Как задокументировать факт уничтожения персональных данных?

Уничтожение персональных данных — это действия, по итогам которых данные нельзя восстановить, в том числе уничтожение носителей (п. 8 ст. 3 Закона от 27.07.2006 № 152-ФЗ).

Уничтожение персональных данных означает уничтожение документов, в которых эти данные хранятся.

Бумажные документы могут быть измельчены на шредере, сожжены и т.п. Электронные – удалены без возможности восстановления, затерты и т.п.

Если персональные данные работника больше не нужны компании, информацию и ее носители уничтожают в течение 30-ти дней (ч. 4,5 ст. 21 Закона № 152-ФЗ). Кроме того, сами работники, в первую очередь уволенные, могут потребовать прекратить хранение их персональных данных.

Когда компания обязана уничтожить персональные данные:

• обработали данные неправомерно (ч. 3 ст. 21 закона № 152-ФЗ);
• достигли целей, ради которых данные были собраны и обработаны (ч. 4 ст. 21 закона № 152-ФЗ);
• владелец данных требует уничтожить их (ч. 1 ст. 14, ч. 3 ст. 20 закона № 152-ФЗ);
• владелец данных отзывает согласие на обработку данных (ч. 5 ст. 21 закона № 152-ФЗ).

Процедура уничтожения персональных данных

Уничтожение персональных данных осуществляется по определенному алгоритму действий. Всего три последовательных этапа:

• издание приказа об уничтожении персональных данных и создании комиссии;
• физическое уничтожение персональных данных;
• составление акта об уничтожении.

Порядок уничтожения персональных данных должен быть описан в локальных нормативных актах компании. В нем указывают, в каких случаях компания уничтожает личные данные и способы уничтожения. Например, измельчение с помощью шредера.

В состав комиссии по уничтожению персональных данных включают работника, ответственного в компании за работу с персданными. Комиссия должна составить перечень документов, подлежащих уничтожению.

Самым распространенным документом фиксации факта уничтожения персональных данных является акт о прекращении обработки персональных данных и запись об этом в специальном журнале.  

Требования к подтверждению уничтожения персданных с 1 марта 2023 года

С учетом того, что документы могут быть как бумажными, так и электронными, обработаны в ручном режиме и автоматически, хранятся они по-разному, документы об уничтожении отличаются.

Требования к подтверждению уничтожения персональных данных установлены Приказом Роскомнадзора от 28.10.2022 № 179, который вступает в силу с 1 марта 2023 года:

• если обработка данных ведется в ручном режиме достаточно составить только акт об уничтожении;
• если персданные обрабатываются с помощью информационной системы, составляется акт об уничтожении и делается выгрузка из журнала регистрации событий в ИС компании.

Унифицированных форм акта и журнала нет, их нужно разработать самостоятельно.

В акте об уничтожении персональных данных нужно указать:

• когда было проведено уничтожение;
• кто несет ответственность за верность процедуры;
• количество и виды уничтоженных носителей;
• основание для уничтожения;
• способ уничтожения.

Способы уничтожения персональных данных

Способ уничтожения документов с персональными данными зависит от типа носителя. Бумажные документы можно уничтожить, измельчением, например, с помощью шредера.

Измельчить документы нужно без возможности восстановления.

Электронные документы, которые хранятся в информационной системе или на машиночитаемых носителях, нужно уничтожить методом затирания информации или физического повреждения носителя. Если диск не уничтожается физически, на место удаленной информация должна быть записана новая, чтобы исключить возможность восстановления данных. Либо диск может быть отформатирован.