Среди требований к защите персональных данных (далее – ПДн) есть обязанность их уничтожения по достижении целей обработки. К сожалению, позиции Роскомнадзора и операторов ПДн по вопросу о том, когда цель обработки считается достигнутой, часто расходятся. В очередном «конфликте интересов» пришлось разбираться Арбитражному суду г. Москвы в рамках дела № А40-163911/21.
Управлением Роскомнадзора по Центральному федеральному округу в апреле 2021 года была проведена плановая выездная проверка в отношении публичного акционерного общества «Аэрофлот-Российские авиалинии» (далее – «Аэрофлот»). В т.ч. выявили, что «Аэрофлот» продолжал обрабатывать ПДн уволенных более 5 лет назад государственных гражданских служащих. Роскомнадзор выдал предписание, а «Аэрофлот» пошел оспаривать его в суде (в части ряда пунктов).
С одной стороны, в ч. 4 ст. 21 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» четко сказано, что «в случае достижения цели обработки персональных данных оператор обязан... уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных...». И большинство организаций, и Роскомнадзор считают увольнение работников достижением цели обработки их ПДн, получается, что в течение 30 дней после увольнения их ПДн должны быть уничтожены.
Но суд отметил, что из буквального толкования ч. 4 ст. 21 ФЗ о ПДн следует, что «в случае если оператор вправе осуществлять обработку персональных данных без согласия субъекта по основаниям, предусмотренным указанным федеральным законом или иными федеральными законами, их обработка может осуществляться оператором после достижения цели обработки». «Аэрофлот» сумел доказать суду, что ПДн уволенных работников нужны были ему:
-
для исполнения требований законодательства по обработке запросов органов Пенсионного фонда РФ в отношении уволенных работников для обеспечения их прав (в частности для предоставления сведений персонифицированного учета о застрахованных лицах).
Перечень подобных запросов ПФР был продемонстрирован «Аэрофлотом» на примере 8 месяцев 2021 года: периоды, которые затрагивают запросы ПФР, могут быть любыми, в т.ч. свыше 5 лет с момента увольнения; информация запрашивается как о текущих работниках, так и о давно уволенных;
-
обеспечения сохранности ПДн в пределах нормативно установленных сроков их хранения, которые, кстати, составляют до 50 / 75 лет согласно статьям 434 и 444 Перечня, утв. Росархивом:
Фрагмент документа
Перечень типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения (утв. приказом Росархива от 20.12.2019 № 236)
Суд подчеркнул, что данным Перечнем (и Инструкцией по его применению) прямо предусмотрен запрет на уничтожение документов до истечения указанных в нем сроков хранения (п. 4.3 Инструкции).
«Аэрофлот» сослался еще на ФСБУ 27/2021 «Документы и документооборот в бухгалтерском учете» (утв. приказом Минфина России от 16.04.2021 № 62н). Согласно его п. 24 документы бухгалтерского учета должны храниться в том виде, в котором они были составлены. Таким образом, если документ был составлен на бумажном носителе и в электронном виде, он должен храниться в обоих случаях.
Поэтому продолжение хранения бухгалтерией ПДн давно уволенных сотрудников в информационной системе SAP «Аэрофлот» считает оправданным. С ним согласились суды 3 инстанций: Арбитражный суд г. Москвы в ноябре 2021 года (дело № А40-163911/21), Девятый арбитражный апелляционный суд в феврале 2022 года и Арбитражный суд Московского округа в мае 2022 года.
Ваша организация тоже может воспользоваться аргументацией «Аэрофлота».
