Акт об уничтожении персональных данных (ПД) – это документ, подтверждающий факт выполнения требований законодательства о защите персональных данных при их ликвидации. Ниже представлен пошаговый гид, который поможет оформить акт корректно и избежать типичных ошибок.

Нормативная база

• Федеральный закон № 152‑ФЗ «О персональных данных» (ст. 18.1) – обязывает оператора самостоятельно определить порядок уничтожения ПД.
• Приказ Роскомнадзора от № 179 (в редакции, действующей с ) – устанавливает обязательные реквизиты акта об уничтожении персональных данных.
• Внутренние локальные акты организации (положение о обработке ПД, политика конфиденциальности, приказ о назначении комиссии).

Кто составляет акт?

Согласно п. 3 Приказа Роскомнадзора № 179, акт составляется:

• комиссией, созданной приказом руководителя организации;
• или единоличным ответственным должностным лицом, если такой порядок предусмотрен внутренними документами.

В состав комиссии обычно включают:

• председателя (руководитель подразделения или директор);
• членов – специалистов по кадровому учету, ИТ‑безопасности, бухгалтерии и т.д.

Обязательные реквизиты акта

Согласно пункту 3 Приказа Роскомнадзора № 179, в акте должны быть указаны следующие сведения:

1. Наименование и адрес организации, где осуществляется уничтожение ПД.
2. ФИО и должность лица, чьи персональные данные уничтожаются.
3. ФИО и должность лиц, участвующих в уничтожении (состав комиссии или ответственное должностное лицо). Если уничтожение поручается сторонней организации – её наименование и адрес.
4. Перечень уничтоженных персональных данных с указанием количества листов (для бумажных носителей) или наименование информационных систем (для электронных носителей).
5. Дата, способ уничтожения и причины ликвидации (достигнута цель обработки, истёк срок хранения, выявлена неправомерная обработка и т.п.).

Пошаговая инструкция по составлению акта

1. Издание приказа о ликвидации ПД. В приказе фиксируются:
   • основания для уничтожения (заявление сотрудника, истечение срока хранения и т.д.);
   • сроки выполнения;
   • соответствующие ответственные лица или комиссия.
2. Фактическое уничтожение носителей. Применяются утверждённые способы:
   • механическое измельчение (шредер) для бумажных документов;
   • термическое уничтожение (сжигание) – при наличии лицензии;
   • демагнитизация, физическое разрушение или форматирование электронных носителей;
   • привлечение специализированной организации с лицензией на уничтожение ПД.
3. Составление акта. Заполняется форма, включающая все обязательные реквизиты (см. пункт выше). Пример формы с маскированными персональными данными представлен ниже.
4. Подписание и хранение. Акт подписывается всеми членами комиссии (или ответственным лицом) и заверяется печатью организации (если требуется). Хранится в течение срока, установленного внутренними нормативными актами (не менее 5 лет).

Пример акта об уничтожении персональных данных (с маскированными данными)

Чего следует избегать

• Не указывать в акте полные персональные данные сотрудников, если они не требуются для идентификации уничтоженных сведений (достаточно ФИО и должности).
• Не забывать про подписи всех членов комиссии – отсутствие подписи делает акт недействительным.
• Не использовать способы уничтожения, не утверждённые внутренними локальными актами (например, самовольное сжигание без лицензии).
• Не хранить акт меньше установленного срока – это может привести к штрафам со стороны Роскомнадзора.

Правильно оформленный акт об уничтожении персональных данных является гарантией соблюдения требований законодательства и защиты прав субъектов данных. Следуя представленной инструкции, используя шаблон с маскированными персональными данными и учитывая обязательные реквизиты, организация сможет избежать нарушений и минимизировать риски административной ответственности.

Помните: основной принцип – документировать каждый этап ликвидации ПД, чтобы в случае проверки можно было подтвердить законность и обоснованность действий.