Уничтожение персональных данных: тридцать дней и акт

Анкеты непринятых кандидатов, сканы паспортов на общем диске, старые заявки с сайта в почте. Формально обработка закончена, а данные лежат.

Короткий ответ

Когда цель обработки достигнута, данные нужно уничтожить в срок не более тридцати дней с даты достижения цели. И уничтожение надо чем-то подтвердить — актом, а не словами.

Что говорит закон

Это часть 4 статьи 21 закона № 152-ФЗ. Там же оговорка: иное может быть предусмотрено договором с самим человеком или другим федеральным законом. Именно на эту оговорку и опирается хранение кадровых документов — сроки для них установлены отдельно, приказом Росархива от 20.12.2019 № 236.

Где чаще всего лежат забытые данные

Формально обработка прекращена, а на деле данные продолжают лежать:

• анкеты кандидатов, которых не взяли на работу, — цель достигнута в день отказа;
• копии паспортов клиентов в папке «сканы» на общем диске;
• выгрузки из 1С и бухгалтерские таблицы на рабочих столах;
• заявки с сайта за все годы в почтовом ящике;
• записи видеонаблюдения, которые никто не перезаписывает;
• резервные копии баз — про них забывают всегда.

Как выглядит правильный порядок

Нужны три вещи, и все три спрашивают на визите:

• порядок уничтожения — кто решает, что цель достигнута, кто уничтожает, кто подписывает;
• форма акта — что именно уничтожено, в каком объёме, каким способом и когда;
• сам акт по каждому случаю уничтожения.

Способ тоже имеет значение. Бумагу — в шредер, а не в мусорное ведро. Электронные данные — удаление без возможности восстановления, и отдельно нужно вспомнить про копии и архивы.

Ещё один срок, который путают с этим

Тридцать дней — это про достижение цели. Отзыв согласия человеком, запрос об уничтожении и выявление неправомерной обработки — отдельные случаи, и сроки там свои, они описаны в той же статье 21. Поэтому в порядке уничтожения имеет смысл прописать все основания сразу, а не только самое частое.

Ещё по теме