Какие действия считаются обработкой персональных данных

Чтобы понять, какие действия относятся к обработке, сначала нужно определить, с какой информацией они совершаются. По п. 1 ст. 3 152-ФЗ персональные данные — сведения, которые относятся к определённому или определяемому человеку. Связь может быть прямой или косвенной. Значит, вопрос начинается не с названия файла или документа, а с возможности соотнести его содержание с физическим лицом.

Пункт 3 ст. 3 152-ФЗ охватывает как отдельную операцию, так и их совокупность. Не требуется, чтобы сведения обязательно прошли весь путь от получения до уничтожения. Если их только записали или только хранят, речь уже идёт об обработке. Наличие нескольких последовательных этапов меняет описание происходящего, но не является условием для применения самого понятия.

Сбор, запись, систематизация и накопление прямо названы в законе. Например, сведения о человеке могут попасть в записи, затем быть распределены по группам и добавлены к ранее собранной информации. Это иллюстрация нескольких операций с одним содержанием. Для ответа на вопрос об обработке не нужно выбирать между ними единственное действие: закон допускает сочетание операций.

Хранение включено в перечень самостоятельно. Даже без новых записей хранение сведений остаётся обработкой. Когда сведения о конкретном человеке сохраняются, нужно учитывать именно эту операцию. Внесение изменений не является обязательным признаком хранения: информация может оставаться прежней и при этом продолжать быть предметом обработки по п. 3 ст. 3 152-ФЗ.

Уточнение в этом же пункте раскрывается через обновление и изменение. Исправление сведений о человеке относится к обработке, даже если цель состоит только в том, чтобы заменить прежнюю информацию актуальной. Извлечение и использование также перечислены отдельно. Это позволяет описывать работу со сведениями точнее, чем общей фразой о наличии базы или документов.

Форма работы не ограничивается электронными средствами. Пункт 3 ст. 3 152-ФЗ прямо охватывает операции как с автоматизацией, так и без неё. Следовательно, бумажная запись не исключается из понятия обработки только из-за своего носителя. Если в ней содержатся сведения об определяемом человеке, сбор или хранение такой записи нужно рассматривать с учётом того же определения.

Автоматизированная обработка — более узкое понятие. По п. 4 ст. 3 152-ФЗ её отличает использование вычислительной техники. Здесь существенно различать два вопроса: совершаются ли операции с персональными данными вообще и используются ли для них технические средства такого рода. Операции с персональными данными без вычислительной техники, в том числе с бумажными записями, тоже относятся к обработке.

Передача тоже входит в обработку. В п. 3 ст. 3 152-ФЗ она названа вместе с распространением, предоставлением и доступом. Оценка операций не заканчивается на том, кто первоначально собрал сведения. Раскрытие информации другим лицам также относится к действиям с персональными данными, а характер получателей помогает определить, о каком виде раскрытия идёт речь.

Различие между распространением и предоставлением связано с кругом получателей. По п. 5 ст. 3 152-ФЗ распространение направлено на раскрытие неопределённому кругу лиц. По п. 6 той же статьи предоставление адресовано определённому лицу или определённому кругу лиц. Оба случая относятся к обработке, но обозначают разные способы раскрытия информации о человеке.

Обезличивание не выведено за пределы перечня операций. Согласно п. 9 ст. 3 152-ФЗ его результат состоит в невозможности установить принадлежность сведений конкретному человеку без дополнительной информации. Само действие по обезличиванию является обработкой. Смысл определения связан именно с возможностью установить принадлежность, а не просто с изменением внешнего вида записи.

Блокирование и уничтожение также имеют разные значения. Пункт 7 ст. 3 152-ФЗ связывает блокирование с временным прекращением обработки. Пункт 8 описывает уничтожение через невозможность восстановить содержание в информационной системе либо через уничтожение материальных носителей. Эти определения не позволяют считать временную остановку операций тем же результатом, что уничтожение содержащихся в системе сведений или их носителей.

Удаление указано в п. 3 ст. 3 152-ФЗ наряду с уничтожением. Само название операции ещё не объясняет её результат. Чтобы назвать действие уничтожением в смысле п. 8, нужно соотнести произошедшее с признаками из этого пункта. При этом обе операции входят в обработку: её понятие охватывает не только сохранение информации, но и действия, направленные на прекращение её существования.

Широта определения обработки не означает, что перечисленные действия автоматически разрешены в любой ситуации. Статья 3 152-ФЗ прежде всего объясняет используемые понятия. Ответ на вопрос о том, относится ли конкретная операция к обработке, нужно отличать от вопроса об основаниях её совершения. Перед использованием сведений о человеке выясните, на каком основании оператор их обрабатывает.