Федеральный закон №152-ФЗ "О персональных данных" (далее – Закон) играет ключевую роль в защите частной жизни граждан России. Он устанавливает правила обработки персональных данных (ПДн), включая их сбор, хранение, использование, передачу и уничтожение. Уничтожение ПДн – это обязательный этап жизненного цикла данных, который детально регламентируется положениями Закона, в том числе статьями 3, 5, 21 и 22. В этой статье мы подробно рассмотрим, какие требования предъявляются к уничтожению данных, зачем они нужны и как их правильно выполнять.

Понятие уничтожения персональных данных по Закону

Согласно статье 3 Федерального закона №152-ФЗ, уничтожение персональных данных определяется как действия, в результате которых становится невозможным восстановление содержания данных, а носители подлежат физическому удалению или уничтожению. Это одна из форм обработки данных, которая подчеркивает важность ответственного завершения их использования.

Особенность Закона заключается в том, что он ставит уничтожение на один уровень с такими процессами, как сбор и хранение данных, требуя от операторов такой же строгой ответственности и документирования. Это подтверждается требованиями статьи 5, которая закрепляет принципы обработки ПДн, включая минимизацию сроков их хранения и обязательное уничтожение после достижения целей обработки.

Когда уничтожение ПДн становится обязательным?

Федеральный закон №152-ФЗ четко определяет обстоятельства, при которых персональные данные подлежат уничтожению. К ним относятся следующие случаи:

1. Достижение целей обработки.

В статье 5 прямо указано, что обработка персональных данных должна прекращаться после выполнения целей, ради которых они собирались. Например, если данные клиента использовались для выполнения разовой услуги, оператор обязан уничтожить их сразу после завершения работы.

2. Отзыв согласия субъекта.

Согласно статье 9 Закона, гражданин имеет право в любое время отозвать согласие на обработку своих данных. В этом случае оператор обязан немедленно прекратить обработку и уничтожить ПДн, за исключением случаев, предусмотренных другими федеральными законами, например, законодательством о бухгалтерском учете.

3. Истечение сроков обработки.

В статье 21 Федерального закона №152-ФЗ указано, что обработка персональных данных должна быть строго ограничена определенными сроками. После их истечения оператор обязан удалить данные, если их дальнейшая обработка не оправдана правовыми основаниями.

4. Незаконная обработка данных.

Если обработка данных признана незаконной (например, по решению суда или в результате проверки Роскомнадзора), статья 22 требует немедленного уничтожения ПДн.

Эти ситуации закреплены как обязательные требования, нарушение которых влечет административную ответственность, предусмотренную Кодексом об административных правонарушениях (статья 13.11 КоАП РФ).

Как правильно уничтожать персональные данные?

Федеральный закон №152-ФЗ предъявляет строгие требования к процедуре уничтожения ПДн. Это подтверждается положениями статей 19 и 22, которые обязывают операторов:

- использовать технические и организационные меры для исключения возможности восстановления данных;

- документировать факт уничтожения, включая дату, способ уничтожения и перечень удаленных данных;

- подтверждать уничтожение актами или отчетами.

Статья 19 дополнительно указывает, что меры по уничтожению данных должны быть частью комплекса по обеспечению безопасности ПДн. В частности, операторы обязаны использовать сертифицированные средства, соответствующие требованиям ФСТЭК и ФСБ.

Способы уничтожения персональных данных

Методы уничтожения ПДн регламентируются не только статьями 3 и 5 Федерального закона №152-ФЗ, но и дополнительными нормативными актами, такими как Приказ ФСТЭК №378. Выделяют следующие способы уничтожения:

1. Физическое уничтожение носителей данных:

   - Уничтожение бумажных документов с помощью шредеров или сжигания.

   - Разрушение магнитных и оптических носителей (жестких дисков, CD/DVD).

2. Программное уничтожение данных:

   - Использование сертифицированного ПО для многократного затирания данных на жестких дисках и других электронных носителях.

   - Обнуление или перезапись информации до состояния, исключающего восстановление.

Выбор способа зависит от типа носителя и степени чувствительности данных. Закон акцентирует внимание на необходимости исключить возможность восстановления данных любыми способами.

Ответственность за нарушение требований Закона

Несоблюдение положений Федерального закона №152-ФЗ в части уничтожения ПДн влечет серьезные последствия. Статья 13.11 КоАП РФ устанавливает штрафы за нарушение порядка обработки данных:

- Для физических лиц – до 10 000 рублей.

- Для должностных лиц – до 50 000 рублей.

- Для юридических лиц – до 500 000 рублей.

Кроме того, субъекты персональных данных могут подать иск о возмещении морального или материального вреда. В ряде случаев нарушения могут привести к блокировке деятельности организации или отзыву лицензий.

Судебная практика показывает, что нарушения часто связаны с отсутствием надлежащей фиксации процедуры уничтожения или использованием устаревших технологий. Например, в одном из дел Роскомнадзор оштрафовал компанию за отказ удалить данные после отзыва согласия клиента, что противоречило требованиям статьи 9 Федерального закона №152-ФЗ.

Актуальные вызовы для операторов

Современные реалии ставят перед операторами новые задачи в выполнении требований Федерального закона №152-ФЗ. Среди основных вызовов можно выделить:

1. Рост объема данных.

   Компании все чаще сталкиваются с необходимостью уничтожения больших массивов данных, что требует автоматизации процессов и применения современных технологий.

2. Технологическое совершенствование восстановления данных.

   Даже многократное затирание может быть недостаточным в случае использования профессиональных методов восстановления. Закон обязывает операторов использовать сертифицированные решения для защиты ПДн.

3. Международные требования.

   Российские компании, работающие с иностранными клиентами, обязаны учитывать не только требования Федерального закона №152-ФЗ, но и такие нормативы, как GDPR, что усложняет правоприменение.

Рекомендации для соблюдения Закона

Для минимизации рисков операторам необходимо:

- регулярно пересматривать локальные нормативные акты в соответствии с изменениями в законодательстве;

- разрабатывать четкие регламенты уничтожения ПДн, опираясь на статьи 5, 19 и 22 Федерального закона №152-ФЗ;

- проводить обучение персонала для повышения осведомленности о правах и обязанностях, закрепленных Законом;

- использовать сертифицированное программное и аппаратное обеспечение для надежного удаления данных.

Федеральный закон №152-ФЗ "О персональных данных" устанавливает строгие правила обработки и уничтожения ПДн, защищая интересы граждан. Его положения направлены на минимизацию рисков утечек и обеспечение конфиденциальности данных. Однако успешное выполнение требований возможно только при комплексном подходе: от внедрения современных технологий до разработки внутренних регламентов. Регулярное выполнение положений Закона, в частности статей 3, 5, 9 и 21, позволит операторам избежать штрафов и сохранить репутацию.