Когда происходит уничтожение персональных данных: правила и сроки

Когда мы передаем наши персональные данные третьим лицам, мы редко задумываемся о том, что происходит с этими данными после окончания их обработки. Но что на самом деле происходит с нашей личной информацией? Когда и в каких случаях уничтожаются персональные данные?

Ответ на этот вопрос можно найти в законодательстве, а именно в Федеральном законе от 27 июля 2024 года №152-ФЗ «О персональных данных». Этот закон регулирует порядок и условия обработки персональных данных, включая их уничтожение. В статьях этого закона указывается, что персональные данные должны быть уничтожены или обезличены по достижении целей их обработки или в случае утраты необходимости в их достижении.

Сроки уничтожения персональных данных зависят от целей их обработки. Например, при заключении договора на оказание услуг персональные данные могут храниться и обрабатываться оператором в течение срока действия договора. После окончания срока действия договора или при его расторжении оператор обязан уничтожить или обезличить персональные данные.

Новый закон, вступивший в силу с 1 января 2024 года, установил более четкие сроки уничтожения персональных данных. Теперь период уничтожения персональных данных определен в зависимости от их характера и целей обработки. Например, если данные обрабатываются в целях акта итоги или похожих событий, то срок их хранения составляет не более 5 лет.

Выполнение требований по уничтожению персональных данных контролируется со стороны государственных органов, в том числе прокуратурой. Так, в Вологодской области прокурор разъясняет порядок уничтожения персональных данных в рамках действующего закона. Результаты проверок оформляются в виде акта, который подтверждает выполнение процедуры уничтожения персональных данных.

Таким образом, уничтожение персональных данных происходит по достижении целей их обработки, при утрате необходимости в их достижении или по иным правовым основаниям. Соответствующие сроки и порядок уничтожения персональных данных регулируются федеральным законодательством. В случае несоблюдения требований закона оператор может быть привлечен к ответственности.

Регламент уничтожения в соответствии с законом

Уничтожение персональных данных – это процедура, которая устанавливает сроки и порядок уничтожения данных после окончания их обработки.

Согласно Федеральному закону от 27 июля 2024 года № 152-ФЗ «О персональных данных», уничтожение персональных данных должно осуществляться в случае достижения цели их обработки или в случае утраты необходимости в их достижении.

156-ФЗ дату окончания обработки своих персональных данных субъект вправе устанавливать самостоятельно, а также требовать установленные законом сроки уничтожения своих персональных данных.

Сроки и порядок уничтожения персональных данных устанавливаются договором или актом начальника оператора персональных данных (ст. 21 Федерального закона от 27 июля 2024 года № 152-ФЗ «О персональных данных»).

Прокуратура Вологодской области разъясняет, что в случае уничтожения персональных данных в соответствии с договором или актом, их уничтожение должно быть подтверждено оформлением акта уничтожения персональных данных.

Итоги оператора персональных данных об уничтожении персональных данных должны содержать следующие данные:

• какие персональные данные уничтожаются;
• сроки уничтожения персональных данных;
• подтверждение уничтожения персональных данных, включая акты уничтожения.

Согласно ФЗ-152, уничтожение персональных данных может осуществляться следующими вариантами:

1. физическое уничтожение (сжигание, измельчение, химическое разложение);
2. логическое уничтожение (удаление данных с электронных носителей);
3. уничтожение персональных данных с помощью специальных программных продуктов (в случае логического хранения данных).

Новый закон, вступивший в силу с 1 января 2024 года, устанавливает, что оператор персональных данных обязан уничтожить персональные данные либо обеспечить их уничтожение по достижении цели их обработки или в случае утраты необходимости в их достижении, если иное не предусмотрено законом.

Таким образом, актами и законодательством устанавливаются сроки и порядок уничтожения персональных данных, а оператор персональных данных обязан выполнять процедуру уничтожения данных в соответствии с указанными требованиями.

Какие статьи закона регулируют уничтожение персональных данных?

Для обеспечения защиты персональных данных и регулирования их обработки существует ряд законодательных актов.

Одним из основных законов, регулирующих уничтожение персональных данных, является Федеральный закон от 27 июля 2024 года №152-ФЗ «О персональных данных» (далее — ФЗ-152). В этом законе определены понятия и принципы обработки персональных данных, а также права субъектов персональных данных и обязанности операторов.

В частности, статья 19 ФЗ-152 устанавливает порядок уничтожения персональных данных. Согласно этой статье, персональные данные должны быть уничтожены по достижении целей их обработки или в случае утраты необходимости в достижении этих целей.

Помимо статьи 19 ФЗ-152, уничтожение персональных данных может происходить и в связи с наступлением определенных событий или сроков.

В Вологодской области действует акт от 14 марта 2024 года № 13-803 «Об уничтожении бумажных носителей персональных данных». Согласно этому акту, персональные данные на бумажных носителях должны быть уничтожены по истечении 3 лет с момента окончания их обработки.

Также следует отметить, что с 1 января 2024 года вступит в силу новый акт — акт о ненецком автономном округе «Об уничтожении электронных носителей персональных данных». Согласно этому акту, электронные носители персональных данных должны быть уничтожены по истечении 5 лет после окончания их обработки.

При уничтожении персональных данных необходимо соблюдать определенные требования и процедуры. Все варианты уничтожения персональных данных должны быть подтверждены актом о уничтожении (применение новых технологий уничтожения, запись на видео, составление протокола и т.д.).

Если уничтожение персональных данных происходит в рамках контракта или договора, то оно должно быть оформлено в письменной форме.

Порядок уничтожения персональных данных может быть предусмотрен внутренними правилами оператора или утвержден прокуратурой или иным уполномоченным органом.

Таким образом, правила и процедуры уничтожения персональных данных регулируются несколькими статьями закона №152-ФЗ, а также дополнительными актами на уровне регионов и автономных округов.

Статья 17. Право на удаление персональных данных

Статья 17 ФЗ-152 «О персональных данных» регулирует процедуру уничтожения персональных данных и определяет требования к их удалению. Эта статья устанавливает сроки и порядок уничтожения персональных данных, а также требования к оформлению акта об их уничтожении.

Согласно статье 17 ФЗ-152, оператор персональных данных обязан уничтожить персональные данные после достижения целей их обработки или в случае утраты необходимости в их обработке. Для определения таких целей оператору необходимо оформить договор на обработку персональных данных с субъектом данных.

Процедура уничтожения персональных данных должна быть проведена в установленные законом сроки. В ФЗ-152 прописаны два варианта уничтожения персональных данных: полное уничтожение (физическое уничтожение носителя) и удаление данных (удаление электронной информации).

Какие сроки установлены для уничтожения персональных данных? Статья 17 ФЗ-152 разъясняет, что персональные данные должны быть уничтожены по истечении срока, установленного на основании закона или договора, к которым эти данные относятся. Если такой срок не установлен, персональные данные должны быть уничтожены по истечении тридцатидневного срока с момента получения заявления субъекта данных об удалении его персональных данных.

Порядок уничтожения персональных данных должен быть установлен оператором, а акт об уничтожении должен быть подтвержден и заверен подписью руководителя и печатью организации (или физического лица).

Прокурор или уполномоченный прокурорский орган, в том числе прокуратура автономного округа или области, может проводить проверку выполнения оператором обязанностей по удалению персональных данных. В случае выявления нарушений в процедуре уничтожения, прокурор имеет право применить меры ответственности, предусмотренные законом.

Итоги

Статья 17 ФЗ-152 регулирует процедуру и требования к удалению персональных данных. Уничтожение персональных данных должно быть осуществлено оператором по истечении срока их обработки или при утрате необходимости в их обработке. Сроки уничтожения персональных данных должны быть установлены на основании закона или договора. Прокурор имеет право проверять выполнение оператором требований по уничтожению персональных данных и применять меры ответственности при выявлении нарушений.

Статья 18. Ограничение обработки персональных данных

Статья 18 Федерального закона от 27 июля 2024 года № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) определяет порядок уничтожения персональных данных субъекта.

1. Оформление акта уничтожения

При уничтожении персональных данных оператор должен составить акт уничтожения, который подтверждает факт уничтожения данных. Акт должен содержать информацию о дате уничтожения, о том, какие данные были уничтожены и с какой целью.

2. Сроки уничтожения персональных данных

Согласно 152-ФЗ, персональные данные должны быть уничтожены оператором либо по достижении целей их обработки, либо в случае отзыва субъектом согласия на их обработку, либо при исчерпании срока их обработки, указанного в договоре, статусе оператора или в Положении об операторе. В случае, если цель обработки персональных данных не достигнута или прекратила свое действие, оператор обязан уничтожить данные в течение срока, определенного законом или договором.

3. Уничтожение персональных данных по требованию прокуратуры

Прокуратура имеет право требовать уничтожения персональных данных в случае их незаконной обработки или использования. Для этого прокурор должен составить акт о нарушении субъектом данного закона и предъявить его оператору.

4. Уничтожение персональных данных при событиях, предусмотренных законом

Уничтожение персональных данных осуществляется также в случае банкротства субъекта персональных данных, ликвидации оператора, прекращения деятельности организации или в других случаях, предусмотренных законодательством Российской Федерации.

5. Установленные сроки уничтожения

Оператор обязан уничтожить персональные данные после достижения целей их обработки или по истечении срока их обработки в течение 30 дней с момента наступления соответствующей даты, если иное не установлено законодательством Российской Федерации.

6. Регулирование уничтожения персональных данных

Порядок и условия уничтожения персональных данных субъекта регулируются законодательством Российской Федерации и законами субъектов Российской Федерации.

7. Заключение

Таким образом, статья 18 Федерального закона № 152-ФЗ «О персональных данных» определяет процедуру и сроки уничтожения персональных данных субъекта. Акт уничтожения подтверждает факт уничтожения данных и содержит информацию о причинах и целях уничтожения.

Статья 19. Уведомление об исправлении, удалении или ограничении обработки персональных данных

Статья 19 Федерального закона от 27.07.2024 № 152-ФЗ «О персональных данных» разъясняет, какие требования относительно исправления, удаления или ограничения обработки персональных данных соблюдать и в какой срок.

Уведомление об исправлении, удалении или ограничении

В соответствии с ФЗ-152 оператор персональных данных обязан в установленные сроки исправить, удалить или ограничить обработку персональных данных, если такое требование поступает от субъекта персональных данных либо его представителя.

Цели, сроки и порядок исправления, удаления или ограничения обработки персональных данных устанавливаются законодательством Российской Федерации.

Уведомление об исправлении персональных данных

Оператор персональных данных должен в установленный срок исправить персональные данные, содержащиеся в его базах данных или иной информационной системе, если эта информация является не полной, не точной или не актуальной, и уведомить об исправлении субъекта персональных данных или его представителя.

Исправление персональных данных осуществляется в порядке, предусмотренном законодательством Российской Федерации.

Уведомление об удалении персональных данных

Оператор персональных данных должен в установленные сроки удалить персональные данные субъекта персональных данных из своих баз данных и иных информационных систем, если:

1. персональные данные являются неполными, не точными или не актуальными;
2. не существует необходимости в их использовании;
3. срок обработки персональных данных истек;
4. разрешение субъекта персональных данных на обработку персональных данных отозвано.

Оператор персональных данных обязан уведомить субъекта персональных данных или его представителя об удалении персональных данных, за исключением случаев, предусмотренных законодательством Российской Федерации.

Уведомление об ограничении обработки персональных данных

Оператор персональных данных обязан в установленные сроки ограничить обработку персональных данных субъекта персональных данных,

1. если персональные данные являются неполными, не точными или не актуальными;
2. если обработка персональных данных является неправомерной;
3. если персональные данные необходимы оператору персональных данных иначе, как для исполнения договора, стороной которого является субъект персональных данных, или для исполнения обязанностей оператора персональных данных, предусмотренных законодательством Российской Федерации;
4. если разрешение субъекта персональных данных на обработку персональных данных отозвано.

Уведомление об ограничении обработки персональных данных оператором персональных данных предоставляется субъекту персональных данных или его представителю.

В вологодской области результаты проверки процедуры уничтожения персональных данных подтверждается актом прокуратуры автономного округа.

Уничтожение персональных данных

Уничтожение персональных данных производится итоги событий, предусмотренных законодательством, но не позднее, чем через сроки, установленные договором или федеральным законом.

Порядок и форма оформления акта об уничтожении персональных данных, а также сроки их уничтожения регулируются законодательством Российской Федерации.

Уничтожение персональных данных может быть осуществлено при достижении целей их обработки или при отзыве субъектом персональных данных согласия на обработку персональных данных.

Оператор персональных данных обязан уничтожить персональные данные или обеспечить их уничтожение в течение срока, установленного федеральным законом, в случае отсутствия необходимости в их дальнейшей обработке.

Варианты оформления акта об уничтожении персональных данных могут быть различными, однако они должны соответствовать требованиям законодательства Российской Федерации.

Статья 20. Право на передачу данных

Статья 20 Федерального закона от 27 июля 2024 года № 152-ФЗ «О персональных данных» регулирует процедуру передачи данных в случаях, предусмотренных законодательством Российской Федерации.

Передача данных

Передача персональных данных может происходить в нескольких случаях:

1. По договору субъекта персональных данных с оператором
2. По требованию уполномоченного государственного органа в соответствии с законодательством Российской Федерации
3. В целях исполнения судебного акта, а также акта другого органа, уполномоченного рассматривать дела арбитражных судов
4. Для предотвращения угрозы жизни, здоровью и свободе человека
5. По другим основаниям, предусмотренным законодательством Российской Федерации

Сроки и процедура уничтожения данных

Сроки хранения персональных данных устанавливаются законодательством Российской Федерации или договором между оператором и субъектом персональных данных. При достижении целей обработки данных или истечении сроков хранения, установленных законом или договором, оператор обязан уничтожить персональные данные субъекта.

Процедура уничтожения персональных данных регулируется Федеральным законом № 152-ФЗ «О персональных данных». Варианты уничтожения персональных данных могут быть различными:

• Физическое уничтожение, включая сжигание, измельчение, химическую обработку или другие методы, исключающие возможность восстановления информации
• Электронное уничтожение, включая удаление или перезапись данных
• Уничтожение с использованием программного обеспечения

Оформление акта об уничтожении персональных данных должно быть выполнено в соответствии с требованиями Федерального закона № 152-ФЗ и другими актами законодательства Российской Федерации.

Подтверждение уничтожения данных

Уничтожение персональных данных подтверждается соответствующими документами, включая акт об уничтожении. При необходимости прокуратура или другие компетентные органы могут запросить у оператора информацию об уничтожении персональных данных.

Регулирование уничтожения персональных данных

Уничтожение персональных данных регулируется Федеральным законом № 152-ФЗ «О персональных данных». Итоги уничтожения персональных данных представляются в автономный акт похожего договора, оформленного в соответствии с требованиями закона. Региональные законы могут устанавливать свои сроки и порядок уничтожения персональных данных, но они не должны противоречить ФЗ-152.

В Вологодской области, например, уничтожение персональных данных субъекта производится в течение трех лет с момента достижения целей исходной обработки этих данных или истечения срока, установленного законом или договором.

Статья 21. Право на возражение против обработки персональных данных

Право на возражение против обработки персональных данных — одно из основных прав, предоставленных гражданам Российской Федерации в соответствии с Федеральным законом «О персональных данных» № 152-ФЗ. Это право позволяет людям контролировать использование и распространение их личных данных.

Когда персональные данные становятся ненужными или устаревшими, оператор обязан уничтожить их. Такое уничтожение может произойти по различным причинам, включая достижение целей, для которых данные были собраны, или если обработка данных становится незаконной.

Финансовый аналитик. Город Красноярск. Прошла практику в «рекламное агенство Марвел». Главный финансист Участника объединения и глава финансового комитета Совета избирателей Красноярского края. Кандидат основных А.И.Причина уничтожения персональных данных может быть определена в соответствии с требованиями Федерального закона «О персональных данных» № 152-ФЗ. Варианты такого уничтожения определены статьей 30 этого закона и включают в себя:

• достижение целей обработки или их невозможности;
• истечение срока, установленного законодательством;
• отзыв согласия субъекта данных на обработку его персональных данных;
• выполнение контракта или договора, стороной которого является субъект персональных данных.

Согласно статье 21 Федерального закона «О персональных данных» № 152-ФЗ, субъект данных имеет право в любое время возражать против обработки его персональных данных по его письменному заявлению.

Для того чтобы уничтожить персональные данные, оператор должен соблюдать установленные законом порядок и сроки. Форма и процедура оформления акта уничтожения персональных данных подтверждается в соответствии с требованиями правовых актов, установленных Правительством Российской Федерации и федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору в области информационных технологий, итоги могут быть оформлены в виде акта о результатах проверки, который в свою очередь подлежит уничтожению в соответствии со сроками хранения документации.

Вологодская область и Ненецкий автономный округ. Как правило, уничтожение персональных данных осуществляется в течение 30 дней с момента получения соответствующего письменного заявления от субъекта данных. В случае нарушения сроков уничтожения персональных данных, возможно привлечение оператора к ответственности, предусмотренной законодательством.

Таким образом, статья 21 Федерального закона «О персональных данных» № 152-ФЗ разъясняет право субъекта данных на возражение против обработки его персональных данных и устанавливает соответствующие требования и сроки для процедуры уничтожения этих данных.

Отвечает юрист консультант