Требования Роскомнадзора к подтверждению уничтожения ПДн

Требования Роскомнадзора к подтверждению уничтожения персональных данных (приказ № 179 от 28.10.2022) закрывают давнюю проблему: раньше оператор заявлял, что удалил данные, но подтвердить это было нечем. Теперь факт уничтожения нужно фиксировать документально, а способ подтверждения зависит от того, автоматизирована обработка или нет.

Как подтверждается уничтожение

• Акт об уничтожении ПДн — обязателен во всех случаях; содержит перечень категорий уничтоженных данных и сведения о субъектах, основание и способ уничтожения, дату, а также Ф.И.О., должности и подписи лиц, уничтоживших данные;
• выгрузка из журнала регистрации событий в информационной системе — дополнительно, если обработка автоматизирована; фиксирует факт и параметры уничтожения в ИС;
• подтверждающие документы хранятся оператором в течение 3 лет с момента уничтожения.

Когда это нужно

Данные подлежат уничтожению при достижении цели обработки, отзыве согласия (если нет иного основания), по требованию субъекта или Роскомнадзора. Закон устанавливает сроки: при неправомерной обработке — до 10 рабочих дней с даты выявления, при достижении цели обработки или отзыве согласия — до 30 дней (статья 21 152-ФЗ). Отсутствие акта об уничтожении при проверке трактуется как невыполнение обязанности.

Акт об уничтожении носителей ПДн можно сформировать в разделе «Носители ПДн».