Уничтожение персональных данных: что не обходимо сделать, чтоб не нарушить закон?
Автор:
Юрист по работе с персональными данными
Юлия Аммосова
1. Вы достигли цели обработки или истек её срок.
Пример: если у вас нет кадрового резерва, то ПД кандидатов, которые не были трудоустроены, необходимо уничтожить в течение 30 дней с даты принятия решения об отказе в приеме на работу.
Срок уничтожения: в течение 30 календарных дней с даты достижения цели обработки или с даты истечения срока.
2. Субъект ПД потребовал уничтожить неполные, устаревшие, неточные, незаконно полученные данные или избыточные данные.
Пример: гражданин сменил фамилию и требует обновить данные в базе интернет-магазина и уничтожить неактуальные.
Срок уничтожения: в течение 7 рабочих дней с даты получения требования.
3. Вы обрабатываете данные неправомерно и не сможете обеспечить правомерность такой обработки.
Пример: компания направляет рекламные рассылки субъектам без правового основания – согласия.
Срок уничтожения: в течение 10 рабочих дней с момента обнаружения нарушения.
4. Субъект ПД отозвал согласие и данные не нужны вам для других целей.
Пример: субъект заполнил форму на сайте для получения полезных презентаций и дал согласие. Через месяц он отзывает согласие, при этом других целей для обработки его ПД нет. Эти данные подлежат уничтожению.
Срок уничтожения: в течение 30 календарных дней после отзыва согласия.
Нет, стереть информацию недостаточно. Уничтожение – это удаление персональных данных без возможности восстановления.
Нет, для таких случаев законодатель предусмотрен специальный механизм – блокирование ПДн. Вы можете заблокировать ПД на срок до 6 месяцев. В этот период использование данных полностью прекращается.
Основанием для блокирования служит обоснованная причина, по которой уничтожение в установленный срок невозможно. Например, сложный бизнес процесс с большим объемом обработок и баз данных.
По истечении срока блокирования, если не возникли новые законные основания для обработки, данные подлежат обязательному уничтожению.
Данный способ позволяет уничтожать ПД централизованно несколько раз в год, что существенно сокращает операционную нагрузку на персонал.
Шаг 1. Определите 2-4 фиксированных периода в году, когда будете централизованно уничтожать ПД (например, раз в квартал или полугодие)
Шаг 2. Определите все системы и бумажные носители, на которых обрабатываются ПД, подлежащие уничтожению, и заблокируйте эти данные на 6 месяцев.
Тем самым накопите массив данных, которые нужно уничтожить.
Шаг 3. В назначенный плановый период централизованно уничтожьте заблокированные ПД во всех системах, а также все бумажные носители с ПД.
Шаг 4. Составьте акт об уничтожении (один на все уничтожаемые ПД).
Акт должен содержать:
а) наименование и адрес оператора;
б) наименование и адрес лиц, осуществляющих обработку ПД по поручению оператора (при наличии);
в) фамилию, имя, отчество субъектов и иную информацию, относящуюся к субъектам, чьи персональные данные были уничтожены;
г) фамилию, имя, отчество, должность лиц, уничтоживших персональные данные субъекта, а также их подпись;
д) перечень категорий уничтоженных ПД субъектов;
е) наименование уничтоженных материальных носителей, содержащих ПД субъектов, с указанием количества листов в отношении каждого материального носителя (в случае обработки персональных данных без использования средств автоматизации);
ж) наименование ИСПДН, из которых были уничтожены персональные данные субъектов (в случае обработки персональных данных с использованием средств автоматизации);
з) способ уничтожения ПД;
и) причину уничтожения ПД;
к) дату уничтожения ПД субъектов.
Пример шаблона акта тут.
Шаг 5. Сделайте выгрузку регистрации событий в ИСПДН, если уничтоженные ПД также хранились в информационной системе ПД.
Выгрузка должна содержать:
а) фамилию, имя, отчество субъектов, чьи ПД уничтожены;
б) перечень категорий уничтоженных ПД субъектов;
в) наименование ИСПДН, из которых были уничтожены ПД;
г) причину уничтожения ПД;
д) дату уничтожения ПД.
Акт и выгрузка должны храниться 3 года.
Шаг 6. Уведомите:
РКН, субъекта или его представителя, если ПД уничтожали на основании их требования о неправомерной обработки.
субъекта или его представителя, если ПД уничтожении на основании их требования об обнаружения обработки неполных, устаревших, неточных, незаконно полученных данных или избыточных данные.
Акт и выгрузку направлять не требуется.
Шаг 1. Определите все системы и бумажные носители, на которых обрабатываются ПД, подлежащие уничтожению.
Шаг 2. Уничтожьте ПД во всех системах, а также все бумажные носители с ПД.
Шаг 3. Составьте акт об уничтожении (один на все уничтожаемые ПД).
Акт должен содержать:
а) наименование и адрес оператора;
б) наименование и адрес лиц, осуществляющих обработку ПД по поручению оператора (при наличии);
в) фамилию, имя, отчество субъектов и иную информацию, относящуюся к субъектам, чьи персональные данные были уничтожены;
г) фамилию, имя, отчество, должность лиц, уничтоживших персональные данные субъекта, а также их подпись;
д) перечень категорий уничтоженных ПД субъектов;
е) наименование уничтоженных материальных носителей, содержащих ПД субъектов, с указанием количества листов в отношении каждого материального носителя (в случае обработки персональных данных без использования средств автоматизации);
ж) наименование ИСПДН, из которых были уничтожены персональные данные субъектов (в случае обработки персональных данных с использованием средств автоматизации);
з) способ уничтожения ПД;
и) причину уничтожения ПД;
к) дату уничтожения ПД субъектов
Шаг 4. Сделайте выгрузку регистрации событий в ИСПДН, если уничтоженные ПД также хранились в информационной системе ПД.
Выгрузка должна содержать:
а) фамилию, имя, отчество субъектов, чьи ПД уничтожены;
б) перечень категорий уничтоженных ПД субъектов;
в) наименование ИСПДН, из которых были уничтожены ПД;
г) причину уничтожения ПД;
д) дату уничтожения ПД.
Акт и выгрузку храните 3 года.
Шаг 5. Уведомите:
- — РКН, субъекта или его представителя, если ПД уничтожали на основании их требования о неправомерной обработки.
- — субъекта или его представителя, если ПД уничтожении на основании их требования об обнаружения обработки неполных, устаревших, неточных, незаконно полученных данных или избыточных данные.
Акт и выгрузку направлять не требуется.
За данные нарушения есть риски получения штрафа по ч. 1 и ч. 1.1 ст. 13.11 КоАП РФ:
— для должностных лиц ― при первом нарушении 10-15 тысяч рублей, при повторном ― 100-200 тысяч рублей
— для ИП и организаций ― при первом нарушении 150-300 тысяч рублей, при повторном ― 300-500 тысяч рублей
За неуничтожение или уничтожение не в срок, установленный законом, неполных, устаревших, неточных, незаконно полученных и избыточных персональных данных по требованию субъекта или Роскомнадзора предусмотрен штраф по ч. 5 и ч.5.1 ст. 13.11 КоАП РФ:
— для должностных лиц ― при первом нарушении 8-20 тысяч рублей, при повторном ― 30-50 тысяч рублей;
— для ИП ― при первом нарушении 20-40 тысяч рублей, при повторном ― 50-100 тысяч рублей;
— для организаций ― при первом нарушении 50-90 тысяч рублей, при повторном ― 300-500 тысяч рублей.
Как правило, РКН находит нарушения при проверке, утечки и жалобы.