Удалить строку из таблицы недостаточно. Персональные данные могут остаться в CRM, почте, резервной копии и у подрядчика. Оператору нужен порядок, который охватывает все копии и оставляет подтверждение выполненного действия.
Когда данные нужно уничтожить
Статья 21 Федерального закона № 152-ФЗ предусматривает несколько ситуаций:
- цель обработки достигнута и другого основания для хранения нет;
- человек отозвал согласие, а продолжать обработку на другом основании нельзя;
- выявлена неправомерная обработка, которую невозможно сделать правомерной;
- поступило требование прекратить обработку и к ситуации не относится предусмотренное законом исключение.
Сначала всегда проверяют, нет ли обязанности сохранить отдельные документы. Например, окончание договора не отменяет обязательные сроки для бухгалтерских или кадровых документов. При этом рабочие копии и маркетинговая база могут потерять основание раньше архива.
Какие сроки действуют
| Ситуация | Срок по статье 21 |
|---|---|
| Цель достигнута | Не более 30 дней, если иной порядок не следует из закона, договора или соглашения |
| Согласие отозвано | Не более 30 дней, если нет другого законного основания для обработки |
| Выявлена неправомерная обработка | Прекратить ее не позднее 3 рабочих дней; если сделать обработку правомерной нельзя, уничтожить данные не позднее 10 рабочих дней |
| Уничтожить вовремя технически невозможно | Заблокировать данные и уничтожить их не позднее 6 месяцев, если закон не устанавливает другой срок |
Срок считают от события, которое запускает обязанность: достижения цели, получения отзыва или выявления нарушения. Это событие нужно уметь подтвердить.
Как выглядит процесс уничтожения
Основание для уничтожения → проверка других оснований → поиск всех копий → блокирование при необходимости → удаление у оператора и подрядчиков → контроль → акт и выгрузка из журнала.
До удаления составьте список мест хранения. В него могут входить:
- основная база и CRM;
- почта и рабочие мессенджеры;
- локальные файлы работников;
- бумажный архив;
- резервные копии;
- системы обработчиков по поручению.
Метод должен исключать восстановление данных обычными средствами. Для бумаги это может быть физическое уничтожение, для системы - штатное удаление с фиксацией события. Конкретный способ зависит от носителя и технической архитектуры.
Чем подтвердить уничтожение
Приказ Роскомнадзора № 179 устанавливает разные варианты подтверждения:
| Способ обработки | Подтверждение |
|---|---|
| Без использования средств автоматизации | Акт об уничтожении персональных данных |
| С использованием средств автоматизации | Акт и выгрузка из журнала регистрации событий в информационной системе |
| Смешанная обработка | Акт и выгрузка из журнала для соответствующей информационной системы |
Акт и выгрузку хранят три года с момента уничтожения.
Что включить в акт
Приказ № 179 не требует придумывать свободный отчет на одну строку. В акте отражают сведения, по которым можно понять, кто, что, почему и когда уничтожил.
Проверьте наличие:
- наименования и адреса оператора;
- сведений об обработчике по поручению, если он участвовал;
- информации, позволяющей определить людей, чьи данные уничтожены;
- категорий уничтоженных данных;
- участников уничтожения и их подписей;
- носителей или информационных систем;
- способа, причины и даты уничтожения.
Не обязательно перечислять содержание каждого документа целиком. Важно, чтобы акт позволял связать уничтожение с конкретными субъектами или определенной группой данных и подтвердить исполнение обязанности.
Для автоматизированной обработки одной подписи в акте недостаточно. Нужна выгрузка из журнала событий. Поэтому до запуска процедуры стоит проверить, умеет ли система фиксировать удаление и можно ли получить нужную выгрузку.
Тейк юриста: доказательство удаления нужно продумать до первого запроса человека. В момент спора восстанавливать журнал задним числом уже поздно.
Если данные были у подрядчика
Удаление у оператора не завершает процесс, если копия осталась в сервисе рассылки, CRM или у бухгалтерского аутсорсинга. В поручении нужно заранее определить, кто получает команду, в какой срок исполняет ее и каким документом подтверждает результат.
Рабочая последовательность может выглядеть так:
- Владелец процесса подтверждает основание для уничтожения.
- Ответственный составляет список систем и получателей.
- IT-специалист и подразделение удаляют данные в своих зонах.
- Подрядчики возвращают подтверждение.
- Оператор сверяет результат и оформляет акт с необходимой выгрузкой.
Частая ошибка с резервными копиями
Не всегда можно немедленно удалить одну запись из каждой резервной копии. Это не повод забыть о ней. В порядке восстановления нужно исключить возврат данных в активную обработку либо предусмотреть их повторное удаление. До уничтожения доступ к таким данным ограничивают.
Еще одна ошибка: удалить карточку, а через неделю восстановить старую копию всей базы вместе с ней. Поэтому порядок резервного копирования должен быть связан с реестром удалений.
Понятный порядок уничтожения уменьшает объем лишних данных и последствия возможной утечки. Он также помогает спокойно ответить человеку или Роскомнадзору, не собирая доказательства в последний день.