Что считается обработкой персональных данных по Закону № 152-ФЗ

Чтобы определить, работаете ли вы с персональными данными, начните с содержания сведений. Это любая информация о физическом лице, которое прямо или косвенно определено либо может быть определено. Человека необязательно называть по имени: значение имеет возможность установить, к кому относятся сведения. Такое понимание закреплено в п. 1 ст. 3 152-ФЗ. Если информация относится к определяемому человеку, дальнейшие операции с ней оцениваются как действия с персональными данными.

Для признания обработки не нужна длинная последовательность операций. Получение сведений относится к сбору, внесение их в записи — к записи, а сохранение для дальнейшей работы — к хранению. Каждое из этих действий уже охватывается понятием обработки. Систематизация и накопление также входят в перечень: сведения могут упорядочиваться или собираться вместе без их передачи кому-либо — п. 3 ст. 3 152-ФЗ.

Изменение ранее полученной информации тоже является обработкой. Закон относит к ней уточнение, включая обновление и изменение, а также извлечение и использование. Поэтому вопрос касается не только момента получения сведений: работа с уже имеющимися записями продолжает подпадать под это понятие. Все перечисленные операции названы в п. 3 ст. 3 152-ФЗ.

Способ работы не исключает обработку. Если сведения обрабатываются средствами вычислительной техники, речь идёт об автоматизированной обработке. Действия без средств автоматизации также охвачены общим определением. Например, хранение бумажных записей о человеке относится к хранению персональных данных; для этого определения наличие электронной базы не требуется — п. 3 и 4 ст. 3 152-ФЗ.

При передаче различайте круг получателей. Раскрытие сведений определённому человеку или определённому кругу лиц называется предоставлением. Если действия направлены на раскрытие неопределённому кругу лиц, это распространение. Доступ также включён в понятие передачи. Эти различия помогают правильно назвать операцию, но обе формы раскрытия относятся к обработке — п. 3, 5 и 6 ст. 3 152-ФЗ.

Прекращение работы с данными тоже может включать операции обработки. Блокирование означает её временное прекращение. Удаление названо отдельным действием, а уничтожение связано с невозможностью восстановить содержание данных в информационной системе либо с уничтожением материальных носителей. Эти понятия следует различать при описании того, что произошло со сведениями, — п. 3, 7 и 8 ст. 3 152-ФЗ.

Обезличивание также входит в обработку: после него без дополнительной информации невозможно установить принадлежность сведений конкретному человеку. А оператором может быть юридическое или физическое лицо, которое организует либо осуществляет обработку и определяет её цели, состав данных и операции с ними. Для понимания своей роли учитывайте и действия со сведениями, и то, кто решает, зачем и как их использовать, — п. 2 и 9 ст. 3 152-ФЗ.