Инструкция по уничтожению персональных данных

1.1. Настоящая Инструкция разработана в соответствии со статьями 19, 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — ФЗ-152), Постановлением Правительства РФ от 15.09.2008 № 687, ГОСТ Р 50739-95 «Средства вычислительной техники.

1.2. Защита от несанкционированного доступа к информации», а также Приказом ФСТЭК России от 18.02.2013 № 21.

1.3. Инструкция устанавливает порядок и способы уничтожения персональных данных (далее — ПДн) и носителей информации, содержащих ПДн, в __________, а также документирования процедур уничтожения.

1.4. Действие Инструкции распространяется на все виды носителей: бумажные документы, магнитные носители (жёсткие диски, магнитные ленты), оптические носители (CD, DVD), флеш-носители (USB-накопители, карты памяти), иные материальные носители, а также данные в информационных системах.

1.5. Организацию уничтожения ПДн и носителей обеспечивает __________ (Генеральный Директор) совместно с назначенной комиссией.

2.1. Уничтожение ПДн и носителей осуществляется в следующих случаях:

2.2. Достижение целей обработки ПДн или утрата необходимости в их достижении (ч. 4 ст. 21 ФЗ-152) — в срок не позднее 30 дней с момента наступления указанных обстоятельств.

2.3. Отзыв субъектом ПДн согласия на обработку (ч. 5 ст. 21 ФЗ-152) — в срок не позднее 30 дней с момента получения отзыва, если иное не предусмотрено договором или законом.

2.4. Вступление в силу решения суда об уничтожении ПДн.

2.5. Истечение срока хранения ПДн в соответствии с Политикой обработки ПДн или договором.

2.6. Прекращение деятельности __________ как оператора ПДн.

2.7. Списание, ремонт или передача носителей (внутри организации или третьим лицам).

2.8. Обращение субъекта с требованием об уничтожении ПДн при установлении незаконности их обработки.

3.1. Бумажные носители:

3.2. Уничтожение с помощью шредера — измельчение на частицы размером не более 0,8×12 мм (класс DIN 66399 не ниже P-4 для конфиденциальных документов).

3.3. Сжигание (при наличии согласования с противопожарной службой).

3.4. Использование профессиональных услуг уничтожения документов специализированной организацией (с составлением акта).

3.5. Магнитные носители (жёсткие диски, ленты):

3.6. Программное затирание данных по методу многократной перезаписи в соответствии с ГОСТ Р 50739-95 (метод не менее 3-кратного затирания случайными данными).

3.7. Размагничивание (дегауссирование) — воздействие мощным магнитным полем для уничтожения информации.

3.8. Физическое разрушение — механическое измельчение, сверление, прессование носителя с составлением Акта физического уничтожения.

3.9. Оптические носители (CD, DVD, Blu-ray):

3.10. Механическое разрушение (измельчение) специальным шредером для оптических дисков.

3.11. Физическое уничтожение: надрезание, разламывание с последующей утилизацией фрагментов.

3.12. Флеш-носители (USB, карты памяти):

3.13. Программное форматирование с многократной перезаписью (не менее 3 циклов).

3.14. Физическое уничтожение: механическое разрушение корпуса и чипа памяти.

3.15. Данные в информационных системах:

3.16. Удаление записей из баз данных с подтверждением отсутствия в резервных копиях.

3.17. Уничтожение или обезличивание резервных копий в срок, предусмотренный политикой резервного копирования, но не позднее очередного цикла перезаписи.

3.18. Подтверждение уничтожения: выгрузка из системы подтверждения (лог-файл, скриншот) прикладывается к Акту.

3.19. Применяемый в __________ метод уничтожения: шредерование документов, программное затирание электронных носителей.

4.1. Ответственный за ПДн формирует список носителей и документов, подлежащих уничтожению, с указанием оснований.

4.2. Приказом руководителя __________ создаётся комиссия в составе не менее трёх человек.

4.3. В комиссию включаются: ответственный за ПДн, представитель структурного подразделения — владельца данных, сотрудник службы безопасности или ИТ-подразделения.

4.4. Комиссия проводит уничтожение ПДн в присутствии всех членов комиссии.

4.5. По факту уничтожения составляется Акт уничтожения ПДн (типовая форма — метод 43) в трёх экземплярах.

4.6. Сведения об уничтожении вносятся в Журнал уничтожения персональных данных (метод 41).

4.7. Акт уничтожения хранится в __________ в течение 5 лет.

5.1. Акт уничтожения — обязательные реквизиты

6.1. Нарушение порядка уничтожения ПДн влечёт административную ответственность по ст. 13.11 КоАП РФ (штраф для юридических лиц до 18 000 000 руб. с учётом изменений Федерального закона от 30.11.2024 № 572-ФЗ), а также возможную уголовную ответственность по ст. 137 УК РФ.

6.2. Должностные лица, виновные в ненадлежащем уничтожении ПДн или фальсификации Акта уничтожения, несут персональную ответственность.

7.1. Настоящая Инструкция вступает в силу с момента утверждения и действует до принятия новой редакции.

7.2. Пересмотр Инструкции производится не реже одного раза в три года или при изменении законодательства.

7.3. Генеральный директор                _________________   / ________________ /