Порядок уничножения сведений с персональными данными

Согласно пункту 8 статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», уничтожение персональных данных — это действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и/или уничтожаются материальные носители персональных данных.

Организации обязаны разработать и утвердить локальный нормативный акт, регулирующий порядок уничтожения персональных данных, в соответствии с пунктом 2 части 1 статьи 18.1 Закона № 152-ФЗ.

Когда и в какие сроки необходимо уничтожать персональные данные

Оператор (организация или индивидуальный предприниматель, осуществляющий обработку персональных данных) обязан уничтожить персональные данные в следующих ситуациях:

• При получении от субъекта персональных данных сведений, подтверждающих, что данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки (часть 1 статьи 14, часть 3 статьи 20 Закона № 152-ФЗ)
• При выявлении неправомерной обработки персональных данных, если невозможно обеспечить ее правомерность (часть 3 статьи 21)
• После достижения цели обработки персональных данных (часть 4 статьи 21)
• При отзыве субъектом согласия на обработку его персональных данных, если их сохранение более не требуется для целей обработки (часть 5 статьи 21)
• При обращении субъекта с требованием о прекращении обработки его персональных данных (часть 5.1 статьи 21)

Сроки уничтожения персональных данных различаются в зависимости от основания и составляют от 7 рабочих дней до 30 дней. При невозможности уничтожения в установленные сроки оператор обязан заблокировать доступ к данным и уничтожить их в течение 6 месяцев.

Сроки уничтожения персональных данных

При передаче персональных данных другому лицу оператор должен установить обязательство получателя уничтожить данные после окончания целей их обработки. Это условие следует прописать в договоре или отдельном соглашении о конфиденциальности.

Порядок уничтожения персональных данных

Для упорядочения процесса уничтожения персональных данных необходимо разработать и утвердить локальный нормативный акт организации. Это можно сделать двумя способами:

• Внести соответствующие изменения в общий ЛНА в сфере защиты персональных данных (например, дополнить Положение об обработке и защите персональных данных разделом «Уничтожение персональных данных»)
• Утвердить отдельный ЛНА — Положение о порядке уничтожения персональных данных

Уничтожение персональных данных осуществляет комиссия, сформированная приказом руководителя организации. Комиссия может быть постоянно действующей или разовой (формируется под конкретное событие).

В комиссию следует включать сотрудников, которые работают непосредственно с персональными данными, знают законодательство и понимают специфику работы с ними. Все члены комиссии должны быть включены в перечень лиц, имеющих доступ к персональным данным и давших обязательство об их неразглашении.

Образец приказа о создании комиссии по уничтожению персональных данных

Общество с ограниченной ответственностью "Альфа"

ПРИКАЗ
15.01.2025
№ 7
Москва

О создании комиссии, ответственной
за уничтожение персональных данных

На основании Положения о порядке уничтожения персональных данных (утв. Приказом от 15.01.2025 № 6) и в соответствии с действующими нормативными правовыми актами о защите персональных данных

ПРИКАЗЫВАЮ:

1. Создать комиссию, ответственную за уничтожение персональных данных, в следующем составе:
председатель комиссии - заместитель генерального директора Литвинова Э.К.,
члены комиссии: начальник отдела кадров Жукова С.М.,
начальник отдела делопроизводства Истомина А.Г.,
системный администратор Иголкин Д.М.

2. Комиссии, ответственной за уничтожение персональных данных, в своей деятельности руководствоваться Положением о порядке уничтожения персональных данных (утв. Приказом от 15.01.2025 № 6).

3. Контроль исполнения приказа возложить на заместителя генерального директора Литвинову Э.К.

Генеральный директор
Пролов
А.С. Пролов

Методы уничтожения персональных данных

Выбор метода уничтожения зависит от формы хранения документов, содержащих персональные данные (на бумаге или в электронном виде), а также возможностей организации:

• Для бумажных носителей: измельчение в шредере, сжигание
• Для электронных носителей: физическое уничтожение (деформирование, сжигание), программное удаление с перезаписью или форматированием
• Для зашифрованных данных: расшифровка и безвозвратное удаление ключей шифрования

При уничтожении персональных данных на электронных носителях необходимо использовать специализированные программы и алгоритмы, которые обеспечивают полное удаление данных без возможности восстановления.

Документирование процесса уничтожения

После завершения уничтожения организация должна документально зафиксировать этот факт. В зависимости от метода обработки персональных данных подтверждающими документами являются:

• Акт об уничтожении персональных данных (при обработке без использования средств автоматизации)
• Акт об уничтожении персональных данных и выгрузка из журнала регистрации событий в информационной системе (при обработке с использованием средств автоматизации)

Акт об уничтожении персональных данных должен содержать следующие сведения:

1. Наименование и адрес оператора
2. ФИО субъекта, чьи персональные данные были уничтожены
3. ФИО и должности лиц, уничтоживших персональные данные
4. Перечень категорий уничтоженных персональных данных
5. Наименование уничтоженных материальных носителей или информационных систем
6. Способ уничтожения персональных данных
7. Причину уничтожения
8. Дату уничтожения

Уведомление субъектов о уничтожении персональных данных

В некоторых случаях оператор обязан уведомить субъекта об уничтожении его персональных данных, в частности при уничтожении неправомерно обрабатываемых данных, законность обработки которых обеспечить не удалось. Такая ситуация возможна, например, когда работодатель обнаружил, что обрабатывает биометрические персональные данные без согласия работника.

Уведомление должно быть направлено субъекту в письменной форме с указанием причины и даты уничтожения персональных данных.

Ответственность за нарушение порядка уничтожения персональных данных

Кодекс об административных правонарушениях устанавливает ответственность за невыполнение обязанностей, предусмотренных законодательством о персональных данных:

• По части 5 статьи 13.11 КоАП РФ — невыполнение в установленные сроки требования субъекта персональных данных или Роскомнадзора об уничтожении персональных данных:
  • Штраф на должностных лиц — от 8 000 до 20 000 рублей
  • Штраф на индивидуальных предпринимателей — от 20 000 до 40 000 рублей
  • Штраф на юридических лиц — от 50 000 до 90 000 рублей
• По части 5.1 статьи 13.11 КоАП РФ — повторное совершение правонарушения:
  • Штраф на должностных лиц — от 30 000 до 50 000 рублей
  • Штраф на индивидуальных предпринимателей — от 50 000 до 100 000 рублей
  • Штраф на юридических лиц — от 300 000 до 500 000 рублей

Кроме административной ответственности, оператор может быть привлечен к гражданско-правовой ответственности. Субъект персональных данных вправе требовать возмещения вреда, причиненного ему в результате неправомерной обработки его персональных данных, включая возмещение морального вреда.

Часто задаваемые вопросы по уничтожению персональных данных

Каков общий срок уничтожения персональных данных?

Общий срок уничтожения персональных данных составляет 30 дней. Он применяется при достижении целей обработки или отзыве согласия субъектом на обработку его персональных данных.

Можно ли уничтожить персональные данные досрочно?

Да, если это предусмотрено договором с субъектом персональных данных или федеральным законом. Однако следует учитывать установленные сроки хранения определенных категорий документов.

Что делать, если невозможно уничтожить персональные данные в установленный срок?

Если оператор не может уничтожить персональные данные в указанные сроки, он обязан заблокировать доступ к этим данным, а затем уничтожить их в течение 6 месяцев (часть 6 статьи 21 Закона № 152-ФЗ).

Нужно ли уведомлять Роскомнадзор об уничтожении персональных данных?

Нет, уведомлять Роскомнадзор об уничтожении персональных данных не требуется. Однако оператор должен быть готов представить подтверждающие документы при проведении проверки.

Обязательно ли создавать комиссию для уничтожения персональных данных?

Закон не содержит прямого требования о создании комиссии, однако это является рекомендуемой практикой, позволяющей обеспечить коллегиальность и документальную фиксацию процесса уничтожения.

Можно ли уничтожить персональные данные работника по его требованию?

Да, при условии, что это не противоречет требованиям трудового законодательства и архивного дела. Например, приказы о приеме на работу должны храниться 50/75 лет и не могут быть уничтожены досрочно.

Какие документы подтверждают уничтожение персональных данных?

Подтверждающими документами являются акт об уничтожении персональных данных и, при обработке с использованием средств автоматизации, выгрузка из журнала регистрации событий в информационной системе.

Сколько хранятся документы, подтверждающие уничтожение персональных данных?

Акт об уничтожении и выгрузка из журнала должны храниться в организации в течение 3 лет с момента уничтожения данных.

Можно ли составить акт об уничтожении в электронной форме?

Да, акт может быть составлен в электронной форме и подписан усиленной квалифицированной электронной подписью в соответствии с Федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи».

Что делать, если персональные данные хранятся у контрагента?

Оператор должен установить в договоре с контрагентом обязательство об уничтожении персональных данных после окончания целей их обработки или при утрате необходимости в их обработке.

Какая ответственность за неправильное оформление акта об уничтожении?

Прямой ответственности за неправильное оформление акта не установлено, однако это может повлечь привлечение к ответственности по статье 13.11 КоАП РФ за нарушение установленного порядка уничтожения персональных данных.

Нужно ли уведомлять субъекта об уничтожении его персональных данных?

Да, в случаях уничтожения неправомерно обрабатываемых данных оператор обязан уведомить субъекта, а также принять разумные меры для уведомления третьих лиц, которым эти данные были переданы.

Можно ли восстановить уничтоженные персональные данные?

Нет, процесс уничтожения должен быть необратимым. Если данные могут быть восстановлены, это свидетельствует о ненадлежащем выполнении обязанности по их уничтожению.

Какие методы уничтожения электронных носителей являются надежными?

Надежными методами являются физическое уничтожение носителей (деформирование, сжигание) или использование специализированного программного обеспечения, обеспечивающего полное стирание данных без возможности восстановления.

Как быть с персональными данными в облачных сервисах?

При использовании облачных сервисов необходимо предусмотреть в договоре с провайдером условие об уничтожении персональных данных по требованию оператора или при прекращении договора.

Важные моменты

• Уничтожение персональных данных является обязательной процедурой в установленных законом случаях
• Сроки уничтожения варьируются от 7 рабочих дней до 30 дней в зависимости от основания
• Для организации процесса уничтожения необходимо создать комиссию и разработать локальный нормативный акт
• Процесс уничтожения должен быть документально зафиксирован актом об уничтожении
• Методы уничтожения должны обеспечивать невозможность восстановления данных
• За нарушения порядка уничтожения предусмотрена административная и гражданско-правовая ответственность
• При передаче персональных данных контрагентам необходимо устанавливать обязательство об их уничтожении