Вопрос: Как работодатель должен уничтожать или обезличивать персональные данные работников, в том числе на электронном носителе?
Ответ: Действующее законодательство не регламентирует порядок уничтожения или обезличивания работодателем персональных данных работников. В частности, бумажные или машинные носители персональных данных могут быть уничтожены посредством деформирования.
Порядок уничтожения или обезличивания персональных данных работников, в том числе на электронном носителе, работодателю следует установить в локальных нормативных актах.
Обоснование: Порядок хранения и использования персональных данных работников устанавливается работодателем с соблюдением требований Трудового кодекса РФ и иных федеральных законов (ст. 87 ТК РФ).
В соответствии с п. п. 8 и 9 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных»:
— уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
— обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Федерального закона N 152-ФЗ).
При достижении целей обработки персональных данных или в случае отсутствия необходимости в достижении таких целей персональные данные подлежат уничтожению и обезличиванию, если иное не предусмотрено законом (ч. 7 ст. 5 Федерального закона N 152-ФЗ).
Таким образом, уничтожение и обезличивание персональных данных относятся к обработке персональных данных.
По отношению к работнику работодатель является оператором по обработке персональных данных (с учетом положений, предусмотренных п. 2 ст. 3 Федерального закона N 152-ФЗ).
Действующее законодательство не регламентирует порядок уничтожения или обезличивания работодателем персональных данных работников.
При этом работники и их представители должны быть ознакомлены под подпись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области (п. 8 ст. 86 ТК РФ).
Таким образом, полагаем, что порядок уничтожения или обезличивания персональных данных работников, в том числе на электронном носителе, должен быть отражен в локальных актах работодателя.
В связи с этим также целесообразно обратить внимание на Информацию Роскомнадзора «Ответы на вопросы в сфере защиты прав субъектов персональных данных», согласно которой порядок документальной фиксации уничтожения персональных данных субъекта определяется оператором персональных данных самостоятельно. Уничтожение персональных данных субъекта осуществляется комиссией либо иным должностным лицом, созданной (уполномоченным) на основании приказа оператора. Наиболее распространенными способами документальной фиксации уничтожения персональных данных субъекта являются оформление соответствующего акта о прекращении обработки персональных данных либо регистрация факта уничтожения персональных данных в специальном журнале. Типовая форма акта и журнала утверждается самим оператором.
Кроме того, одной из мер, направленных на обеспечение выполнения оператором обязанностей, предусмотренных Федеральным законом N 152-ФЗ, является издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений (п. 2 ч. 1 ст. 18.1 Федерального закона N 152-ФЗ).
Что касается обезличивания персональных данных, то возможно руководствоваться положениями Приказа Роскомнадзора от 05.09.2013 N 996, которым утверждены Требования и методы по обезличиванию персональных данных, обрабатываемых в информационных системах персональных данных, в том числе созданных и функционирующих в рамках реализации федеральных целевых программ, а также Методическими рекомендациями по применению приказа Роскомнадзора от 5 сентября 2013 г. N 996 «Об утверждении требований и методов по обезличиванию персональных данных» (утв. Роскомнадзором 13.12.2013).
На практике уничтожение персональных данных на бумажном носителе возможно, например, путем деформирования, нарушения единой целостности документа, в том числе путем использования шредера, что исключает дальнейшее использование документов в качестве первоисточника (см. Апелляционное определение Московского городского суда от 16.02.2017 по делу N 33-2761/2017).
Полагаем, что способом, исключающим возможность последующего восстановления информации, также является сжигание.
Машинные носители информации, подлежащие уничтожению, физически необходимо уничтожить также без возможности восстановления и дальнейшего использования, например, путем деформирования, нарушения единой целостности носителя или его сжигания.
Подлежащие уничтожению файлы, расположенные на жестком диске компьютера, возможно удалить средствами операционной системы с последующим «очищением корзины».
При уничтожении носителей персональных данных работодателем возможно соблюдать следующий порядок:
1) создать приказом комиссию по уничтожению персональных данных;
2) уничтожить носители персональных данных в присутствии членов указанной комиссии;
3) составить и подписать акт об уничтожении носителей и направить его на утверждение руководителю;
4) зафиксировать факт уничтожения носителя с персональными данными в соответствующем журнале.
Необходимо также обратить внимание на следующие случаи уничтожения персональных данных, установленные ч. 3 — 6 ст. 21 Федерального закона N 152-ФЗ:
— в случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора;
— в случае если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий 10 рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение;
— в случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий 30 дней с даты достижения цели обработки персональных данных;
— в случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий 30 дней с даты поступления указанного отзыва;
в случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в ч. 3 — 5 ст. 21 Федерального закона N 152-ФЗ, оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
Кроме того, оператор обязан уничтожить персональные данные при представлении субъектом персональных данных (или его представителем) сведений, подтверждающих, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, — в течение семи рабочих дней со дня представления таких сведений (ч. 1 ст. 14, ч. 3 ст. 20 Федерального закона N 152-ФЗ).
Дополнительно целесообразно обратить внимание, что в настоящее время Минкомсвязи России разрабатывается проект федерального закона «О внесении изменения в Федеральный закон «О персональных данных» в части уточнения требований к уничтожению персональных данных» (ID-проекта на regulation.gov.ru — 01/05/08-19/00093621), который предусматривает, что уничтожение персональных данных должно осуществляться с соблюдением требований, которые установит Роскомнадзор.
Д.А. Мыльников
Советник государственной
гражданской службы РФ
2 класса
Министерство труда и
социальной защиты
Российской Федерации
04.10.2019
