Прежде чем рассматривать порядок и случаи уничтожения, важно понимать определение этого понятия. Уничтожение персональных данных в российском законодательстве означает действия, после которых невозможно восстановить содержание персональных данных в информационной системе и/или в результате которых уничтожаются материальные носители персональных данных consultant.ru. Иными словами, данные должны быть удалены безвозвратно, чтобы ни в электронном виде, ни на бумажных носителях нельзя было восстановить информацию о субъекте данных.

Случаи, когда персональные данные должны быть уничтожены

Федеральный закон № 152-ФЗ «О персональных данных» (ст. 21) обязывает оператора уничтожить персональные данные **в трех основных случаях:

1. Достижение цели обработки персональных данных. Когда цели, ради которых собирались и обрабатывались персональные данные, достигнуты, оператор обязан прекратить их обработку и уничтожить данные в течение 30 дней с момента достижения цели consultant.ru. Важно отметить: это действует, если отсутствуют иные основания для дальнейшего хранения, например - действующий договор, требования трудового, налогового или архивного законодательства (хранение кадровых документов (75 лет — если дело завершено до 01.01.2003; 50 лет — если после 01.01.2003) или необходимость хранения для защиты прав до истечения срока исковой давности. Таким образом, если специальный закон требует хранить персональные данные определенное время, оператор обязан выполнить этот срок хранения, несмотря на то что цель обработки уже достигнута.

2. Отзыв согласия субъекта на обработку. Если субъект персональных данных отозвал ранее данное согласие на обработку, оператор должен прекратить обработку в течение 10 рабочих дней и – при условии, что больше нет иных правовых оснований для хранения (перечисленных в ст. 6 и ст. 21 ФЗ-152) – уничтожить эти персональные данные в течение 30 календарных дней consultant.ru.

3. Выявление неправомерной (незаконной) обработки. Если обнаружено, что персональные данные обрабатываются с нарушением закона (неправомерно), оператор обязан немедленно (3 рабочих дня) приостановить такую обработку. Если привести обработку в соответствие с законом невозможно, то в течение 10 рабочих дней с момента выявления нарушения данные должны быть уничтожены consultant.ru. (Предварительно, в течение 3 рабочих дней, необходимо прекратить сам факт неправомерной обработки. О факте устранения нарушения или уничтожения данных оператор уведомляет субъекта и, при наличии соответствующего запроса от Роскомнадзора, сам надзорный орган.

Обращаю внимание, что во всех перечисленных случаях обязанность уничтожения лежит на операторе персональных данных. Оператор должен документально подтвердить факт уничтожения, о чем подробнее ниже.

Документ, регламентирующий порядок уничтожения данных.

Конкретный порядок подтверждения уничтожения персональных данных установлен подзаконным актом Роскомнадзора. Речь идет о Приказе Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных». Приказ № 179 детально описывает, какие документы свидетельствуют об уничтожении персональных данных и что именно в них должно быть указано.

• Если обработка осуществлялась без использования средств автоматизации (т.е. на бумажных носителях, вручную) – достаточным документом подтверждения служит акт об уничтожении персональных данных normativ.kontur.ru фиксирующий, что такие-то персональные данные уничтожены (например, документы уничтожены через шредер или другим способом).

• Если обработка осуществлялась с использованием средств автоматизации (в информационных системах) – требуются два документа: акт об уничтожении персональных данных и выгрузка из журнала регистрации событий в информационной системе персональных данных normativ.kontur.ru. Выгрузка должна подтвердить, что соответствующие записи удалены. В качестве альтернативы уничтожению при необходимости использования данных для статистического анализа можно использовать обезличивание (про новые правила обезличивания писал тут).

При одновременной смешанной обработке (частично вручную, частично автоматизированно) применяются требования как к тем, так и к другим случаям – то есть также оформляются и акт, и соответствующая запись из журнала.

Акт об уничтожении персональных данных – это официальный документ, который должен содержать ряд обязательных сведений, перечисленных в приказе Роскомнадзора № 179. В частности, в акте указываются: данные оператора (организации), сведения о лице, которое уничтожило данные, идентификация субъекта(ов) персональных данных, перечень уничтоженных данных, способ и причина уничтожения, дата уничтожения и другие детали. Таким образом обеспечивается прозрачность и проверяемость процедуры уничтожения. Акт подписывается уполномоченными лицами. Допускается составление акта в электронном виде с электронной подписью.

Выгрузка из журнала событий информационной системы должна содержать информацию о том, чьи данные и когда были удалены, из какой системы, по какой причине и т.п. – приказ также определяет обязательные поля этой выгрузки (например, ФИО субъекта, перечень категорий удаленных данных, название информационной системы, причина и дата удаления).

Подтверждение уничтожения и уведомление субъекта

Согласно приказу № 179, документы об уничтожении персональных данных должны храниться самим оператором в течение 3 лет с момента уничтожения normativ.kontur.ru. Это означает, что даже после удаления самих данных факт их уничтожения фиксируется и удостоверяется документально, и эти подтверждающие документы (акт и журнал/лог) нужно хранить как минимум три года. Такие требования введены для того, чтобы при проверках или спорах оператор мог доказать, что данные действительно были уничтожены в срок и надлежащим образом.

Кроме того, закон возлагает на оператора обязанность уведомить субъекта персональных данных об уничтожении его данных (либо об устранении нарушения, если речь шла о неправомерной обработке). В частности, часть 3 статьи 21 ФЗ-152 требует, чтобы оператор сообщил субъекту или его представителю о том, что нарушение устранено или данные уничтожены; если запрос исходил от Роскомнадзора, то уведомляется также и этот орган consultant.ru. Таким образом, субъект персональных данных имеет право получить подтверждение, что его требования исполнены: обработка прекращена и данные удалены. Это правило особенно актуально, когда уничтожение производится по обращению самого субъекта (например, при отзыве согласия или требовании прекратить обработку) либо по предписанию надзорных органов. Если ПДн передавались третьему лицу, оператор обязан принять разумные меры для уведомления всех третьих лиц, которым были переданы персональные данные данного субъекта.

Короткий итог

• Уничтожение персональных данных в рамках российского законодательства – это строго регламентированная процедура.

• Закон № 152-ФЗ определяет случаи, когда данные должны быть безвозвратно удалены, и устанавливает предельные сроки для этого.

• Специальный приказ Роскомнадзора № 179 регламентирует, как подтвердить факт уничтожения – через оформление акта и, при автоматизированной обработке, технических журналов – и какие сведения должны быть зафиксированы.

• При реализации этих требований важно учитывать исключения других законов (например, о труде, налогах, архивном деле), которые могут обязывать хранить данные дольше.

Источники законодательства:

• Федеральный закон № 152-ФЗ «О персональных данных» (ст. 1, ст. 3, ст. 21)

• Федеральный закон № 125-ФЗ «Об архивном деле в РФ» (ст. 22.1)

• Приказ Роскомнадзора от 28.10.2022 № 179 (требования к подтверждению уничтожения ПД)

Больше информации в телеграмм-канале