Уничтожение персональных данных требует определить основание, прекратить обработку и проверить исполнение у тех, кому она поручена. Здесь — сроки, разграничение удаления и блокирования, документы для фиксации действий и ответа субъекту.
Коротко
Акт об уничтожении персональных данных фиксирует выполненные действия; подписанный документ сам по себе не удаляет сведения. При выявлении неправомерной обработки оператор обязан её прекратить, а если обеспечить правомерность невозможно — уничтожить данные или обеспечить их уничтожение и уведомить адресатов, указанных в ч. 3 ст. 21 Закона № 152-ФЗ. Начинать следует с основания удаления и проверки фактического исполнения.
Разделите обращение о незаконной обработке, исправление ошибки и завершение цели хранения. Для каждого основания нужен свой набор действий.
ч. 1 ст. 21 Закона № 152-ФЗ
ч. 3 ст. 21 Закона № 152-ФЗ
ч. 4 ст. 21 Закона № 152-ФЗ
Ошибки возникают, когда бумажное оформление подменяет действия с данными, а разные основания прекращения обработки сводят к общей команде «удалить всё».
Адвокат нужен, если основание удаления или подтверждение исполнения вызывают разногласия.
Порученная обработка требует связи между решением оператора и действиями исполнителя. Обращение субъекта и запрос органа также нужно различать.
| Участник | Обязанность или право | Норма |
|---|---|---|
| Оператор | Блокирует неправомерно обрабатываемые данные, относящиеся к субъекту, с момента обращения или получения запроса на период проверки. При неточности блокирование производится, если оно не нарушает права и законные интересы субъекта или третьих лиц. | ч. 1 ст. 21 Закона № 152-ФЗ |
| Обработчик данных, выполняющий поручение оператора | Обрабатывает сведения по поручению; при выявлении неправомерной обработки оператор обеспечивает её прекращение этим лицом, а при невозможности обеспечить правомерность — уничтожение данных. Проверьте исполнение поручения отдельно от удаления у оператора. | ч. 3 ст. 21 Закона № 152-ФЗ |
| Субъект, чьи данные обрабатываются; представитель этого субъекта | Обращение или запрос служат основанием для предусмотренных проверочных действий. При устранении нарушения либо уничтожении данных оператор уведомляет субъекта или его представителя; сохраняйте содержание обращения и связь ответа с ним. | ч. 1 ст. 21 Закона № 152-ФЗ; ч. 3 ст. 21 Закона № 152-ФЗ |
| Уполномоченный орган по защите прав субъектов персональных данных | Запрос органа учитывается при блокировании. Если обращение субъекта либо запрос были направлены этим органом, оператор уведомляет также орган об устранении допущенных нарушений или уничтожении данных. | ч. 1 ст. 21 Закона № 152-ФЗ; ч. 3 ст. 21 Закона № 152-ФЗ |
Удаление, блокирование и исправление сведений решают разные задачи. Выбор действия зависит от результата проверки и основания обработки.
При выявлении неправомерной обработки по обращению субъекта или его представителя либо по их запросу или запросу уполномоченного органа оператор блокирует данные, относящиеся к субъекту, или обеспечивает блокирование на период проверки с момента обращения или получения запроса. Для неточных данных блокирование допустимо, если не нарушает права и законные интересы субъекта или третьих лиц — ч. 1 ст. 21 Закона № 152-ФЗ.
Когда неточность подтверждена, оператор уточняет сведения на основании информации субъекта, его представителя, уполномоченного органа или иных необходимых документов и снимает блокирование. Поэтому акт удаления не заменяет исправление данных, если основание действий — подтверждённая неточность: ч. 2 ст. 21 Закона № 152-ФЗ.
При неправомерной обработке требуется её прекращение. Уничтожение связано с невозможностью обеспечить правомерность; оператор выполняет его сам либо обеспечивает исполнение. Устранение нарушения и уничтожение сопровождаются уведомлением адресатов по ч. 3 ст. 21 Закона № 152-ФЗ. Акт должен отражать связь между нарушением, затронутыми данными и выполненными действиями.
По ч. 5 ст. 21 Закона № 152-ФЗ при отзыве согласия оператор прекращает обработку и, если сохранение данных больше не требуется для её целей, уничтожает их или обеспечивает эти действия не более чем за тридцать дней с даты поступления отзыва. Исключения: договор, в котором субъект — сторона, выгодоприобретатель или поручитель, иное соглашение с ним либо право обработки без согласия по федеральным законам. При невозможности уничтожения в срок действует ч. 6 ст. 21 Закона № 152-ФЗ.
Подтверждённая неточность — основание уточнения, а не самостоятельное основание уничтожения.
Комментарий адвоката Вруцкогоадвокат · рег. № 78/8790
Я начинаю с содержания обращения и результата проверки. Если требуется исправить ошибочную запись, проверяю документы для уточнения и исполнение у лица, которому поручена обработка. Решение об уничтожении рассматриваю отдельно от исправления неточности.
Статьи закона, на которых держится тема, — с названиями из официального текста
Официальный текст: О персональных данных
Разбор строится вокруг события, которое запускает обязанность оператора, и документов о выполнении действий.
Проверка выявила нарушение, а законность обработки обеспечить невозможно. Разбираются прекращение обработки, уничтожение и уведомление субъекта или его представителя по ч. 3 ст. 21 Закона № 152-ФЗ.
Процесс завершён, но сведения остались в системах. Проверяются договор и соглашение с субъектом, а также основания обработки без согласия по федеральным законам — ч. 4 ст. 21 Закона № 152-ФЗ.
Записи удалены у оператора, но исполнение поручения не подтверждено. Устанавливается, какие данные затронуты, и проверяется обеспечение уничтожения у другого лица по ч. 3 ст. 21 Закона № 152-ФЗ.
Заявитель сообщил об ошибке, и оператор готовит удаление. Сопоставляются представленные документы, необходимость уточнения и снятие блокирования по ч. 2 ст. 21 Закона № 152-ФЗ.
Нарушение устранено, но ответ адресован только субъекту. Проверяется направление уведомления также уполномоченному органу, если он направил обращение или запрос, по ч. 3 ст. 21 Закона № 152-ФЗ.
Выявлена неправомерная или случайная передача, нарушившая права субъектов. Уведомление об инциденте и внутреннее расследование рассматриваются отдельно от документа об удалении — ч. 3.1 ст. 21 Закона № 152-ФЗ.
При работе с данными работника нужно установить виновное лицо, нарушенную обязанность и основание конкретного вида ответственности. Само название документа об уничтожении не определяет санкцию.
| Нарушение | Кто отвечает | Санкция | Норма |
|---|---|---|---|
| Нарушение норм при обработке персональных данных работника: дисциплинарная ответственность | Лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных работника | Дисциплинарная ответственность в порядке, установленном Трудовым кодексом и иными федеральными законами. | ч. 1 ст. 90 ТК РФ |
| Нарушение норм при обработке персональных данных работника: материальная ответственность | Лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных работника | Материальная ответственность в порядке, установленном Трудовым кодексом и иными федеральными законами. | ч. 1 ст. 90 ТК РФ |
| Нарушение норм при обработке персональных данных работника: иные виды ответственности | Лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных работника | Гражданско-правовая, административная и уголовная ответственность в порядке, установленном федеральными законами. | ч. 1 ст. 90 ТК РФ |
Перечисленные виды ответственности относятся к данным работника; конкретное взыскание требует самостоятельного основания. При неправомерной обработке оператор обязан прекратить её, а если обеспечить правомерность невозможно — уничтожить данные или обеспечить уничтожение и уведомить адресатов по ч. 3 ст. 21 Закона № 152-ФЗ.
адвокат · рег. № 78/8790
Я проверяю акт об уничтожении персональных данных через цепочку событий: что стало основанием, какие записи затронуты, кто выполнил действие и чем оно подтверждено. Формулировка «данные уничтожены» мало помогает при разборе, если невозможно связать её с конкретной системой и поручением. Для неправомерной обработки проверяю также уведомление субъекта или его представителя и, при предусмотренных обстоятельствах, органа — ч. 3 ст. 21 Закона № 152-ФЗ.
Отдельно сопоставляю удаление у оператора с действиями лица, которому поручена обработка. Советую собрать подтверждения исполнения до подписания итогового документа, чтобы его содержание соответствовало сделанному. При невозможности обеспечить правомерность обработки оператор обязан уничтожить данные или обеспечить их уничтожение — ч. 3 ст. 21 Закона № 152-ФЗ.
Когда основание — достижение цели, читаю договор и соглашение с субъектом, проверяю возможное основание обработки без согласия по федеральным законам. Исключения из ч. 4 ст. 21 Закона № 152-ФЗ требуют содержательного разбора: общий заголовок папки или ссылка сотрудника на необходимость хранения не объясняют, какие именно сведения и для чего остаются.
Сведите правовое основание, фактическое исполнение и подтверждающие документы в одну последовательность. Внутреннее оформление должно отражать выполненные действия.
Различайте обращение субъекта к оператору и жалобу контролируемого лица на решение контрольного органа. Для них действуют разные основания и порядок.
Отделите спор об исполнении оператором обязанности от оспаривания решения органа. Правила арбитражного обжалования ниже относятся к нарушению прав в сфере предпринимательской и иной экономической деятельности.
| Вопрос | Как решается | Норма |
|---|---|---|
| В чём состояла неправомерность | Сопоставьте обращение, результат проверки и сведения о прекращении обработки. Отдельно отразите, почему обеспечить правомерность было невозможно и какие данные подлежали уничтожению. | ч. 3 ст. 21 Закона № 152-ФЗ |
| Как оспорить решение органа | Граждане, организации и иные лица вправе подать заявление, если считают акт, решение или действие органа незаконными и нарушающими их права в экономической деятельности. Арбитражный суд рассматривает его, если федеральным законом дело не отнесено к компетенции других судов. Заявление по ст. 199 АПК РФ должно содержать сведения об органе, оспариваемом акте, нарушенных правах, противоречии закону и требование заявителя. | ч. 1, 3 ст. 198 АПК РФ; ч. 1 ст. 199 АПК РФ |
| Была ли цель достигнута | Представьте описание цели и документы о её завершении. Проверьте исключения: договор, соглашение с субъектом и основания обработки без согласия по федеральным законам. | ч. 4 ст. 21 Закона № 152-ФЗ |
| Когда подать заявление | В течение трёх месяцев со дня, когда гражданину или организации стало известно о нарушении прав и законных интересов, если иное не установлено федеральным законом. При уважительной причине пропуска суд вправе восстановить срок обращения с заявлением об оспаривании решения органа. | ч. 4 ст. 198 АПК РФ |
Соберите основание действий, материалы проверки и подтверждения исполнения. Ниже — рабочий набор для разбора; состав документов зависит от данных и организации обработки.
| Документ | Зачем | Кто подписывает, форма |
|---|---|---|
| Обращение или запрос | Установить содержание требований и момент обращения, с которым связано блокирование на период проверки по ч. 1 ст. 21 Закона № 152-ФЗ. | Сохраните исходный документ субъекта, его представителя либо уполномоченного органа и сведения о получении. |
| Материалы проверки | Разграничить неточность и неправомерную обработку; обосновать уточнение по ч. 2 ст. 21 Закона № 152-ФЗ или уничтожение по ч. 3 ст. 21 Закона № 152-ФЗ. | Подберите представленные сведения, необходимые документы и запись о результатах проверки. |
| Акт об уничтожении персональных данных | Подтвердить фактическое уничтожение; подтверждение должно соответствовать требованиям уполномоченного органа по ч. 7 ст. 21 Закона № 152-ФЗ. | Проверьте подписантов и форму оформления применительно к способу обработки; приложите имеющиеся подтверждения исполнителей. |
| Уведомление об исполнении | Подтвердить сообщение об устранении нарушения либо уничтожении адресатам, указанным в ч. 3 ст. 21 Закона № 152-ФЗ. | Сохраните направленный текст оператора и подтверждение отправки субъекту либо его представителю, а при требуемых обстоятельствах — органу. |
Рабочие дни отличайте от срока в днях. Если уничтожение в сроки частей 3–5.1 невозможно, оператор блокирует данные или обеспечивает блокирование и обеспечивает уничтожение не более чем за шесть месяцев, если иной срок не установлен федеральными законами — ч. 6 ст. 21 Закона № 152-ФЗ.
| Действие | Срок | С какого дня | Норма |
|---|---|---|---|
| Прекратить неправомерную обработку | Не более трёх рабочих дней | С даты выявления неправомерной обработки оператором или лицом, действующим по поручению оператора. | ч. 3 ст. 21 Закона № 152-ФЗ |
| Уничтожить неправомерно обрабатываемые данные | Не более десяти рабочих дней, если обеспечить правомерность обработки невозможно | С даты выявления неправомерной обработки. | ч. 3 ст. 21 Закона № 152-ФЗ |
| Уточнить подтверждённые неточные данные | В течение семи рабочих дней; затем снять блокирование | Со дня представления сведений, на основании которых уточняются данные. | ч. 2 ст. 21 Закона № 152-ФЗ |
| Уничтожить после достижения цели | Не более тридцати дней, если иное не предусмотрено договором, в котором субъект — сторона, выгодоприобретатель или поручитель, иным соглашением с ним и нет права обработки без согласия по федеральным законам | С даты достижения цели обработки персональных данных. | ч. 4 ст. 21 Закона № 152-ФЗ |
Как адвокат ведёт поручение компании
Правовая помощь компаниям и предпринимателям — кто отвечает за ваше поручение
№ 78/8790 · адвокат
Поручение ведёт адвокат Константин Александрович Вруцкий лично. При обращении обсуждаем задачу компании, необходимые действия и объём сопровождения, который будет закреплён в соглашении.
Адвокатская тайна действует с первого слова, ещё до заключения соглашения: сведения о компании, её сделках и контрагентах не могут быть раскрыты, а адвоката нельзя допросить о том, что он узнал от доверителя.
Ответы помогают разграничить основание удаления, исполнение у другого лица и документы для подтверждения действий.
Нет. Подтверждение уничтожения должно соответствовать требованиям уполномоченного органа по ч. 7 ст. 21 Закона № 152-ФЗ. Обязанность оператора по ч. 3 ст. 21 Закона № 152-ФЗ состоит в уничтожении данных либо обеспечении уничтожения, если обеспечить правомерность невозможно. Сопоставьте акт с результатом работы в системах и подтверждением лица, действующего по поручению оператора.
Проверьте, отражает ли документ исполнение и относится ли он к сведениям из обращения. По ч. 3 ст. 21 Закона № 152-ФЗ оператор уведомляет об устранении нарушения или уничтожении субъекта либо его представителя, а если обращение или запрос были направлены уполномоченным органом — также этот орган. Подбирайте приложения по содержанию ответа.
По ч. 1 ст. 21 Закона № 152-ФЗ при выявлении неправомерной обработки по обращению или запросу данные, относящиеся к субъекту, блокируются на период проверки с момента обращения или получения запроса. Уничтожение при невозможности обеспечить правомерность относится к ч. 3 ст. 21 Закона № 152-ФЗ. Обращение, проверка и итоговое действие должны быть различимы в документах.
Если неточность подтверждена, оператор уточняет данные на основании представленных сведений или иных необходимых документов и снимает блокирование по ч. 2 ст. 21 Закона № 152-ФЗ. При блокировании неточных данных учитывается условие о ненарушении прав и законных интересов субъекта или третьих лиц по ч. 1 ст. 21 Закона № 152-ФЗ. Исправление записи не следует оформлять как уничтожение всех данных заявителя.
По ч. 3 ст. 21 Закона № 152-ФЗ неправомерную обработку прекращают не более чем за три рабочих дня с даты выявления; если обеспечить правомерность невозможно, данные уничтожают не более чем за десять рабочих дней с той же даты. Если уничтожение в срок невозможно, оператор блокирует данные или обеспечивает блокирование и обеспечивает уничтожение не более чем за шесть месяцев, если иной срок не установлен федеральными законами — ч. 6 ст. 21 Закона № 152-ФЗ.
Когда обработка ведётся лицом, действующим по поручению оператора, оператор обеспечивает предусмотренные действия, в том числе прекращение неправомерной обработки и уничтожение при невозможности обеспечить правомерность — ч. 3 ст. 21 Закона № 152-ФЗ. Запросите подтверждение по затронутому поручению и сопоставьте его с данными, указанными в итоговом документе.
По ч. 4 ст. 21 Закона № 152-ФЗ требуется прекратить обработку и уничтожить данные или обеспечить эти действия, если иное не предусмотрено договором, в котором субъект — сторона, выгодоприобретатель или поручитель, иным соглашением с ним и нет права обработки без согласия по федеральным законам. Название «архив» не создаёт основания хранения. Если уничтожение в срок невозможно, действует блокирование и предельный срок по ч. 6 ст. 21 Закона № 152-ФЗ.
Нет. При установленной неправомерной или случайной передаче данных, нарушившей права субъектов, оператор уведомляет орган об инциденте в течение двадцати четырёх часов с момента выявления оператором, уполномоченным органом или иным заинтересованным лицом — п. 1 ч. 3.1 ст. 21 Закона № 152-ФЗ. О результатах внутреннего расследования — в течение семидесяти двух часов с того же момента по п. 2 ч. 3.1 ст. 21 Закона № 152-ФЗ. Акт уничтожения не заменяет эти уведомления.
Где нужна помощь адвоката и что прочитать дальше по этому вопросу