Издательство «НАУЧНЫЕ ТЕХНОЛОГИИ»

МОСКВА, тел. +7(495)-142-86-81

Порядок уничтожения и уточнения персональных данных из информационных систем персональных данных

E-mail Печать

Е.А. Логинов, (К.т.н., с.н.с., доцент Финансового университета при правительстве РФ)

В.Н. Омаров,  (К.т.н., Финансовый университет при правительстве РФ)

alt

Конференция 04
 

Материалы II международной научно-практической конференции

" ЭКОНОМИКА И УПРАВЛЕНИЕ В XXI ВЕКЕ:
ТЕОРИЯ, МЕТОДОЛОГИЯ, ПРАКТИКА"

г. Москва, 23 апреля 2013 года

ВВЕДЕНИЕ

Статья 21 Федерального закона «О персональных данных» (далее – Закон) предписывает оператору персональных данных обязанности по устранению нарушений законодательства, допущенных при обработке персональных данных, а также по уточнению, блокированию и уничтожению персональных данных.

Постановлением Правительства РФ №211 от 21 марта 2012 года «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами», предписано осуществить разработку:

  • правил обработки персональных данных, устанавливающих процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных, а также определяющих для каждой цели обработки персональных данных содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований;
  • правил рассмотрения запросов субъектов персональных данных или их представителей.

 

Данные правила в обязательном порядке должны быть утверждены актом руководителя государственного или муниципального органа.

Утверждение Правительством необходимости в обязательном порядке разработки правил обработки персональных данных для части операторов подчеркивает актуальность рассматриваемой тематики.

На первый взгляд нет ничего проще, чем уничтожить (действия, в результате которых становится невозможным восстановить содержание персональных данных) или уточнить (обновить) персональные данные. Но в какой организации сотрудник, получив от субъекта запрос, начнет уточнять (изменять), а тем более уничтожать данные?! Во-первых, для уничтожения или уточнения данных необходимы соответствующие права для доступа к базам данных. Во-вторых, вряд ли кто сразу ответит на вопрос: «где хранятся персональные данные субъекта»? Ведь осуществляется резервное копирование, существуют резервные центры обработки данных и др. В-третьих, возникает вопрос: «можно ли их уничтожить или уточнить»? Ведь с учетом других законодательных актов, например, Налогового кодекса, первичные документы с персональными данными должны храниться в обязательном порядке.

Процессы уточнения и уничтожения персональных данных в любой организации, как минимум, проходит такие этапы как: получение запроса канцелярией; передача запроса юристам для юридической оценки; формирование заявки на уничтожение данных; собственно уничтожение данных (специально обученными и наделенными соответствующими правами специалистами); проверка комиссией факта выполнения уточнения (уничтожения) данных и составление комиссией акта об уточнении (уничтожении) данных; подготовка ответа юристами о выполнении запроса субъекта. Процесс из простого становится достаточно сложным и срок «десять рабочих дней», отведенных законодателем на уничтожение данных, уже не кажется большим.

Настоящий «Порядок уничтожения и уточнения персональных данных из информационных систем персональных данных» описывает процесс уничтожения и уточнения персональных данных с учетом взаимодействия подразделений компании в целях формирования правил обработки персональных данных, правил рассмотрения запросов субъектов персональных данных или их представителей, а также своевременного принятия мер при поступлении запросов, постановлений, уведомлений, предписаний судов, надзорных органов или субъектов персональных данных.

1. ОБЩЕЕ ОПИСАНИЕ

Закон «О персональных данных» определяет обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, по уничтожению, блокированию и уточнению персональных данных из информационных систем персональных данных и устанавливает соответствующие сроки в случаях:

  • выявления неправомерной обработки персональных данных (п.1,3, ст.21);
  • выявления неточных персональных данных (абзац 2, п.1,2, ст.21);
  • достижения цели обработки персональных данных (п.4. ст.21);
  • отзыва субъектом персональных данных согласия на обработку его персональных данных (п.5. ст.21).

 

Для выполнения указанных обязанностей оператором, осуществляющим обработку персональных данных, по мнению автора необходимо разработать следующий перечень действий (процессов):

1. Блокирование персональных данных, относящихся к соответствующему субъекту персональных данных, с момента обращения или получения запроса на период проверки (в случае выявления недостоверных персональных данных или осуществления неправомерных действий с ними). Проводится при обращении или по запросу субъекта персональных данных или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных.

2. Уточнение персональных данных в случае подтверждения факта недостоверности персональных данных и снятие их блокирования. Проводится на основании документов, представленных субъектом персональных данных или его законным представителем либо уполномоченным органом по защите прав субъектов персональных данных или иных необходимых документов.

3. Устранение допущенных нарушений в случае выявления неправомерных действий с персональными данными.

4. Уничтожение персональных данных в случаях невозможности устранения допущенных нарушений, достижения цели обработки персональных данных, отзыва субъектом персональных данных согласия на обработку своих персональных данных.

2. ФОРМАЛИЗАЦИЯ

Рассмотрим процессы, описанные в законе, с точки зрения оператора персональных данных и субъекта персональных данных. Выделим следующие типовые процессы оператора персональных данных:

  • Блокировка (разблокировка) персональных данных;
  • Уточнение недостоверных персональных данных;
  • Уничтожение персональных данных.

 

Устранение допущенных нарушений предполагает блокировку персональных данных, собственно устранение допущенных нарушений и последующую разблокировку персональных данных или удаление в случае невозможности устранения допущенных нарушений.

С точки зрения субъекта персональных данных в законе описаны процессы (далее – процессы субъектов), каждый из которых может содержать несколько типовых процессов оператора ПДн. Выделим следующие процессы субъектов:

  • Устранения неправомерных действий с ПДн (включает блокирование данных, устранение нарушений или уничтожение ПДн, разблокирование ПДн);
  • Уточнения персональных данных оператором (включает блокирование, уточнение и разблокирование персональных данных);
  • Действия оператора при достижении цели обработки персональных данных (включает процесс блокировки, уничтожения ПДн);
  • Действия оператора при отзыве субъектом согласия на обработку персональных данных (включает процесс блокировки, уничтожения ПДн).

 

На рис. 1 показано взаимодействие процессов субъектов и операторов.

alt

Рисунок 1. Взаимодействие процессов при выполнении обязанности оператора

по устранению нарушений законодательства, допущенных при обработке персональных данных,

а также по уточнению, блокированию и уничтожению персональных данных
 

Рассмотрим порядок уточнения, блокирования и уничтожения персональных данных с точки зрения оператора ПДн более детально. Для большей наглядности введем участников процесса. Предлагается следующий состав участников:

Юрист - определяет необходимость и перечень мер по устранению нарушений законодательства, допущенных при обработке персональных данных, а также необходимость уточнения, блокирования и уничтожения персональных данных.

Администратор - осуществляет уточнение, блокирование и уничтожение персональных данных.

Администратор безопасности - контролирует уточнение, блокирование и уничтожение персональных данных, а также выполнение мер по устранению нарушений законодательства, допущенных при обработке персональных данных.

3. БЛОКИРОВАНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

Блокирование ПДн – это вспомогательный процесс. Он позволяет остановить обработку данных в случаях:

  • выявления недостоверных персональных данных;
  • выявления неправомерных действий с ними оператора;
  • достижения цели обработки персональных данных;
  • отзыва субъектом персональных данных согласия на обработку его персональных данных.

 

Во время блокирования происходит уточнение данных, устранение неправомерных действий с персональными данными или уничтожения персональных данных.

Осуществить блокирование персональных данных, относящихся к соответствующему субъекту персональных данных, оператор обязан:

  • при обращении или по запросу субъекта персональных данных;
  • его законного представителя;
  • уполномоченного органа по защите прав субъектов персональных данных;
  • по требованию лица, по поручению которого обрабатываются персональные данные.

 

Блокирование производится с момента обращения или получения запроса на период проверки.

Блокирование персональных данных включает:

  • прекращение сбора,
  • систематизации,
  • записи,
  • накопления,
  • уточнения,
  • извлечения,
  • использования,
  • обезличивания,
  • удаления,
  • распространения персональных данных, в том числе их передачи.

 

С этой целью оператор должен обеспечить, прежде всего, идентификацию субъекта ПДн и далее поставить запрет на чтение и запись данных о субъекте в ИСПДн. При обращении к заблокированным данным о субъекте (например, с целью извлечения информации) рекомендуется выдача ИСПДн сообщения: «субъект заблокирован». Наиболее сложным является идентификация субъекта, так как в ИСПДн могут находиться неполные данные о субъекте (например, только фамилия и имя) или данные с ошибками. В таких случаях (нет 100% уверенности, что данные в ИСПДн относятся к субъекту) рекомендуется отказаться от блокирования в связи с невозможностью идентификации субъекта по данным в ИСПДн.

4. УТОЧНЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

Уточнение персональных данных в случае подтверждения факта недостоверности персональных данных проводится на основании документов, представленных субъектом персональных данных или его законным представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов. На рис.2 представлена схема уточнения персональных данных.

alt

Рисунок2. Схема уточнения персональных данных
 

Юрист после юридической оценки обращения (запроса) направляет его для блокирования персональных данных Администратору.

Администратор выполняет блокирование данных.

В случае подтверждения факта недостоверности персональных данных Администратор по данным, полученным от юриста, в течение семи дней уточняет персональные данные и снимает их блокирование.

Юрист направляет ответ в адрес обращения (запроса).

5. УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

Уничтожение персональных данных происходит в трех случаях:

1. в случае выявления неправомерных действий с персональными данными;

2. в случае достижения цели обработки персональных данных;

3. в случае отзыва субъектом персональных данных согласия на обработку своих персональных данных.

На рис.3 и 4 представлены схемы уничтожения персональных данных в случае неправомерных действий с персональными данными и уничтожения персональных данных в случае достижения цели обработки персональных данных или отзыва субъектом персональных данных согласия на обработку своих персональных данных.

alt

Рис.3 Схема уничтожения персональных данных

в случае неправомерных действий с персональными данными
 

В случае выявления неправомерных действий с персональными данными оператор в срок, не превышающий трех рабочих дней с даты выявления, обязан прекратить неправомерную обработку персональных данных, то есть, в течение трех дней осуществить блокировку ПДн.

Если обеспечить правомерность дальнейшей обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора.

Неправомерными действиями могут быть любые действия, связанные с обработкой персональных данных, не указанные в согласии субъекта. К ним относятся: сбор, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передача), обезличивание, блокирование, уничтожение персональных данных.

В качестве примера неправомерных действий рассмотрим неправомерную передачу персональных данных контрагенту. В этом случае устранение неправомерной обработки заключается в направлении письма контрагенту с просьбой удалить персональные данные либо получение согласия субъекта ПДн. В случае направления письма контрагент обязан произвести уничтожение данных и направить уведомление об уничтожении персональных данных, которое и пересылается субъекту.

В случае невозможности устранения допущенных нарушений Администратор в срок, не превышающий десяти рабочих дней с даты выявления неправомерности действий с персональными данными, уничтожает персональные данные.

Об устранении допущенных нарушений или об уничтожении персональных данных Юрист в обязательном порядке уведомляет субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, - также указанный орган.

Рассмотрим схему уничтожения персональных данных в случае достижения цели обработки персональных данных или отзыва субъектом персональных данных согласия на обработку своих персональных данных.

alt

Рис.4 Схема уничтожения персональных данных

в случае достижения цели обработки персональных данных

или отзыва субъектом персональных данных согласия на обработку своих персональных данных
 

В случае достижения цели обработки персональных данных администратор прекращает обработку персональных данных и уничтожает их в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, иным соглашением между оператором и субъектом персональных данных.

Уведомление о факте уничтожения персональных данных субъекта высылается только при получении обращения от субъекта или запросе от уполномоченного органа по защите прав субъектов персональных данных.

Рассмотрим более подробно цель обработки персональных данных, которая является одним из существенных элементов письменного согласия.

Напомним, что существенными элементами письменного согласия субъекта персональных данных на обработку своих персональных данных являются:

1) фамилия, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

2) наименование (фамилию, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных;

3) цель обработки персональных данных;

4) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

5) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;

6) срок, в течение которого действует согласие, а также порядок его отзыва.

Цель обработки персональных данных определяется и прописывается в согласии субъекта персональных данных, и указанная цель, несомненно, должна совпадать с целью обработки персональных данных оператором, указанной в уведомлении об обработке персональных данных, направленном в Роскомнадзор.

Часто цель обработки персональных данных в договоре с субъектом выглядит как «в целях заключения и реализации Договора», что приводит к коллизиям. То есть, в ряде случаев, например, при страховании, день окончания договора может и не являться датой достижения цели обработки персональных данных в связи с тем, что, например, обращение по договору страхования может произойти и после окончания договора, - по страховому случаю, которое произошло во время действия договора. Кроме того, существуют и другие факторы, например: сроки ремонта автомобиля, длительность возможного судебного процесса и др. Однако, сроки хранения персональных данных в ИСПДн будут определяться в соответствии с указанной в согласии целью обработки персональных данных, то есть до дня окончания договора. В случае использования формулировки «в целях заключения и реализации Договора» оператор обязан удалить персональные данные из всех ИСПДн после дня окончания договора. Всю дальнейшую обработку персональных данных можно проводить после получения согласия субъекта на обработку своих персональных данных.

Существенным условием согласия на обработку персональных данных является срок, в течение которого действует согласие, а также порядок его отзыва. Приведем пример срока, в течение которого действует согласие: «Страховщик может осуществлять обработку моих персональных данных в течение действия Договора страхования и в течение 5 (пяти) лет после его прекращения». Исходя из пункта 4 статьи 21 Закона, включение в согласие на обработку персональных данных срока заведомо большего, чем определяет цель обработки данных, не может служить основанием не уничтожения персональных данных. Персональные данные должны быть уничтожены. Другое дело, если после окончания договора будет заключен новый договор; в этом случае при не обновлении согласия через пять лет должен вступить в силу пункт 5 статьи 21 Закона об отзыве субъектом персональных данных, то есть персональные данные также подлежат уничтожению, но по другому основанию.

Как рекомендация к вышесказанному является пожелание более продуманного описания цели обработки данных в договорах.

В случае отзыва субъектом персональных данных согласия на обработку своих персональных данных Юрист направляет его Администратору, который прекращает обработку персональных данных путем блокирования и, если иное не предусмотрено договором, уничтожает персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва. Об уничтожении персональных данных Юрист уведомляет субъекта персональных данных.

В случае отзыва субъектом персональных данных согласия, законодатель дает возможность продолжения обработки персональных данных оператору в случае выполнения им целей обработки персональных данных. Порядок отзыва согласия носит уведомительный характер и может включать как весь перечень персональных данных, так и избирательный (например, только номер телефона).

Необходимо дополнить, что в сроки отведенных регулятором по прекращению обработки персональных данных, оператор обязан обеспечить их прекращение и другими лицами, обрабатывающих персональные данные по поручению оператора.

6. МЕХАНИЗМ КОНТРОЛЯ

По всем уточнениям, уничтожению персональных данных составляется акт, подписанный юристом, администратором и администратором безопасности. По результатам выполненных работ подготавливаются уведомления:

  • Уведомление о внесении изменений в персональные данные.
  • Уведомление об устранении нарушений в порядке обработки персональных данных.
  • Уведомление об уничтожении персональных данных.

 

ЗАКЛЮЧЕНИЕ

Порядок действий оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, а также по уточнению и уничтожению персональных данных не так однозначен. Наибольшую неопределенность вызывает вопрос уничтожения персональных данных. Это связано как с большим разнообразием бумажных, электронных документов, так и наличием широкого спектра законодательных актов по их хранению и обработке. Кроме того, необходимо помнить, что уничтожение данных приводит к их безвозвратной потере.

Трудности при определении срока хранения персональных данных остаются, и это связано не только с наличием большого перечня существенных условий в согласии субъекта на обработку персональных данных, но и необходимости учета федерального законодательства.

Изменение законодателем сроков устранения нарушений законодательства, допущенных при обработке персональных данных, в большую сторону, позволит оператору выполнять требования регулятора только при отлаженном, регламентированном процессе устранения нарушений. При этом выполнения одних организационных мер  недостаточно – требуется доработка всех программных систем по обеспечению заданных сроков хранения персональных данных путем их своевременного блокирования и последующего уничтожения.


СПИСОК ЛИТЕРАТУРЫ:

1. Федеральный закон № 152-ФЗ «О персональных данных» от 27.02.2006.

2. Петров М. И. Комментарий к Федеральному закону «О персональных данных» (постатейный). – М.: Юстицинформ, 2007.

3. Рябко С. Об обезличивании персональных данных, (http://www.itsec.ru/articles2/focus/ob-obezlichivanii-personaljnyh-dannyh)

4. Кучин И.Ю. Защита конфиденциальности персональных данных с помощью обезличивания ISSN 2072-9502 Вестник АГПУ.Сер.: Управление, вычислительная техника и информатика. 2010.№2.

5. k-Anonymity / V. Ciriani, S. De Capitani di Vimercati, S. Foresti, P. Samarati // Springer US, Advances in Information Security. – 2007.

6. Саксонов Е.А., Щередин Р.В. Процедура обезличивания персональных данных Московский государственный институт электроники и математики (МИЭМ) Наука и образование Электронное научно-техническое издание, март 2011 (http://technomag.edu.ru/doc/173146.html)

7. Методика обезличивания персональных данных. Патент компании ООО «Стратегия безопасности» (http://www.bio5.ru/news/obezlichivanie-personalnyh-dannyh.htm)


© Е.А. Логинов, В.Н. Омаров,  Издательство "Научные технологии".
 

Книжные Изданияbadge

badge
  • Совершенствование методики технико-тактических действий хоккеистов 11-12 лет: методические рекомендации
  • Цифровизация и интеграция технологий и управления – механизм повышения эффективности
  • Повышение эффективности производства на основе оптимизации планирования и внедрения новых технологий оценки качества продукции
  • Методические основы предпринимательства