Оформление бумажных носителей - Форум по вопросам информационной безопасности

Товарищи, посоветуйте, пожалуйста как решить юридическую заминку.

Есть у нас в организации несколько журналов (книг) в которых ведется учет лиц, которые обращаются в нашу организацию с теми или иными целями.
Журналы ведутся на бумажных носителях. В них содержаться ПД (адрес по прописке и Ф.И.О., а так же подпись ФЛ).
Эти журналы, книги определены номенклатурой дел, которую нам "сбрасывает" вышестоящая организация.

----
Согласно Постановлению Правительства Российской Федерации от 15 сентября 2008 г. N 687 г.
необходимость ведения такого журнала (реестра, книги) должна быть предусмотрена актом оператора, содержащим сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации, способы фиксации и состав информации, запрашиваемой у субъектов персональных данных, перечень лиц (поименно или по должностям), имеющих доступ к материальным носителям и ответственных за ведение и сохранность журнала (реестра, книги), сроки обработки персональных данных, а также сведения о порядке пропуска субъекта персональных данных на территорию, на которой находится оператор, без подтверждения подлинности персональных данных, сообщенных субъектом персональных данных

-----

Т.е. вроде бы как должен быть приказ, который утверждает эти журналы, более того в этом приказе должна быть указанна соответствующая информация.
Руководитель считает, что мы не имеем право утверждать эти журналы, т.к. не мы их разрабатывали и т.п.
Т.о. получается, что мы вроде бы как нарушаем закон.

Как лучше решить данную проблему.

Буду вам ОЧЕНЬ ОЧЕНЬ благодарна за помощь.

2 Карина

В Вашей задаче содержится и ответ на неё:
надо издать распоряжение директора о вводе в действие (формы, ответственные за ведение и хранение), в котором обязательно будет ссылка на номенклатуру, утвержденную "наверху". В принципе, если в номенклатуре реквизиты ПДн названы однозначно, их можно не дублировать (внутренние приказы ГИБДД, например, не содержат полное цитирование ПДД и Адм.Кодекса, хотя как раз их выполнение и обеспечивают).
В чём правы контролёры, что не обязательно у вас будут заводиться все документы из номенклатуры, также могут быть дополнительные свои (например согласно требованиям ФСБ к криптосредствам), да и ответственные, место хранения и пр. у вас собственные.
В том же приказе директор может поручить утверждение, контроль и пр. должностному лицу (секретарю, например) и больше об этом не думать

2 Практик

Т.е. издавать таки необходимо в любом случае?
Потому что в номенклатуре только название и сроки хранения.

С другой стороны, порлучается, что единственным правовым основание ведения датких жруналов является номенклатура?

2 Карина

Номенклатура - это общие обязательные требования, а в распоряжении (приказе) как минимум добавятся реальные фамилии и должности тех, кто будет это вести, а также с какого числа вводится обязанность ведения. Могут быть и другие уточнения (отдельные журналы по филиалам или 1 общий, где хранить и т.п.).
В приказе могут быть введены и документы, не входящие в эту номенклатуру (журнал передачи дежурств, документы учёта средств криптозащиты для работы с банком или казначейством), т.е. входящие в ваше делопроизводство, но не относящиеся к перс.данным..
В общем, приказ - ваш распорядительный документ, определяющий процедуры для выполнения номенклатуры и иных норм и рекомендаций.
"Правовым основанием" будут законы и постановления по ПДн, СКЗИ и пр., а номенклатура будет скорее всего НМД, но это проблемы юристов)))

Практик
Нет, в номенклатуре только названия журналов и сроки хранения, даже формы, точнее сами журналы выдавали "сверху".
Но, в общем понятно, что лучше утвердить - хуже от этого не будет.
Спасибо.

А еще вопросик. если можно:
В некоторых журнала предполагается заполнение не только ПДн, но и некоторых реквизитов ЮЛ.
Т.е, например, вот строка где записана информация о заявителе ФЛ, а в следующей информация о поступившем запросе из ЮЛ.

Такое вообще допустимо?
И, если я правильно понимаю, то в любом случае такой журнал считается журналом, содержащим ПДн и на него, распространяются все требования?

"Гриф документа определяет исполнитель" на основании вашего внутреннего перечня конф. информации.
Степень конфиденциальности определяется самой "ответственной" (включая ПДн), так что наличие других данных может только повышать конфиденциальность

Если возникает столько вопросов, "переведите стрелки" на ваших юристов и делопроизводство. Т.е. даете служебную записку с вашими рекомендациями, со ссылкой на ФЗ-152 и ПП-687 (если есть другие защищаемые категории, коммерческая, крипто, дсп - и на другие нормативные акты), и пусть они, с учетом требований ЗИ, готовят приказ с перечнем документов и формами. Поскольку основное: весь набор вносимых записей, сроки хранения, кто заполняет и прочие базовые вопросы - совсем не по профилю ТЗИ и придётся все равно выяснять требования смежных служб