Top.Mail.Ru

Как правильно уничтожать персональные данные

С прошлого года стало недостаточно просто уничтожить документы с персональными данными. Надо следовать специальной процедуре, составив акт об их уничтожении. Рассказываем, каков порядок уничтожения личных сведений, когда и в какие сроки это необходимо сделать, какой штраф полагается за нарушение требований закона. Приводим образцы документов (приказ о создании постоянно действующей комиссии по уничтожению документов с персональными данными, акт об уничтожении персданных, уведомление работника об уничтожении неправомерно использованных персональных данных) и формулировки для ЛНА о порядке уничтожения персданных, договора с контрагентом об обязательстве уничтожить передаваемые по договору персональные данные.

В нынешнем информационном обществе персональные данные играют основополагающую роль, поэтому их защита и своевременное уничтожение являются неотъемлемыми частями обязанностей бизнеса и государства. О нюансах уничтожения персданных, которые необходимо знать любой организации, говорим в статье.

Когда и в какие сроки надо уничтожать персданные

Уничтожение персональных данных 1 – ​это вид их обработки, подра­зумевающий действия, в результате которых:

  • становится невозможным восстановить содержание персональных данных в информационной системе и/или
  • уничтожаются материальные носители персональных данных.

В соответствии с Законом № 152‑ФЗ оператор (то есть организация или индивидуальный предприниматель, осуществляющий обработку персональных данных) обязан уничтожить персональные данные субъекта персданных (или обеспечить их уничтожение) в следующих ситуациях:

  • при получении от субъекта (или его представителя) персданных, сведений, подтверждающих, что данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки (ч. 1 ст. 14, ч. 3 ст. 20);
  • при выявлении неправомерной обработки персданных, если невозможно обеспечить ее правомерность (ч. 3 ст. 21);
  • после достижения цели обработки персданных (ч. 4 ст. 21);
  • при отзыве субъектом согласия на обработку его персональных данных, если их сохранение более не требуется для целей обработки (ч. 5 ст. 21);
  • при обращении субъекта с требованием о прекращении обработки его персданных (ч. 5.1 ст. 21).

Сроки уничтожения персональных данных различаются в зависимости от причины (все они приведены в Таблице):

  • общий срок уничтожения составляет 30 дней и применяется, когда речь идет о достижении целей обработки или отзыве субъектом согласия на обработку его персданных (если их сохранение более не требуется для целей обработки). Надо учитывать, что в этих случаях может быть предусмотрен и иной срок с учетом конкретных обстоятельств (ч. 4 и 5 ст. 21 Закона № 152‑ФЗ). В частности:
    • он может быть определен договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персданных, или иным соглашением между оператором и субъектом персданных;
    • когда оператор не вправе осуществлять обработку персданных без согласия субъекта персданных на основаниях, предусмотренных Законом № 152‑ФЗ или другими федеральными законами;
  • значительно более короткие (по сравнению с общим) сроки применяются в особых случаях (см. Таблицу).

Таблица. Сроки уничтожения персональных данных

Если оператор не может уничтожить персональные данные в указанные сроки, то он обязан предпринять меры для блокирования доступа к этим данным, а затем уничтожить их в течение 6 месяцев (ч. 6 ст. 21 Закона № 152‑ФЗ).

Обратите внимание: в случае передачи персональных данных другому лицу оператор должен установить обязательство получателя персональных данных уничтожить их после окончания целей их обработки или при утрате необходимости в их обработке. Обязательство по уничтожению можно прописать в договоре с третьим лицом или в отдельном соглашении о конфиденциальности полученной информации. Образец формулировок см. в Примере 1.

Пример 1. Условие в договоре об обязанности контрагента осуществить уничтожение персональных данных

По истечении срока обработки переданных Заказчиком персональных данных пользователей в случае отзыва согласия на обработку персональных данных, а также если станет известно, что персональные данные содержат неполную / неточную информацию, получены или обрабатываются с нарушением закона, Исполнитель обязан уничтожить полученные персональные данные пользователей в срок не позднее 3 рабочих дней с даты получения требования об этом или выявления обстоятельств, свидетельствующих о необходимости уничтожения персональных данных пользователей.

В качестве подтверждения уничтожения переданных персональных данных пользователей Исполнитель направляет в адрес Заказчика заверенные копии акта об уничтожении персональных данных и выгрузки из журнала регистрации событий в информационной системе персональных данных в течение 2 рабочих дней с даты оформления этих документов.

Вы видите начало этой статьи. Выберите свой вариант доступа

Купить эту статью
за 700 руб.
Подписаться на
журнал сейчас
Получать бесплатные
статьи на e-mail

Читайте все накопления сайта по своему профилю, начиная с 2010 г.
Для этого оформите комплексную подписку на выбранный журнал на полугодие или год, тогда:

  • его свежий номер будет ежемесячно приходить к вам по почте в печатном виде;
  • все публикации на сайте этого направления начиная с 2010 г. будут доступны в течение действия комплексной подписки.

А удобный поиск и другая навигация на сайте помогут вам быстро находить ответы на свои рабочие вопросы. Повышайте свой профессионализм, статус и зарплату с нашей помощью!

Рекомендовано для вас

Работа с персональными данными. Отвечаем на вопросы

22.05.2024 журнал «Юридический справочник руководителя» и сайт delo-press.ru провели онлайн-семинар «Работа с персональными данными без ошибок». Во время семинара спикер – эксперт по трудовым отношениям Юлия Жижерина – отвечала на вопросы слушателей семинара. Мы собрали наиболее интересные в статью, дополнив ссылками на нормативную базу и расширенную аргументацию. Публикуем разбор следующих ситуаций: что делать, если сотрудник продолжает работать, но отзывает свое согласие на обработку персданных; сколько целей обработки персданных можно указать в одном согласии; требуется ли согласие работника на обработку персональных данных, если камеры установлены только в коридорах; какое согласие на обработку персданных нужно запросить с работника для запроса о нем данных в учебном заведении; каких сотрудников надо указывать в приказе, утверждающем перечень лиц, имеющих доступ к персданным; можно ли прописать в ЛНА места хранения и обработки персданных; нужно ли согласие работника для добавления его в общий чат мессенджера и пр.

Какие документы запросит Роскомнадзор на проверке по персданным

Штрафы за неправильную обработку персональных данных растут, ответственность постоянно ужесточается (планируется введение уголовной). А это значит, что пора тщательно проверить, все ли документы в компании, касающиеся персданных, оформлены правильно. Автор подробно разъясняет, какие документы должны быть в наличии для успешного прохождения проверки соблюдения законодательства о персональных данных и как их составить, чтобы избежать гигантских штрафов.

Получение согласия на обработку персданных работника-курьера

Выясняем, как обрабатывать персональные данные курьеров, чтобы не нарушить нормы действующего законодательства. Узнаете, какие данные и когда становятся персональными, а когда не позволяют идентифицировать человека; как оформить передачу персданных курьера третьим лицам (физическим и юридическим), когда согласие на передачу личной информации не требуется; какая ответственность грозит за нарушение закона; как минимизировать риски при передаче персданных сотрудника. Вы сможете воспользоваться готовым образцом согласия на обработку персональных данных, разрешенных субъектом для распространения, который приведен в статье.

Типичные ошибки в работе с персональными данными

Изменение законодательства в сфере персональных данных и огромные штрафы за нарушения стимулируют еще раз проверить, все ли с персданными в организации в порядке. Автор выделяет 5 ошибок, которые чаще всего допускают организации в этой области.

Какие документы запросит Роскомнадзор на проверке по персданным

Штрафы за неправильную обработку персональных данных растут, ответственность постоянно ужесточается (планируется введение уголовной). А это значит, что пора тщательно проверить, все ли документы в компании, касающиеся персданных, оформлены правильно. Автор подробно разъясняет, какие документы должны быть в наличии для успешного прохождения проверки соблюдения законодательства о персональных данных и как их составить, чтобы избежать гигантских штрафов.

Получение согласия на обработку персданных работника-курьера

Выясняем, как обрабатывать персональные данные курьеров, чтобы не нарушить нормы действующего законодательства. Узнаете, какие данные и когда становятся персональными, а когда не позволяют идентифицировать человека; как оформить передачу персданных курьера третьим лицам (физическим и юридическим), когда согласие на передачу личной информации не требуется; какая ответственность грозит за нарушение закона; как минимизировать риски при передаче персданных сотрудника. Вы сможете воспользоваться готовым образцом согласия на обработку персональных данных, разрешенных субъектом для распространения, который приведен в статье.

Что относится к персональным данным: судебная практика

Одним из наиболее непростых практических вопросов, связанных с обработкой персональных данных, является перечень информации, которая может быть к ним отнесена. Дело в том, что перечень этих данных открытый и определять, относятся ли какие-то сведения к персональной информации конкретного лица необходимо индивидуально. Например, будут ли персональными данными фамилия и имя человека, дата и место рождения, паспортные данные, ИНН и пр. в отдельных ситуациях. Обратимся для ответов на эти вопросы к судебной практике.

Работа с персональными данными. Отвечаем на вопросы

22.05.2024 журнал «Юридический справочник руководителя» и сайт delo-press.ru провели онлайн-семинар «Работа с персональными данными без ошибок». Во время семинара спикер – эксперт по трудовым отношениям Юлия Жижерина – отвечала на вопросы слушателей семинара. Мы собрали наиболее интересные в статью, дополнив ссылками на нормативную базу и расширенную аргументацию. Публикуем разбор следующих ситуаций: что делать, если сотрудник продолжает работать, но отзывает свое согласие на обработку персданных; сколько целей обработки персданных можно указать в одном согласии; требуется ли согласие работника на обработку персональных данных, если камеры установлены только в коридорах; какое согласие на обработку персданных нужно запросить с работника для запроса о нем данных в учебном заведении; каких сотрудников надо указывать в приказе, утверждающем перечень лиц, имеющих доступ к персданным; можно ли прописать в ЛНА места хранения и обработки персданных; нужно ли согласие работника для добавления его в общий чат мессенджера и пр.