Срок хранения персональных данных

Содержание

Срок действия согласия на обработку персональных данных не обязательно должен быть определен конкретной датой

JanPietruszka / .com

Арбитражные суды трех инстанций признали незаконным предписание Роскомнадзора указать срок действия письменного согласия на обработку персональных данных.

Разработанную экспертами компании «Гарант» форму согласия субъекта на обработку персональных данных можно найти в интернет-версии системы ГАРАНТ. Получите полный доступ на 3 дня бесплатно!

Напомним, что согласно ч. 4 ст. 9 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» в случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Такое согласие должно включать в себя в том числе срок, в течение которого оно действует, а также способ его отзыва, если иное не установлено федеральным законом.

В рассматриваемом случае в согласии было указано, что оно вступает в силу со дня его подписания и действует в течение неопределенного срока и может быть отозвано на основании письменного заявления в произвольной форме. Суды сочли это надлежащим исполнением вышеприведенного требования закона, поскольку данная норма не предусматривает указания в согласии конкретного срока, в течение которого оно действует. Предельный срок действия такого согласия также не установлен законодателем. В рассматриваемом случае срок действия согласия определен началом его действия (со дня подписания) и заканчивается моментом востребования — письменным отзывом в произвольной форме. Таким образом, срок действия согласий субъектов персональных данных на их обработку в любом случае ограничен действием самого субъекта персональных данных по представлению письменного отзыва ранее данного им согласия, в связи с чем указанный срок можно квалифицировать сроком, определяющим момент востребования.

Верховный Суд Российской Федерации оснований для пересмотра соответствующих судебных актов арбитражных судов не усмотрел (определение ВС РФ от 5 марта 2018 г. № 307-КГ18-101).

Объявление

Задумалось мне сделать список ПДн, в виде таблицы с указанием срока хранения и правового акта, на основании которого установлен срок хранения. Первым делом глянул в «Методические рекомендации по выполнению … и т.д.», Приложение 3. На правовые акты в нем ссылается маленький пункт, в котором упоминается «Перечень типовых управленческих документов, образующихся в деятельности организаций, с указанием сроков хранения», утвержденный Приказом Росархива от 06.10.2000, но тут выясняется, что он упразднен Приказом Федерального архивного агентства от 26 августа 2010 г. N 63.
Начал копать. Нашел Приказ Минкультуры РФ от 25.08.2010 N 558 «Об утверждении «Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения». Тут же возникает вопрос:»А причем тут Минкультуры РФ?!!»
Но «на безрыбье …», думаю ладно, и это сойдет, тем более что этот приказ «подготовлен в соответствии с Федеральным законом от 22 октября 2004 г. N 125-ФЗ «Об архивном деле в Российской Федерации»». Но тут наткнулся на одно обсуждение в форуме http://kadrovik-info.ru/topic/6997/ , некоторые выкладки которого смешало мне все карты, вот выборочные цитаты:
«…ст. 22 закона «Об архивном деле в РФ» Устанавливаются следующие сроки временного хранения документов Архивного фонда Российской Федерации до их поступления в государственные и муниципальные архивы:
пп.б) п. 4: документов по личному составу, записей нотариальных действий, нехозяйственных книг и касающихся приватизации жилищного фонда документов — 75 лет;
Однако, согласно определению п.4 ст 3 закона «Об архивном деле в РФ» — документ Архивного фонда Российской Федерации — архивный документ, прошедший экспертизу ценности документов, поставленный на государственный учет и подлежащий постоянному хранению.
Таким образом, пока личное дело работника не прошло экспертизу ценности документов и не поставлено на государственный учёт, положения пп. б п.4.ст.22 закона «Об архивном деле в РФ» на него не распространяются.
Закон «Об архивном деле в РФ» содержит также понятия архивы, находящиеся в государственной, муниципальной и частной собственности. Если предприятия является негосударственным — частным и в состав учредителей не входит государство (отсутствует государственная доля), то архив такого предприятия определяется как «частный» и порядок хранения документов в нём определяется учредителями предприятия. Однако такому локальному нормативному акту грош цена, потому как в отношении документов по личному составу и соответственно персональных данных будут применяться положения федеральных законов: ТК и закона «О персональных данных»
Ну и наконец, если положения федерального закона противоречат ТК, применяются положения ТК: ст. 85 Персональные данные работника — информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника. Трудовые отношения прекращены — у работодателя нет необходимости обрабатывать (в том числе хранить) персональные данные работника. Работодатели не уполномочены обрабатывать (хранить) персональные данные лиц, не являющихся работниками.»
и еще:
«Выиграли дело…
…Вывод суда: Поскольку персональные данные работника необходимы работодателю в связи с исполнением трудового договора, то после прекращении трудового договора работодатель не вправе обрабатывать персональные данные работника, в том числе осуществлять их хранение.
Ст. 392 ТК РФ предусмотрены сроки, в течение которых стороны трудового договора имеют право обратиться в суд для разрешения индивидуального трудового спора спора Работник имеет право обратиться в суд за разрешением индивидуального трудового спора в течение трех месяцев со дня, когда он узнал или должен был узнать о нарушении своего права, а по спорам об увольнении — в течение одного месяца со дня вручения ему копии приказа об увольнении либо со дня выдачи трудовой книжки. Работодатель имеет право обратиться в суд по спорам о возмещении работником ущерба, причиненного работодателю, в течение одного года со дня обнаружения причиненного ущерба.
Таким образом, цели исполнения трудового договора достигаются сторонами с учётом процессуальных сроков для обращения в суд не позднее 1 года с момента увольнения работника.
Согласно ч.4 ст. 21 Федерального закона Российской Федерации от 27 июля 2006 г. N 152-ФЗ «О персональных данных» В случае достижения цели обработки персональных данных оператор обязан незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий трех рабочих дней с даты достижения цели обработки персональных данных, если иное не предусмотрено ФЕДЕРАЛЬНЫМИ ЗАКОНАМИ, и уведомить об этом субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.
Федеральным законом от 22.10.2004 N 125-ФЗ «Об архивном деле в Российской Федерации» предусмотрен срок хранения документов Архивного фонда Российской Федерации по личному составу — 75 лет. Однако, работодателем не представлены доказательство того, что личное дело истца является документом Архивного фонда Российской Федерации. Также работодателем не представлены локальные нормативные акты, касающиеся сроков хранения личных дел работников, с которыми прекращены трудовые отношения, а также соглашения с истцом о сроках хранения его персональных данных.
В соответствии с ч.1 ст 17 1. Федерального закона N 129-ФЗ «О бухгалтерском учете» Организации обязаны хранить первичные учетные документы, регистры бухгалтерского учета и бухгалтерскую отчетность в течение сроков, устанавливаемых в соответствии с правилами организации государственного архивного дела, но не менее пяти лет.
Суд приходит к выводу, что исковые требования М. подлежат удовлетворению: Исковые требования в части уничтожения личного дела М., служебной переписки с участием или в отношении М., кадровой документации, относящейся к М., записей, содержащих персональные данные М. в компьютерной информационной системе должны быть исполнены не позднее 3-х дней с момента вступления решения суда в законную силу. Исковые требования в части уничтожения персональных данных М. в первичной бухгалтерской документации не позднее 3-х рабочих дней с наступления 2012 года, т.е. по прошествии 5 лет с 2006 года, необходимых ответчику для исполнения требований ч.1 ст. 17 закона «О бухгалтерском учёте».»
Позвонил своим юристам, те в недоумении, обещали думать.
Может, кто из присутствующих уже имеет готовый ответ?

Статья 87. Хранение и использование персональных данных работников

Статья 87. Хранение и использование персональных данных работников

1. Федеральный закон «О персональных данных» устанавливает требование, которому должно соответствовать хранение персональных данных, а именно: хранение необходимо осуществлять в форме, позволяющей определить субъекта персональных данных, не дольше, чем того требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении (ст. 5).

В случае если оператор на основании договора поручает обработку персональных данных другому лицу, существенным условием договора является обязанность обеспечения указанным лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке (ст. 6 Федерального закона «О персональных данных»).

2. В Квалификационном справочнике должностей руководителей, специалистов и других служащих, утвержденном постановлением Минтруда России от 21 августа 1998 г. N 37*(116), в разделе «Должностные обязанности» квалификационных характеристик ряда должностей руководителей и специалистов, предусмотрено выполнение трудовых обязанностей на основе персональных данных работников или с их использованием.

К этим должностям относятся:

— главный специалист по защите информации (руководит выполнением работ по комплексной защите информации; участвует в работе по созданию безопасных информационных технологий, отвечающих требованиям комплексной защиты информации; выполняет весь комплекс работ, связанных с контролем и защитой информации; обеспечивает контроль за соблюдением действующего законодательства при решении вопросов, касающихся защиты информации; координирует деятельность подразделений и специалистов по защите информации в организации);

— заместитель директора по управлению персоналом (организует управление формированием, использованием и развитием персонала организации; возглавляет работу по формированию кадровой политики, определению ее основных направлений; организует разработку и реализацию комплекса планов и программ по работе с персоналом с целью привлечения и закрепления на предприятии работников требуемых специальностей и квалификации; проводит работу по формированию и подготовке резерва кадров для выдвижения на руководящие должности и т.д.);

— менеджер по персоналу (определяет потребность в персонале, изучает рынок труда с целью определения возможных источников обеспечения необходимыми кадрами; осуществляет подбор кадров, проводит собеседования с нанимающимися на работу, в том числе с выпускниками учебных заведений, с целью комплектования штата работников; организует обучение персонала, координирует работу по повышению квалификации сотрудников и развитию их деловой карьеры; организует проведение оценки результатов трудовой деятельности работников, аттестаций, конкурсов на замещение вакантных должностей; совместно с руководителями структурных подразделений участвует в принятии решений по вопросам найма, перевода, продвижения по службе, понижения в должности, наложения административных взысканий, а также увольнения работников; разрабатывает систему оценки деловых и личностных качеств работников, мотивации их должностного роста; принимает участие в разрешении трудовых споров и конфликтов; составляет и оформляет трудовые договоры; ведет личные дела работников и другую кадровую документацию);

— начальник отдела кадров (возглавляет работу по комплектованию организации кадрами рабочих и служащих требуемых профессий, специальностей и квалификации в соответствии с целями, стратегией и профилем организации, формированию и ведению банка данных о количественном и качественном составе кадров, их развитии и движении; принимает участие в разработке кадровой политики и кадровой стратегии предприятия; осуществляет работу по подбору, отбору и расстановке кадров на основе оценки их квалификации, личных и деловых качеств; осуществляет планомерную работу по созданию резерва для выдвижения работников; организует проведение аттестации работников, ее информационное обеспечение, принимает участие в анализе результатов аттестации; осуществляет хранение и заполнение трудовых книжек и ведение установленной документации по кадрам; проводит работу по созданию банка данных о персонале предприятия, его своевременному пополнению, оперативному предоставлению необходимой информации пользователям и т.д.), а также главный бухгалтер, начальник отдела по подготовке кадров и др.

Среди должностей специалистов назовем бухгалтера, документоведа, инженера по защите информации, инженера по подготовке кадров, инженера по кадрам, инспектора по кадрам, специалиста по защите информации, специалиста по кадрам, техника по защите информации, экономиста по труду и др.

Должностные обязанности ряда технических исполнителей фактически предусматривают (в определенных случаях) работу с персональными данными работников. Например, в должностных обязанностях секретаря руководителя предусмотрено принимать документы и личные заявления на подпись руководителя предприятия.

Включение функций, связанных с персональными данными, в должностные обязанности работников определяет соответствующее право работодателя, разрабатывая на их основе должностные инструкции, локальные нормативные акты (правила внутреннего трудового распорядка, коллективный договор, положение о персонале и др.), а также трудовые договоры, предусмотреть положения о порядке защиты персональных данных работников организации. В частности, он устанавливает круг лиц, имеющих право на получение персональных данных работников, основания их получения, условия, обеспечивающие сохранность передаваемых данных, сроки пользования этой информацией.

3. На работодателя возлагается обязанность обеспечить хранение первичной учетной документации по учету труда и его оплаты в организации, к которой относятся документы по учету кадров, документы по учету использования рабочего времени и расчетов с персоналом по оплате труда. Унифицированные формы первичной учетной документации по учету труда и его оплаты утверждены постановлением Госкомстата России от 5 января 2004 г. N 1 (см. п. 8 комментария ст. 85).

4. Трудовые книжки и дубликаты трудовых книжек, не полученные работниками при увольнении, в случае смерти работника — его ближайшими родственниками, хранятся до востребования у работодателя (п. 43 Правил ведения и хранения трудовых книжек, изготовления бланков трудовой книжки и обеспечения ими работодателей). Согласно Перечню типовых документов, образующихся в деятельности госкомитетов, министерств, ведомств и других учреждений, организаций, предприятий, с указанием сроков хранения, утвержденному Главархивом СССР 15 августа 1988 г., не востребованные трудовые книжки хранятся не менее 50 лет*(117).

5. В распоряжении Правительства РФ от 21 марта 1994 г. N 358-р «Об обеспечении сохранности документов по личному составу»*(118) учредителям вновь образующихся коммерческих и некоммерческих организаций рекомендовано включать в свои учредительные документы правила учета и сохранности документов по личному составу, а также своевременной передачи их на государственное хранение при реорганизации или ликвидации юридического лица.

6. Статьей 8 Федерального закона «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования» установлено, что срок хранения органами Пенсионного фонда РФ сведений, составляющих содержание общей части индивидуального лицевого счета застрахованного лица, представленных в виде документов в письменной форме, а также документов в электронной форме, юридическая сила которых подтверждена электронной цифровой подписью в соответствии с законодательством РФ, содержащих сведения о страховых взносах и страховом стаже и представляемых в Пенсионный фонд РФ работодателями для целей индивидуального (персонифицированного) учета в системе обязательного пенсионного страхования, составляет не менее шести лет.

Срок хранения в вышеуказанных формах документов, содержащих иные сведения, составляет не менее трех лет. Уничтожение документов индивидуального (персонифицированного) учета, содержащих сведения о страховых взносах и страховом стаже, по истечении установленного срока их хранения производится после ознакомления застрахованного лица (работника) со сведениями, содержащимися в его индивидуальном лицевом счете за соответствующий период, и вручения ему указанных сведений.

7. Порядок хранения персональных данных, личных дел гражданских служащих установлен Федеральным законом «О системе государственной службы Российской Федерации», Федеральным законом «О государственной гражданской службе Российской Федерации» и Указом Президента РФ «Об утверждении Положения о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела».

8. Трудовым кодексом также установлено, что второй экземпляр акта о несчастном случае на производстве, акта о расследовании группового несчастного случая на производстве, тяжелого несчастного случая на производстве, несчастного случая на производстве со смертельным исходом вместе с копиями материалов расследования хранится в течение 45 лет работодателем (его представителем), у которого произошел данный несчастный случай (ч. 6 ст. 230, ч. 2 ст. 230.1).

Акт о случае профессионального заболевания вместе с материалами расследования хранится в течение 75 лет в центре государственного санитарно-эпидемиологического надзора и в организации, где проводилось расследование этого случая профессионального заболевания. Если организация ликвидируется, акт передают для хранения в центр государственного санитарно-эпидемиологического надзора (п. 33 Положения о расследовании и учете профессиональных заболеваний, утвержденного постановлением Правительства РФ от 15 декабря 2000 г. N 967*(119)).

9. Наличие трудовых отношений требует от работодателя (организации, индивидуального предпринимателя) обеспечения сохранности персональных данных работника, предоставляемых им как при заключении трудового договора, так и в процессе трудовой деятельности. Это определяет необходимость разработки и принятия локального нормативного акта. Работодатель принимает такой акт без учета мнения представительного органа работников.

Локальный нормативный акт, посвященный защите персональных данных работников в организации, разрабатывается работодателем на основе положений законодательства с учетом специфики деятельности организации.

В локальном нормативном акте о защите персональных данных работников организации закрепляются положения:

— о персональных данных работников, необходимых работодателю в связи с трудовыми отношениями;

— о круге должностных лиц, имеющих право получить у работника информацию, относящуюся к его персональным данным;

— о хранении персональных данных на бумажных и электронных носителях в предназначенном для этого помещении;

— об основных условиях проведения обработки персональных данных работников;

— о круге должностных лиц, имеющих право на доступ к персональным данным, которые необходимы им для выполнения своих должностных обязанностей, порядок их предоставления;

— о должностном лице, ответственном за организацию и хранение персональных данных работников;

— о должностном лице, осуществляющем контроль за хранением персональных данных работников;

— о передаче персональных данных работников;

— о правах работника, обеспечивающих защиту персональных данных, хранящихся у работодателя;

— об обязанностях работника в целях обеспечения достоверности его персональных данных;

— об ответственности за нарушение норм, регулирующих обработку и защиту персональных данных работников, и др.

Какие оптимальные сроки хранения и обработки персональных данных? Сколько действует согласие субъекта?

Временные рамки, связанные с ПДн

Положение 7 статьи 5 Федерального закона «О персональных данных» предусматривает среди принципов обработки и следующий – хранение ПДн должно осуществлять не дольше, чем того требуют цели операции с информацией.

Кроме этого, период хранения ПДн в некоторых случаях закрепляется федеральным законом, договором, субъектом которого является владелец персональных данных. Оператор устанавливает конкретные временные рамки или вписывает условие для прекращения обработки.

Статья 14 закона «О персональных данных» правительства РФ сообщает, что сроки обработки ПДн относятся к категории информации, которую оператор в обязательном порядке предоставляет субъекту при соответствующем запросе последнего.

Что выбрать: время хранения или условия прекращения?

Закон позволяет выбрать либо конкретный период хранения данных, либо ограничить обработку наступлением определенного условия. Однако на оператора налагаются обязанности обязательно ограничить обработку данных по времени.

Юристы советуют использовать конкретный период прекращения обработки только в том случае – если сведения необходимы оператору для ограниченной цели.

Например, на сайте интернет-магазина проводится анкетирование, субъекту ПДн предлагается указать область проживания, покупки за последний год, возраст, ФИО и так далее. Магазин планирует использовать сведения для статистического анализа своей успешности за последний год. После завершения анализа, сведения ему больше не понадобятся и будут ликвидированы.

При составлении такого договора учитывается то, что на проведение анализа понадобится шесть месяцев. После этого интернет-магазин прекращает обработку данных, выполнив цель, с которой они были собраны. Для похожих прецедентов есть и другой вариант – установить условие завершения обработки, например, указать, что после проведения аналитических работ сведения прекратят обрабатывать.

Комбинированный вариант «условие + дата» используется довольно часто. Возьмем адвокатскую контору, планирующую хранить сведения о клиентах два года с момента последнего обращения. Тут присутствует сразу два критерия – два года (конкретный период) и определенное условие – отсутствие обращения в адвокатскую организацию.

Медицинские учреждения в нашем государстве, как правило, не ограничивают себя четкими сроками, поскольку законодательство обязывает их хранить сведения, касающиеся сферы здравоохранения, довольно долго. Закон дает возможность операторам выбирать, как именно устанавливать период – определяя временной отрезок обработки или событие, наступление которого будет означать прекращение обработки конфиденциальных сведений.

Оговариваемые периоды

Сколько действует согласие работника, клиента, пациента?

Независимо от сферы деятельности оператора, он обязан взять у субъекта персональных данных разрешение и указать период его действия.

Согласно положению 8 статьи 9 Федерального закона, принятого 27 июля 2006 года, «О персональных данных», согласие на обработку работника, пациента или клиента в обязательном порядке должно включать в себя срок действия и способ отзыва разрешения.

Оператору предоставляется также два способа обозначить период действия разрешения субъекта – вписав четкую дату или воспользовавшись стандартной в юридической практике фразой: «Настоящее согласие действует с момента подписания и до дня отзыва». Желательно продумать и способ подачи отзыва, например, только в письменной форме.

Сколько должны храниться ПДн?

Подразумевается, что хранение оператор организует на период, необходимый для обработки ПДн.

Также важно, что в некоторых случаях фирма не работает со сведениями постоянно, и хранение сопряжено с задачей обеспечить доступ к персональным материалам в любое удобное время и в форме, делающей возможной их обработку.

В документации оператор обозначает сроки хранения, а также операцию, которая будет проведена после выполнения цели – обезличивание информации либо ее уничтожение. Отметим, что под обезличиванием сведений подразумевается перевод материалов в форму, не позволяющую распознать к кому она точно относится.

Какой период отводится на обработку?

Обработка данных непосредственно связана с хранением ПДн, ведь именно хранение обеспечивает доступ к данным с целью их обработки. В законе «О персональных данных» сказано, что оператор должен установить единый период для обеих операций. Если обработка прекращается с наступлением некоторого события, то оператор берет на себя обязанности в дальнейшем не хранить сведения.

Оператор не может указывать разные сроки или условия для прекращения хранения и обработки. Если хранение, например, прекращается после двух лет, то и обработка не может больше проводиться – по техническим причинам. Точно так же и период обработки связан с хранением.

Предположим, предприятие взяло на себя обязанности обрабатывать сведения на протяжении одного года, если после наступления этого срока он продолжит хранить информацию – значит нарушит условия соглашения с физическим лицом.

Хранение является операцией, входящей в понятие «обработка» и, более того, делает ее возможной и комфортной.

Возможно ли продление действия соглашения?

Оператор имеет право продлевать любой из периодов, указанных выше, но для этого компании следует выполнить несколько требований. Условия и нюансы продления срока прописываются в «Политике в отношении обработки персональных данных». Субъект ПДн, согласно действующему законодательству, имеет право в любой момент ознакомиться с этим документом.

Еще одна особенность заключается в том, что продление периода обработки или хранения сопряжено с появлением иных целей, но не выходящих за рамки закона.

Другими словами, оператору разрешается менять сроки, имея на то основания и продолжая использовать конфиденциальную информацию только в рамках актуальных законодательных актов.

Компания, собирающая персональные данные, вправе выбрать как автоматическое продление, например, данного субъектом разрешения, так и ручное (с дополнительным уведомлением). При этом, физическое лицо, владеющее информацией, не лишается возможности в любой момент отозвать согласие.

Как видите, профильный закон в Российской Федерации устанавливает четкие требования относительно указания периодов и дат хранения и обработки ПДн. Вместе с тем, на операторов налагается обязанность уведомить субъекта о времени действия его собственного соглашения на обработку информации.

Сама продолжительность хранения – законом не регламентируется, к ней предъявляется только одно требование: хранить не дольше, чем требуется для достижения целей обработки.

Порядок уничтожения персональных данных

Гражданин может дать разрешение на обработку личной информации при трудоустройстве или получении различных услуг. При этом субъект должен помнить о гарантиях сохранения ведомостей личного характера в неприкосновенности от несанкционированного доступа. В статье описаны случаи уничтожения персональных сведений, раскрыта процедура и сроки удаления, ответственность за несоблюдение законодательных норм.

Нормативная база

Вопрос регулирования отношений в сфере защиты персональных данных лиц происходит согласно со следующими нормами:

Специальный Федеральный закон от N 152-ФЗ 27.07.2006. Закон включает в себя главы с:

  • общими положениями;
  • правилами обработки;
  • правовым положением субъекта (лица, к которому относятся персональные данные) и оператора (компании, чтоб занимается обработкой) в сфере персональных данных;
  • государственным регулированием вопроса и ответственность за несоблюдение нормативных актов.

Глава 14 Трудового кодекса РФ, статьи 86-90. Здесь описаны:

  • требования к процедуре обработки личных сведений;
  • гарантии сохранения информации в секрете;
  • порядок хранения, использования, передачи объектов охраны закона 152-ФЗ;
  • ответственность за нарушения.

Статья 42 Федерального закона N 79-ФЗ от 27.07.2004 регулирует порядок ведения кадровой документации, содержащей личные данные о гражданском служащем.

Законные основания для уничтожения персональной информации

В законе 152-ФЗ прописано, что под уничтожением персональных данных подразумеваются действия, которые повлекут:

  • невозможность восстановить информацию о субъектах данных в системах хранения;
  • уничтожение материального носителя.

Согласно ст.21 закона 152-ФЗ выделяют три основания для ликвидации:

  1. Если с данными проводятся неправомерные действия.
  2. Если цель, поставленная для обработки сведений, была достигнута.
  3. Если пропала необходимость обработки сведений, например, если субъект отозвал заявление на такие действия.

При наступлении одного из этих случаев, оператор, в указанные законом сроки, обязывается уничтожить личный сведения субъекта, после чего уведомить последнего о проделанной работе.

Порядок уничтожения информации

Исходя из оснований, будут различаться процедуры удаления информации.

В первом случае, при неправомерном вмешательстве, используется такая схема:

  1. Изначально производится выявление факта нарушения. Юрист предприятия дает правовую оценку, если нарушение выявлено, сообщение направляется администратору.
  2. После этого в течение 10 дн. производятся попытки устранить опасность. Если угроза миновала, информация подлежит разблокировке. Если действия оказались безрезультатными в течение 3 дн., то сведения удаляются в десятидневный срок, о чем уведомляется субъект, к которому они относятся.

К неправомерным действиям с персональными сведениями относят любую обработку информации, которая производится без согласия субъекта, в виде:

  • сбора;
  • накопления;
  • систематизации;
  • удаления;
  • блокирования;
  • хранения;
  • изменения или обновления;
  • распространения;
  • обезличивания.

Так, например, если информация была передана третьему субъекту, то компания направляет письмо с прошением удалить сведения либо спросить разрешение на обработку файлов у владельца. Если контрагент согласен, то он уничтожает сведения и сообщает об этом владельцу. В противном случае администратор компании обязан в 10-дневный период уничтожить все файлы, а также уведомить субъекта.

Если цель обработки была достигнута, то действует следующий алгоритм (п.4 ст.21 закона 152-ФЗ):

  1. Фиксация момента достижения цели.
  2. В течение 30-дневного срока со дня выполнения задачи, администратор удаляет сведения.
  3. Параллельно готовится уведомление владельцу.
  4. После уничтожения информации, уведомление направляется субъекту.

Пункт о цели работы с личной информацией является существенным условием в письменном соглашении об обработке данных. В письменном заявлении на проведение операций с персональными сведениями субъект указывает:

  • ФИО, паспортные данные;
  • полное наименование и реквизиты оператора (организация, которая производит обработку);
  • цель;
  • список данных, которые подлежат обработке;
  • виды обработки, которые могут применяться к объектам предоставленного разрешения;
  • срок действия соглашения;
  • процедуру отказа от разрешения на работу с информацией.

Схема действий при отзыве заявки на обработку ведомостей (п.5 ст.21 закона 152-ФЗ):

  1. Субъект направляет письмо с отзывом.
  2. Компания принимает решение об удовлетворении или отклонении требований.
  3. В случае положительного ответа, в течение 30 дн. готовится уведомление об уничтожении файлов. В этот же период данные должны быть удалены.
  4. Администратор уведомляет субъекта о проведенной работе.

Отозвать разрешение можно частично, например, запретить обработку адреса, номера телефона. Или ограничить определенный вид использования, например, уточнение, обезличивание.

Оператор должен также организовать удаление ведомостей другими лицами, которые по поручению первого работали с данными.

Сроки уничтожения информации в зависимости от причины

Вместе с порядком уничтожения личных сведений, в ст. 21 закона 152-ФЗ указаны сроки для произведения таких действий:

  • Незаконное использование или правонарушение в отношении личных ведомостей. 3 дня на устранение противоправных действий, в случае неудовлетворительного результата – 10 дней для удаления (п.3).
  • Достижение цели обработки – 30 дней со дня установления данного факта (п.4).
  • Заявление с отказом на дальнейшую обработку сведений от субъекта – 30 дней с даты принятия отзыва (п.5).

В п.6 ст.21 закона 152-ФЗ прописано, что если оператор не в состоянии провести удаление сведений в вышеуказанные сроки, то вся информация блокируются и подлежат удалению в 6-месячный срок.

Как блокировать и уничтожить информацию на различных носителях?

Порядок блокирования или уничтожения файлов устанавливается в локальных актах оператора. Субъектом, уполномоченным проводить такие действия (администратором), может быть:

  • ответственный за обработку сотрудник, который наделен такими полномочиями по должностной инструкции;
  • комиссия, состав и порядок работы которой утвержден приказом компании-оператора.

Исходя из формулировки понятия уничтожения ведомостей в законе, можно выделить два вида удаления:

  • уничтожение сведений с невозможностью их восстановить;
  • удаление носителя.

Поскольку законодательно не определены требования для уничтожения информации, оператор самостоятельно разбирается с ликвидацией личных сведений.

На рыке работает множество компаний, готовых предоставить соответствующие услуги в разных вариациях.

На бумаге

Если хранение личных сведений производится на бумажном носителе, то операторы используют такие способы уничтожения:

  • шредирование — измельчение на специальном приборе или гидрообработка;
  • также можно прибегнуть к методу в виде термической обработки (сожжение бумаг).

Перед использованием шредера оператор вправе выбрать одну из пяти степеней конфиденциальности. Нормативно такая процедура не установлена, поэтому оператор не несет ответственности за выбор.

На электронных носителях

Различают несколько разновидностей электронных носителей, среди них:

  • дискеты и zip-диски;
  • CD и DVD диски;
  • винчестеры;
  • жесткие диски и пр.

Ранее также были актуальны кассеты, но сейчас более активно используют флеш-носители.

Для уничтожения электронного носителя необходимо оказать воздействие разрушающее химическую, магнитную и физическую составляющую объекта. Это может происходить:

  • механически – воздействие пресса, применение пескоструя, ультразвукового и электрохимического эрозирования;
  • химически – помещение объекта в агрессивную среду;
  • термически – поджег, переплав.

Применение таких способов сводит возможность считывания файлов с носителей к нулю.

Удаление из баз удаленных хранилищ

Базы удаленных хранилищ, нередко также называются «Облако», удобный способ хранение и синхронизации сведений субъекта. Удаление ведомостей из баз регулируется нормами разработчиков системы. Для этого пользователь должен ознакомиться с правилами пользования дистанционными накопителями. Обычно разработчики создают удобное руководство по пользованию, в том числе очищению баз от неиспользуемых файлов.

Другой способ уничтожить данные из хранилища – удалить само облако.

Документальное оформление

Исходя из вышеизложенных схем уничтожения персональных сведений, на разных основаниях в процессе удаления информации принимает участие юрист и администратор. Неуказанный в схемах участник – администратор безопасности. Это лицо, которое производит надзор над проводимыми действиями, следит за правильностью оформления процедуры.

После проведения процедуры составляется соответствующий акт. В нем должны содержаться такие данные:

  • наименование организации;
  • печать;
  • дата составления акта;
  • название документа;
  • перечень фактов, которые подлежат удалению;
  • вид носителя;
  • способ уничтожения.

Акт подписывается администратором — одним лицом или всеми членам комиссии, как прописано в локальных актах. Документ должен быть проверен юристом и администратором безопасности.

По результатам проверки также составляется уведомление об уничтожении персональных ведомостей для субъекта.

Документы для скачивания (бесплатно)

Нарушения порядка ликвидации ведомостей и ответственность за их совершение

За нарушение законодательства о персональной информации оператора ждет административная ответственность по пунктам 5 и 6 ст. 13.11 КоАП РФ:

  1. По п. 5 наказание наступает за несоблюдение сроков удаления и блокировки файлов. На нарушителя накладывается предупреждение, или штраф от 1000 до 2000 руб. для граждан, для должностных лиц – от 4000 до 10 000 руб., для ИП – от 10 000 до 20 000 руб., для юридических лиц – от 25 000 до 45 000 руб.
  2. По п. 6 – за неприменение средств автоматизации, которые обеспечивают сохранность сведений при хранении, если бездействие привело к незаконному использованию, если в составе нет уголовного преступления, на оператора накладывается штраф: на граждан – от 700 до 2000 руб., на должностных лиц – от 4000 до 10 000 руб., на ИП – от 10 000 до 20 000 руб., на юридических лиц – от 25 000 до 50 000 руб.

Действия, которые имеют уголовный характер, квалифицируются по ст. 137 УК РФ, как нарушение неприкосновенности частной жизни.

После отзыва разрешения на обработку персональных ведомостей, они подлежат уничтожению. О том, как составить подобный отказ расскажет автор ролика ниже.

Срок хранения персональных данных

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *