Удалить строку из таблицы еще не значит уничтожить персональные данные. Копии остаются в CRM, почте, мессенджере, резервной копии и у подрядчика. Оператору нужен порядок, который доходит до всех этих мест и оставляет доказательство, что удаление действительно случилось. Без доказательства, с точки зрения регулятора, удаления не было.
Когда данные нужно уничтожить
Статья 21 Закона № 152-ФЗ называет несколько ситуаций:
- цель обработки достигнута, а другого основания хранить данные нет;
- человек отозвал согласие, и продолжать обработку на другом основании нельзя;
- выявлена неправомерная обработка, и сделать ее правомерной невозможно;
- человек потребовал прекратить обработку, а исключения из закона к ситуации не подходят.
Сначала всегда проверяют, не нужно ли сохранить часть документов. Окончание договора не отменяет сроки хранения бухгалтерских и кадровых бумаг. Зато рабочие копии в почте и маркетинговая база теряют основание гораздо раньше архива, и удалять их нужно по своему графику. Сроки для разных документов мы разобрали в статье о сроках хранения персональных данных.
Какие сроки действуют
| Ситуация | Срок |
|---|---|
| Цель достигнута | Не более 30 дней, если иное не следует из закона, договора или соглашения с человеком (ч. 4 ст. 21) |
| Согласие отозвано | Не более 30 дней, если нет другого законного основания (ч. 5 ст. 21) |
| Человек требует прекратить обработку | 10 рабочих дней, можно продлить еще на 5 с мотивированным уведомлением (ч. 5.1 ст. 21) |
| Человек подтвердил, что данные получены незаконно или не нужны для цели | 7 рабочих дней (ч. 3 ст. 20) |
| Выявлена неправомерная обработка | Прекратить за 3 рабочих дня, а если исправить нельзя, уничтожить за 10 рабочих дней (ч. 3 ст. 21) |
| Уничтожить вовремя технически невозможно | Заблокировать и уничтожить не позднее 6 месяцев, если закон не устанавливает другой срок (ч. 6 ст. 21) |
Срок считают от события, которое запускает обязанность: цель достигнута, пришел отзыв, обнаружено нарушение. Дату этого события нужно уметь подтвердить, поэтому входящие отзывы и требования регистрируют.
Как устроен процесс уничтожения
Порядок выглядит так: основание для уничтожения, проверка других оснований, поиск всех копий, при необходимости блокирование, удаление у себя и у подрядчиков, контроль, акт и выгрузка из журнала.
Самый трудоемкий шаг тут поиск копий. До удаления составьте список мест, где данные могут лежать:
- основная база и CRM;
- почта и рабочие мессенджеры;
- локальные файлы на компьютерах работников;
- бумажный архив;
- резервные копии;
- системы подрядчиков, которым поручена обработка.
Способ уничтожения должен исключать восстановление данных обычными средствами. Бумагу измельчают в шредере или сжигают, в информационной системе используют штатное удаление с записью события в журнал. Конкретный способ зависит от носителя и того, как устроена система, поэтому выбирают его вместе с IT-специалистом.
Чем подтвердить уничтожение
Требования к подтверждению установил приказ Роскомнадзора от 28.10.2022 № 179. Он действует с 1 марта 2023 года.
| Способ обработки | Подтверждение |
|---|---|
| Без средств автоматизации, только бумага | Акт об уничтожении персональных данных |
| С использованием средств автоматизации | Акт и выгрузка из журнала регистрации событий информационной системы |
| Смешанная обработка | Акт и выгрузка из журнала по соответствующей системе |
Акт и выгрузку хранят три года с момента уничтожения. Акт можно оформить на бумаге или в электронном виде с электронной подписью.
Что включить в акт
Приказ № 179 прямо перечисляет, какие сведения должны быть в акте:
- наименование или ФИО и адрес оператора;
- наименование или ФИО и адрес обработчика, если обработка была ему поручена;
- ФИО людей, чьи данные уничтожены, или иная информация, позволяющая их определить;
- ФИО и должности тех, кто уничтожал данные, и их подписи;
- перечень категорий уничтоженных данных;
- наименование бумажного носителя с количеством листов, если обработка была без автоматизации;
- наименование информационной системы, если обработка была автоматизированной;
- способ уничтожения;
- причина уничтожения;
- дата уничтожения.
Пересказывать содержание каждого документа целиком не нужно. Акт должен связывать уничтожение с конкретными людьми или понятной группой и показывать, что обязанность исполнена. Один акт может охватывать данные многих людей, если их удаляли одновременно и по одной причине.
В выгрузке из журнала указывают ФИО или иную информацию о человеке, категории уничтоженных данных, название системы, причину и дату уничтожения. Если какие-то сведения система выгрузить не может, их вносят в акт.
Поэтому до первой процедуры проверьте главное: умеет ли ваша система фиксировать удаление и можно ли получить из нее такую выгрузку. Бывает, что система журнал ведет, но выгрузить его в нужном виде без доработки нельзя. Узнать это в день, когда человек требует удалить свои данные, неприятно, а восстанавливать журнал задним числом уже поздно.
Если данные были у подрядчика
Удаление у себя не завершает процесс, если копия осталась в сервисе рассылок, CRM или у бухгалтерии на аутсорсе. В поручении заранее определяют, кто получает команду на удаление, за какой срок исполняет ее и чем подтверждает результат.
Рабочая последовательность выглядит так:
- Владелец процесса подтверждает основание для уничтожения.
- Ответственный составляет список систем и получателей.
- IT-специалист и подразделения удаляют данные в своих зонах.
- Подрядчики присылают подтверждение.
- Оператор сверяет результат и оформляет акт с выгрузкой.
Частая ошибка с резервными копиями
Удалить одну запись из каждой резервной копии сразу получается не всегда. Это не повод о ней забыть. Данные в бэкапе ограничивают в доступе, а порядок восстановления устраивают так, чтобы удаленные записи не вернулись в рабочую базу. Окончательно они исчезают при плановой перезаписи копий.
Классическая ошибка: карточку удалили, а через неделю после сбоя восстановили всю базу из старой копии, и удаленный клиент снова получает рассылку. Чтобы так не вышло, резервное копирование связывают с реестром удалений.
Частые вопросы
Нужна ли комиссия для уничтожения персональных данных?
Нет. Приказ № 179 требует подписи тех, кто уничтожал данные, а не комиссии. Если в компании этим занимается один человек, акт подписывает он. Комиссию создают, только если это действительно удобно для вашего процесса.
Можно ли вместо уничтожения обезличить данные?
Статья 5 закона допускает обезличивание по достижении целей обработки. Но обезличивание должно быть настоящим: по оставшимся сведениям нельзя определить человека без дополнительной информации. Если из базы удалили ФИО, но оставили телефон и адрес, это не обезличивание.
Нужно ли сообщать человеку, что его данные уничтожены?
Если данные уничтожены по требованию человека или из-за выявленного нарушения, закон требует его уведомить. При отзыве согласия ответ тоже лучше направить, так проще потом подтвердить исполнение. Плановое удаление по истечении срока отдельного письма не требует, но акт оформляют все равно.
Как часто нужно проводить уничтожение?
Закон не устанавливает периодичность, он устанавливает сроки от события. На практике плановое удаление по таблице сроков удобно проводить раз в месяц: так проще уложиться в 30 дней после достижения цели. Требования людей обрабатывают отдельно, в сроки закона.
Понятный порядок уничтожения сокращает объем лишних данных, а значит, и последствия возможной утечки. И помогает спокойно ответить человеку или Роскомнадзору, не собирая доказательства в последний день.