Давайте представим такую ситуацию. В автосервисе где-то на Лаб | ИБ в Узбекистане (ITTS)

Давайте представим такую ситуацию. В автосервисе где-то на Лабзаке осуществляется замена моторного масла . В эту мастерскую пришел аудитор для изучения того как выполняется закон «О персональных данных». Автослесарь рассказывает, что записывает всех своих клиентов в бумажный журнал, вписывает туда марку автомобиля, гос.номер, текущий пробег, марку заливаемого масла, имя и фамилию владельца, его номер телефона. Телефон ему нужен чтобы напоминать о необходимости повторной замены. Автослесарь уверяет, что компьютера у него нет, и журнал это его единственный документ, где он фиксирует клиентов.
Аудитор выписывает такую рекомендацию: «Данный случай подпадает под действие закона, т.к. это коммерческое использование данных (а не для личных/частных целей, как в предыдущей задачке). Автомастерская должна соблюдать требования закона - разработать «порядок об обработке ПДн», назначить ответственного за обработку ПДн и их защиту. Статья 20 закона «О персональных данных» прямо требует - базы персональных данных подлежат регистрации в Государственном реестре баз персональных данных. Необходимо зарегистрировать бумажный журнал автослесаря в государственном реестре баз персональных данных». Прав ли аудитор?