Что относится к персональным данным: правила передачи, хранения и уничтожения

Правила обработки персональных данных (ПДн) регламентируются ФЗ от 27.07.2006 №152-ФЗ. Под ней подразумевается совокупность действий оператора, включая передачу, хранение и уничтожение. Чтобы избежать утечки или других нарушений и не получить крупный штраф, компания должны соблюдать определенные правила работы с ПДн.

Что такое персональные данные

Персональные данные — это сведения, которые прямо или косвенно относятся к субъекту ПДн (ст. 3 ФЗ №152-ФЗ). Субъектом выступает физическое лицо, от которого получены ПДн.

Конкретный перечень персональных данных законодательством не устанавливается, но стандартно к ним относятся следующие сведения:

• ФИО, дата рождения;
• серия и номер паспорта;
• номер телефона, адрес;
• СНИЛС, ИНН.

Есть еще специальные категории ПДн (ст. 10 ФЗ №152-ФЗ): национальность, раса, информация о состоянии здоровья или интимной жизни, политические взгляды. Их можно обрабатывать только с согласия физлица или для исполнения требований законодательства РФ.

Также отдельно стоит выделить биометрические данные (ст. 11 ФЗ №152-ФЗ): фотографии, отпечатки пальцев, радужная оболочка глаз и другие сведения, по которым можно определить физиологические и биологические особенности субъекта, но при условии, что они используются оператором для идентификации.

Правила передачи ПДн

Передача должна осуществляться с соблюдением следующих принципов (ст. 5 ФЗ №152-ФЗ):

1. Законность – обработка только с согласия субъекта ПДн, если нет оснований для работы с данными без него.
2. Целевое ограничение – данные передаются только для конкретных, заранее определенных целей.
3. Минимизация данных – передаются только те ПДн, которые необходимы для достижения заявленных целей.
4. Конфиденциальность – оператор обязан обеспечить защиту ПДн от несанкционированного доступа.

Передача ПДн без согласия субъекта возможна, если это нужно для исполнения договора с ним, в рамках правосудия или исполнения судебного акта. Также передавать данные без согласия разрешается, если это связано с угрозой жизни или здоровью субъекта или по запросу ФНС, МВД или иных органов в рамках действующего законодательства РФ. Но могут быть и другие основания, предусмотренные ст. 6 ФЗ №152-ФЗ.

Для обработки персональных данных нужно подать уведомление в Роскомнадзор. Если этого не сделать, организацию или ИП могут оштрафовать на сумму до 5 000, а с 30.05.2025 года — до 300 000 рублей. Если сведения передаются в другое государство, дополнительно подается уведомление о трансграничной передаче.

Проведем бесплатный аудит вашей организации или ИП на предмет соблюдения новых требований закона «О персональных данных»

Сделаем заключение на соблюдение требований Роскомнадзора

Запишитесь на бесплатный аудит

Заполните форму и мы свяжемся с вами

Нажимая кнопку "Отправить", я даю свое Согласие на обработку моих персональных данных в соответствии с Федеральным законом от 27.07.2006 года № 152-ФЗ «О персональных данных» на условиях и для целей, определенных Политикой конфиденциальности

Нажимая кнопку "Отправить", я даю свое согласие на получение сообщений информационного (рекламного) характера в соответствии с Федеральным законом от 13.03.2006 г № 38-ФЗ «О рекламе» на условиях и для целей, определенных Политикой конфиденциальности, Согласием на осуществление рекламной рассылки

Отправить

Хранение персональных данных

Этот вопрос регулируется ФЗ №152-ФЗ, а также подзаконными актами, включая Постановление Правительства РФ № 1119 от 01.11.2012 (требования к защите ПДн) и Приказ ФСТЭК и ФСБ.

Какие действуют правила хранения персональных данных в организации или у ИП:

1. Общие принципы: хранение только для исполнения заявленных целей, ограничение доступа; защита от утечек, неправомерного уничтожения или модификации; срок хранения — не дольше, чем требуется для целей работы с ПДн, если законом не предусмотрено иное.
2. Требования к хранению: электронные базы должны соответствовать требованиям ФСТЭК и ФСБ. Если сведения отражены в бумажных документах, хранить их нужно в сейфах или закрытых помещениях с ограниченным доступом.
3. Место хранения — только в РФ или в других странах, обеспечивающих адекватную защиту (ст. 12 ФЗ №152-ФЗ).
4. Срок хранения определяется целями обработки: например, трудовые договоры, оформленные с 2003 года, хранятся 50 лет, договоры с клиентами — в течение срока действия договора + 5 лет (Приказ Росархива от 20.12.2019 N 236).
5. Защита ПДн при хранении: должен быть назначен ответственный за обработку, разработана политика работы с персональными данными и ряд других документов. Также необходимо внедрить технические меры защиты: шифрование, установка антивируса, разграничение доступа, резервное копирование.

Соблюдайте сроки хранения, обеспечьте оптимальную защиту системы персональных данных с учетом уровня ПДн. Это позволит избежать штрафов и конфликтов с клиентами или другими субъектами ПДн.

Уничтожение персональных данных

Оператор обязан уничтожить ПДн в связи с истечением срока хранения, достижением целей обработки или в случае отзыва согласия субъекта ПДн, если нет иных законных оснований.

Порядок уничтожения персональных данных:

1. Определение необходимости уничтожения: проверка сроков хранения кадровых, клиентских и иных документов, оснований обработки.
2. Выбор способа уничтожения. Для электронных данных — полное стирание с использованием специализированного ПО или физическое уничтожение носителей, если безопасное удаление невозможно. Для бумажных документов — шредирование.
3. Оформление акта об уничтожении персональных данных. В нем нужно указать дату и место составления, состав комиссии, список уничтожаемых ПДн, способ уничтожения, подписи членов комиссии.

Главная цель процедуры — уничтожение ПДн без возможности восстановления. После удаления информации, которая обрабатывалась с использованием компьютерной техники, необходимо документально подтвердить это (Приказ Роскомнадзора от 28.10.2022 N 179). Запросите выгрузку из журнала регистрации событий информационной системы, где ранее хранились удаленные сведения.

Такую выписку можно получить из различных учетных систем, включая бухгалтерские и кадровые программы, корпоративные сайты компании или другие электронные базы данных, которые использовались для сбора и хранения персональной информации. Подготовить данный документ может как ИТ-специалист организации, так и уполномоченный сотрудник, обладающий необходимыми правами доступа к системе.

Важно, чтобы выписка содержала точные сведения о времени и дате удаления, а также идентифицировала уничтоженные данные. Это необходимо для полного соответствия требованиям ФЗ № 152-ФЗ. Полученная выписка прикладывается к акту об уничтожении и подтверждает выполнение процедуры строго в рамках законодательства.

Заключение

Все операторы должны обрабатывать персональные данные, соблюдая действующее законодательство. Правильная организация процессов сбора, хранения, передачи и уничтожения сведений позволяет минимизировать риски утечки личной информации и защитить права субъектов ПДн. Особое внимание уделите оформлению документов: от этого зависит не только безопасность ПДн, но и риск привлечения компании к ответственности.