Уничтожение персональных данных: 3 случая, сроки и документы

<p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Уничтожение персональных данных (ПДн) – действия, когда данные стирают так, что их невозможно восстановить в системе или на материальных носителях. В этой статье разбираем случаи, когда данные нужно стереть навсегда, и какой регламент нужно выполнить. </p> <h2>Обязательные случаи уничтожения персональных данных</h2> <p style="text-align: justify;"> Федеральный закон № 152-ФЗ «О персональных данных» (ст. 21) обязывает оператора уничтожить персональные данные в трех случаях: </p> <p style="text-align: justify;"> </p> <div class="table-container shadow-lg mb-3"> <table class="table-simple"> <tbody> <tr> <td> <p align="left"> Основание для уничтожения </p> </td> <td> <p align="left"> Действия и срок </p> </td> </tr> <tr> <td> <p align="left"> <b>Достижение цели обработки</b> </p> </td> <td> <p align="left"> Данные нужно уничтожить в течение 30 дней с момента достижения цели </p> </td> </tr> <tr> <td> <p align="left"> <b>Клиент отозвал согласие на обработку</b> </p> </td> <td> <p align="left"> Прекратить обработку в течение 10 рабочих дней и уничтожить – за 30 календарных дней </p> </td> </tr> <tr> <td> <p align="left"> <b>Выявление незаконной обработки</b> </p> </td> <td> <p align="left"> Приостановить обработку за 3 рабочих дня. Если исправить нарушение нельзя – данные уничтожают в течение 10 рабочих дней после выявления нарушения </p> </td> </tr> </tbody> </table> </div> <div style="width: 100%;float: left;"> <br> </div> <p style="text-align: justify;"> <b>Важно</b>: если есть законное основание хранить данные (требования налоговой, трудового кодекса или архива), уничтожать их не нужно. Во всех перечисленных случаях обязанность уничтожения лежит на операторе ПДн. Оператор должен документально подтвердить факт уничтожения. </p> <h2>Регламент уничтожения данных</h2> <p> </p> <ul class="symbol-marker-list font-size-md" style="text-align: justify;"> <li><b>Обработка на бумажных носителях, вручную:</b> нужен акт об уничтожении ПДн фиксирующий, что персональные данные уничтожены (например, документы уничтожены через шредер или другим способом).</li> <li><b>Обработка в информационных системах:</b> оформляется акт об уничтожении ПДн и выгрузка из журнала регистрации событий в информационной системе ПДн. Вместо уничтожения использовать обезличивание – если данные нужны для статистики.</li> <li><b>Смешанная обработка (вручную и автоматизировано):</b> оформляются и акт, и соответствующая запись из журнала.</li> </ul> <p> Порядок подтверждения уничтожения ПДн установил Приказ Роскомнадзора от 28.10.2022 № 179. </p> <div class="border border-warning rounded-14px border-3 d-flex justify-content-left my-3"> <p class="col-lg-19 col font-size-md font-xl-size-lg text-lg-left text-start font-medium px-4 py-4 m-0 "> <b>Акт об уничтожении ПДн</b> – официальный документ. В нём указывают сведения из Приказа Роскомнадзора № 179. Акт подписывают уполномоченные лица. Можно составить в электронном виде с электронной подписью. <br> <b>Выгрузка из журнала событий</b> информационной системы содержит информацию о том, чьи данные и когда были удалены, из какой системы, по какой причине. Полный перечень обязательных полей выгрузки указан в приказе. </p> </div> <br> <h2>Подтверждение уничтожения и уведомление субъекта</h2> <p style="text-align: justify;"> Документы об уничтожении ПДн хранятся оператором в течение 3 лет с момента уничтожения согласно приказу № 179. Такие требования введены, чтобы при проверках или спорах оператор мог доказать, что данные уничтожены в срок и правильно. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Оператор обязан сообщить субъекту об устранении нарушения или уничтожении данных (часть 3 статьи 21 ФЗ-152). Если запрос поступил от Роскомнадзора – уведомляют и его. Это правило актуально, когда уничтожение производится по обращению самого субъекта либо по предписанию надзорных органов. Если данные передавались третьему лицу, оператор обязан уведомить все третьи лица, получившие ПДн. </p> <div class="card-body card-custom-md font-size-md my-2"> <div class="my-3"> <h2>Не тратьте время на изучение Приказов и ФЗ – доверьте работу профессионалам</h2> <p style="text-align: justify;"> Мы поможем соблюдать требования законодательства, сохранить репутацию компании и избежать штрафов. </p> <a href="https://www.forus.ru/cifrovizaciya-gos-sektora/informatsionnaya-bezopasnost/zashchita-personalnykh-dannykh/" target="_blank" class="btn standart-btn me-4 py-2">Узнать подробнее</a> </div> </div> <br>