Что делать, если субъект требует удалить данные, но они нужны для отчётности?

Алексей Ветров

Эксперт по защите данных IC-TECH

Задать вопрос

В ситуации, когда субъект персональных данных требует удалить его данные, но они необходимы организации для исполнения обязанностей по закону (например, для бухгалтерской или налоговой отчётности, хранения кадровых документов), компания не обязана удалять такие данные до истечения установленных сроков хранения.

Закон № 152-ФЗ прямо указывает: уничтожение или обезличивание данных допускается после достижения целей их обработки, если иное не предусмотрено законодательством. А законы о бухгалтерском учёте, налогах, трудовом праве и архивном деле устанавливают конкретные сроки хранения документов, которые нельзя сокращать по требованию субъекта.

Таким образом, организация должна грамотно объяснить субъекту, что его данные не могут быть удалены до окончания обязательного срока хранения, и при этом обеспечить их использование строго в целях отчётности, без передачи иного использования.

Обоснование по законодательству

• 152-ФЗ «О персональных данных»:
  • Ст. 5 ч. 5 — хранение данных осуществляется не дольше, чем этого требуют цели их обработки, если иное не предусмотрено федеральным законом.
  • Ст. 21 ч. 1 — субъект вправе требовать уничтожения данных, если они избыточны, устарели или используются незаконно.
• Федеральный закон № 402-ФЗ «О бухгалтерском учёте»:
  • Ст. 29 — бухгалтерские документы хранятся не менее 5 лет.
• Федеральный закон № 125-ФЗ «Об архивном деле в РФ», Приказ Минкультуры № 558:
  • Трудовые договоры, личные карточки сотрудников, лицевые счета — 50–75 лет.
• Налоговый кодекс РФ — определяет сроки хранения документов, подтверждающих расчёты с бюджетом (не менее 4 лет).

Типичные ошибки организаций

• Удаляют данные по первому требованию субъекта, нарушая обязательные сроки хранения документов.
• Не дают субъекту ответа с обоснованием отказа, чем создают конфликт и жалобу в Роскомнадзор.
• Продолжают использовать данные субъекта для маркетинга, даже после его требования об удалении.

Особенности применения на практике

• Организация обязана разделять данные:
  • часть, которая используется для отчётности (хранится по закону),
  • часть, которая используется в маркетинговых или иных добровольных целях (подлежит удалению по требованию).
• Правильный ответ субъекту должен содержать ссылку на нормы закона, обязывающие хранить его данные.
• После окончания срока хранения организация обязана уничтожить или обезличить данные.

Рекомендации и выводы

1. При получении требования субъекта об удалении ПДн проверьте, не подпадают ли данные под обязательные сроки хранения по закону.
2. Если данные нужны для отчётности, письменно уведомьте субъекта, что они будут храниться до истечения обязательного срока, после чего будут уничтожены или обезличены.
3. Если данные использовались для маркетинга или иных дополнительных целей — удалите их из этих баз по требованию субъекта.
4. Внутренние регламенты организации должны предусматривать порядок разделения таких данных и алгоритм ответа субъектам.

Если вы хотите быть уверены, что ваша компания правильно реагирует на требования субъектов об удалении данных, и при этом не нарушает требования налогового, трудового и архивного законодательства, — компания ICTech подготовит для вас полный пакет документов по защите персональных данных в организации. В нём будут регламенты, образцы ответов субъектам и инструкции по хранению и уничтожению данных. Это позволит избежать штрафов, конфликтов с клиентами и претензий со стороны Роскомнадзора.

Хотите защитить себя от проверок и штрафов?

Подготовим документы по 152-ФЗ

Разработаем полный пакет документации по обработке персональных данных для вашей организации.

Заказать

О услуге