Использование в рамках своей деятельности тех или иных личных сведений о гражданах накладывает на компании, муниципальные органы, индивидуальных предпринимателей и других операторов ПДн ряд обязательств. Среди них не только соблюдение определенных правил сбора, хранения и применения, но и уничтожение документов с персональными данными — в Федеральном законе № 152 есть сразу несколько статей (5, 14, 20, 21), которые регулируют этот процесс. Несмотря на наличие правовых норм, между операторами и владельцами информации часто возникают конфликты относительно сроков, прав обеих сторон и несения ответственности за нарушения.
Уничтожение ПДн законодательство определяет как совокупность действий оператора, после совершения которых отсутствует возможность их восстановления в конкретной ИСПДн либо они исчезают с материального носителя (диска, флешки и т.д.). Это позволяет обезопасить конфиденциальные сведения от чрезмерного использования и минимизировать риск получения к ним несанкционированного доступа. Существуют определенные требования к процедуре и срокам, за несоблюдение которых можно получить штраф и нарваться на дополнительные проверки со стороны Роскомнадзора. С другой стороны, порядок действий операторы вправе определять самостоятельно. Нужно четко понять, что требует от вас закон, и в соответствии с этими требованиями организовывать деятельность. Тем более что для ликвидации носителей и стирания ПДн необходимо специальное программное обеспечение, время и специалисты.
В каких случаях выполняется уничтожение персональных данных по закону?
Чтобы не попасть под санкции проверяющих структур, организация должна своевременно избавляться от ПДн сотрудников, клиентов и т.д. Встречаются разные ситуации, когда может возникнуть такая необходимость. Причем нужно понимать, что если вы не можете полностью стереть сведения с носителя, чтобы при помощи ПО либо другими способами с него нельзя было получить удаленную информацию, то от флешки, документа, диска и т.д. тоже следует избавиться.
Уничтожение персональных данных производится, если:
- поступило заявление от владельца ПДн, который каким-то способом выяснил, что оператор не имеет права их обрабатывать либо что сведения неполные или не соответствуют действительности;
- в рамках внутренней проверки или случайно обнаружился факт незаконного совершения операций с личными сведениями, к примеру, один из сотрудников попросил у партнера или клиента ПДн, которые нужны для выполнения целей использования;
- поставленные при получении ПДн задачи были выполнены;
- субъект написал заявление с просьбой отозвать ранее подписанное согласие (законодательно у него есть право подать такое прошение в любой момент, и оператор обязан его рассмотреть и исполнить в установленные сроки).
Проводить уничтожение персональных данных в ИСПДн необязательно, если в подписанном сторонами договоре присутствует пометка о продолжении обработки даже после расторжения соглашения. Еще один повод не ликвидировать информацию — предусмотренное российскими законами право компании выполнять операции с ПДн без согласия гражданина.
Обстоятельства, перечисленные в 20 и 21 статьях ФЗ-152, нужно соблюдать неукоснительно, а в случае возникновения спорных моментов консультироваться с экспертом по информационной безопасности, чтобы у субъекта или Роскомнадзора потом не возникло претензий. Эффективная защита ПДн влияет на имидж компании, и ожидается, что в будущем ограничения по совершению операций с личными данными будут только ужесточаться.
Временные рамки при уничтожении документов, содержащих персональные данные, и данных с носителей
Универсального правила, когда нужно ликвидировать личную информацию, не существует. Чтобы понять, сколько есть времени на выполнение обязательств перед законом и субъектом, нужно учитывать причину, почему возникла такая необходимость:
- Когда основанием является запрос гражданина, который утверждает, что его ПДн были получены незаконным способом либо не нужны для определенных согласием целей обработки, то у оператора на ликвидацию есть 7 рабочих дней. Однако есть важный нюанс — субъект должен обосновать свое требование. Если подтверждение не предоставлено, то организация вправе продолжить использование конфиденциальных сведений.
- В случае обнаружения несанкционированного получения, хранения и обработки, уничтожение документов с персональными данными или сведений с носителя выполняется в течение 10 рабочих дней.
- При поступлении заявления об отзыве согласия и признании ПДн не нужными для осуществления поставленных целей удаление происходит в течение 30 дней.
- В течение 30 дней следует избавиться от информации и носителей после достижения целей их сбора, хранения, применения и т.д. Отсчет ведется от той даты, когда поставленные задачи были выполнены.
Бывает так, что у оператора нет возможности ликвидировать сведения в уставленные сроки. Тогда у него есть 30 дней на блокировку ПДн и еще 6 месяцев на выполнение обязательств перед субъектом и законодательством.
Если не соблюдать сроки уничтожения персональных данных, то в соответствии с положениями КоАП и ФЗ-152 оператор может понести административную ответственность в виде штрафа. Кроме того, если о факте нарушения станет известно общественности, компании будет нанесен серьезный удар по репутации. К информационной безопасности сейчас все относятся очень серьезно, поэтому вряд ли клиенты и партнеры захотят сотрудничать с фирмой, нарушающей права граждан в сфере ПДн. Одновременно с этим есть ряд оснований для продолжения использования личной информации даже без получения согласия владельца, например, когда речь идет об исполнении условий международного договора. Отсутствие необходимости одобрения обработки не отменяет обязанности фирмы или ИП соблюдать положения ФЗ-152.
Часто возникает вопрос, как уничтожать согласия на операции с персональными данными бывших сотрудников и клиентов. Документы уволенных работников подпадают под раздел 8.1 ПТУД, то есть хранятся в личных делах и могут быть перемещены в архив, хотя на практике при подготовке к архивированию их уничтожают. В свою очередь, на согласие клиентов после завершения целей обработки распространяются прописанные в Политике ПДн сроки для «основных» документов.
Особенности уничтожения персональных данных на бумажных и других носителях
В соответствии с определением ФЗ, ликвидация ПДн может предполагать физическое разрушение носителя либо стирание сведений с него. Способы и правила уничтожения персональных данных зависят от того, где они содержатся — на бумажных либо электронных носителях. От документов можно избавиться:
- при помощи термической обработки (сжигание);
- путем измельчения — разнообразие шредеров позволяет выбрать модель подходящей производительности и размеров, но нужно убедиться, что никаким образом восстановить целостность носителя или информации не получится. Полученное в результате вторсырье можно отдать на переработку, в пункт приема макулатуры либо просто выбросить.
Цифровые носители можно физически уничтожить, нанеся серьезные повреждения, которые нельзя исправить, например, диск можно разломать на две части, флешку или HDD деформировать и т.д. Способ разрушения целостности оператор вправе выбирать самостоятельно — это может быть воздействие химически агрессивных составов, эрозирование поверхности, пескоструйная, ультразвуковая или электрохимическая обработка. Главная задача — свести к нулю вероятность получения ПДн.
Говоря о том, как уничтожаются персональные данные без ликвидации носителя, нужно отметить потребность в использовании специализированного оборудования и/или программного обеспечения.
Подробно о порядке уничтожения персональных данных
На начальном этапе функционирования компании во избежание нарушения правовых норм следует разработать механизмы сбора, хранения, применения и ликвидации личных данных граждан, а также:
- определить ответственного сотрудника за безопасность конфиденциальной информации или поручить эту работу целому отделу (если ИСПДн несколько);
- грамотно составить Политику в сфере защиты ПДн;
- не попасть под санкции Роскомнадзора сразу после старта бизнеса;
- сформировать репутацию надежной компании, которая серьезно подходит к работе с клиентами и партнерами;
- составить список необходимого оборудования и спланировать затраты.
Правила обработки в нормативно-правовой базе РФ прописаны достаточно четко, а вот о том, как уничтожить документы с персональными данными, ФЗ-152 дает общее представление, но оставляет свободу действий (в частности, составлять акт можно в свободной форме). С одной стороны, это неудобно, ведь нет конкретного руководства, но вместе с тем отсутствие жестких рамок позволяет каждой организации создать тот алгоритм, который будет учитывать специфику операционных процессов, объем ПДн, тип используемых носителей и другие факторы. Процедура универсальная и применяется вне зависимости от того, по какой причине возникла необходимость избавиться от личной информации о клиентах, сотрудниках и т.д.
Итак, если поступило требование от субъекта, вы обнаружили факт несанкционированного применения либо достигнута цель обработки личной информации, нужно придерживаться порядка уничтожения носителей и самих персональных данных:
- В первую очередь, необходимо составить внутренний документ, регулирующий применяемые способы ликвидации конфиденциальных сведений, назначить работников, которые будут контролировать процесс. При большом количестве бумаг целесообразно будет заключить соглашение на уничтожение со специализированной фирмой, а небольшим компаниям или предпринимателям дешевле и проще использовать шредер.
- На следующем этапе предстоит сформировать комиссию по удалению данных, в которую обязательно должны входить главный бухгалтер, директор и сотрудник, возглавляющий кадровый отдел (если он предусмотрен организационной структурой организации). Дополнительно можно привлекать главу клиентской службы или департамента безопасности. Состав комиссии прописывается в специальном приказе и подписывается руководителем с проставлением даты и указанием полномочий членов. Одной из задач сформированного органа является разработка списка документов, которые нужно ликвидировать.
- Далее необходимо уничтожить ПДн или носитель в оговоренные законом сроки, убедившись в невозможности восстановления сведений.
Завершающим этапом является составление акта, который подтверждает факт ликвидации ПДн. В документе, подписанном директором фирмы, должно быть указано, какая информация была уничтожена, каким конкретно способом и почему. Также указываются ответственные за процедуру лица, количество удаленных данных и точная дата совершения операции.
