Как документировать уничтожение персональных данных

В нынешнем информационном обществе персональные данные играют основополагающую роль, поэтому их защита и своевременное уничтожение являются неотъемлемыми частями обязанностей бизнеса и государства. О нюансах уничтожения персданных, которые необходимо знать любой организации, поговорим в этой статье. Для начала дадим необходимый юридический базис.

Когда и в какие сроки уничтожать персданные

Уничтожение персональных данных ¹ – ​это вид их обработки, подра­зумевающий действия, в результате которых:

• становится невозможным восстановить содержание персональных данных в информационной системе и/или
• уничтожаются материальные носители персональных данных.

В соответствии с Законом № 152‑ФЗ оператор (т.е. организация или индивидуальный предприниматель, осуществляющий обработку персональных данных) обязан уничтожить персональные данные субъекта персданных (или обеспечить их уничтожение) в следующих ситуациях:

• при получении от субъекта персданных (или его представителя) сведений, подтверждающих, что данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки ²;
• при выявлении неправомерной обработки персданных, если невозможно обеспечить ее правомерность ³;
• после достижения цели обработки персданных ⁴;
• при отзыве субъектом согласия на обработку его персональных данных, если их сохранение более не требуется для целей обработки ⁵;
• при обращении субъекта с требованием о прекращении обработки его персданных ⁶.

Сроки уничтожения персональных данных различаются в зависимости от причины (все они сведены в Таблицу 1):

• общий срок уничтожения составляет 30 дней и применяется, когда речь идет о достижении целей обработки или отзыве субъектом согласия на обработку его персданных (если их сохранение более не требуется для целей обработки). Надо учитывать, что в этих случаях может быть предусмотрен и иной срок с учетом конкретных обстоятельств, в частности ⁷:
  • он может быть определен договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персданных, или иным соглашением между оператором и субъектом персданных;
  • когда оператор не вправе осуществлять обработку персданных без согласия субъекта персданных на основаниях, предусмотренных Законом № 152‑ФЗ или другими федеральными законами;
• значительно более короткие сроки (по сравнению с общим) применяются в особых случаях – см. Таблицу 1.