Субъект отозвал согласие на обработку персональных данных: что делать Оператору?
Каждый из нас хотя бы раз давал согласие на обработку своих персональных данных в тех или иных целях. И в соответствии с ч. 2 ст. 9 Федерального закона № 152-ФЗ у субъекта есть право отозвать это согласие в любой момент. Когда субъект отзывает согласие, у Оператора возникает обязанность прекратить обработку и уничтожить соответствующие данные. Разберёмся подробнее, как правильно действовать Оператору в такой ситуации:
Получить и зафиксировать отзыв согласия от субъекта.
Отзыв согласия на обработку персональных данных может быть представлен в письменной форме или в виде электронного документа. Оператор обязан зарегистрировать полученный отзыв с указанием даты, именно она станет отправной точкой для отсчёта срока на уничтожение (ч. 5 ст. 21 152-ФЗ).
Определить, какие данные обрабатывались исключительно на основании согласия. На этом этапе необходимо провести анализ всех обрабатываемых персональных данных субъекта и разделить их на две группы:
- данные, для которых согласие было единственным основанием обработки. Эти данные нужно уничтожить.
- данные, которые Оператор может продолжить обрабатывать без согласия субъекта при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 152-ФЗ.
Подготовить подтверждение уничтожения: акт и выгрузка из ИСПДн
Требования к подтверждению уничтожения персональных данных утверждены Приказом Роскомнадзора от 28.10.2022 № 179 (действует до 01.03.2029). От Оператора потребуется:
- акт об уничтожении, который подписывается лицом (или лицами), непосредственно осуществившими уничтожение данных. Это может быть как один сотрудник, так и несколько (например, комиссия, если это предусмотрено внутренними процедурами Оператора);
- выгрузка из журнала регистрации событий в информационной системе персональных данных (ИСПДн), фиксирующая факт удаления данных с указанием даты, времени и идентификатора субъекта.
Выгрузка должна содержать: ФИО (или иной идентификатор субъекта), перечень категорий уничтоженных ПДн, причину и дату уничтожения. Формируется она непосредственно из ИСПДн и заверяется подписью ответственного лица (ответственным за эксплуатацию ИСПДн или администратором безопасности). Без неё подтверждение уничтожения для автоматизированных систем считается неполным.
Если выгрузка из журнала регистрации событий в ИСПДн по техническим причинам не позволяет указать все необходимые сведения (например, перечень категорий уничтоженных данных, способ или причину уничтожения), недостающие данные вносятся в акт об уничтожении.
Если обработка ПДн поручалась иному лицу – обеспечить прекращение обработки ПДн и уничтожение данных у этого лица (ч. 5 ст. 21 152-ФЗ).
Для этого:
- Оператор направляет письменное поручение с требованием прекратить обработку и уничтожить соответствующие данные в 30-дневный срок с даты получения отзыва (ч.5 ст. 21 152-ФЗ);
- Оператор запрашивает и получает от обработчика подтверждение уничтожения: акт уничтожения и, если данные обрабатывались в ИСПДн, выгрузку из журнала регистрации событий.
Уведомить субъекта об уничтожении данных
Рекомендуется уведомить субъекта об уничтожении данных. Хотя 152-ФЗ прямо не требует этого при отзыве согласия, такое уведомление является хорошей практикой, подтверждает исполнение обязательств Оператора и снижает риск дальнейших обращений и споров.
Хранить всю документацию 3 года
Акт об уничтожении и выгрузка из журнала регистрации событий в ИСПДн (при её наличии) подлежат хранению в течение 3 лет с момента уничтожения персональных данных. Этот срок установлен Приказом Роскомнадзора № 179 и обязателен для всех Операторов. Эти документы могут потребоваться для подтверждения факта уничтожения в случае запроса Регулятора (Роскомнадзора) или при проведении проверки. По истечении этого срока документы могут быть уничтожены в установленном порядке.
Пошаговое руководство по удалению персональных данных из поисковиков, баз и соцсетей
https://www.securitylab.ru/analytics/555887.php
inf0
