ОБЯЗАТЕЛЬНО изучите это:
http://www.gramota.net/materials/3/2012/12-2/42.html
Обработка ПД охранником вполне правомерна. Письменное согласие на обработку ПД необходимо получить только в случаях, указанных в федеральном законе, в частности, при обработке персональных данных, которые относятся к специальным категориям (например, национальность, фото и др.). В других случаях согласие субъекта может быть получено любым иным способом, подходящим для конкретной ситуации.
Фамилия, имя, отчество, паспортные данные не относятся к специальной категории персональных данных, поэтому требовать от посетителя выразить в письменной форме своё согласие на сбор персональных данных нет необходимости. Что в сущности происходит на пропуском пункте? Посетитель добровольно предоставляет охраннику информацию о себе в определенном объеме. Цель предоставления персональных данных посетитель понимает и принимает. Таким образом, посетитель своими действиями показывает, что он согласен на обработку своих персональных данных, т.е. согласие выражено не в форме письменного документа, а в форме соответствующих действий (в юриспруденции такие действия называются конклюдентными).
Сами по себе действия по обработке персональных данных в рассматриваемом случае (запись данных из паспорта в журнал учёта посетителей) официально называются «обработка персональных данных без использования средств автоматизации».
При этом необходимо учитывать требования, установленные Правительством РФ от 15.09.2008 № 687:
1) в локальном акте учреждения нужно предусмотреть ведение журнала учёта посетителей (его форму) и указать цели сбора персональных данных, их содержание (указать, что конкретно переписывается из паспорта и в какие графы, колонки, разделы журнала) и срок их обработки (продолжительность хранения журнала), должность и Ф.И.О. лиц, которые имеют доступ к журналу, отвечают за ведение и сохранность журнала;
2) запрещается копирование информации, которая содержится в журнале учёте посетителей (данное требование касается всех работников образовательной организации, в т.ч. руководящих работников);
3) при каждом пропуске на территорию образовательной организации персональные данные посетителя записываются только один раз.
Хранение персональных данных должно осуществляться не дольше, чем этого требуют цели обработки персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом (п. 7 ст. 5 Закона № 152-ФЗ).