Что является обработкой персональных данных

Чтобы понять, что относится к обработке персональных данных, сначала нужно определить характер самих сведений. По п. 1 ст. 3 152-ФЗ это информация о человеке, которого можно определить прямо или косвенно. Поэтому значение имеет связь записи с конкретным лицом. Отсутствие имени само по себе ещё не означает, что сведения перестали быть персональными: человек может определяться через другую информацию.

Пункт 3 ст. 3 152-ФЗ описывает обработку широко: она включает отдельное действие или несколько операций со сведениями. Например, получение заполненной анкеты означает сбор, внесение её содержания в список — запись, а расположение записей по выбранному признаку — систематизацию. Добавление новых сведений к уже собранным можно рассматривать как накопление. Эти примеры показывают смысл перечисленных законом действий, а не обязательные этапы единой процедуры.

Хранение тоже входит в обработку персональных данных. Если сведения сохраняются в бумажной папке, отсутствие электронной базы не исключает обработку. Когда меняют записанный адрес или дополняют сведения о человеке, происходит уточнение: закон относит к нему обновление и изменение. Извлечение информации из сохранённых записей и её использование также названы в п. 3 ст. 3 152-ФЗ. Не нужно ждать передачи кому-либо, чтобы считать работу со сведениями обработкой.

Как происходит обработка, зависит и от используемых средств. По п. 4 ст. 3 152-ФЗ автоматизированной называется обработка с помощью вычислительной техники. При этом общее определение охватывает и действия без таких средств. Следовательно, сбор, запись и хранение сведений о человеке на бумаге также считаются обработкой персональных данных.

Передачу закон раскрывает через распространение, предоставление и доступ. Разница между первыми двумя действиями связана с получателями: по п. 5 ст. 3 152-ФЗ распространение направлено на раскрытие сведений неопределённому кругу лиц, а по п. 6 той же статьи предоставление адресовано определённому лицу или кругу лиц. Поэтому передача сведений одному известному получателю тоже относится к обработке, хотя распространением она не является.

Завершение работы с записями также может включать обработку. В её перечне есть обезличивание, блокирование, удаление и уничтожение. По п. 9 ст. 3 152-ФЗ при обезличивании без дополнительной информации нельзя установить, кому принадлежат сведения. Блокирование по п. 7 означает временное прекращение обработки. Уничтожение по п. 8 связано с невозможностью восстановить содержание сведений в информационной системе либо с уничтожением материальных носителей. Эти понятия описывают разные действия, поэтому называть их одним словом неточно.

Само отнесение действия к обработке ещё не отвечает на вопрос о его допустимости. Статья 3 152-ФЗ даёт определения: по ним можно установить, какие операции происходят со сведениями и кто организует эту работу. В частности, п. 2 связывает понятие оператора с организацией или осуществлением обработки и определением её целей, состава сведений и операций с ними.