Уничтожение персональных данных: когда, как и чем доказать

1. В каких случаях персональные данные обязательно уничтожать?

Есть несколько сценариев, при которых уничтожение — не право, а обязанность.

Достижение цели обработки. Вы собирали данные для конкретной задачи — подбор кандидата, оформление заказа, оказание услуги. Как только цель достигнута — данные подлежат уничтожению, если нет другого законного основания для хранения.

Отзыв согласия субъектом. Если обработка велась на основании согласия, а субъект его отозвал — обработка прекращается, данные уничтожаются. Исключение: если есть иное законное основание (например, исполнение договора или требование закона), данные могут храниться дальше, но уже на другом основании.

Отсутствие необходимости в достижении цели. Если вы больше не нуждаетесь в данных для заявленных целей — их нужно уничтожить, а не хранить «на всякий случай».

Требование субъекта. Субъект вправе потребовать уничтожения данных, если они неполны, устарели, неточны или незаконно получены.

Истечение срока хранения. Если срок хранения, установленный законом или договором, истёк — данные уничтожаются.

Я всегда подчёркиваю: «на всякий случай» — это не законное основание для хранения. Это основание для штрафа.

2. Какой срок хранения ПДн считается законным?

Универсального срока нет. Он определяется целью обработки, требованием закона или договором.

Кадровые данные. Личные дела работников хранятся в течение срока трудовых отношений, а после увольнения — в течение сроков, установленных архивным законодательством. Для большинства документов это 75 лет, для некоторых — 5 лет.

Бухгалтерские и налоговые данные. Хранятся в течение сроков, установленных налоговым законодательством — как правило, 5 лет.

Клиентские данные. Хранятся в течение срока действия договора и разумного срока после его окончания для защиты интересов сторон — обычно 3 года.

Данные, обрабатываемые на основании согласия. Хранятся до достижения цели или до отзыва согласия, если нет иного законного основания.

Данные соискателей. Если кандидат не был принят на работу, его данные подлежат уничтожению. По практике — в течение 6 месяцев, если кандидат не дал согласие на хранение в кадровом резерве.

Ключевой принцип: срок хранения должен быть обоснован. Если вы не можете объяснить, почему храните данные именно столько — вы храните их незаконно.

3. Как уничтожать ПДн на бумаге и на электронных носителях?

Способы различаются в зависимости от носителя. И здесь важно не только уничтожить, но и сделать это так, чтобы факт уничтожения можно было доказать.

Бумажные носители. Уничтожаются путём измельчения (шредер), сжигания или химического разрушения. Если у вас есть договор со специализированной организацией на уничтожение архивов — это оформляется актом выполненных работ. Если уничтожаете своими силами — создаётся комиссия и составляется акт.

Электронные носители. Удаление файла через корзину — это не уничтожение. Нужны специальные средства: перезапись носителя, демилитаризация, физическое разрушение. Если данные хранятся в информационной системе — уничтожение фиксируется в журнале системы.

Облачные сервисы. Уничтожение данных в облаке — отдельная тема. Вы должны убедиться, что провайдер действительно удалил данные, а не просто скрыл их. Запросите подтверждение удаления.

Смешанный подход. Мы с «Сайт Мэйкерс» настраиваем так, чтобы каждое уничтожение — будь то бумага или электронный носитель — фиксировалось. Для бумаги это акт и запись в журнале. Для электронных данных — лог системы с датой, временем, идентификатором данных и ответственным лицом.

4. Нужно ли создавать комиссию для уничтожения ПДн?

Да, если уничтожение происходит не автоматически, а по решению оператора. Комиссия создаётся приказом руководителя. В неё включаются: ответственный за организацию обработки ПДн, представитель ИТ-службы (если уничтожаются электронные данные), представитель службы безопасности или юрист.

Комиссия:

• проверяет, что данные действительно подлежат уничтожению;
• определяет способ уничтожения;
• проводит уничтожение;
• составляет акт.

Для автоматизированного уничтожения, которое происходит по регламенту, комиссия не требуется — достаточно настроенного процесса и журнала. Но если речь о разовом уничтожении, например, личных дел уволенных сотрудников, комиссия нужна.

5. Какой акт об уничтожении ПДн считается действительным?

Акт — это основной документ, подтверждающий уничтожение. Чтобы он имел силу, в нём должны быть:

• дата и место составления;
• состав комиссии;
• основание для уничтожения (достижение цели, отзыв согласия, истечение срока);
• перечень уничтоженных данных;
• способ уничтожения;
• сведения о носителе (для электронных — идентификатор системы, для бумажных — количество листов);
• подписи всех членов комиссии;
• утверждение руководителем.

Если акт не утверждён руководителем, если в нём не указан способ уничтожения или состав комиссии — он недействителен.

В нашем пакете документов есть типовой акт об уничтожении, журнал уничтожения и регламент, который описывает, кто и в какие сроки составляет акт.

6. Можно ли просто удалить файл с компьютера?

Нет. Удаление файла через проводник или корзину — это не уничтожение персональных данных. Данные остаются на носителе и могут быть восстановлены.

Для корректного уничтожения электронных данных используются:

• программное затирание — перезапись секторов носителя;
• демилитаризация — приведение носителя в состояние, при котором данные невозможно восстановить;
• физическое разрушение — для носителей, которые больше не будут использоваться.

Если вы уничтожаете данные в информационной системе, факт уничтожения фиксируется в журнале. Мы с «Сайт Мэйкерс» настраиваем системы так, чтобы удаление данных сопровождалось записью в логе — с указанием, кто, когда и какие данные удалил.

7. Что грозит за несвоевременное уничтожение ПДн?

Несвоевременное уничтожение — это нарушение требований к хранению данных. Штраф по статье 13.11 КоАП РФ для юридических лиц составляет от 50 000 до 100 000 рублей (невыполнение требований по обеспечению сохранности данных) или от 30 000 до 60 000 рублей (нарушение порядка хранения).

Но важнее другое. Если Роскомнадзор обнаружит, что вы храните данные дольше, чем нужно, он может квалифицировать это как незаконную обработку. А это уже другие штрафы — до 700 000 рублей. И это без учёта риска утечки: чем дольше данные лежат, тем выше вероятность, что они утекут.

8. Как уничтожать данные из облачных сервисов?

Уничтожение данных в облаке — это зона, где многие компании теряют контроль. Вы не видите сервер, не знаете, как провайдер удаляет данные, и не можете проверить.

Что нужно сделать:

• проверить договор с провайдером — есть ли пункт об уничтожении данных по запросу;
• запросить подтверждение удаления — письменное или в виде акта;
• убедиться, что данные не остались в резервных копиях — это отдельная проблема облаков;
• зафиксировать факт уничтожения — во внутреннем журнале.

Если провайдер не может подтвердить удаление — это риск. Мы с «Сайт Мэйкерс» проверяем облачные сервисы клиентов и настраиваем процессы так, чтобы уничтожение данных в облаке было документировано.

9. Нужно ли уведомлять Роскомнадзор об уничтожении ПДн?

Нет, отдельное уведомление об уничтожении в Роскомнадзор не подаётся. Уничтожение — это внутренняя процедура, которая фиксируется документами оператора.

Но есть исключение: если уничтожение связано с прекращением обработки персональных данных и вы хотите исключить компанию из реестра операторов — это оформляется отдельно. Это не уведомление об уничтожении, а уведомление о прекращении обработки.

Также, если уничтожение происходит по требованию субъекта, вы должны уведомить субъекта об уничтожении.

10. Сколько лет хранить акты об уничтожении?

Акты об уничтожении хранятся в течение 3 лет после уничтожения данных. Это минимальный срок, который позволяет доказать факт уничтожения при проверке.

Но есть нюансы. Если данные уничтожены в составе документов, которые имеют архивные сроки хранения (например, кадровые документы), акты могут храниться дольше. Если речь о клиентских данных — 3 года достаточно.

Мы в «Стратегии Ра» включаем в пакет документов номенклатуру дел, где указано, сколько хранится каждый акт и каждый журнал.

Как мы выстраиваем этот процесс вместе с документами и техникой

Уничтожение — это та тема, где документы и техника работают только вместе. Акт без технического подтверждения — это бумага. Техническое удаление без акта — это действие без доказательства:

• Первый этап — аудит. Я и «Стратегия Ра» смотрим, какие данные у вас есть, где они хранятся, какие сроки хранения применяются. «Сайт Мэйкерс» проверяет информационные системы: как настроено удаление, есть ли журналы, можно ли восстановить данные после удаления.
• Второй этап — разработка регламентов. Мы готовим регламент уничтожения, форму акта, форму журнала, приказ о создании комиссии. Всё — под конкретную компанию, с учётом специфики данных и систем.
• Третий этап — техническая настройка. «Сайт Мэйкерс» настраивает системы так, чтобы уничтожение данных фиксировалось автоматически: логи, метки времени, идентификаторы. Для бумажных документов — регламент работы комиссии и порядок хранения актов.
• Четвёртый этап — обучение. Мы объясняем сотрудникам, как уничтожать данные, как оформлять акты, куда их складывать. Потому что даже идеальный регламент не работает, если человек на месте не знает, как его применять.