Уведомление о прекращении обработки персональных данных
Документ, которым оператор сообщает человеку, что обработка его данных прекращена. Закон отводит на само прекращение три рабочих дня — и считает их с даты выявления нарушения.
Зачем нужен документ
Обработка персональных данных может закончиться по-разному: цель достигнута, человек отозвал согласие, выяснилось, что оснований не было вовсе. Закон описывает каждый из этих случаев отдельно и в каждом требует не только прекратить обработку, но и сообщить об этом человеку. Уведомление — та самая бумага, которой оператор закрывает историю.
Главное здесь — момент, с которого пошёл срок. Часть 3 статьи 21 говорит: при выявлении неправомерной обработки оператор обязан прекратить её в срок, не превышающий трёх рабочих дней с даты этого выявления. Не с даты жалобы, не с даты запроса регулятора — с даты выявления. Кто именно выявил, норма не уточняет. Значит, ваш собственный внутренний контроль запускает те же часы.
А если обеспечить правомерность обработки невозможно — например, данные собраны без основания и легализовать их нечем, — закон даёт десять рабочих дней с даты выявления на уничтожение. Уведомление в этом случае сообщает уже не о прекращении, а об уничтожении, и адресат у него может быть не один.
Чем грозит отсутствие
Наказывают здесь не за отсутствие бумаги, а за то, что обработка продолжается. Каждый день после истечения срока — это обработка без основания, то есть длящееся нарушение, которое видно по любому журналу и любой рассылке.
Отдельно стоит держать в голове ещё одну норму. Если уничтожить данные в отведённый срок технически невозможно — например, они в резервных копиях, — оператор обязан заблокировать их и обеспечить уничтожение в срок не более шести месяцев. Это законный путь, но он работает только тогда, когда блокирование действительно сделано и зафиксировано.
Как ещё называют этот документ
Что должно быть в документе
Утверждённой формы нет: закон называет обязанность уведомить, не описывая бланк. Поэтому содержание собирается из того, что документ обязан доказать — что вы уложились в срок и сделали именно то, что требовалось.
Требования законодательства
Как связан с другими документами
Прекращение — финальная точка цепочки, которая начинается с обращения человека или с находки внутреннего контроля.
Когда обновлять документ
Форма стабильна, а вот перечень систем, из которых нужно вычищать данные, устаревает быстрее всего.
Что спросит проверяющий
Здесь всё считается по датам. Проверяющий выстраивает три события в линию и смотрит, укладываются ли они в норму.
Разбор эксперта
Три рабочих дня — самый короткий срок во всём законе, и почти никто не замечает, откуда он считается. Норма говорит: с даты выявления неправомерной обработки. Не с даты жалобы, не с даты запроса Роскомнадзора, не с даты, когда юрист подготовил заключение. С даты, когда факт стал известен. И если факт обнаружил ваш собственный внутренний контроль, часы пошли в тот момент, когда аудитор поставил дату на своём отчёте.
Отсюда неприятный, но полезный вывод, который мы всегда проговариваем с клиентами вслух. Внутренний контроль — не только защита, но и источник обязанностей. Это не повод его не проводить: не найдёте вы — найдёт регулятор, и тогда разговор пойдёт совсем в другом тоне. Это повод устроить процедуру так, чтобы между находкой и остановкой обработки не стояло совещание. Чаще всего мы видим именно эту картину: нарушение нашли в понедельник, обсудили в четверг, решение приняли на следующей неделе — а срок истёк в среду.
И последнее, про слово «прекратить». В большинстве компаний оно означает «убрать из основной системы». Данные при этом остаются в резервных копиях, в выгрузках у аналитиков, в сервисе рассылок и в почте сотрудника, который вёл клиента. Если после вашего уведомления человек получит письмо от компании, заявившей о прекращении обработки, вы получите жалобу — и она будет обоснованной. Поэтому прежде чем подписывать уведомление, стоит пройти по списку систем, а не по памяти.
Заведите единый перечень систем и мест, где живут персональные данные, и проверяйте прекращение по нему, а не по памяти. Пропишите, кто и как фиксирует дату выявления: без неё соблюдение сроков недоказуемо. Разведите в форме два сюжета — прекращение неправомерной обработки в рабочих днях и прекращение при достижении цели или отзыве согласия в календарных. Предусмотрите частичное прекращение с указанием основания для остающейся части. Проверьте, что договор с подрядчиком позволяет остановить обработку в три рабочих дня. И заранее решите, что делать с резервными копиями: законный путь — блокирование и уничтожение в срок не более шести месяцев, но блокирование должно быть реальным.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
С даты выявления неправомерной обработки. Кто её выявил — человек, регулятор или ваш внутренний контроль — норма не различает.
Уничтожить данные в срок не более десяти рабочих дней с даты выявления и уведомить об этом человека.
Да, если обращение человека или запрос пришли через уполномоченный орган. Если человек обратился напрямую — уведомляется только он.
Блокирование — временная остановка обработки, данные при этом сохраняются. Прекращение — окончание обработки, за которым обычно следует уничтожение.
Тридцать дней с даты поступления отзыва, если нет другого основания продолжать обработку и если иное не предусмотрено договором или законом.
Если уничтожить данные в срок невозможно, их блокируют и обеспечивают уничтожение в срок не более шести месяцев.
Да. Закон требует прекратить обработку или обеспечить её прекращение лицом, действующим по поручению оператора.
Да, и это обычная ситуация: часть данных хранится по требованиям архивного или налогового законодательства. В уведомлении такое основание нужно назвать.