Зачем нужен акт удаления персональных данных
Закон обязывает оператора удалить персональные данные по требованию субъекта, если нет оснований для дальнейшей обработки. Если не выполнить требование, компания рискует получить штраф.
Акт удаления — это внутренний документ, который фиксирует, что требование выполнено: какие данные удалены, когда и кем. Он не заменяет уведомление субъекту, но служит доказательством при проверке Роскомнадзора или в суде.
Закон не устанавливает обязательную форму акта. Оператор сам решает, как его оформить. Главное — чтобы из документа было ясно, что именно сделано и когда.
Что указать в акте удаления
Акт должен содержать сведения, которые однозначно идентифицируют субъекта, перечень удалённых данных и дату выполнения. Обычно в акт включают: дату и номер обращения субъекта, его идентификатор (например, адрес электронной почты или номер договора), перечень категорий удалённых персональных данных, дату и способ удаления, подпись ответственного лица.
Если данные хранятся в нескольких системах — например, в CRM, на сайте и у подрядчика, — это стоит отразить в акте. Так вы покажете, что удаление выполнено полностью. Если данные остаются в резервных копиях или логах по техническим или правовым причинам, это тоже указывается.
Акт составляется в одном экземпляре и хранится у оператора. Субъекту направляется уведомление о выполнении требования — отдельным письмом или сообщением.
Как сайт должен быть готов к требованию об удалении
Чтобы субъект мог отправить требование, на сайте должны быть указаны контакты оператора и описан порядок обращения. Это прописывается в политике обработки персональных данных. Если контактов нет или политика отсутствует, это создаёт риск претензий.
Если сайт собирает данные через формы или передаёт их внешним сервисам, в политике должны быть описаны сроки хранения, порядок удаления и условия передачи третьим лицам. Без этого оператору сложно доказать, что он выполнил требование корректно.
Dobrolex проверяет публичные страницы сайта и фиксирует, есть ли политика обработки персональных данных, указаны ли реквизиты оператора и контакты для обращений, какие внешние сервисы получают данные посетителей. Результат — заключение с перечнем рисков и рекомендациями, что исправить.
Что делать, если данные переданы подрядчикам или сохранены в резервных копиях
Если персональные данные были переданы подрядчикам — например, в сервис рассылок или CRM, — оператор обязан обеспечить их удаление и там. Это требование закона. В договоре с подрядчиком должен быть прописан порядок такого удаления.
В акте указывается, что данные удалены из всех систем, где они хранились, и подрядчики уведомлены. Если подрядчик подтвердил удаление письмом или в интерфейсе системы, копию подтверждения можно приложить к акту.
Данные в резервных копиях удаляются по мере обновления копий или по истечении срока хранения. Если законодательство или договор требуют сохранить архив, это указывается в акте и в уведомлении субъекту. Главное — чтобы данные были недоступны для использования в текущей обработке.
Как хранить акт и кому его показывать
Акт хранится внутри компании вместе с другими документами по обработке персональных данных. Оператор определяет срок хранения самостоятельно, исходя из необходимости подтвердить выполнение требования в случае проверки или спора.
Субъекту акт не направляется. Ему отправляется уведомление о том, что требование выполнено, с указанием даты и перечня удалённых данных. Роскомнадзору акт предоставляется по запросу при проверке — как доказательство того, что оператор выполняет обязанности по обработке персональных данных.
Если в акте допущена ошибка или данные удалены не полностью, это можно исправить. Составляется новый акт с пометкой о дополнении или исправлении предыдущего. Субъекту направляется уточнённое уведомление.
Проверьте свой сайт: готовы ли вы к требованию об удалении данных
- 01Есть ли на сайте политика обработки персональных данных. Откройте главную страницу и футер — политика должна быть доступна по прямой ссылке.
- 02Указаны ли контакты для обращений субъектов. В политике или на странице контактов должен быть адрес электронной почты или форма для запросов по персональным данным.
- 03Описан ли порядок удаления данных. В политике должно быть написано, как субъект может потребовать удаления и в какой срок оператор ответит.
- 04Указаны ли сроки хранения персональных данных. Проверьте, прописано ли, как долго данные хранятся и при каких условиях удаляются.
- 05Описана ли передача данных третьим лицам. Если сайт использует внешние сервисы (аналитику, CRM, рассылки), это должно быть указано в политике.
- 06Есть ли у вас шаблон акта удаления и понимание, кто его составляет. Проверьте, назначен ли ответственный за обработку персональных данных и знает ли он, как оформить удаление.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточник
Частые вопросы
Обязательно ли составлять акт удаления персональных данных
Закон не требует акта в обязательном порядке, но это удобный способ зафиксировать выполнение требования. При проверке акт служит доказательством.
Нужна ли подпись субъекта на акте удаления
Нет. Акт составляет оператор для себя. Субъекту направляется уведомление о выполнении требования.
Что делать, если данные остались в резервных копиях
Укажите в акте, что данные удалены из рабочих систем и будут удалены из копий по мере их обновления. Субъекту сообщите то же самое.
Сколько хранить акт удаления персональных данных
Оператор определяет срок хранения самостоятельно. Акт должен быть доступен для подтверждения выполнения требования при проверке.
Нужно ли показывать акт Роскомнадзору
Да, по запросу при проверке. Акт подтверждает, что оператор выполняет обязанности по обработке персональных данных.
Как проверить, готов ли сайт к требованию об удалении данных
Проверьте, есть ли политика обработки персональных данных, указаны ли контакты и описан ли порядок обращения. Dobrolex фиксирует эти моменты в заключении.
Что будет, если не удалить данные в срок
Роскомнадзор может привлечь к ответственности за обработку без законных оснований. Размер санкций зависит от обстоятельств.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.