Акт об уничтожении персональных данных субъектов: как составить

В современном мире защита персональных данных становится всё более актуальной задачей для организаций любого масштаба. Российское законодательство строго регламентирует не только процессы сбора и обработки персональных данных, но и их уничтожение. Одним из ключевых документов, подтверждающих факт уничтожения персональных данных, является специальный акт. Правильное составление этого документа — важная юридическая процедура, которая защищает как права субъектов персональных данных, так и интересы самой организации. В этой статье мы подробно рассмотрим, как грамотно составить акт об уничтожении персональных данных субъектов персональных данных, какие требования предъявляет к нему законодательство и какие последствия могут возникнуть при несоблюдении установленных правил.

Правовые основания для уничтожения персональных данных

Прежде чем приступить к составлению акта, необходимо понимать, в каких случаях требуется уничтожение персональных данных. Согласно Федеральному закону №152-ФЗ «О персональных данных», существует несколько оснований для уничтожения персональных данных:

Достижение целей обработки персональных данных (например, после увольнения сотрудника или окончания договорных отношений с клиентом)
Истечение срока хранения персональных данных, установленного законодательством или внутренними документами организации
Выявление неправомерной обработки персональных данных
Отзыв субъектом персональных данных согласия на их обработку
Ликвидация или реорганизация организации-оператора персональных данных

Важно отметить, что в каждом из этих случаев оператор обязан не просто уничтожить персональные данные, но и документально зафиксировать этот факт. Именно для этого и составляется акт об уничтожении персональных данных.

Подготовительный этап перед уничтожением персональных данных

Процедура уничтожения персональных данных начинается задолго до составления самого акта. Необходимо провести ряд подготовительных мероприятий:

Создание комиссии по уничтожению персональных данных

Первым шагом является издание приказа о создании специальной комиссии. В состав комиссии обычно входят:

Председатель комиссии (как правило, руководитель организации или его заместитель)
Сотрудник, ответственный за обработку персональных данных
Представитель IT-отдела (если уничтожаются электронные носители)
Представитель службы безопасности или юридического отдела

В приказе необходимо указать состав комиссии, сроки проведения процедуры уничтожения и причины, по которым персональные данные подлежат уничтожению.

Инвентаризация носителей персональных данных

Перед уничтожением необходимо провести инвентаризацию всех носителей, содержащих персональные данные субъектов. Это могут быть:

Бумажные документы (анкеты, заявления, копии паспортов и т.д.)
Электронные носители (жесткие диски, флеш-накопители, CD/DVD-диски)
Базы данных в информационных системах

Результаты инвентаризации фиксируются в специальном перечне, который впоследствии станет приложением к акту об уничтожении.

Выбор способа уничтожения персональных данных

В зависимости от типа носителя выбирается соответствующий способ уничтожения:

Для бумажных документов — измельчение с помощью шредера, сжигание или химическое разложение
Для электронных носителей — форматирование с последующей перезаписью, размагничивание, физическое уничтожение
Для баз данных — использование специализированного программного обеспечения для безвозвратного удаления информации

Важно выбрать такой способ уничтожения, который гарантирует невозможность восстановления персональных данных. В противном случае организация может быть привлечена к ответственности за нарушение законодательства о персональных данных.

Структура и содержание акта об уничтожении персональных данных

Хотя унифицированная форма акта об уничтожении персональных данных законодательно не утверждена, существуют определенные требования к его содержанию. Рассмотрим основные элементы, которые должны присутствовать в акте:

Обязательные реквизиты акта

Акт об уничтожении персональных данных должен содержать следующие реквизиты:

Наименование документа («Акт об уничтожении персональных данных»)
Дата и место составления акта
Номер акта (в соответствии с принятой в организации системой нумерации)
Полное наименование организации-оператора персональных данных
Основание для уничтожения персональных данных (ссылка на приказ, заявление субъекта и т.д.)
Состав комиссии по уничтожению персональных данных

Информация о субъектах персональных данных

В акте необходимо указать информацию о субъектах, чьи персональные данные подлежат уничтожению:

Фамилия, имя, отчество субъекта (если уничтожаются данные конкретных лиц)
Категория субъектов (если уничтожаются данные группы лиц, например, «уволенные сотрудники», «бывшие клиенты» и т.д.)
Категории уничтожаемых персональных данных (например, «паспортные данные», «сведения о состоянии здоровья» и т.д.)

Если уничтожаются персональные данные большого количества субъектов, допускается приложить к акту отдельный список.

Перечень уничтожаемых носителей

В акте необходимо перечислить все носители, содержащие персональные данные, которые подлежат уничтожению:

Для бумажных документов — наименование документа, количество листов, регистрационные номера (если имеются)
Для электронных носителей — тип носителя, инвентарный номер, объем хранимой информации
Для баз данных — наименование информационной системы, количество записей, объем данных

Способ уничтожения

В акте обязательно указывается выбранный способ уничтожения персональных данных:

«Путем измельчения на шредере марки…»
«Путем сжигания в специально отведенном месте…»
«Путем форматирования с последующей многократной перезаписью…»
«С использованием специализированного программного обеспечения…»

Важно указать конкретный способ, который гарантирует невозможность восстановления персональных данных.

Подписи членов комиссии

Акт должен быть подписан всеми членами комиссии по уничтожению персональных данных. Для каждого члена комиссии указывается:

Должность
Фамилия, имя, отчество
Личная подпись
Дата подписания

Подписи членов комиссии подтверждают факт уничтожения персональных данных и правильность составления акта.

Пошаговая инструкция по составлению акта об уничтожении персональных данных

Рассмотрим последовательность действий при составлении акта об уничтожении персональных данных:

Шаг 1: Подготовка проекта акта

Проект акта обычно готовит сотрудник, ответственный за обработку персональных данных. При подготовке проекта необходимо:

Определить основание для уничтожения персональных данных
Составить перечень уничтожаемых носителей
Указать способ уничтожения
Подготовить необходимые приложения (если требуются)

Шаг 2: Проведение процедуры уничтожения

Процедура уничтожения персональных данных проводится в присутствии всех членов комиссии. Важно соблюдать следующие правила:

Убедиться, что все перечисленные в акте носители действительно подлежат уничтожению
Проверить соответствие количества уничтожаемых носителей указанному в акте
Применить выбранный способ уничтожения
Убедиться в невозможности восстановления уничтоженных данных

Шаг 3: Оформление акта

После проведения процедуры уничтожения необходимо окончательно оформить акт:

Указать дату и место проведения процедуры уничтожения
Внести в акт информацию о фактически уничтоженных носителях
Подписать акт всеми членами комиссии
Присвоить акту регистрационный номер

Шаг 4: Регистрация и хранение акта

Оформленный акт необходимо зарегистрировать в журнале учета актов об уничтожении персональных данных и обеспечить его хранение:

Зарегистрировать акт в соответствующем журнале
Подшить акт в дело согласно номенклатуре дел организации
Обеспечить хранение акта в течение установленного срока (обычно не менее 3 лет)
Внести информацию об уничтожении в журнал учета носителей персональных данных

Практические примеры составления акта об уничтожении персональных данных

Рассмотрим несколько практических примеров составления акта об уничтожении персональных данных в различных ситуациях:

Пример 1: Уничтожение персональных данных уволенных сотрудников

Организация проводит ежегодную процедуру уничтожения персональных данных сотрудников, уволенных более 3 лет назад. В акте указывается:

Основание: «В связи с истечением срока хранения персональных данных уволенных сотрудников, установленного Положением об обработке персональных данных ООО «Пример» от 01.02.2023″
Перечень уничтожаемых документов: «Личные дела уволенных сотрудников в количестве 15 шт., согласно приложению №1 к настоящему акту»
Способ уничтожения: «Путем измельчения на шредере марки HSM 225.2 до частиц размером не более 3,9×30 мм»

Пример 2: Уничтожение персональных данных по заявлению субъекта

Клиент банка отозвал согласие на обработку своих персональных данных. В акте указывается:

Основание: «Заявление Иванова И.И. об отзыве согласия на обработку персональных данных от 15.05.2025 №123»
Перечень уничтожаемых данных: «Анкета клиента, копия паспорта, заявление на открытие счета, договор банковского обслуживания №456 от 10.01.2024»
Способ уничтожения: «Бумажные документы уничтожены путем измельчения на шредере; записи в базе данных «Клиенты» удалены с использованием программы «SecureErase» версии 2.3″

Пример 3: Уничтожение персональных данных при ликвидации организации

При ликвидации организации необходимо уничтожить все персональные данные, обработка которых не требуется для завершения ликвидационных процедур. В акте указывается:

Основание: «Решение единственного участника ООО «Пример» о ликвидации общества от 01.03.2025, приказ ликвидационной комиссии №5 от 10.03.2025″
Перечень уничтожаемых носителей: «Согласно приложению №1 к настоящему акту (всего 125 единиц хранения)»
Способ уничтожения: «Бумажные документы уничтожены путем сжигания в специально оборудованном месте; электронные носители уничтожены путем физического разрушения; базы данных удалены с использованием специализированного программного обеспечения с последующим форматированием серверов»

Типичные ошибки при составлении акта об уничтожении персональных данных

При составлении акта об уничтожении персональных данных организации часто допускают ошибки, которые могут привести к негативным последствиям. Рассмотрим наиболее распространенные из них:

Неполное описание уничтожаемых данных

Одна из самых распространенных ошибок — недостаточно подробное описание уничтожаемых персональных данных. В акте должны быть четко указаны:

Категории персональных данных (общие, специальные, биометрические)
Конкретные виды документов или записей
Количество уничтожаемых носителей
Идентификационные признаки носителей (номера, даты и т.д.)

Отсутствие этой информации может привести к тому, что контролирующие органы посчитают процедуру уничтожения недостаточно прозрачной и документально не подтвержденной.

Неправильное указание основания для уничтожения

Часто в актах указывается слишком общее основание для уничтожения персональных данных, например, «в связи с истечением срока хранения». Правильнее указывать конкретное основание:

«В соответствии с п. 7 ст. 5 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» в связи с достижением целей обработки»
«На основании заявления субъекта персональных данных Петрова П.П. от 15.04.2025 №78 об отзыве согласия на обработку персональных данных»
«В соответствии с приказом генерального директора от 01.06.2025 №123 «О ликвидации неправомерно обрабатываемых персональных данных»»

Недостаточное описание способа уничтожения

Еще одна распространенная ошибка — формальное указание способа уничтожения без конкретных деталей. Например, вместо фразы «данные уничтожены» следует указать:

«Бумажные документы уничтожены путем измельчения на шредере марки HSM 225.2 до частиц размером не более 3,9×30 мм»
«Электронные носители уничтожены путем форматирования с последующей семикратной перезаписью случайными данными с использованием программы Eraser 6.2»
«Записи в базе данных удалены с использованием функции безвозвратного удаления СУБД Oracle 19c»

Отсутствие подписей всех членов комиссии

Акт об уничтожении персональных данных должен быть подписан всеми членами комиссии, указанными в соответствующем приказе. Отсутствие хотя бы одной подписи делает акт недействительным. Если кто-то из членов комиссии не может присутствовать при уничтожении, необходимо заранее внести изменения в приказ о создании комиссии.

Несвоевременное составление акта

Акт должен быть составлен непосредственно в день проведения процедуры уничтожения персональных данных. Составление акта задним числом является нарушением и может привести к административной ответственности.

Правовые последствия неправильного уничтожения персональных данных

Неправильное уничтожение персональных данных или отсутствие документального подтверждения этой процедуры может привести к серьезным правовым последствиям для организации:

Административная ответственность

За нарушение законодательства о персональных данных предусмотрена административная ответственность по ст. 13.11 КоАП РФ:

Для должностных лиц — штраф от 10 000 до 20 000 рублей
Для юридических лиц — штраф от 60 000 до 100 000 рублей

При повторном нарушении размер штрафа увеличивается:

Для должностных лиц — от 20 000 до 50 000 рублей
Для юридических лиц — от 100 000 до 300 000 рублей

Гражданско-правовая ответственность

Субъект персональных данных, права которого были нарушены, может обратиться в суд с иском о возмещении морального вреда. Практика показывает, что суды часто удовлетворяют такие иски, особенно если организация не может документально подтвердить факт уничтожения персональных данных.

Репутационные риски

Помимо юридической ответственности, организация может столкнуться с серьезными репутационными рисками. Информация о нарушениях в области защиты персональных данных быстро распространяется в СМИ и социальных сетях, что может привести к потере доверия клиентов и партнеров.

Реальные примеры из судебной практики

Рассмотрим несколько примеров из судебной практики, связанных с неправильным уничтожением персональных данных:

В 2023 году банк был оштрафован на 150 000 рублей за то, что не смог предоставить акт об уничтожении персональных данных клиента, который отозвал согласие на их обработку
В 2024 году страховая компания была привлечена к ответственности за формальный подход к составлению акта об уничтожении персональных данных, в котором не был указан конкретный способ уничтожения
В 2025 году суд удовлетворил иск гражданина о компенсации морального вреда в размере 50 000 рублей, поскольку организация не смогла доказать факт уничтожения его персональных данных после расторжения договора

Автоматизация процесса уничтожения персональных данных

Современные технологии позволяют автоматизировать многие аспекты процесса уничтожения персональных данных:

Системы электронного документооборота

Использование систем электронного документооборота позволяет:

Автоматически отслеживать сроки хранения персональных данных
Формировать уведомления о необходимости уничтожения
Генерировать проекты приказов и актов
Контролировать процесс согласования и подписания документов

Специализированное программное обеспечение

На рынке представлено множество программных решений для управления персональными данными, которые включают функции:

Автоматического выявления персональных данных в информационных системах
Безвозвратного удаления информации с гарантированной невозможностью восстановления
Формирования отчетов о проведенных процедурах уничтожения
Интеграции с системами электронного документооборота

Облачные решения

Современные облачные платформы предлагают комплексные решения для управления жизненным циклом персональных данных, включая их уничтожение:

Централизованное хранение и обработка персональных данных
Автоматическое применение политик хранения и уничтожения
Формирование электронных актов об уничтожении с использованием электронных подписей
Ведение журналов аудита всех операций с персональными данными

Внедрение таких решений позволяет значительно снизить риски, связанные с человеческим фактором, и обеспечить соблюдение требований законодательства о персональных данных.

Правильное составление акта об уничтожении персональных данных — важный элемент комплексной системы защиты персональных данных в организации. Соблюдение требований законодательства и внутренних регламентов позволяет минимизировать риски административной и гражданско-правовой ответственности, а также сохранить репутацию организации как надежного партнера, уважающего права субъектов персональных данных.

Помните, что защита персональных данных — это не только юридическая обязанность, но и этическая ответственность перед клиентами, сотрудниками и партнерами. Грамотно организованный процесс уничтожения персональных данных, подтвержденный правильно составленными актами, является важным элементом этой ответственности.

Ключевые слова: акт об уничтожении персональных данных субъектов персональных данных, акт уничтожения персональных данных, уничтожение персональных данных