Срок уничтожения персональных данных

В каких случаях уничтожаются персональные данные

Федеральным законом № 152-ФЗ от 27.07.2006 установлено, что персданные уничтожаются, если:

• получена информация от субъекта о том, что обработка ПД не соответствует целям или закону (ч. 3 ст. 20);
• выявлена незаконность обработки ПД и нельзя обеспечить законность их использования (ч. 3 ст. 21);
• достигнуты цели использования ПД (ч. 4 ст. 21);
• субъект отозвал согласие на обработку данных и не требуется их сохранять (ч. 5 ст. 21);
• субъект направил требование о прекращении обработки данных (ч. 5.1 ст. 21).

Алгоритм уничтожения персональных данных

Порядок и способы пропишите в положении. Чтобы уничтожить ПД:

1. Сформируйте комиссию из не менее чем трех человек путем издания приказа в свободной форме.
2. Определите список данных, которые надлежит уничтожить, и носителей данных и издайте приказ.
3. Фактически уничтожьте данные. Способ зависит от типа носителя. Бумажные — измельчить в шредере, сжечь, передать для обработки. Машиночитаемые — нанести физические повреждения, деформировать. Файлы на жестком диске — форматировать.
4. Издать акт на бумаге или в электронном виде.
5. Если обработка производилась автоматизированными средствами, сделать выгрузку из журнала регистрации.
6. Направить в Роскомнадзор уведомление о прекращении взаимодействия с ПД.

Акт и выгрузка хранятся три года с момента ликвидации данных.

Согласно Приказу Роскомнадзора № 179 от 28.10.2022, в акте уничтожения персональных данных по 152-ФЗ должно быть:

• наименование и адрес лица, которое обрабатывало ПД;
• при обработке иным лицом по поручению — наименование этого лица;
• Ф.И.О. и иная информация, которая относится к лицам, чьи данные уничтожаются;
• Ф.И.О., должности и подписи тех, кто уничтожает ПД;
• перечень ПД, которые уничтожаются;
• если ПД обрабатывались на бумаге, наименование носителей и количество листов, а если нет — наименование системы, в которой велась обработка;
• способ, причина и дата ликвидации.

В какой срок следует уничтожить персональные данные

Срок зависит от основания ликвидации. При поступлении обоснованного требования от субъекта о незаконности использования данных срок уничтожения персданных — 7 рабочих дней с момента поступления требования, а при самостоятельном выявлении нарушения принципов взаимодействия с ПД — 10 рабочих дней с момента обнаружения. При достижении цели использования ПД срок составит 30 дней с даты достижения цели.

Если иное не указано в соглашении с владельцем данных и если цели использования ПД достигнуты, то при отзыве согласия срок уничтожения персональных данных составит 30 дней с даты его поступления.

При поступлении требования субъекта о прекращении обработки срок ликвидации — 10 рабочих дней. Его можно продлить, но не более чем на 5 рабочих дней и при направлении уведомления с указанием причин продления.

Ответственность за несоблюдение сроков

При несоблюдении требований закона об уничтожении персональных данных лицо, которое обрабатывает ПД, понесет административную ответственность. Согласно ч. 5 ст. 13.11 КоАП, штраф составит до 40 000 руб. — для ИП, до 90 000 руб. — для организаций. Повторное нарушение повлечет ответственность по ч. 5.1 ст. 13.11 КоАП. Штраф для организации за повторное нарушение — 500 000 руб.

В каких случаях откажут в уничтожении персданных

Оператор заявит отказ в уничтожении персональных данных, если это предусмотрено договором между оператором и субъектом ПД или есть основания для дальнейшего взаимодействия с данными. Такие основания перечислены в п. 2-11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Федерального закона № 152-ФЗ от 27.07.2006.