Закон требует уничтожить персональные данные, если они собраны незаконно, достигнута или изменилась цель их сбора, а также по требованию самого владельца данных. Как организовать это мероприятие и в какие сроки, расскажем в статье.
Что значит уничтожить персональные данные
Уничтожение персональных данных — это действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных (ст. 3 Федерального закона «О персональных данных» от 27.07.2006 № 152-ФЗ).
Говоря проще, в установленных законом случаях оператор персональных данных обязан обнулить такие данные без возможности восстановления путем измельчения бумажных документов и (или) неустранимого физического повреждения машиночитаемых носителей, их содержащих.
Как облегчить процесс
Чтобы не загружать себя лишней работой по уничтожению персональных данных оператору важно:
- не концентрировать у себя излишнюю информацию о физлицах в бумажной или электронной формах;
- правильно ее классифицировать.
К примеру, работодатель не должен собирать информацию о здоровье работников, а они не обязаны сообщать компании такие сведения, в том числе об опасных заболеваниях. Персональные данные такого вида работодатель вправе запросить только при наличии законодательно установленных требований к здоровью отдельных категорий: работников пищевой сферы, педагогов, сотрудников авиа- и транспортной безопасности и т.п. (Письмо Роструда от 16.01.2023 № ПГ/32857-6-1). Незаконно собранные сведения все равно придется уничтожить. Если же изначально не запрашивать их, то и поводов для обнуления данных будет меньше.
Кроме того, отдельные данные о физлицах сами по себе не признаются персональными, если они не находятся в связке с другими сведениями. Тогда по закону уничтожать их не требуется. Например, номер телефона сам по себе не относится к персданным, но в комплекте с ФИО владельца приобретает такой статус.
Когда без уничтожения не обойтись
Все случаи обязательного уничтожения персональных данных прописаны в Федеральном законе от 27.07.2006 № 152-ФЗ. Для каждого предусмотрен свой срок.
Если владелец персональных данных отозвал согласие на обработку своих данных или достигнута цель их обработки, могут применяться и другие сроки их уничтожения, предусмотренные специальным договором или соглашением.
Кроме того, отдельные Федеральные законы могут предусматривать специальные сроки хранения документов и их нужно соблюдать. Например, приказы о приёме и увольнении сотрудников, содержащие их персональные данные, нужно хранить 50/75 лет (п. 434 Перечня, утв. приказом Росархива от 20.12.2019 № 236). Уничтожать раньше установленных сроков такие документы нельзя.
Способы уничтожения
Компания или ИП сами определяют, каким способом они будут уничтожать персональные данные. Выбранный способ нужно зафиксировать в локальном акте и утвердить.
Варианты:
- разрезание;
- сжигание;
- механическое уничтожение;
- сдача предприятию по утилизации вторсырья;
- стирание данных на устройстве гарантированного уничтожения информации;
- нарушение функциональных возможностей носителя информации;
- иные способы.
Главное требование к выбранному варианту — невозможность восстановления уничтоженного носителя данных.
Состав подтверждающих бумаг
С 01.03.2023 процесс уничтожения персданных требуется документировать. Если раньше Роскомнадзор лишь рекомендовал оформление акта, то с указанной даты его составление стало обязательным.
Одним актом не обойтись, если обработка данных происходит не только в бумажной, но и в электронной форме. После уничтожения персданных, обработка которых происходила с помощью компьютерной техники, для подтверждения факта уничтожения дополнительно потребуется выгрузка из журнала регистрации событий в информационной системе. Это может быть выгрузка из учетной бухгалтерской или кадровой программ, с корпоративного сайта компании и подобных компьютерных источников сбора и хранения данных. Подготовить ее можно с помощью ИТ-специалиста или самостоятельно.
Как оформить акт
Специального бланка акта об уничтожении персданных нет, поэтому оформить документ можно в произвольном виде. Роскомнадзор в приказе от 28.10.2022 № 179 назвал его обязательные реквизиты.
В представленном образце акта они учтены:
Хранить документы, подтверждающие уничтожение персданных, нужно в течение трех лет (Приказ Роскомнадзора от 28.10.2022 № 179).
Наказание за отсутствие акта
Если проверяющие не обнаружат акт при проверке, посчитают невыполненными требования об обязательном уничтожении персональных данных и накажут — штраф на директора составит от 8 000 руб. до 20 000 руб., на ИП от 20 000 до 40 000 руб. Компании придется расстаться с более внушительной «штрафной» суммой: от 50 000 руб. до 90 000 руб. (ч. 5 ст. 13.11 КоАП РФ).
Повторное аналогичное нарушение способно серьезно истощить «карман» оператора персданных (ч. 5.1 ст. 13.11 КоАП РФ):
| Кого накажут | Сумма штрафа, руб. |
|---|---|
| Должностное лицо | от 30 000 до 50 000 |
| ИП | от 50 000 до 100 000 |
| Компанию | от 300 000 до 500 000 |
Чтобы соблюсти все формальности и не попасть на штрафы, процедуру уничтожения персданных можно поручить специальной комиссии.
Нужна ли комиссия
Роскомнадзор на официальном сайте пояснил, что порядок документальной фиксации уничтожения персданных компания или ИП определяет самостоятельно. Для упорядочения этого процесса обычно оформляется Положение «О работе с персональными данными» или нужные процедуры прописывают в другом отдельном локальном нормативном акте (ЛНА).
В ЛНА обозначается, кто занимается уничтожением данных. Чиновники допускают два варианта:
- специально созданная комиссия;
- должностное лицо, уполномоченное на основании распоряжения или приказа.
Схематично порядок работы указанных лиц выглядит так:
- Определить состав комиссии (основание — приказ) с обязательным включением лица, ответственного за обработку документов, планируемых к уничтожению (по направлению деятельности, в пределах установленных полномочий).
- Определить перечень, оформить список документов, подлежащих уничтожению, согласно установленных действующими нормативными актами (Федеральными законами от 27.07.2006 № 152-ФЗ, от 22.10.2004 № 125-ФЗ, приказом Минкультуры от 25.08.2010 № 558 и др.).
- После утверждения акта, перечисленные документы (носители) должны быть сверены с записями в акте и на указанных документах (носителях), далее персональные данные должны быть уничтожены, определенным и утвержденным компанией/ИП способом.
- Уничтоженные документы (носители), содержавшие персональные данные, с книг и журналов учета (регистрации) данных документов (носителей) должны быть списаны.
При таком подходе снижается риск ошибочного уничтожения документов (носителей), содержащих персональные данные.
К примеру, ошибкой будет уничтожение персданных, если на момент утверждения акта срок их хранения не истек или не достигнута цель их обработки. Комиссионно проведенный комплекс мероприятий по уничтожению персданных позволяет минимизировать процедурные нарушения и их последствия.
Заключение
- С 01.03.2023 обязательно фиксировать факт уничтожения персональных данных в акте. Набор его реквизитов указан в приказе Роскомнадзора от 28.10.2022 № 179.
- Кроме акта потребуется выгрузка из журнала регистрации событий в информационной системе — если персональные данные обрабатываются не только в бумажной, но и в электронной форме.
- Форма акта и журнала, а также порядок уничтожения данных и документального оформления этой процедуры утверждаются компанией/ИП.
- Для уничтожения данных создается комиссия либо приказом назначается уполномоченное должностное лицо.
- Способ уничтожения носителя персданных зависит от его вида. Бумажные документы разрезают, сжигают, механически уничтожают. С электронных носителей информация может стираться специальными программами с гарантированным обнулением сведений, уничтожаться иными способами. Главное требование — невозможность последующего восстановления персональных данных.
