Электронный архив – это система, в которой документы хранятся в цифровом виде, а их жизненный цикл (создание, учет, хранение, использование, уничтожение) управляется с помощью специализированных программных решений (СЭД, ECM). При этом в архиве часто встречаются документы, содержащие персональные данные (ПД). Их обработка регулируируется Федеральным законом от № 152‑ФЗ «О персональных данных» и нормативными актами в сфере архивного дела.

Правовая база

Федеральный закон № 152‑ФЗ «О персональных данных»

• Дата принятия: 27 июля 2006 г.
• Последняя редакция: 24 июня 2025 г.
• Основные цели: защита прав и свобод человека при обработке ПД, обеспечение конфиденциальности, недопущение несанкционированного доступа.

Исключения для архивных документов

В пункте 2 части 2 статьи 1 закона указано, что действие 152‑ФЗ не распространяется на отношения, возникающие при организации хранения, комплектования, учёта и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов, если они обрабатываются в соответствии с законодательством об архивном деле.

Законодательство об архивном деле

Основные нормативные акты:

1. Федеральный закон от № 125‑ФЗ «Об архивных делах в Российской Федерации».
2. Приказы Росархивов о порядке создания, ведения и использования электронных архивов.
3. Постановление Правительства РФ от № 1119 «Об утверждении Положения о защите персональных данных в информационных системах».

Ключевые требования к электронному архиву

Технические меры

• Аутентификация и авторизация – многофакторная аутентификация, разграничение прав доступа по ролям.
• Шифрование – как при передаче (TLS), так и при хранении (AES‑256) персональных данных.
• Журналирование (логирование) – запись всех действий пользователей, возможность последующего аудита.
• Контроль целостности – хеш‑подписи, цифровые подписи, системы обнаружения изменений.
• Резервное копирование – регулярные бэкапы, хранение копий в географически разнесённых дата‑центрах.

Организационные меры

• Разработка политики обработки персональных данных в архиве.
• Создание инструкций по работе с электронными документами (регистрация, классификация, срок хранения).
• Проведение обучения персонала (тренинги, тесты, аттестация).
• Назначение ответственного за обработку ПД (ОПД) и службы информационной безопасности.

Документирование

Для соответствия 152‑ФЗ необходимо вести следующую документацию:

1. Регистрационный журнал электронных архивов.
2. Акты о вводе в эксплуатацию ИС, содержащих ПД.
3. Приказы о назначении ответственных лиц.
4. Модель угроз и оценка рисков.
5. Отчёты о проведённых аудиторских проверках.

Организация электронного архива с учётом ПД

Классификация документов

Документы делятся на категории в зависимости от содержания ПД:

• Открытые – не содержат ПД, свободный доступ.
• Ограниченные – содержат ПД, доступ только уполномоченным лицам.
• Конфиденциальные – сведения, требующие особой защиты (например, медицинские карты).

Жизненный цикл документа

Согласие субъекта данных

Для большинства операций требуется явное и информированное согласие:

• Подписание бумажного согласия.
• Электронное согласие (цифровая подпись, чек‑бокс с записью даты и IP‑адреса).
• Хранение копии согласия в архиве вместе с документом.

Практические рекомендации

Выбор программного обеспечения

При выборе СЭД (Система Электронного Документооборота) обратите внимание на:

• Поддержку модулей защиты ПД (шифрование, RBAC, аудит).
• Возможность интеграции с системами управления доступом (Active Directory, LDAP).
• Наличие готовых шаблонов метаданных для архивных документов.
• Соответствие требованиям ГОСТ Р 57580‑2017 «Информационная безопасность. Защита персональных данных в ИС»;

Оценка рисков

Регулярно проводите оценку угроз:

1. Идентификация активов (документы, серверы, сети).
2. Определение уязвимостей (необновлённое ПО, слабые пароли).
3. Анализ вероятности и последствий инцидентов.
4. Разработка плана реагирования (IRP) и планов восстановления (DRP).

Аудит и мониторинг

Для подтверждения соответствия 152‑ФЗ необходимо:

• Проводить внутренний аудит не реже одного раза в год.
• Осуществлять внешнюю проверку (Роскомнадзор, независимые аудиторы).
• Вести журналы доступа и регулярно их анализировать.

Управление инцидентами

В случае утечки или несанкционированного доступа:

1. Сразу зафиксировать факт в журнале инцидентов.
2. Оповестить уполномоченного по защите ПД и Роскомнадзор (в течение 72 часов).
3. Провести расследование, определить причины и принять меры по устранению уязвимостей.
4. Обновить политику и процедуры, провести повторное обучение персонала.

Штрафы и ответственность

Несоблюдение требований 152‑ФЗ влечёт за собой административные санкции:

• Штрафы для юридических лиц – от 300 000 до 5 000 000 рублей.
• Штрафы для должностных лиц – от 30 000 до 500 000 рублей.
• Возможна блокировка ИС, приостановка деятельности организации.

Кроме того, в случае нарушения законодательства об архивном деле могут быть наложены штрафы по статье 7.1 КоАП РФ (нарушение порядка хранения и учёта архивных документов).

Перспективы развития

Технологии блокчейн

Использование распределённого реестра позволяет обеспечить неизменяемость записей о доступе к документам и автоматизировать процесс подтверждения согласия.

Искусственный интеллект

AI‑модели помогают автоматически классифицировать документы, выявлять ПД и предлагать уровни доступа, а также обнаруживать аномалии в поведении пользователей.

Облачные решения

При переходе в облако необходимо убедиться, что провайдер гарантирует хранение данных на территории РФ и соблюдает требования 152‑ФЗ (см; локализацию данных).

Электронный архив – это не только удобный способ хранения документов, но и сложная система, в которой необходимо обеспечить полноценную защиту персональных данных. Ключевые аспекты:

1. Тщательное соблюдение правовой базы (152‑ФЗ, закон об архивном деле).
2. Внедрение технических и организационных мер защиты.
3. Регулярный аудит, оценка рисков и обучение персонала.
4. Документирование всех процессов и готовность к реагированию на инциденты.

Только при комплексном подходе организация сможет использовать электронный архив эффективно, минимизируя юридические и репутационные риски.