Комиссия по уничтожению персональных данных: приказ и образец

Коротко: закон не требует создавать комиссию по уничтожению персональных данных. Он требует подтвердить уничтожение по правилам Роскомнадзора (ч. 7 ст. 21 закона № 152-ФЗ), а приказ № 179 называет документ, который это подтверждает: акт, а при автоматизированной обработке ещё и выгрузку из журнала событий. Комиссия — удобная практика для организации, где уничтожение идёт регулярно и в нём участвуют несколько человек. Если вы небольшая компания, акт может подписать один ответственный работник.

Что говорит закон об уничтожении и о комиссии

Закон определяет уничтожение как действия, после которых нельзя восстановить содержание данных в информационной системе и (или) уничтожаются материальные носители (п. 8 ст. 3). Хранить данные дольше, чем нужно для целей обработки, нельзя: по достижении целей данные уничтожают или обезличивают, если иное не предусмотрено федеральным законом (ч. 7 ст. 5).

Подтверждение уничтожения закон отдал Роскомнадзору (ч. 7 ст. 21). Его приказ № 179 действует с 1 марта 2023 года до 1 марта 2029 года. Слова «комиссия» в законе и в приказе нет. В приказе говорится о «лицах (лице), уничтоживших персональные данные», с их должностью и подписью (подп. «г» п. 3). По нашему прочтению, это допускает и одного исполнителя, и группу.

Опора для порядка уничтожения другая. Локальные акты оператора-юрлица должны определять «порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований» (п. 2 ч. 1 ст. 18.1). Состав мер оператор определяет сам. Поэтому комиссия — один из способов оформить этот порядок, но не единственный.

Когда уничтожать: сроки из ст. 21

Комиссии и ответственному нужна одна таблица сроков, иначе уничтожение начинают «когда дойдут руки». Сроки из закона такие.

О прекращении обработки подробнее в статье «Прекращение обработки персональных данных», об отзыве согласия — в статье «Отзыв согласия на обработку персональных данных».

Когда комиссия нужна на практике

Всё ниже — наша рекомендация, закон этого не требует.

Кого включить: ответственного за организацию обработки (ст. 22.1), работника, который отвечает за системы, и руководителя подразделения, где данные обрабатывались. Три человека — удобный минимум, чтобы решения принимались не одним лицом. Ответственный по закону получает указания от исполнительного органа и подотчётен ему (ч. 2 ст. 22.1), поэтому, как правило, приказ подписывает руководитель (практика). О назначении ответственного см. статью «Приказ о назначении ответственного за ПДн».

Что делает комиссия, шаг за шагом

1. Определяет, что подлежит уничтожению. Событие из таблицы выше: цель достигнута, отзыв, истёк срок хранения, выявлена неправомерная обработка.
2. Проверяет, нет ли причин хранить дольше. Срок могут задавать закон или договор (ч. 7 ст. 5). Бухгалтерские документы, например, хранятся не менее пяти лет после отчётного года (ст. 29 закона № 402-ФЗ). Подробнее в статье «Персональные данные в бухгалтерии».
3. Выбирает способ. Например, бумагу — измельчением, электронные данные — удалением из системы так, чтобы содержание нельзя было восстановить. Для информационных систем в ч. 2 ст. 19 (п. 3.1) среди мер названо применение для уничтожения средств защиты информации с оценкой соответствия и функцией уничтожения; подбор таких средств — задача ИТ-специалиста, мы их не поставляем. Если на носителе есть и нужные данные, их сначала копируют, а затем уничтожают носитель; можно и вымарывать часть данных (п. 9 и 10 ПП № 687).
4. Контролирует уничтожение и в тот же день составляет акт.
5. Приобщает выгрузку из журнала событий, если данные обрабатывались в информационной системе.
6. Передаёт акт на хранение ответственному.

Какой акт нужен и что в нём указать

Приказ № 179 различает три случая. Без автоматизации подтверждает акт (п. 1 Требований). С автоматизацией — акт плюс выгрузка из журнала регистрации событий в информационной системе (п. 2). При смешанной обработке нужны оба документа (п. 7), а сведения, которых не хватает в выгрузке, вносят в акт (п. 6). В акте приказ требует указать (п. 3):

• наименование и адрес оператора, а при обработке по поручению — и обработчика;
• ФИО субъектов или иную информацию, позволяющую определить людей, чьи данные уничтожены;
• ФИО, должность и подпись лиц, которые уничтожили данные;
• категории уничтоженных данных;
• носители с числом листов (без автоматизации) или информационную систему (с автоматизацией);
• способ, причину и дату уничтожения.

Акт в электронной форме, подписанный по законодательству, равнозначен бумажному (п. 4). Полный разбор акта и образец — в статье «Акт уничтожения персональных данных».

Образец приказа о создании комиссии

Образец, подставьте свои данные. Организация и люди вымышленные. Закон формы такого приказа не устанавливает.

ООО «Образец»
ПРИКАЗ № ___ от «__» __________ 20__ г.
О создании комиссии по уничтожению персональных данных

В целях исполнения ст. 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и приказа Роскомнадзора от 28.10.2022 № 179 ПРИКАЗЫВАЮ:

1. Создать комиссию по уничтожению персональных данных в составе:
председатель — [должность, ФИО];
члены комиссии — [должность, ФИО] (ответственный за организацию обработки персональных данных); [должность, ФИО] (работник, отвечающий за информационные системы); [должность, ФИО] (руководитель подразделения, обрабатывающего данные).

2. Комиссии: определять персональные данные и носители, подлежащие уничтожению при достижении целей обработки, отзыве согласия, истечении сроков хранения или выявлении неправомерной обработки; проверять отсутствие оснований для дальнейшего хранения; контролировать уничтожение; составлять акт об уничтожении по форме приложения № 1 с учётом п. 3 Требований, утверждённых приказом Роскомнадзора № 179; при обработке в информационной системе приобщать выгрузку из журнала регистрации событий.

3. Акты и выгрузки хранить 3 года с момента уничтожения у ответственного за организацию обработки персональных данных.

4. Ответственному ознакомить членов комиссии с приказом под роспись.

5. Контроль за исполнением приказа оставляю за собой.

Директор ____________ / [ФИО]
С приказом ознакомлены: [ФИО, подпись, дата]

Приказ утверждают и доводят до работников, см. «Как утвердить документы по ПДн».

ИП без работников и небольшая организация

У индивидуального предпринимателя комиссии, как правило, нет смысла: оператор он сам. Ответственного закон требует только от юридического лица (ч. 1 ст. 22.1). Акт при этом нужен: приказ № 179 называет оператором и физическое лицо (подп. «а» п. 3). Подпишет его сам предприниматель.

В небольшой организации достаточно приказа, где одним лицом назначен ответственный за уничтожение. Главное, чтобы акт и выгрузка не терялись и были под рукой, если Роскомнадзор запросит документы (ч. 4 ст. 18.1).

Что бывает за просрочку

Отдельная санкция есть за невыполнение в срок требования человека или Роскомнадзора об уничтожении, если данные неполные, устаревшие, неточные, незаконно полученные или не нужны для цели: для организаций от 50 до 90 тысяч рублей, для ИП от 20 до 40 тысяч (ч. 5 ст. 13.11 КоАП). Отдельной части именно про просрочку уничтожения по достижении цели в статье нет; по нашему прочтению, хранение сверх срока могут оценить как обработку без законного основания (ч. 1 ст. 13.11). Общая картина санкций — в статье «Штрафы за персональные данные».

Как мы помогаем

Порядок уничтожения — часть локальных актов оператора. В пакете документов по 152-ФЗ за 9 900 ₽ юрист сначала разбирает ваш бизнес: какие данные, где хранятся, кто имеет доступ. Затем пишет документы под вашу ситуацию; правки идут, пока вы не напишете «принимаю». Нужен ли вам отдельный приказ о комиссии, решаем на разборе: состав пакета называем до оплаты. Подскажем, как ознакомить сотрудников под подпись. Если нужно держать документы актуальными, есть сопровождение по персональным данным: 1 990 ₽ в месяц или 19 900 ₽ в год.

Остальные документы комплекта описаны в обзоре «Документы по персональным данным: что нужно оператору». Как политика связана с этим порядком, объясняет «Политика обработки персональных данных».

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

• Закон № 152-ФЗ, ст. 3 (понятие уничтожения)
• Закон № 152-ФЗ, ст. 5 (принципы обработки, ч. 7 о хранении)
• Закон № 152-ФЗ, ст. 18.1 (меры оператора, локальные акты)
• Закон № 152-ФЗ, ст. 21 (сроки уничтожения, подтверждение)
• Закон № 152-ФЗ, ст. 22.1 (ответственный за организацию обработки)
• Приказ Роскомнадзора от 28.10.2022 № 179 (требования к подтверждению уничтожения)
• Постановление Правительства № 687 (обработка без средств автоматизации)
• Закон № 402-ФЗ, ст. 29 (хранение документов бухгалтерского учёта)
• КоАП РФ, ст. 13.11