Акт уничтожения ПДн

Статья 21 закона 152-ФЗ обязывает оператора уничтожить персональные данные или обеспечить их уничтожение в нескольких случаях: если цель обработки достигнута и данные больше не нужны для её реализации; если истёк срок действия согласия субъекта или срок хранения, установленный законом, договором или локальным актом оператора; если субъект отозвал согласие на обработку, а другого законного основания хранить данные у оператора не осталось; по требованию субъекта о прекращении обработки, если оно законно и обоснованно.

Срок для уничтожения после наступления одного из этих оснований закон устанавливает — как правило, речь о календарном сроке в несколько дней с момента наступления обстоятельства, требующего уничтожения. Оператору стоит закрепить конкретный порядок и сроки во внутреннем положении об обработке персональных данных, чтобы ответственные сотрудники понимали, когда именно нужно действовать.

Уничтожение персональных данных, особенно на бумажных носителях или в информационных системах со сложной архитектурой хранения, как правило, оформляется через создание комиссии. Комиссия назначается приказом руководителя организации и обычно включает: ответственного за организацию обработки персональных данных, представителя подразделения, которое непосредственно работало с уничтожаемыми данными, и при необходимости специалиста по информационной безопасности, если уничтожаются данные в информационной системе.

1. Проверяет основания для уничтожения.
2. Определяет перечень данных и носителей, подлежащих уничтожению.
3. Контролирует сам процесс уничтожения.
4. Подписывает итоговый акт.

Такой порядок снижает риск того, что данные будут уничтожены преждевременно (например, до истечения обязательного срока хранения по другому закону) или, наоборот, не уничтожены вовремя.

В акте уничтожения персональных данных фиксируется несколько обязательных элементов.

Такой уровень детализации нужен не для «бумажной» отчётности, а для того, чтобы при проверке или запросе субъекта можно было доказать: данные действительно уничтожены, а не просто перестали отображаться в интерфейсе системы.

Уничтожение данных в информационной системе — не то же самое, что удаление записи через обычный интерфейс приложения. Если данные остаются в резервных копиях, логах, кэше или доступны через отмену последнего действия, формально они не уничтожены, а лишь скрыты из основного интерфейса.

Оператору важно заранее продумать техническую сторону вопроса: как уничтожаются данные в резервных копиях, распространяется ли уничтожение на архивные и тестовые среды, где может храниться копия тех же данных. Это стоит зафиксировать не только в акте по конкретному случаю, но и в общем регламенте уничтожения персональных данных, который описывает процесс на уровне всей информационной системы, а не отдельного эпизода.

Хранение персональных данных сверх необходимого срока — самостоятельное нарушение требований закона 152-ФЗ, даже если сами данные защищены технически надёжно и утечки не произошло. При проверке Роскомнадзор обращает внимание не только на факт наличия акта, но и на сроки: не превышен ли период, в течение которого данные хранились после наступления основания для уничтожения.

Со стороны бизнеса разумный подход — не дожидаться формального требования субъекта или проверки регулятора, а выстроить регулярный процесс: периодическую инвентаризацию хранимых данных, автоматическое выявление записей с истёкшим сроком хранения и своевременное составление актов уничтожения. Это снижает и юридические риски, и объём данных, которые вообще нужно защищать. Чем меньше «лишних» данных хранится по инерции без действующего основания, тем ниже потенциальный ущерб при инциденте и тем проще проходят проверки регулятора — оператору не приходится объяснять, зачем в системе годами лежат сведения без понятной цели.