Документы с персональными данными находятся под защитой закона о персданных. А что происходит с документами, когда они становятся архивными? Распространяется ли на них указанный закон и если да, то в какой части? Когда документ становится архивным? Как защищаются персональные данные, содержащиеся в таком документе? А как защищаются персданные при ответе архива на запросы граждан, в том числе и за границу? Автор анализирует нормативную базу и отвечает на указанные вопросы.
Вопрос 1. Распространяется ли закон о персданных на архивные документы?
Применимость Закона о персональных данных в отношении архивных документов
В п. 2 ч. 2 ст. 1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» предусмотрен ряд исключений – его действие не распространяется на отношения, возникающие при «организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации».
Согласно Закону о персональных данных исключение распространяется не только на документы Архивного фонда, но на любые другие архивные документы, и вот тут уже начинаются проблемы, поскольку определение термина «архивный документ» в Законе об архивном деле слишком обтекаемое и не содержит четких критериев, по которым можно однозначно установить, когда документ становится архивным. В частности, нет указания на то, что архивный документ должен храниться в архиве, не раскрывается понятие «идентификации» и не определяется, каким образом устанавливается «значимость для граждан, общества и государства». В то же время в определении термина «документ Архивного фонда Российской Федерации» эти критерии обозначены более четко (но не настолько, чтобы исключить возможности для споров).
Фрагмент документа
Статья 3 Федерального закона от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации»
В целях настоящего Федерального закона применяются следующие основные понятия:
...2) архивный документ – материальный носитель с зафиксированной на нем информацией, который имеет реквизиты, позволяющие его идентифицировать, и подлежит хранению в силу значимости указанных носителя и информации для граждан, общества и государства;
...4) документ Архивного фонда Российской Федерации – архивный документ, прошедший экспертизу ценности документов, поставленный на государственный учет и подлежащий постоянному хранению...
В прошлом году были утверждены новые архивные Правила 2023 года, в которых была дана иная трактовка понятия «архивные документы» (имеющая, естественно, меньшую правовую силу, чем положения закона), с несколько странными, однако четко сформулированными критериями «времени перехода» из стадии «документа» в стадию «архивного документа».
Фрагмент документа
Правила 2023 года
12. …Документы (дела) становятся архивными с 1 января года, следующего за годом, в котором они были закончены делопроизводством.
Такая трактовка (которую даже разработчики документа в неофициальном порядке признали ошибкой) выводит значительные объемы документов из-под действия Закона о персональных данных, однако она настолько противоречит как законодательству, так и сложившейся практике и здравому смыслу, что на данный момент ни одна организация не попыталась ею воспользоваться в своих конфликтах с Роскомнадзором (хотя такие попытки в будущем могут и появиться, поскольку в трудных ситуациях стороны судебного спора готовы хвататься за любую соломинку).
В декабре 2023 года на заседании ученого совета Историко-архивного института РГГУ разработчики новых Правил отметили, что в Правилах «закрепилась неверная трактовка архивного документа, как любого документа, завершенного делопроизводством, и предложили более правильную, по их мнению, трактовку: «архивным становится документ после экспертизы ценности и отобранный на архивное хранение, то есть это только документы категории долговременного и постоянного сроков хранения. Остальные документы не относятся к архивным».
Защита персональных данных, содержащихся в архивных документах
Необходимо понимать, что подпадение документов под действие Закона об архивном деле не означает, что персональные данные в них не нужно защищать. Просто этот вопрос регулируется несколько иначе. В такой ситуации фактически речь идет об ограничении доступа к архивным документам, содержащим персональные данные граждан.
Фрагмент документа
Статья 25 Федерального закона от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации»
...3. Ограничение на доступ к архивным документам, содержащим сведения о личной и семейной тайне гражданина, его частной жизни, а также сведения, создающие угрозу для его безопасности, устанавливается на срок 75 лет со дня создания указанных документов. С письменного разрешения гражданина, а после его смерти с письменного разрешения наследников данного гражданина ограничение на доступ к архивным документам, содержащим сведения о личной и семейной тайне гражданина, его частной жизни, а также сведения, создающие угрозу для его безопасности, может быть отменено ранее чем через 75 лет со дня создания указанных документов.
Серьезных нормативных требований к защите персональных данных в Законе об архивном деле нет, и в Правилах 2023 года они также не были установлены.
Фрагмент документа
Правила 2023 года
31. …Документы, содержащие персональные данные, имеющие пометку «Для служебного пользования», а также содержащие информацию ограниченного доступа, должны уничтожаться в государственном органе, органе местного самоуправления, организации путем механического измельчения (шредирования) или иным способом, исключающим возможность восстановить содержание документов. Бумажные отходы передаются в организацию, занимающуюся переработкой вторсырья…
134. …Государственные органы, органы местного самоуправления и организации обязаны обеспечивать защиту информации и персональных данных, содержащихся в СХЭД, в соответствии с законодательством Российской Федерации.
Отметим, что требование по защите персональных данных в системе хранения электронных документов (СХЭД) в Правилах 2023 года основывается на: 1) статье 7 Закона о персональных данных и 2) статье 16 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
Следствием такой противоречивой нормативной правовой базы является то, что только гос- и муниципальные архивы более-менее уверенно могут считать, что их архивные документы не охватываются Законом об архивном деле. У всех остальных организаций и иных лиц в разной степени имеется риск конфликта с Роскомнадзором по данному вопросу.
Документы, образующиеся в деловой деятельности архивов, не являются автоматически архивными с точки зрения Закона об архивном деле и в подавляющем большинстве случаев в полной мере подпадают под действие Закона о персональных данных (а где это уместно, иных специализированных законов, прямо регламентирующих защиту персональных данных в соответствующей области, например ТК РФ).
Защита персданных при ответе на запросы
Вопрос 2. Чем регламентируется работа архивных служб организации по запросам граждан, в т.ч. из-за рубежа? Где грань Закона о персональных данных и законодательства об архивном деле?
Начнем с того, что документы, образующиеся в ходе оперативной деловой деятельности архива (или деятельности архивной службы организации), в т.ч. в процессе обработки запросов, вряд ли будут признаны архивными. Соответственно, защиту персональных данных в этих документах придется обеспечивать согласно Закону о персональных данных. В то же время, если сведения для ответа на запрос берутся из документов, охватываемых Законом об архивном деле, должен быть соблюден порядок защиты персональных данных в архивных документах, предусмотренный архивным законом. В итоге может получиться так, что придется, где это уместно, исполнять требования обоих законов.
Работа с обращениями граждан, действительно, тесно взаимосвязана с задачей защиты персональных данных:
1. Само собой, архиву организации следует обеспечить защиту персональных данных заявителя и их обработку на законном основании, получая, когда это необходимо, соответствующее согласие.
При обработке запросов из-за рубежа, особенно если организация работает на внешних рынках, необходимо подумать и о соблюдении законодательства о защите персональных данных соответствующих зарубежных стран.
2. Также серьезной проблемой является идентификация заявителя и установление его права на получение запрошенных им сведений, включая персональные данные других лиц.
Если при личной явке гражданин может представить удостоверяющий его личность документ и, если необходимо, другие документы, подтверждающие родство и права доступа, то при получении запроса в электронном виде провести идентификацию и аутентификацию сложнее (даже далеко не все граждане РФ могут использовать такие возможности, как усиленную электронную подпись, кабинеты в государственных информационных системах, биометрическую идентификацию).
В то же время передача информации и документов лицам, не имеющим права доступа к ним, чревата серьезными неприятностями как для организации, так и для сотрудников архивных служб.
В архивные Правила 2023 года включена глава XIII «Организация использования архивных документов», которая в т.ч. содержит нормы, регламентирующие порядок исполнения запросов юридических и физических лиц. Однако внимательное изучение этого раздела показывает, что при его разработке не были учтены моменты, связанные с наличием в этих документах персональных данных.
Фрагмент документа
Правила 2023 года
173. Порядок использования и доступа к архивным документам определяются локальными нормативными актами, разработанными в соответствии с положениями настоящей главы и главы XIV Правил, а также с учетом специфики деятельности государственного органа, органа местного самоуправления, организации, в соответствии с требованиями законодательства Российской Федерации, в том числе с порядком, установленным уполномоченным федеральным органом исполнительной власти в сфере архивного дела и делопроизводства <44>.
174. Доступ к архивным документам, являющимся носителями сведений, составляющих государственную тайну, а также содержащим сведения конфиденциального характера <45>, осуществляется при наличии у пользователя документально подтвержденных прав на получение соответствующей информации (сведений), а к документам, содержащим служебную информацию ограниченного распространения, – в соответствии с локальными нормативными актами.
______________________________
<44> Порядок использования архивных документов в государственных и муниципальных архивах Российской Федерации, утвержденный приказом Росархива от 1 сентября 2017 г. № 143 (зарегистрирован Минюстом России 1 ноября 2017 г., регистрационный № 48765) с изменением, внесенным приказом Росархива от 9 июня 2021 г. № 51 (зарегистрирован Минюстом России 19 августа 2021 г., регистрационный № 64708).
<45> Указ Президента Российской Федерации от 6 марта 1997 г. № 188 «Об утверждении Перечня сведений конфиденциального характера».
В Перечне сведений конфиденциального характера, утвержденном Указом Президента РФ, в первом же пункте значатся «персональные данные».
Фрагмент документа
Перечень сведений конфиденциального характера, утв. Указом Президента РФ от 06.03.1997 № 188
1. Сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях.
Согласно Правилам 2023 года запросы пользователей подразделяются на (п. 178):
-
запросы социально-правового характера – связаны с социальной защитой граждан, предусматривающей их пенсионное обеспечение, а также получение льгот и компенсаций;
-
тематические запросы – о предоставлении архивной информации по определенной проблеме, теме, событию, факту;
-
запросы о рассекречивании архивных документов, являющихся носителями сведений, составляющих государственную тайну.
Запрос пользователя не подлежит рассмотрению в перечисленных в Правилах 2023 года случаях (п. 181). Среди них 2 случая напрямую касаются защиты персональных данных:
- ответ по существу указанной в запросе темы (вопроса) не может быть дан без разглашения сведений, составляющих государственную или иную охраняемую федеральным законом тайну (указанная информация может быть предоставлена только при наличии у пользователя документально подтвержденных прав на получение сведений, содержащих государственную тайну и/или конфиденциальную информацию);
- у пользователя отсутствуют документы, подтверждающие его полномочия выступать от имени третьих лиц, в отношении которых сделан запрос в случае, если не истек срок ограничения в 75 лет, установленный ч. 3 ст. 25 Закона об архивном деле.
На сегодняшний день фактически действует нормативный правовой акт 1992 года, регламентирующий доступ к архивным документам, в т.ч. содержащим персональные данные.
Фрагмент документа
Временное положение «О порядке доступа к архивным документам и правилах их использования», утв. решением Коллегии Роскомархива от 29.05.1992
1.12. Документы следственных, персональных и личных дел, содержащие компрометирующие сведения как о лицах, на которых они заведены, так и о третьих лицах, а также тайны личной жизни граждан, не выдаются до истечения 75 лет с момента их создания.
Предоставление документов, затрагивающих охраняемые законом интересы лица, на которое заведено дело, возможно при наличии согласия его или его прямых наследников.
Доступ к другим официальным документам следственных, персональных и личных дел не ограничивается.
Исполнение запросов не самая большая проблема, сложнее определиться, как направить подготовленный ответ гражданину. К сожалению, в Правилах 2023 года об этом сказано очень мало.
Фрагмент документа
Правила 2023 года
179. Государственные органы, органы местного самоуправления, государственные (муниципальные) организации организуют прием запросов и направление ответов по результатам их исполнения с использованием почтовой связи и официальной электронной почты.
При наличии у организации финансовых, технических и кадровых возможностей прием запросов и направление ответов по результатам их исполнения осуществляется в форме электронных документов с использованием официального сайта организации, единого портала государственных и муниципальных услуг либо регионального портала государственных и муниципальных услуг, иных государственных информационных систем, по информационно-телекоммуникационным сетям (по согласованию с пользователем)...
189. Архивная справка, архивная выписка, архивная копия или ответ об отсутствии запрашиваемых сведений, предназначенные для направления:
а) в государства – участники СНГ, включая ответы об отсутствии запрашиваемых сведений, высылаются архивом непосредственно в адрес пользователя;
б) в государства, не являющиеся участниками СНГ, включая ответы об отсутствии запрашиваемых сведений, оформляются и вместе с запросами направляются архивом в соответствующий федеральный орган исполнительной власти или его территориальный орган.
В 2012 году на основании Правил организации хранения, комплектования, учета и использования документов Архивного фонда Российской Федерации и других архивных документов в государственных и муниципальных архивах, музеях и библиотеках, организациях Российской академии наук (утв. приказом Министерства культуры Российской Федерации от 18.01.2007 № 19) ВНИИДАД подготовил «Методические рекомендации по исполнению запросов социально-правового характера». В Методических рекомендациях интересующий нас вопрос был рассмотрен более подробно.
Фрагмент документа
Методические рекомендации по исполнению запросов социально-правового характера, СИФ ОЦНТИ ВНИИДАД от 20.03.2012 № 250
1.2. Специфика использования конфиденциальных персональных данных
1. Исполнение запросов социально-правового характера связано с использованием информации архивных документов, составляющей персональные данные человека. Часть этой информации является конфиденциальной и относится к информации ограниченного доступа. Согласно ФЗ «Об архивном деле в Российской Федерации» «ограничение на доступ к архивным документам, содержащим сведения о личной и семейной тайне гражданина, его частной жизни, а также сведения, создающие угрозу для его безопасности, устанавливается на срок 75 лет со дня создания указанных документов» (Приложение № 1). После окончания 75 лет дела и документы, содержащие такую информацию, становятся общедоступными, за исключением дел и документов личного происхождения, переданных в архив на особых условиях доступа к ним. Собственник имеет право установить свои сроки ограничения и условия доступа.
2. Правом получить конфиденциальные персональные данные обладает субъект персональных данных (человек, информация о котором содержится в документе), если это не противоречит законодательству Российской Федерации (например, законам «О государственной тайне», «Об оперативно-розыскной деятельности», «Об органах Федеральной службы безопасности в Российской Федерации» и т.п.), после смерти субъекта персональных данных – его наследники (при наличии свидетельства о смерти субъекта информации); доверенные лица субъекта персональных данных, его наследников (при наличии нотариально заверенных доверенностей).
3. Правом получить конфиденциальные персональные данные в качестве ответа на официальный мотивированный письменный запрос, в котором указываются цель получения информации и форма ее использования (например, «информация будет использована для подготовки справочно-информационного издания
в обезличенном виде» или «в связи с заведением уголовного дела…») обладают также сотрудники организаций-фондообразователей и их правопреемников; органов государственной власти, государственных органов и организаций, органов местного самоуправления; судов, органов прокуратуры, органов предварительного следствия, органов дознания (по делам, находящимся в их производстве) в пределах исполнения ими своих служебных обязанностей.
ГЛАВА 2. Организация и методика работы
...2.6.3.1. Правомочность получения заявителем запрашиваемой информации. Запросы социально-правового характера, поступившие от граждан и организаций, не указанных в п. 3 раздела 1.2 настоящих Методических рекомендаций, и касающиеся других лиц, принимаются на исполнение при наличии нотариально заверенной доверенности от субъекта информации (в случае его смерти – от наследника субъекта информации). В тексте заявления гражданина или запроса организации должно быть написано, что заявитель или организация на основании доверенности уполномочены получить запрашиваемые сведения. Далее указывается, кем и когда была выдана доверенность, ее номер.
В случае поступления заявления от гражданина или запроса от организации о представлении конфиденциальных сведений о другом физическом лице при отсутствии доверенности на получение такой информации в ответе на запрос сообщается, что запрашиваемая информация относится к информации ограниченного доступа и не может быть выдана, называется причина, по которой запрос не был принят к исполнению, приводится ссылка на нормативный документ, обосновывающий отказ. Далее дается рекомендация обратиться в организацию, имеющую право на доступ к конфиденциальной информации (см. п. 1.2. Специфика использования конфиденциальных персональных данных…), например, в судебные органы, поскольку при условии заведения дела судебные органы имеют право на доступ к конфиденциальной информации, касающейся существа вопроса.
... 2.6.6. Информационные документы архива высылаются по почте, как правило, простыми письмами, подлинные документы – ценными. В случае, когда необходимо минимизировать возможность получения информационного документа архива лицом, не имеющим на это право, ответ следует посылать на предъявителя. Если ответ содержит сугубо конфиденциальную информацию, связанную с усыновлением (удочерением), понесенным физическим и моральным насилием и т.п. целесообразно оговорить с заявителем форму получения информации. Ему может быть предложено забрать информационный документ архива при личном приеме, исключающем получение информации посторонним лицом. Перед отправкой информационного документа на первом и втором его экземпляре ставится исходящий номер, соответствующий входящему, и дата отправления. В базе данных отмечается характер ответа, его краткое содержание и дата отправления.
Архивные справки, архивные выписки и архивные копии, направляемые в государства, подписавшие Гаагскую конвенцию 1961 г., в соответствии с которой не требуется консульская легализация официальных документов, заверяются проставлением и заполнением специального штампа – «апостиля». Апостиль не проставляется на архивных справках, предназначенных для направления в государства, с которыми Российская Федерация заключила Договоры о правовой помощи и правовых отношениях по гражданским, семейным и уголовным делам, а также в государства – участники СНГ, подписавшие Соглашение о принципах и формах взаимодействия в области использования архивной информации, или с которыми имеются двусторонние соглашения о сотрудничестве.
Росархив проставляет апостиль на архивные справки, архивные копии и архивные выписки, подготовленные федеральными органами исполнительной власти (кроме тех, кому такое право предоставлено нормативными правовыми актами) и федеральными государственными архивами. Уполномоченные органы исполнительной власти субъектов Российской федерации в области архивного дела проставляют апостиль на архивные справки, архивные копии, архивные выписки, подготовленные архивами и иными органами и организациями, расположенными на территории данного субъекта Российской Федерации (кроме тех, кому такое право предоставлено нормативными правовыми актами).
Архивная справка, архивная копия и архивная выписка, предназначенные для направления в государства – участники СНГ, включая ответы об отсутствии запрашиваемых сведений, высылаются архивом по почте непосредственно в адреса заявителей.
Архивная справка, архивная копия и архивная выписка, предназначенные для направления в государства, не являющиеся участниками СНГ, включая ответы об отсутствии запрашиваемых сведений, вместе с запросами (анкетами, личными заявлениями и т.п.) направляются в МИД России.
Архивная справка, архивная выписка и архивная копия в случае личного обращения гражданина или его доверенного лица в архив выдаются ему под расписку при предъявлении паспорта или иного удостоверяющего документа; доверенному лицу – при предъявлении доверенности, оформленной в установленном порядке. Получатель архивной справки и архивной выписки расписывается на их копиях или на обороте сопроводительного письма к ним, указывая дату их получения.
Заверенная апостилем архивная справка, архивная выписка и архивная копия в случае личного обращения гражданина или его доверенного лица в архив выдается ему на руки при предъявлении квитанции об уплате государственной пошлины за проставление апостиля в отделениях Сберегательного Банка России. Государственная пошлина за проставление апостиля не взимается в тех случаях, когда запросы социально-правового характера поступили в архив через дипломатические представительства и консульские учреждения.
О передаче персональных данных за границу
Как только встает вопрос о направлении ответа на запрос, полученный из-за границы, мы, скорее всего, сталкиваемся с трансграничной передачей персональных данных (это передача личной информации гражданина на территорию иностранного государства органу власти иностранного государства, иностранному юрлицу или физлицу – ст. 3 Закона о персональных данных). Закон разделяет иностранные государства на 2 группы:
- страны, которые обеспечивают адекватную защиту прав субъектов персданных (приказом Роскомнадзора от 05.08.2022 № 128 утвержден «Перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных») и
- все остальные страны, которые в упомянутый выше перечень не входят.
С 1 марта 2023 года о трансграничной передаче до ее начала необходимо уведомить Роскомнадзор (п. 7 ст. 1 Федерального закона от 14.07.2022 № 266-ФЗ).
При изучении нормативной базы процедур исполнения архивных запросов в первую очередь обращает на себя внимание то, что до конца этот вопрос не урегулирован. Поэтому имеет смысл, особенно при взаимодействии с зарубежными гражданами, обратиться за консультацией в Росархив и Роскомнадзор, чтобы они разъяснили свои текущие позиции по этому вопросу, поскольку позиции этих государственных органов несколько отличаются друг от друга.
Обратите внимание: с 1 января 2025 года вступит в силу новый Федеральный закон от 22.06.2024 № 145-ФЗ «О легализации российских и иностранных официальных документов и об истребовании личных документов», который в т.ч. закладывает новый порядок представления за рубеж личных документов, справок из государственных и муниципальных архивов. Самый надежный вариант – делать это через консульские службы МИД России, это позволит:
- во-первых, лучше идентифицировать автора запроса;
- во-вторых, передать ответ именно ему опять же через консульскую службу.
Ситуация на сегодняшний день такова, что исполнение поступивших из-за границы запросов связано с рисками нарушения положений как Закона о персональных данных, так и Закона об архивном деле, а также иных нормативных правовых актов по вопросам защиты информации и организации трансграничной передачи данных.
Само по себе наличие рисков, конечно же, не повод прятать голову в песок и ничего не делать. Однако о рисках нужно знать, следует проконсультироваться по их поводу с юристами, специалистами по безопасности и руководством организации и при взаимодействии с заявителем проявлять разумную осмотрительность. Очень желательно, чтобы сотрудники архивных служб действовали не на свой страх и риск, а в соответствии с положениями локальных нормативных актов.
Если риски для организации и сотрудников архивной службы организации существенны, то не нужно стесняться потребовать от заявителя тем или иным образом идентифицировать себя, доказать право на получение информации и т.д., а также использовать технические средства защиты информации (даже простая парольная защита пересылаемых файлов с персональными данными может заметно снизить риски).
Еще стоит учитывать риск конфликта с заявителем. Не секрет, что жалобы по поводу защиты персональных данных чаще всего подаются как акт возмездия организации со стороны недовольного заявителя. В этой связи стоит проявлять особую аккуратность в тех случаях, когда ответ на запрос, скорее всего, не понравится заявителю, – документировать весь процесс взаимодействия более подробно, так, чтобы иметь возможность отстоять свою позицию в суде или при проверке Роскомнадзора.
