Как подтвердить уничтожение ПДн работников: новые требования

Роскомнадзор утвердил требования к подтверждению уничтожения персональных данных (ПДн). Соответствующий приказ № 179 от 28 октября 2022 года вступил в силу 1 марта 2023 года. Это не единственное новшество, коснувшееся обработки ПДн. О других изменениях можно почитать в статье.

Соблюдать требования должны организации и ИП, в том числе работодатели, обрабатывающие персональные данные физлиц. Это необходимо в целях пресечения незаконной обработки ПДн.

В каких случаях следует уничтожить ПДн

Случаи, при которых у оператора возникает обязанность уничтожить ПДн, и сроки для проведения процедуры предусмотрены ч. 4 ст. 21 Закона № 152-ФЗ.

Это 30 дней с даты достижения цели обработки персональных данных. Такой же срок отводится для уничтожения ПДн субъекта при поступлении от него отзыва согласия на обработку.

Обратите внимание! При достижении цели обработки ПДн может применяться другой срок для их уничтожения, в случае если:

• такой срок предусмотрен договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн;
• другой срок предусмотрен иным соглашением между оператором и субъектом ПДн;
• если оператор не вправе осуществлять обработку ПДн без согласия субъекта персональных данных на основаниях, предусмотренных Законом № 152-ФЗ или другими федеральными законами (ч. 7 ст. 5, ч. 4, 5 ст. 21 Закона № 152-ФЗ).

Кроме этого, оператор обязан уничтожить ПДн субъекта (или обеспечить их уничтожение):

• в течение 7 рабочих дней со дня представления субъектом ПДн (или его представителем) сведений, подтверждающих, что ПДн были получены незаконно или не являются необходимыми для заявленной цели обработки (ч. 1 ст. 14, ч. 3 ст. 20 Закона № 152-ФЗ);
• в течение 10 рабочих дней с даты выявления неправомерной обработки ПДн, если невозможно обеспечить её правомерность (ч. 3 ст. 21 Закона № 152-ФЗ).

Как уничтожить ПДн

Законодательством конкретный порядок уничтожения ПДн не установлен. Каждая компания может определить его самостоятельно, прописав в локальном нормативном акте. В документе можно прописать ситуации, когда ПДН требуется уничтожить, и способы такого уничтожения.

Для уничтожения ПДн руководству компании следует издать распоряжение или приказ. Этим документом формируется комиссия из числа сотрудников компании. В её состав входит ответственное за обработку ПДн должностное лицо.

Комиссия должна определить перечень сведений, которые подлежат уничтожению, а затем приступить непосредственно к процессу уничтожения ПДн.

Способ, посредством которого будут уничтожены данные, компания может определить самостоятельно.

Как подтвердить уничтожение ПДн

Факт уничтожения ПДн нужно документально зафиксировать.

Набор и содержание документов (приведены в таблице 1) зависят от того, использует ли оператор при обработке средства автоматизации.

• Если компания обрабатывает ПДн вручную, без применения средств автоматизации, факт уничтожения подтверждается специальным актом об уничтожении.
• При обработке ПДн с применением средств автоматизации, после уничтожения данных компания предоставляет акт об уничтожении ПДн и выгрузку из журнала регистрации событий в информационной системе ПДн. Аналогичный порядок работает и для случаев, когда в компании одновременно применяют ручную обработку и средства автоматизации.

Таблица 1. Содержание документов, подтверждающих уничтожение ПДн)

Акт и выгрузку нужно хранить в течение трёх лет с момента уничтожения ПДн.