Субъект отозвал согласие на обработку персональных данных: что делать Оператору?
Субъект отозвал согласие на обработку персональных данных: что делать Оператору? Ответ: Каждый из нас хотя бы раз давал согласие на обработку своих персональных данных в тех или иных целях. И в соответствии с ч. 2 ст. 9 Федерального закона № 152-ФЗ у субъекта есть право отозвать это согласие в любой момент. Когда субъект отзывает согласие, у Оператора возникает обязанность прекратить обработку и уничтожить соответствующие данные. Разберёмся подробнее, как правильно действовать Оператору в такой ситуации: 1. Получить и зафиксировать отзыв согласия от субъекта. Отзыв согласия на обработку персональных данных может быть представлен в письменной форме или в виде электронного документа. Оператор обязан зарегистрировать полученный отзыв с указанием даты, именно она станет отправной точкой для отсчёта срока на уничтожение (ч. 5 ст. 21 152-ФЗ). 2. Определить, какие данные обрабатывались исключительно на основании согласия. На этом этапе необходимо провести анализ всех обрабатываемых персональных данных субъекта и разделить их на две группы: - данные, для которых согласие было единственным основанием обработки. Эти данные нужно уничтожить. - данные, которые Оператор может продолжить обрабатывать без согласия субъекта при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 152-ФЗ. 3. Подготовить подтверждение уничтожения: акт и выгрузка из ИСПДн Требования к подтверждению уничтожения персональных данных утверждены Приказом Роскомнадзора от 28.10.2022 № 179 (действует до 01.03.2029). От Оператора потребуется: - акт об уничтожении, который подписывается лицом (или лицами), непосредственно осуществившими уничтожение данных. Это может быть как один сотрудник, так и несколько (например, комиссия, если это предусмотрено внутренними процедурами Оператора); - выгрузка из журнала регистрации событий в информационной системе персональных данных (ИСПДн), фиксирующая факт удаления данных с указанием даты, времени и идентификатора субъекта. Выгрузка должна содержать: ФИО (или иной идентификатор субъекта), перечень категорий уничтоженных ПДн, причину и дату уничтожения. Формируется она непосредственно из ИСПДн и заверяется подписью ответственного лица (ответственным за эксплуатацию ИСПДн или администратором безопасности). Без неё подтверждение уничтожения для автоматизированных систем считается неполным. Если выгрузка из журнала регистрации событий в ИСПДн по техническим причинам не позволяет указать все необходимые сведения (например, перечень категорий уничтоженных данных, способ или причину уничтожения), недостающие данные вносятся в акт об уничтожении. 4. Если обработка ПДн поручалась иному лицу – обеспечить прекращение обработки ПДн и уничтожение данных у этого лица (ч. 5 ст. 21 152-ФЗ). Для этого: - Оператор направляет письменное поручение с требованием прекратить обработку и уничтожить соответствующие данные в 30-дневный срок с даты получения отзыва (ч.5 ст. 21 152-ФЗ); - Оператор запрашивает и получает от обработчика подтверждение уничтожения: акт уничтожения и, если данные обрабатывались в ИСПДн, выгрузку из журнала регистрации событий. 5. Уведомить субъекта об уничтожении данных Рекомендуется уведомить субъекта об уничтожении данных. Хотя 152-ФЗ прямо не требует этого при отзыве согласия, такое уведомление является хорошей практикой, подтверждает исполнение обязательств Оператора и снижает риск дальнейших обращений и споров. 6. Хранить всю документацию 3 года Акт об уничтожении и выгрузка из журнала регистрации событий в ИСПДн (при её наличии) подлежат хранению в течение 3 лет с момента уничтожения персональных данных. Этот срок установлен Приказом Роскомнадзора № 179 и обязателен для всех Операторов. Эти документы могут потребоваться для подтверждения факта уничтожения в случае запроса Регулятора (Роскомнадзора) или при проведении проверки. По истечении этого срока документы могут быть уничтожены в установленном порядке.