Вам необходимо свести обработку ПДн к минимуму - то есть определить, реально ли необходим доступ и обработка ПДн такому количеству сотрудников? Возможно, понадобится перестроить процессы в Вашей организации, связанные с обработкой ПДн. Если же этого сделать не удастся, то Вы получите много-много однопользовательских ИСПДн, для каждой из которых необходимо составлять модель угроз и акт классификации.

Если Ваши рабочие места объединены в локальную сеть, то для того, чтобы этого избежать, Вам рекомендуется организовать распределенную обработку ИСПДн - выделить централизованный файл-сервер, например. Можно попробовать перевести ряд ПДн в категорию общедоступных на основании согласия субъектов.

Если же ПДн обрабатываются на всех без исключения рабочих местах Вашей организации и у Вас имеется единая ЛВС - имеет смысл определить все рабочие места как одну большую распределенную ИСПДн с разграничением доступа к информации, при этом в модели угроз и описании ИСПДн указать все ее элементы, при этом ИСПДн будет более высокого класса, но ее будет проще защитить - не надо тратиться на кучу межсетевых экранов.

В свете последних веяний, главное, чтобы Ваша ИСПДн не попала в 1 класс - все остальное, в принципе, решаемо.

я понимаю, что под обработкой понимают сбор, хранеие, ..... но как то не ясно, например сейчас на ПК нет ПД

Этот недостаток я и имел в виду, когда говорил о низкой степени автоматизации процессов обработки информации. По сути, у Вас получается некая недоделанная ИСПДн - с точки зрения автоматизации - никаких удобств, ведь гораздо проще было бы иметь централизованную базу клиентов, храняющуюся на сервере, прикладное ПО для печати договоров и построить систему по клиент-серверной архитектуре. Простая и понятная ИСПДн 2 класса. Или совсем отказаться от вбивания паспортных данных на ПК - к чему это? Распечатайте типовые формы договоров и вносите паспортные данные руками. Вот и усе.

Выхода три: отходите от автоматизированной обработки, либо делайте нормальную автоматизацию, либо пишите в модели, что у вас все рабочие места - это ИСПДн, и категорируйте ее со всеми вытекающими.

ведь в них требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий).

И еще один глупый вопрос: Скажите вот во многих огрнизациях используют программа 1С документооборот или какую то другую программу для регистрации входщей и исходящей почты, вроде ПД там не много ФИО адрес телефон должность и можно было бы присвоить ей класс К4 но опять же как получить согласие у другой строны, ведь это может быть не наш работник, и находиться он может в другом городе, что чаще всего....и вот такую систему мы в результате должны относить к мклассу К3? состовлять модель угроз и т.д. хотя ПД этой системы при желании можно узнать из телефонного справочника или др общедоступных источников.... просто дело в чем в администрации несколько отделов скажем Архитектура, Комитет по имуществу, управление сельского хоз. и каждому нужна такая программа....

По поводу второго вопроса - он затрагивался в этом разделе форума.
Т.е. для присвоения класса К4 необходимо ФИО, телефон, должность объявить общедоступными, для чего необходимо получить согласие субъекта этих ПДн. Т.е. если вам некая организация предоставляет персональные данные своих сотрудников, то она должна получить у них согласие на предоставление сведений третьему лицу, а так же согласие на размещение в общедоступных источниках и тем самым сделать эти данные общедоступными. Ваша же задача обеспечивать адекватную защиту этих данных.