следует из квалификации способа

От способа обработки зависит объём обязанностей оператора.

Организационный набор статьи 18.1 нужен всегда: политика, локальные акты, в том числе описывающие способы обработки, меры для выполнения обязанностей и внутренний контроль. Он есть у любого оператора, на которого действует закон, автоматизирована обработка или нет.

Меры по части 1 статьи 19 нужны при любом способе обработки. Если у оператора есть информационная система, добавляются требования части 2 статьи 19 и подзаконных актов о защите в таких системах; уровни защищённости и состав мер разобраны в статье об уровнях защищённости по постановлению № 1119 и в статье о мерах по статьям 18.1 и 19. Если есть материальные носители и операции без автоматизации, работает Положение, и снова пригодится статья о нём.

С уведомлением связь прямая. Способы, указанные в нём, не должны расходиться с описанием в политике и локальных актах: и то и другое говорит об одной и той же обработке. Если в форме стоит «автоматизированная», а в политике описан один бумажный журнал, расхождение заметно сразу. Если указана «смешанная», нужно быть готовым показать и систему, и бумагу; меры для обоих наборов требований при этом описывать нужно при любом выборе, отметка в форме этого не добавляет. Освобождение от уведомления, которым пользуются операторы, обрабатывающие данные исключительно без средств автоматизации (пункт 8 части 2 статьи 22), действует, пока вся обработка в клинике ведётся без средств автоматизации. Завели программу записи при живом бумажном журнале – уведомление уже нужно. Порядок подачи подробнее изложен в статье об уведомлении Роскомнадзора.

• Неавтоматизированная обработка по ПП № 687
• Уровни защищённости по ПП № 1119
• Меры по ст. 18.1 и 19
• Уведомление в Роскомнадзор
• Понятие ПДн и виды обработки

Согласованный пакет документов под выбранные способы обработки можно собрать в конструкторе «ГЕНЕРАТОР152ФЗ».

Заключение

Обработка существует независимо от способа: запись в тетради и операция в программе – одинаково действия с данными в смысле закона. Способ меняет набор применяемых правил.

Автоматизированной называется обработка с помощью вычислительной техники, состав которой закон не раскрывает и оставляет пограничные случаи практике. Единой разъяснённой позиции регулятора по таким случаям в доступных нам источниках нет, поэтому оператору стоит описать свои операции и записать принятое решение в локальном акте. Бумага входит в сферу закона, когда в собрании возможен поиск по заданному правилу: журнал посетителей, папка анкет, ящик личных карточек, каталог читателей, вращающаяся картотека визиток – внутри, разрозненные листы – за порогом. Для данных, которые лежат в информационной системе или извлечены из неё, Положение считает обработку неавтоматизированной, когда в действиях с данными каждого субъекта непосредственно участвует человек; само по себе извлечение данных из системы этого не меняет.

«Смешанная обработка» – слово электронной формы портала, в законе его нет. Оно описывает ситуацию, когда по одной цели есть и система, и бумага, и квалификации операций не заменяет: оба набора требований остаются в силе.

Заведующей из начала статьи хватило бы одного листа, на котором записано, кто вносит данные в программу, кто ведёт журнал на стойке, по какому правилу в регистратуре находят карту на стеллаже и что делает бухгалтер с распечаткой. По такому листу отметка в уведомлении выбирается сама, а политика и локальные акты пишутся без догадок.

Список литературы

• Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (в ред. от 26.07.2026).
• Постановление Правительства РФ от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» (в ред. постановления от 18 января 2025 г. № 12).
• Постановление Правительства РФ от 1 ноября 2012 г. № 1119 «Об утверждении Требований к защите персональных данных при их обработке в информационных системах персональных данных».
• Приказ ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
• Приказ Роскомнадзора от 28 октября 2022 г. № 180 «Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных, об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, о прекращении обработки персональных данных».
• Портал персональных данных Роскомнадзора. Форма уведомления о намерении осуществлять обработку персональных данных // URL: https://pd.rkn.gov.ru/operators-registry/notification/form/ (дата обращения: 23.10.2026).
• О заполнении электронной формы уведомления о намерении осуществлять обработку персональных данных на Портале персональных данных. 2025 // URL: https://pd.rkn.gov.ru/docs/Informacija_o_zapolnenii_jelektronnykh_uvedomlenij_po_PD.pdf.

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.