В современном бизнесе и государственном управлении всё больше информации переходит в цифровой формат. Персональные данные (ПДн) – одна из самых ценных и одновременно уязвимых категорий информации. Их хранение в электронном архиве требует строгого соблюдения нормативных актов, технических и организационных мер защиты. В статье рассмотрены ключевые аспекты создания и эксплуатации электронного архива ПДн, а также практические рекомендации для организаций.
Нормативно‑правовая база
Основные законы и подзаконные акты, регулирующие хранение персональных данных в России:
- Федеральный закон № 152‑ФЗ «О персональных данных» (ст. 19, ч. 1) – определяет порядок сбора, обработки, хранения и уничтожения ПДн.
- Федеральный закон № 125‑ФЗ «Об архивном деле» (ред. от ) – устанавливает требования к архивному хранению документов, в т.ч. содержащих ПДн.
- Постановление Правительства РФ № 1119 от – уточняет сроки и порядок хранения электронных документов.
- Федеральный закон № 402‑ФЗ «О бухгалтерском учёте» – регламентирует хранение электронных бухгалтерских документов.
- Трудовой кодекс РФ (ч; 14 ст. 22.3, п. 7 ст. 86, ст. 87) – требует особой защиты персональных данных работников.
- Другие нормативные акты (ст. 19 Закона 152‑ФЗ, ст. 7, ч. 1 ст. 19 Закона об архивном деле и т.д.).
Все эти документы образуют правовую основу для разработки локальных актов, регламентирующих работу электронного архива.
Принципы обработки персональных данных
- Законность и справедливость – обработка допускается только на законных основаниях (согласие субъекта, договор, законный интерес).
- Минимизация данных – хранить только те ПДн, которые необходимы для целей их обработки.
- Точность и актуальность – обеспечить своевременное обновление и исправление данных.
- Ограничение срока хранения – данные хранятся не дольше, чем требуется законодательством или договором.
- Конфиденциальность и безопасность – применять технические и организационные меры защиты.
Электронный архив: понятие и функции
Электронный архив (ЭА) – это совокупность программных и аппаратных средств, обеспечивающих долговременное хранение, учёт и контроль доступа к электронным документам, в т.ч. содержащим персональные данные.
Ключевые функции ЭА:
- Регистрация и классификация документов;
- Контроль целостности и подлинности (цифровые подписи, хеш‑суммы);
- Управление правами доступа (уровни доступа, роли);
- Журналирование всех действий пользователей;
- Автоматическое уведомление о приближающихся сроках хранения/уничтожения;
- Резервное копирование и восстановление данных.
Организация электронного архива ПДн
4.1 Планирование и подготовка
- Определить объём и типы ПДн, подлежащих архивированию (кадровые, бухгалтерские, клиентские и т.д.).
- Сформировать локальный нормативный акт (приказ, регламент) с описанием порядка сбора, обработки, хранения и уничтожения ПДн.
- Назначить ответственного за архив (ОАР) и определить роли (администратор, оператор, аудитор).
- Выбрать платформу ЭА, соответствующую требованиям ФЗ 152‑ФЗ и 125‑ФЗ (например, СХЭД, Контур.КЭДО, Делис Архив).
4.2 Техническая инфраструктура
- Серверы с сертифицированным уровнем защиты (ISO 27001, ФСТЭК).
- Система управления доступом (IAM) с поддержкой ролей и двухфакторной аутентификации.
- Механизмы шифрования данных в покое (AES‑256) и при передаче (TLS 1.3).
- Средства контроля целостности – цифровые подписи, хеш‑контроль.
- Автоматическое резервное копирование (минимум 3 копии, хранение в разных географических зонах).
4.3 Управление доступом и журналирование
Для каждой категории сотрудников необходимо задать отдельный уровень доступа:
| Роль | Права | Ограничения |
|---|---|---|
| Администратор | Полный доступ, настройка прав, управление журналом | Только доверенные лица |
| Оператор | Просмотр и загрузка документов, ограниченное редактирование | Запрет на удаление и изменение прав доступа |
| Аудитор | Только чтение, доступ к журналу операций | Никаких прав на изменение данных |
Все действия фиксируются в журнале операций (логирование входов, чтения, изменения, удаления). Журнал должен быть защищён от изменения и храниться минимум 5 лет.
Технические меры защиты персональных данных
- Шифрование – используйте AES‑256 для хранения и TLS 1.3 для передачи.
- Двухфакторная аутентификация (2FA) – обязательна для всех пользователей, имеющих доступ к ПДн.
- Контроль целостности – подписи электронных документов (КЭП) и регулярные хеш‑проверки.
- Резервное копирование – ежедневные инкрементные и еженедельные полные копии, хранение в разных дата‑центрах.
- Антивирусная и анти‑мальваре защита – постоянный мониторинг серверов.
- Сегментация сети – отдельные VLAN для архивных серверов.
- Регулярные аудиты безопасности – проверка соответствия требованиям 152‑ФЗ и 125‑ФЗ.
Сроки хранения и классификация документов
Сроки хранения зависят от типа документа и нормативных требований:
| Тип документа | Минимальный срок хранения | Максимальный срок (при необходимости) |
|---|---|---|
| Трудовые договоры, личные дела сотрудников | 50 лет (по ст. 887 ТК РФ) | 75 лет (при необходимости архивного хранения) |
| Бухгалтерская и налоговая документация | 5 лет (налоговый учет) / 10 лет (бухгалтерский учет) | – |
| Согласие на обработку ПДн | До прекращения цели обработки + 3 года | – |
| Документы, содержащие медицинские данные | 5 лет после окончания лечения | – |
Электронный архив должен автоматически формировать уведомления о приближении даты истечения срока и предлагать варианты: передача в государственный архив, уничтожение или продление хранения.
Процедуры уничтожения и архивирования
- Сформировать акт о выделении к уничтожению (по решению руководства или в соответствии с нормативами).
- Провести удаление с гарантией безвозвратности – физическое уничтожение носителей, криптографическое стирание (Secure Erase).
- Для документов, подлежащих долгосрочному хранению, оформить передачу в государственный архив (согласие с ФЗ 125‑ФЗ).
- Обновить журнал операций и регистр уничтоженных документов.
Аудит и контроль соответствия
Регулярный аудит помогает выявить нарушения и предотвратить штрафы:
- Проверка соответствия прав доступа заявленным ролям.
- Анализ журнала операций на предмет несанкционированных действий.
- Тестирование восстановления из резервных копий (DR‑тесты).
- Оценка соответствия политике шифрования и актуальности сертификатов.
- Подготовка отчётов для регуляторов (Роскомнадзор, ФНС и др.).
Практический чек‑лист по внедрению электронного архива ПДн
- Определить перечень ПДн, подлежащих архивированию.
- Разработать локальный нормативный акт (приказ, регламент).
- Назначить ответственного за архив и сформировать команду.
- Выбрать платформу ЭА, отвечающую требованиям ФЗ 152‑ФЗ и 125‑ФЗ.
- Настроить уровни доступа и включить журналирование.
- Внедрить шифрование данных и 2FA для всех пользователей.
- Организовать резервное копирование и протестировать восстановление.
- Установить автоматическое уведомление о сроках хранения.
- Провести обучение персонала по работе с архивом и правилам обработки ПДн.
- Запланировать регулярные аудиты (каждые 6‑12 месяцев).
Хранение персональных данных в электронном архиве – это комплексный процесс, который сочетает в себе правовые, организационные и технические меры. При правильном подходе архив обеспечивает:
- Долговременную сохранность и доступность данных;
- Соответствие требованиям законодательства (152‑ФЗ, 125‑ФЗ и др.);
- Защиту от несанкционированного доступа и утечек;
- Прозрачный контроль и возможность быстрого реагирования на запросы контролирующих органов.
Тщательно спланированный и надёжно реализованный электронный архив – залог снижения рисков, повышения эффективности работы с документами и укрепления доверия клиентов и сотрудников.
Дата актуализации статьи: 06:33:07