Примеры, когда хранение допустимо:
- бухгалтерская и налоговая отчётность (ФЗ-402 «О бухгалтерском учёте», Налоговый кодекс РФ);
- кадровые документы сотрудников (Трудовой кодекс РФ, ст. 66, 62 — хранение личных дел, трудовых договоров и приказов);
- медицинская документация (ФЗ-323 «Об основах охраны здоровья граждан» — медкарты должны храниться установленный срок);
- документы в сфере образования (ФЗ-273 «Об образовании» — журналы успеваемости, личные дела обучающихся).
Обоснование по законодательству
- Ст. 6 ФЗ-152, ч. 1, п. 2 — согласие не требуется, если обработка необходима для исполнения обязанностей оператора, установленных законом.
- Ст. 9 ФЗ-152, ч. 2 — субъект может отозвать согласие, но это не отменяет обязанностей по хранению данных, установленных федеральными законами.
- Ст. 13.11 КоАП РФ — нарушение порядка хранения и уничтожения ПДн влечёт ответственность.
Практика и позиция Роскомнадзора
Роскомнадзор разъясняет: отзыв согласия не означает автоматическое уничтожение всех данных. Если закон требует хранить документы (например, налоговые или кадровые), оператор обязан их сохранить.
Пример: сотрудник отозвал согласие на обработку ПДн после увольнения. Компания сохранила трудовой договор и личное дело на срок, предусмотренный законодательством о бухгалтерском учёте и архивном деле. Проверка РКН подтвердила правомерность действий.
Другой случай: организация продолжала хранить телефон клиента для рассылки после отзыва согласия. Проверка признала это нарушением, так как оснований для хранения этих данных не было.
Что важно учитывать компаниям
- После отзыва согласия данные можно хранить только в пределах обязательных требований закона.
- Использовать такие данные для любых иных целей (например, маркетинга) запрещено.
- Нужно чётко разделять базы: какие данные хранятся для отчётности, а какие должны быть уничтожены.
Рекомендации и выводы
Да, данные можно хранить после отзыва согласия, но только если это необходимо для исполнения законных обязанностей (бухгалтерия, налоги, кадровые и медицинские документы). Чтобы действовать правильно:
- Определите, какие данные должны храниться по закону и какой срок хранения установлен.
- Исключите использование этих данных в других целях.
- Включите порядок хранения и уничтожения ПДн после отзыва согласия в комплект документов по ФЗ-152.
- При обращении субъекта давайте мотивированный ответ, объясняя, какие данные подлежат сохранению по закону.
Компания ICTech поможет вашей организации выстроить процессы хранения ПДн для отчётности, оформить регламенты и подготовить пакет документов по ФЗ-152, чтобы избежать претензий Роскомнадзора.
