Как уничтожать документы в которых есть персональные данные сотрудников

Опубликовано: 15.05.2024

Об актуальных изменениях в КС узнаете, став участником программы, разработанной совместно с АО "Сбербанк-АСТ". Слушателям, успешно освоившим программу выдаются удостоверения установленного образца.

Программа разработана совместно с АО "Сбербанк-АСТ". Слушателям, успешно освоившим программу, выдаются удостоверения установленного образца.

По достижении цели обработки персональных данных оператор обязан уничтожить персональные данные или обеспечить их уничтожение.
Можно ли считать возврат работодателем субъекту его документов (копий), содержащих персональных данных, равнозначным уничтожению персональных данных?

Согласно ч. 7 ст. 5 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ) достижение целей обработки персональных данных или утрата необходимости в достижении этих целей является одним из оснований для их уничтожения. При этом максимальный срок уничтожения персональных данных составляет тридцать дней с даты достижения цели, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом (ч. 4 ст. 21 Закона N 152-ФЗ). В случае отсутствия возможности уничтожения персональных данных в течение установленного срока, оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами (ч. 6 ст. 21 Закона N 152-ФЗ).
Отметим, что Закон N 152-ФЗ не регламентирует процедуру уничтожения персональных данных. В п. 8 ст. 3 Закона N 152-ФЗ приведено лишь определение уничтожения персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных (п. 8 ст. 3 Закона N 152-ФЗ). Роскомнадзор разъяснил, что порядок документальной фиксации уничтожения персональных данных субъекта определяется оператором персональных данных самостоятельно. Уничтожение персональных данных субъекта осуществляется комиссией либо иным должностным лицом, созданной (уполномоченным) на основании приказа оператора. Наиболее распространенными способами документальной фиксации уничтожения персональных данных субъекта является оформление соответствующего акта о прекращении обработки персональных данных либо регистрация факта уничтожения персональных данных в специальном журнале. Типовая форма акта и журнала утверждаются самим оператором (смотрите ответ от 09.02.2012).
Поскольку в результате уничтожения персональных данных ликвидируются сами материальные носители, содержащие конфиденциальную информацию, то такое действие возможно лишь в отношении тех документов, которые имеются в распоряжении оператора, в рассматриваемом случае - работодателя. При этом уничтожение документа не тождественно выдаче его на руки работнику субъекту персональных данных. В последнем случае материальный носитель не прекращает свое физическое существование, а выбывает из владения оператора и переходит во владение самого субъекта, который управомочен распорядиться им по своему усмотрению. Подчеркнем, что действующее законодательство не запрещает работодателю по просьбе работника выдавать ему на руки документы (копии документов), которые предоставлялись работником в связи с работой в данной организации, помимо тех, выдача которых обязательна (часть четвертая ст. 84.1 ТК РФ).

Ответ подготовил:
Эксперт службы Правового консалтинга ГАРАНТ
Амирова Лариса

Ответ прошел контроль качества

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг.

Все права на материалы сайта ГАРАНТ.РУ принадлежат ООО "НПП "ГАРАНТ-СЕРВИС". Полное или частичное воспроизведение материалов возможно только по письменному разрешению правообладателя. Правила использования портала.

Портал ГАРАНТ.РУ зарегистрирован в качестве сетевого издания Федеральной службой по надзору в сфере связи,
информационных технологий и массовых коммуникаций (Роскомнадзором), Эл № ФС77-58365 от 18 июня 2014 года.

ООО "НПП "ГАРАНТ-СЕРВИС", 119234, г. Москва, ул. Ленинские горы, д. 1, стр. 77, info@garant.ru.

8-800-200-88-88
(бесплатный междугородный звонок)

Редакция: +7 (495) 647-62-38 (доб. 3145), editor@garant.ru

Отдел рекламы: +7 (495) 647-62-38 (доб. 3136), adv@garant.ru. Реклама на портале. Медиакит

Если вы заметили опечатку в тексте,
выделите ее и нажмите Ctrl+Enter

Сохранности персональных данных стоит уделить особое внимание, так как с прошлого года законодатель ужесточил ответственность для работодателя за несоблюдение обязанности по их защите. В статье расскажем, что считается персональными данными, какие обязанности по их защите установлены для работодателей и как организовать правильный учет и хранение персональных данных сотрудников.

Систематизируйте или обновите знания, получите практические навыки и найдите ответы на свои вопросы на курсах повышения квалификации в Школе бухгалтера. Курсы разработаны с учетом профстандарта «Бухгалтер».

Работодатель, принимая сотрудника на работу, должен запросить у него определенные сведения, которые необходимы в рамках трудового, налогового и бухгалтерского законодательства. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» требует от работодателя, который в данном случае является оператором персональных данных и выполняет их обработку, обеспечить безопасность этой информации.

Какие данные являются персональными

Персональными данными является любая информация, прямо или косвенно относящаяся к субъекту персональных данных — определенному или определяемому физическому лицу (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее — Закон о персональных данных).

К общим персональным данным можно отнести следующие сведения:

фамилия, имя, отчество;
дата и место рождения;
адрес (место регистрации);
образование, профессия;
изображение человека (фотография и видеозапись), которое позволяет установить личность и с этой целью используется оператором (Разъяснения Роскомнадзора от 30 августа 2013 года «О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки»);
семейное положение, наличие детей, родственные связи;
факты биографии и предыдущая трудовая деятельность (место работы, судимость, служба в армии, работа на выборных должностях, на государственной службе и др.);
финансовое положение. Сведения о заработной плате также являются персональными данными (письмо Роскомнадзора от 07.02.2014 № 08КМ-3681);
деловые и иные личные качества, которые носят оценочный характер;
прочие сведения, которые могут идентифицировать человека.

Кроме того, в Законе о персональных данных упоминаются:

специальные персональные данные (касаются расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни). По общему правилу обработка этих данных не допускается. Исключение — случаи, предусмотренные частью 2 статьи 10 Закона о персональных данных;
биометрические персональные данные (характеризуют физиологические и биологические особенности человека, на основании которых можно идентифицировать его личность). Для обработки таких сведений необходимо согласие субъекта персональных данных. Исключение — случаи, установленные ч. 2 ст. 11 Закона о персональных данных.

Работодатель вправе получать и использовать только те сведения, которые характеризуют гражданина как сторону трудового договора (например, сведения о социальном и имущественном статусе человека не имеют отношения к его трудовому процессу). Эта информация содержится в следующих документах, предъявляемых работником при приеме на работу:

в паспорте или ином документе, удостоверяющем личность;
трудовой книжке;
документах о воинском учете, образовании, составе семьи;
справке о доходах с предыдущего места работы;
анкете, заполняемой при трудоустройстве;
личной карточке работника (форма Т-2);
свидетельствах о заключении брака, рождении ребенка;
медицинских справках и др.

У работодателя хранятся копии перечисленных документов, за исключением анкет, трудовых книжек и личных карточек.

Обработка персональных данных

Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение данных (ст. 3 Закона о персональных данных).

Закон о персональных данных обязывает работодателя соблюдать определенные требования по обработке этих данных. Например, обработка персональных данных осуществляется только с согласия работника (п. 1 ст. 6, ст. 9 Закона о персональных данных). Во избежание судебных споров лучше, если это согласие будет оформлено письменно. То же самое правило действует в отношении соискателей.

В некоторых случаях письменная форма согласия прямо предусмотрена законом (ч. 4 ст. 9 Закона о персональных данных). Например, письменное согласие работника на обработку его персональных данных требуется:

1) при получении персональных данных работника у третьей стороны (п. 3 ст. 86 ТК РФ). Но в этом случае работника нужно предварительно уведомить об этом и получить его письменное согласие (п. 3 ст. 86 ТК РФ).

В уведомлении необходимо указать (п. 3 ст. 86 ТК РФ):

цели получения персональных данных работника у третьего лица;
предполагаемые источники информации (лица, у которых будут запрашиваться данные);
способы получения данных, их характер;
возможные последствия отказа работодателю в получении персональных данных работника у третьего лица. При отказе работника ознакомиться с уведомлением о предполагаемом получении его персональных данных у другого лица целесообразно составить соответствующий акт.

Если работник передумал, то в любое время вправе отозвать согласие на обработку персональных данных (ч. 2 ст. 9 Закона о персональных данных).

В такой ситуации продолжение обработки персональных данных работника без его согласия возможно при наличии веских причин. Они перечислены в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10, части 2 статьи 11 Закона о персональных данных (ч. 2 ст. 9 Закона о персональных данных).

Определенную информацию (которая не имеет отношения к перечисленным в пункте 1 статьи 86 ТК РФ целям), работодатель не вправе запрашивать у третьих лиц даже, если работник согласен.

2) при передаче персональных данных работника третьим лицам, кроме тех случаев, когда это необходимо для предупреждения угрозы жизни и здоровью работника (абз. 2 ст. 88 ТК РФ);

3) для обработки специальных категорий персональных данных работника, непосредственно связанных с вопросами трудовых отношений (п. 4 ст. 86 ТК РФ, п. 1 ч. 2 ст. 10 Закона о персональных данных). К этим данным относятся сведения о расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни.

При недееспособности работника письменное согласие на обработку его данных дает его законный представитель (родитель, опекун) (ч. 6 ст. 9 Закона о персональных данных). А в случае смерти работника такое согласие оформляют его наследники, если только оно не было получено от самого работника при его жизни (ч. 7 ст. 9 Закона о персональных данных).

Не во всех случаях требуется согласие работника на обработку персональных данных. Например, в том случае, если данные получены (п. 2 ч. 1 ст. 6, п. 2.3 ч. 2 ст. 10 Закона о персональных данных, абз. 1 Разъяснений Роскомнадзора):

из документов (сведений), предъявляемых при заключении трудового договора;
по результатам обязательного предварительного медицинского осмотра о состоянии здоровья (ст. 69 ТК РФ, п. 3 Разъяснений Роскомнадзора от 14 декабря 2012 года «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве», далее — Разъяснения Роскомнадзора от 14.12.2012);
в объеме, предусмотренном унифицированной формой № Т-2, в том числе персональных данных близких родственников, и в иных случаях, установленных законодательством РФ (получение алиментов, оформление допуска к государственной тайне, оформление социальных выплат) (п. 2 Разъяснений Роскомнадзора от 14.12.2012);
от кадрового агентства, действующего от имени соискателя (абз. 12 п. 5 Разъяснений Роскомнадзора от 14.12.2012);
от соискателя, который сам разместил свое резюме в Интернете, сделав его доступным неограниченному кругу лиц (п. 10 ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ, абз. 12 п. 5 Разъяснений Роскомнадзора от 14.12.2012).

Работодатель с согласия работника может поручить обработку его персональных данных другому лицу (ч. 3 ст. 6 Закона о персональных данных, абз. 2 п. 5 Разъяснений Роскомнадзора от 14.12.2012). Но при этом именно работодатель несет ответственность перед работником за действия указанного лица (ч. 5 ст. 6 Закона о персональных данных).

Вебинары для бухгалтеров в Контур.Школе: изменения законодательства, особенности бухгалтерского и налогового учета, отчетность, зарплата и кадры, кассовые операции.

Организация учета и хранения персональных данных

Работодатель должен обеспечивать защиту персональных данных работника от неправомерного их использования или утраты за счет своих средств (п. 7 ст. 86 ТК РФ).

Разберем пошагово действия работодателя по учету и хранению персональных данных в организации.

Шаг 1. Работодатель должен издать локальный акт, который будет регулировать порядок хранения и использования персональных данных. Таким актом обычно является Положение о персональных данных работников, с которым работники должны быть ознакомлены под подпись (п. 8 ст. 86 ТК РФ). Ознакомиться с Положением о персональных данных, как и с остальными локальными нормативными актами, работник должен до подписания трудового договора (ст. 68 ТК РФ). Ознакомить работника с документом путем рассылки его по электронной почте нельзя, это не будет считаться ознакомлением под подпись. При отсутствии подписи работника работодатель не сможет доказать, что работник был ознакомлен с данным документом.

Положение о персональных данных, как и любой другой локальный нормативный акт, издается и утверждается приказом, который подписывает руководитель организации или иное уполномоченное на это лицо.

В случае проверки организации, проверяющие органы могут запросить данный документ и проверить, ознакомлены ли с ним работники. Отсутствие такого документа или неознакомление работников с ним может являться основанием для привлечения работодателя к ответственности согласно части 1 статьи 5.27 КоАП РФ, а в случае совершения аналогичного нарушения повторно — по части 2 статьи 5.27 КоАП РФ. Такой вывод также подтверждается судебной практикой (Постановление ФАС Московского округа от 26.10.2006 № КА-А40/10220-06 № А40-20745/06-148-194).

Шаг 2. Работодатель утверждает документ, содержащий перечень персональных данных, которые используются в деятельности организации. В этот документ включаются все сведения, которые работник письменно сообщает о себе при поступлении на работу, а также используемые в дальнейшем при оформлении кадровой документации.

Помимо этого в перечне должны быть указаны документы, содержащие те сведения о сотрудниках, которые организация представляет в различные государственные органы (налоговую и трудовую инспекции, органы статистики).

Шаг 3. Работодатель приказом должен назначить ответственных за работу с персональными данными и ответственных за обеспечение безопасности персональных данных. Таким ответственным может быть как конкретное лицо, так и подразделение. В последнем случае личную ответственность несет руководитель такого подразделения. Этот приказ необходимо довести до сведения всех указанных в нем сотрудников, что должно подтверждаться их подписью.

Шаг 4. На случай проверки во избежание споров с проверяющими лучше подготовить следующие документы:

заявления работников о согласии на обработку персональных данных;
журналы учета персональных данных, их выдачи и передачи другим лицам и представителям различных организаций, государственным органам;
журнал проверок наличия документов, содержащих персональные данные работника.

Шаг 5. Приказом руководителя организации установить перечень мест хранения документации, являющейся носителем персональных данных работников, а также перечень мер, необходимых для обеспечения сохранности персональных данных, порядок их принятия. Все документы, содержащие персональные данные работников, такие как личные дела, картотеки, учетные журналы, следует хранить в специально оборудованных шкафах или сейфах, которые запираются и опечатываются. Трудовые книжки работников нужно хранить в сейфе отдельно от личных дел.

Подведем итоги

Что можно порекомендовать работодателям во избежание привлечения к ответственности, а также дополнительных затрат в случае проведения проверок? Обязательно проверьте:

Прием обращений граждан (автоответчик) (843) 528-04-39

"Горячая линия" для редакций СМИ и журналистов (843) 528-04-33

Вопрос: Как документально оформить факт уничтожения персональных данных субъекта?

Ответ: Порядок документальной фиксации уничтожения персональных данных субъекта определяется оператором персональных данных самостоятельно. Уничтожение персональных данных субъекта осуществляется комиссией либо иным должностным лицом, созданной (уполномоченным) на основании приказа Оператора. Наиболее распространенными способами документальной фиксации уничтожения персональных данных субъекта является оформление соответствующего акта о прекращении обработки персональных данных либо регистрация факта уничтожения персональных данных в специальном журнале. Типовая форма акта и журнала утверждаются самим Оператором.

Дополнение к ответу: С целью исключения ошибочного уничтожения документов (носителей), содержащих персональные данные физических лиц (субъектов персональных данных), на момент утверждения Акта не подлежащих уничтожению (например: не истекли установленные сроки хранения, нет факта утраты необходимости в достижение цели, цели обработки не достигнуты), необходимо учесть обязательные требования законодательства Российской Федерации в области персональных данных и других, определяющих случаи и особенности обработки персональных данных федеральных законов. Оператору целесообразно:

определить состав комиссии (основание - приказ Оператора) с обязательным включением лица, ответственного за обработку документов планируемых к уничтожению (по направлению деятельности, в пределах установленных полномочий);
определить перечень, оформить список документов, подлежащих уничтожению, согласно установленных действующими нормативными правовыми актами сроков, например:
- Федеральным законом от 27.07.2006г. № 152-ФЗ «О персональных данных»;
- Федеральным законом от 22.10.2004г. № 125-ФЗ «Об архивном деле в РФ»;
- Приказом Министерства культуры РФ от 25.08.2010 г. № 558 «Об утверждении «Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения» (Номенклатура дел, утверждаемая оператором ежегодно);
- другими, определяющими случаи и особенности обработки персональных данных федеральными законами;
после утверждения акта, перечисленные документы (носители) должны быть сверены с записями в акте и на указанных документах (носителях), далее персональные данные должны быть уничтожены, определенным и утвержденным Оператором способом уничтожения, путем: разрезания, сжигания, механического уничтожения, сдачи предприятию по утилизации вторичного сырья, либо стирания на устройстве гарантированного уничтожения информации и т.п.);
уничтоженные документы (носители), содержавшие персональные данные, с книг и журналов учета (регистрации) данных документов (носителей) должны быть списаны.

Вопрос: Из Федерального закона «О персональных данных» и подзаконных актов не ясен конкретный перечень внутренних документов, которые должна разработать организация. Какой необходимый минимальный комплект документов Вы рекомендуете разработать?

Ответ: Жестких требований о количестве подлежащих разработке локальных актов оператора действующим законодательством не установлено.

Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных законодательством Российской Федерации в области персональных данных. Это меры организационного, правового и технического характера.

Практика реализации этих мер сформировала необходимый минимум документов, который должен быть принят оператором, это:

Дополнение к ответу: Постановлением Правительства Российской Федерации от 21.03.2012 г. № 211 утвержден Перечень мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами

Обращаем Ваше внимание, что типовые формы документов, характер информации в которых предполагает или допускает включение в них персональных данных, могут храниться в формате цифровых копий при соблюдении требований к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 01.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и принятых на его основе нормативно-правовых актов ФСБ России и ФСТЭК России, например:

Вопрос: в каком виде должны направляться собственникам помещений платежные документы об оплате коммунальных услуг?

Ответ: Пунктом 69 Правил предоставления коммунальных услуг собственникам и пользователям помещений в многоквартирных домах и жилых домов, утвержденных постановлением Правительства Российской Федерации от 6 мая 2011 г. № 354 «О предоставлении коммунальных услуг собственникам и пользователям помещений в многоквартирных домах и жилых домов», установлен перечень сведений, содержащихся в платежном документе, в том числе, включающий почтовый адрес жилого помещения, фамилию, имя и отчество собственника или нанимателя жилого помещения.

В соответствии со ст. 7 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. При доставке платежных документов в открытом виде до почтовых ящиков персональные данные жильцов не защищены от случайного к ним доступа третьих лиц

В силу пункта 3 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. К таким мерам могут относиться применение правовых, организационных и технических мер по обеспечению безопасности персональных данных. В целях соблюдения конфиденциальности персональных данных при доставке платежных документов и исключения возможности ознакомления третьих лиц с содержащимися в них сведениями используются различные способы - вложение указанных документов в конверт, бесконвертное склеивание, когда платежный документ складывается и запечатывается, и прочие.

Для решения вопроса о достаточности принимаемых операторами мер по защите персональных данных при доставке до почтовых ящиков необходимо оценивать все фактические обстоятельства, в том числе условия договоров об оказании услуг, заключенных между собственниками жилья и управляющими компаниями или ТСЖ, содержание письменного согласия граждан на обработку их персональных данных, привлечение оператором уполномоченных работников или третьих лиц, способ доставки счетов, и иные.

Если компания больше не нуждается в информации о своих сотрудниках или клиентах, то она обязана уничтожить носители с персональными данными этих лиц. Это нужно сделать, чтобы информация не попала к злоумышленникам. Уничтожение должно сопровождаться работой специально созданной комиссии, а также составлением и подписанием соответствующего акта. Как правильно его оформить, читайте в статье.

Бланк и образец
Бесплатная загрузка
Онлайн просмотр
Проверено экспертом

Общий порядок действий с документами содержащими ПД

ПД хранятся не дольше, чем этого требуют цели их обработки, и подлежат уничтожению. Для этого существует следующий порядок действий:

Носители, в которых содержится персональная информация, подлежат уничтожению, согласно утверждённому приказу руководителя организации. Занимается уничтожением специальная комиссия.
Распространители, содержащие ПД, удаляются в срок, который не превышает 30 дней с момента достижения цели обработки личных данных или утраты необходимости в их достижении.
Комиссия выполняет отбор машинопечатных и бумажных носителей ПД, которые подлежат удалению.
На отобранные к уничтожению распространители составляется акт. В акте исправления не допускаются.
Комиссия выполняет проверку всех носителей, занесенных в акт.
По окончании сверки в акт подписывают всех членом комиссии, а затем его утверждает руководитель организации.
Распространители ПД, подлежащие удалению и включённые акт, после сверки комиссией складывают в нужное место и опечатывают.
Персональные данные могут быть уничтожены любым способом, который не позволит провести их дальнейшую обработку.

Порядок уничтожения персональных данных

Для сведения к минимуму ошибок при процедуре при ее осуществлении необходимо соблюдать определенный законодательством порядок:

В компании приказом руководства должна быть создана специальная комиссия для выявления неактуальных персональных данных и последующего их уничтожения и составления сопроводительного акта. К такому делу чаще всего привлекают сотрудников кадрового отдела, бухгалтерии, делопроизводителей.
Комиссия выявляет список необходимых для ликвидации документов и проводит процедуру уничтожения.
Комиссия составляет акт с перечнем уничтоженных документов. Функция этой бумаги — удостоверить, что процедура была совершена по всем правилам. Члены комиссии в подтверждение этого ставят на акте свои подписи.
Уничтоженные бумажные носители с персональными данными должны быть списаны с различных книг и журналов учета подобного рода документов.

Важно! Если из организации увольняются сотрудники, то оригиналы, а в некоторых случаях еще и копии документов должны быть выданы им на руки, уничтожению подвергаются только копии документов и только после определенного срока хранения. То же самое касается клиентов компании.

Оформление сопровождения процедуры

Удаление носителей, содержащих личные данные, происходит под контролем специальной Комиссии. Она создаётся приказом руководителя организации. Во время манипуляции составляется акт об уничтожении ПД. После составления акта в течение 3-х дней направляются на утверждение руководителю организации.

Внимание! После его утверждения хранится акт в сейфе у руководителя соответствующего подразделения.

Факт удаления носителя с персональными данными заносится в «Журнал регистрации носителей информации, содержащих ПД и иную конфиденциальную информацию», где в графе «Дата и номер акта уничтожения» вносятся соответствующие данные. Этот журнал является конфиденциальной документацией и вместе с актами уничтожения его хранят в сейфе

Законодательное регулирование

Самый главный нормативный акт в данной сфере — это закон «О персональных данных» — ФЗ №152 от 27.07.2006 года. Он содержит информацию об условиях обработки, хранении сведений, правах и обязанностях оператора и субъекта персональных данных и т.д. Именно на этот документ нужно ссылаться при составлении акта об уничтожении персональных данных.

Кроме того, в зависимости от ситуации можно обращаться к другим законодательным документам, посвященным сфере работы с персональными сведениями физических лиц.

В отношении ответственности и контроля в данной области ужесточились нормы, они прописаны в Постановлении Правительства №146 от 13.02.2019 г.

Акт об удалении

Об удалении носителей комиссия составляет и подписывает соответствующий акт. Его отправляют на утверждение руководителю организации. В акте указываются следующие сведения:

дату, место и время уничтожения персональных данных;
должности, фамилии, инициалы членов комиссии;
вид и количество уничтожаемых носителей, содержащих персональные данные физических лиц;
основание удаления персональных данных;
способ уничтожения.

Общие сведения

Персональные данные — это любая информация, относящаяся к физическому лицу (клиенту или сотруднику предприятия). К персональным данным относятся ФИО, место и дата рождения, семейное положение, сведения об имуществе и т.д.

Любое учреждение, юридическое лицо или ИП, производящее обработку персональных данных, называется оператором персональных данных.

Уничтожение персональных данных — это действия, итогом которых будет невозможность восстановления сведений о физических лицах — уничтожение материальных носителей информации. Такие процедуры проводят, когда данные теряют актуальность (сотрудник уволился, работа с клиентом закончена) либо субъект отозвал согласие на обработку персональных данных и т.д.

Как удалить из различных носителей: пошаговая инструкция

Из Интернета

В зависимости от типа носителя, существует свой способ удаления ПД из интернета:

Google.
Необходимо зайти на страницу с настройками и нажать «закрыть аккаунт и удалить все службы и сведения, связанные с ним». Этот шаг считается самым радикальным, но при этом действенным, на случай, если вы желаете навсегда удалить следы своего нахождения в сети.
Вконтакте.
Зайти на страницу личных настроек, «промотать» до конца и нажать на ссылку «удалить свою страницу». Теперь нужно указать причину такого решения и написать последнее сообщение бывшим друзьям. Но это делается пожеланию. Можно просто удалить страницу и все данные, без каких-либо объяснений.
Facebook.
Удаление личных данных из этой социальной сети происходит немного сложнее. Так как эта компания не собирается хранить ПД в течение нескольких лет, а разгребать запросы на составления у них нет времени, так что перед стиранием аккаунта желательно сохранить его копию. Для этого предстоит перейти на страницу с настройками и внизу из перечня общих настроем выбрать «Загрузить копию».

После этого вы можете скачать единым архивом фото, лайки, историю переписок и список друзей. Сюда же входит техническая информация по IP входа и coockies. Теперь через поисковую систему нужно отыскать «удаление аккаунта». Удаленные сведения будут находиться на хранении в «резерве» от 1 до 3-х месяцев.

По истечении этого времени все данные будут утрачены безвозвратно. Но есть другой, менее “кровавый” методу. Для этого выбрать в настройках аккаунта пункт «Безопасность», а затем кликните «Деактиворовать аккаунт».Эта операция позволит скрыть всю вашу персональную информацию, включая «список друзей»,

Из бумажного

Когда срок хранения документации подошёл к концу, то удаление происходит методом измельчения на мелкие части или же другим способом, исключающим возможность дальнейшего восстановления информации. Бумажные носители могут сжигаться.

Из электронного

По завершении указанных сроков хранения машинные носители ПД, подлежащие уничтожению, физически удаляются с целью невозможности восстановления и последующего использования. Достичь это можно путем деформирования, нарушения единой целостности носителя и его сжигания. Файлы, подлежащие уничтожению и находящиеся на жёстком диске компьютера, удаляют средствами операционной системы с дальнейшим очищением корзины.

Удаление личных данных – это процедура уничтожения с невозможностью дальнейшего использования и обработки. Способ уничтожения зависит от того, какой тип носителя был использован для хранения ПД. Все манипуляции, совершаемые специальной комиссией, должны быть вписаны в соответствующий акт.

Порядок утилизации персональных данных

Для того, чтобы минимизировать риски наступления административных или даже уголовных последствий, уничтожение персональных данных должно проходить строго по определенной законодательством процедуре.

На первом этапе приказом руководителя создается специальная комиссия. В ее задачи входит нахождение устаревших и неактуальных персональных данных, создание списка документов и носителей, в которых они содержатся, сам процесс элиминации и составление соответствующего акта. В состав комиссии входят руководитель и не менее двух сотрудников. Обычно для этой цели привлекают бухгалтеров, сотрудников отдела кадров или делопроизводителей.

При этом необходимо иметь в виду, что для некоторой информации, которая может быть отнесена к персональным данным, законодательно установлены более длительные сроки хранения. После увольнения сотрудника, работодатель должен уничтожить даже копии документов, содержащих его паспортные данные, номера СНИЛС и ИНН и т.д. Однако, согласно ст. 17 и 22.1 Федерального закона от 22 октября 2004 г. № 125-ФЗ “Об архивном деле в Российской Федерации”, работодатель обязан хранить документы, подтверждающие факт работы, документы о заработной плате, об отчислениях в ПФР и т.п. в течение 75 лет. Следовательно, они не подлежат уничтожению, даже если сотрудник уже не работает в компании.

После проведения процедуры элиминации персональных данных, в задачи комиссии входит не только составление акта с указанием уничтоженных носителей, но и отслеживание того, чтобы они были списаны в соответствующих журналах и книгах учета.

Статья 9 закона № 152 о согласии субъекта персональных данных на обработку ПД

Субъект должен предоставить персональные данные по собственной воле. Предоставление согласия должно быть максимально понятным и подробным. Предоставить согласие субъект в праве через своего представителя в любой форме, если иное не предусмотрено законом. При предоставлении ПД представителем субъекта, необходимо осуществить проверку полномочий представителя. Проверку выполняет оператор.

Субъект ПД имеет право отозвать согласие на обработку персональных данных. Оператор имеет право продолжить обработку персональных данных без получения одобрения, если на то имеются основания, соответствующие статьям упомянутого Федерального закона, а именно статье 6, статье 10, статье 11.

Подтверждение согласия от субъекта персональных данных или получение доказательств оснований на продолжение обработки без него остается заботой оператора.

Если обработка касается случая, предусмотренного Федеральным законом, субъект должен предоставить согласие на обработку персональных данных в письменной форме. Документ может быть предоставлен как в электронной форме, так и на бумажном носителе. Оба документа заверяются подписью. На документе, полученном в цифровом видео, субъект оставляет электронную подпись.

Информация о согласии на обработку персональных данных должна включать следующие пункты:

ФИО субъекта персональных данных, его адрес, сведения о документе, удостоверяющем личность.

Для случая предоставления информации представителем уполномоченное лицо также должно указать свои ФИО, адрес, сведения о документе, подтверждающем личность, сведения о документе, способном удостоверить факт получения полномочий, в том числе реквизиты.

Полная информация об операторе, который получил согласие (разрешение) на обработку персональных данных.

В обязательном порядке указывается цель обработки персональных данных.

Приводится вся информация, которую субъект готов предоставить оператору.

При необходимости передачи полномочий на обработку персональных данных другому лицу оператор обязан предоставить подробную информацию, в том числе наименование и адрес.

Документ должен содержать список операций для обработки персональных данных, одобренных со стороны субъекта. Каждое действие (операция) должно иметь общее описание.

Для согласия устанавливается конкретный срок и описывается способ его отзыва.

Подпись субъекта, удостоверяющая заверение документа.

Когда требуется прибегнуть к услугам государственного или муниципального учреждения (организации), согласие на обработку данных можно получить в порядке, который установлен правительством РФ. Согласие за недееспособного субъекта может дать его представитель. В случае смерти субъекта дать разрешение на обработку персональных данных могут его наследники.

Оператор может получить персональные данные от лица, которое не является субъектом, если им будут предоставлены основания, указанные в статье 6, статье 10 и статье 11 Федерального закона № 152 РФ.

Способы уничтожения

Способы, которыми проводится уничтожения носителей персональных данных, зависят от вида самого носителя. Но все они должны отвечать одному правилу – невозможности восстановления содержащихся на них данных.

Для бумажных носителей можно применять:

измельчение (ножницами или шредером);
сжигание;
гидрообработку (смешивание).

Машиночитаемые носители могут быть:

физически повреждены (согнуты, сломаны, сильно поцарапаны);
сожжены;
размагничены (подвергнуты химическому воздействию в агрессивных средах);
отформатированы.

Файлы, содержащиеся на жестком диске компьютера, удаляют методами операционной системы.

За эффективность процесса уничтожения несут ответственность члены комиссии.

Основные понятия Федерального закона № 152

Ключевые положения приведены в статье 3:

Персональные данные являются сведениями, которые прямо или косвенно относятся к конкретному физическому лицу, субъекту персональных данных. К ним можно отнести любые сведения, позволяющие установить личность лица, в том числе номер мобильного телефона.
Оператором может быть юридическое или физическое лицо. В том числе госорганизация.
Обработку персональных данных следует трактовать, как действия, предполагающие задействование средств автоматизации, в том числе запись, хранение, актуализацию, анонимизацию, дальнейшую передачу персональных данных другим лицам (организациям), удаление и т.д. Обработка персональных данных может также производиться ручными методами.
Под автоматизированной обработкой персональных данных принято понимать действия, при которых используется вычислительная техника.
Под передачей и распространением персональных данных в статье 3 Федерального закона № 152 понимается действие, которое направлено на раскрытие сведений сторонним лицам и организациям.
Под предоставлением персональных данных понимаются действия, которые направлены на раскрытие сведений определенным лицам (организациям).
Блокирование персональных данных – остановка оператором работы с информацией.
Уничтожение персональных данных – операции, целью которых является полное стирание информации, после чего данные уже невозможно восстановить в информационной системе. Это уничтожение цифровых данных и сведений на физических носителях.
Под анонимизацией персональных данных понимаются операции, которые направлены на обезличивание информации, в результате чего становится невозможно установить принадлежность сведений к конкретному лицу (организации).
В законе также дано понятие трансграничной передачи персональных данных. Такие действия подразумевает передачу данных лицам, компаниям и организациям других стран. Под такими действиями принято понимать предоставление данных лицам и организациям иных государств.

Как составить акт уничтожения персональных данных

Форма такого акта законодательно не установлена. Тем не менее она должна подчиняться правилам деловой корреспонденции. Документ не должен содержать орфографических ошибок. Составлять его можно как от руки, так и на компьютере. На простом листе бумаги или на фирменном бланке.

В последние годы вопрос о персональных данных стал крайне острым ввиду активной цифровизации, а следовательно, и с ростом рисков по утечке и мошенническом использовании информации. При проведении проверок инспекторы обращают внимание на документы, относящиеся к персональным данным, их наличие, хранение, согласие работников на обработку и т.д.

Что такое персональные данные и что к ним относят

Персональные данные — это любая информация, прямо или косвенно относящаяся к физическому лицу, и позволяющая его определить. Это из статьи 3 ФЗ «О персональных данных», от 27.07.2006 № 152-ФЗ (далее — Закон).

К персональным данным, согласно данному закону, относят:

фамилия, имя, отчество;
место, дата рождения;
место постоянной или временной регистрации;
фотография или видеозапись человека, позволяющие идентифицировать человека;
сведения о детях, родственниках, семейном положении;
сведения о заработной плате;
оценка навыков, личностных качеств;
индивидуальные личные данные (раса, национальность, политические или религиозные взгляды, философские убеждения; состояние здоровья);
информация о судимостях, или их отсутствии;
номер телефона, адрес электронной почты, иные идентификаторы в соц. сетях или мессенджерах;
паспортные данные, СНИЛС, ИНН (хотя с ИНН вопрос спорный);
биометрические данные.

Но стоит учитывать, что некоторые из этих данных сами по себе, без связки с другими данными, персональными являться не могут. Если номер телефона сам по себе не является персональными данными, то в базе оператора, с указанием ФИО владельца — является. Адрес электронной почты в формате petrov_sergey_1987@mail.ru — тоже относится к персональным данным, как и ФИО, с привязкой к ИНН, номеру телефона или месту регистрации.

Также существует классификация персональных данных. Их подразделяют на:

общедоступные;
специальные;
биометрические;
иные.

Такая классификация дана в Постановлении Правительства от 1 ноября 2012 г. № 1119.

Немного подробнее по каждой категории.

Общедоступные — те, на доступ к которым дано согласие субъекта персональных данных, а не те, которые можно найти в общем доступе в интернете.

Специальные — информация о расе, национальности и религии; политических и философских взглядах, здоровье, подробностях личной жизни,

Биометрические — информация о физиологических и биологических особенностях человека. Это отпечатки пальцев, генетическая информация, рисунок радужной оболочки глаз, образцы голоса, фотографии.

Но здесь тоже важна определенная привязка к личности. Например, отпечаток пальца, используемый для идентификации сотрудника для входа в офис. Или скан радужной оболочки глаза.

К иным данным относится все остальное. Это как папка «разное» на большинстве компьютеров. Это электронная почта или геолокация,

информация о принадлежности к определенной социальной группе,

стаж работы и пр.

Также стоит упомянуть, кто является субъектом персональных данных, а кто оператором. Соответственно, субъект — физическое лицо, чьи данные обрабатывают. К примеру, собирают и хранят. А оператор персональных данных — юридические лица, государственные организации или ведомства. Они данные собирают, обрабатывают, хранят , передают и уничтожают .

Обратите внимание! Уничтожение персональных данных должно происходить таким образом, чтобы впоследствии ими не могли воспользоваться ни злоумышленники, ни нечистоплотные сотрудники организации, а у проверяющих не оставалось сомнений в законности процедуры. Делис Архив проведет экспертизу документов, отбор и уничтожение, предоставит все подтверждающие документы и уничтожит документы, содержащие конфиденциальную информацию. Подробнее .

Обработка персональных данных

Любой договор с физлицом, содержащий его личные данные (а он и будет их содержать, если это не публичная оферта), должен в обязательном порядке содержать раздел о персональных данных. Без письменного согласия человека, обработка персональных данных оператором, а также их передача третьим лицам — запрещена.

Вообще, обработка персональных данных — это вообще любые действия, которые с ними делают. Сюда входит:

сбор;
передача;
запись;
хранение;
извлечение;
изменение;
обезличивание;
анализ;
удаление.

В свою очередь, обработка может осуществляться тремя путями:

Автоматизированная — с помощью средств вычислительной техники. Это компьютеры, телефоны и другие электронные устройства, базы данных, криптографические средства защиты, программы, скрипты.
Смешанная — обработка человеком при участии средств вычислительной техники. Например, когда в бухгалтерии вбивают в программу данные из бумажного заявления на отпуск.
Неавтоматизированная — без автоматизации.

После того, как персональные данные обработаны они отправляются на хранение в архив. Это может быть и отдельное специализированное помещение (если речь о бумажных документах) и электронное хранилище (например, облачное). В любом случае вам впоследствии нужно иметь возможность оперативно найти данные и уничтожить их (по требованию субъекта) или передать (в силу закона).

Чтобы поиск не стал квестом, рекомендуем правильно организовать архив, как обычный, так и электронный. Как это сделать знают специалисты Делис Архив .

Что будет, если нарушить законодательство о персональных данных

Следит за соблюдением законодательства в этой сфере организация, которая у многих на слуху — Роскомнадзор. Применяемая статья — 13.11 КоАП.

обработка ПД, несовместимая с целью сбора — штраф до 3 тыс. для граждан, до 10 тыс. на должностных лиц, до 50 тыс. — на организации .
обработка ПД без письменного согласия субъекта — штраф для граждан до 5 тыс., до 20 тыс. на должностных лиц, до 75 тыс. на организации .
неопубликование документа о политике оператора в отношении обработки ПД — штраф для граждан до 1,% тыс руб., для должностных лиц до 6 тыс., для ИП до 10 тыс., а для юрлиц — до 30 тыс .

Если собирать персональные данные о гражданах РФ на серверы, расположенные за пределами РФ — штраф до 6 миллионов.

Что делать, чтобы не попасть под штрафы

Чтобы собирать, хранить и обрабатывать ПД, нужно соблюдать требования Закона № 152-ФЗ. Краткий чек-лист:

Зарегистрироваться в Роскомнадзоре, как оператор персональных данных.
Запрашивать разрешение на сбор и обработку данных у субъектов и не собирать с них лишние данные.
Отвечать на обращения субъектов и предоставлять им всю информацию.
Собирать и хранить информацию только для достижения определенных целей, и на определенный срок.
Хранить и защищать ПД по закону, обеспечивать сохранность, тайну и точность данных, не передавая третьим лицам. А если передавать, то только с документальным подтверждением и только аттестованным.
Уточнять, блокировать или уничтожать ПД по заявлению субъектов или когда достигли целей их сбора.

Все нужна регистрация в Роскомнадзоре?

Может возникнуть ощущение, что уже давно всем работодателям нужно бежать в Роскомнадзор и регистрироваться как оператору персональных данных. Однако это не так. Вот исключения:

сбор персональных данных гражданина оператором осуществляется в связи с установлением трудовых отношений;
персональные данные собираются с целью заключения договора, без последующей передачи и распространения третьим лицам, также предусматривается использование персональных данных только для исполнения договора с гражданином;
обработка персональных данных, находящимся в открытом доступе;
сбор фамилии, имени и отчества граждан без указания телефона, e-mail;
сбор персональных данных проводится с целью однократного пропуска гражданина на территорию оператора, собирающего данные, или в аналогичных случаях;
сбор, обработка и хранение персональных данных осуществляется на бумажных носителях без использования средств автоматизации. Кстати, хранить свой бумажный архив, включая кадровые документы и персональные данные вы можете и вне офиса . Так можно избежать их утраты и несанкционированного доступа к информации.

Во всех остальных случаях — регистрация обязательна!

Не забудьте, что в Делис Архив действует акция «Новогодняя» — дарим полезные подарки действующим и будущим клиентам!

Читайте также: