Когда персональные данные нужно уничтожить
Статья 21 152-ФЗ перечисляет случаи, когда оператор обязан уничтожить персональные данные. Главный для архивов — достижение цели обработки: данные уничтожаются в срок не более 30 дней с этой даты, если иное не предусмотрено договором, стороной которого является субъект, иным соглашением или законом (ч. 4 ст. 21). Другие случаи — отзыв согласия, выявление неправомерной обработки, которую невозможно устранить.
Если документ нужно хранить по архивному законодательству (например, кадровые документы — 50 или 75 лет), цель хранения ещё не достигнута, и уничтожать его до истечения срока нельзя.
Как подтвердить уничтожение
Часть 7 ст. 21 152-ФЗ отсылает к требованиям Роскомнадзора. Они утверждены приказ Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных» и действуют с 1 марта 2023 года до 1 марта 2029 года.
- Обработка без средств автоматизации (бумажные документы) — подтверждающий документ: акт об уничтожении персональных данных.
- Обработка с использованием средств автоматизации — акт и выгрузка из журнала регистрации событий в информационной системе.
Что должно быть в акте
- наименование или ФИО и адрес оператора;
- наименование или ФИО и адрес лица, которое обрабатывало данные по поручению оператора (если было);
- ФИО субъектов или иная информация о лицах, чьи данные уничтожены;
- ФИО, должности и подписи лиц, которые уничтожили данные;
- перечень категорий уничтоженных данных;
- наименование уничтоженных материальных носителей с количеством листов по каждому (для бумаги);
- наименование информационной системы (для автоматизированной обработки);
- способ уничтожения;
- причина уничтожения;
- дата уничтожения.
Акт в электронной форме, подписанный электронной подписью, равнозначен бумажному.
Практические советы для бумажного архива
- Готовьте акт об уничтожении ПДн одновременно с актом о выделении к уничтожению: перечень дел и количество листов у вас уже есть в описи.
- Субъектов можно указать иной информацией, позволяющей их определить, — например, ссылкой на перечень дел в приложении.
- В поле «способ» укажите конкретный способ — измельчение (шредирование).
- Приложите акт уничтожения от исполнителя, если уничтожение выполнял подрядчик.
Мы уничтожаем документы с персональными данными измельчением, без просмотра и передачи третьим лицам — подробнее на странице «Конфиденциальное уничтожение документов». Общий порядок — в статье «Как оформить уничтожение документов».
Материал носит справочный характер и не заменяет консультацию юриста или архивиста. Сроки хранения конкретных дел определяйте по номенклатуре дел вашей организации и действующим перечням.
