Положение о комиссии по уничтожению персональных данных

Документ, который делает уничтожение данных регулярной процедурой, а не разовым подвигом перед проверкой: состав комиссии, её полномочия, ритм работы и порядок подтверждения того, что данные действительно уничтожены.

Ключевое отличие от других комиссий комплекта: эта не столько решает, сколько делает. Её работа — вовремя заметить наступивший срок, физически уничтожить носители и подписать акт.

Статусобязателен при создании комиссии Основаниест. 21 152-ФЗ, приказ РКН № 179 Публичностьвнутренний Кто утверждаетруководитель организации Обновленоиюль 2026

Содержание

01 Назначение

Зачем нужен документ

Уничтожение персональных данных проваливается не из-за незнания закона, а из-за отсутствия хозяина у процедуры. Срок хранения истёк — но об этом никто не узнал, потому что за календарём никто не следит. Данные удалили из системы — но носители из архива не забрали, потому что это «не наша зона». Акт не составили — потому что непонятно, кто должен подписывать.

Положение назначает хозяина и задаёт ритм. Комиссия — это два-три человека, которые раз в квартал открывают перечень данных, смотрят, по каким категориям вышли сроки, проводят уничтожение и подписывают акт. Всё остальное в документе обслуживает эти четыре действия.

Отличие от других комиссий комплекта принципиальное, и его стоит понимать до написания текста. Комиссия по определению уровня защищённости принимает расчётное решение и собирается редко. Здесь орган работает руками: присутствует при физическом уничтожении носителей, проверяет невосстановимость, отвечает за то, что данные исчезли и из резервных копий тоже.

Персональный состав закрепляется отдельно — приказом о комиссии: при кадровых изменениях переиздаётся приказ, а положение остаётся неизменным.

02 Ответственность

Чем грозит отсутствие

Комиссия — внутренний механизм, своей санкции за её отсутствие нет. Наказывают за результат: данные, которые следовало уничтожить, продолжают обрабатываться, а значит обрабатываются без правового основания — цель достигнута, основание отпало.

ч. 1 ст. 13.11 КоАП РФ

Юридическое лицо150 000 – 300 000 ₽

Должностное лицо50 000 – 100 000 ₽

Граждане10 000 – 15 000 ₽

Второй, более дорогой сценарий — утечка. Объём инцидента считают по тому, что фактически лежало в базе, а не по тому, что должно было там лежать. База, из которой годами не удаляли ушедших клиентов и уволенных работников, легко перешагивает порог ста тысяч субъектов — а это уже 10–15 млн ₽ для организации по ч. 14 ст. 13.11 вместо 3–5 млн по ч. 12.

Без ритма процедура не запускается. Уничтожение не имеет естественного триггера: никто не приходит и не требует удалить данные. Если в положении нет периодичности, первый акт в организации появляется в день аудита.

Резервные копии обнуляют работу. Данные удалены из рабочей системы, но живут в архиве и могут быть восстановлены — юридически уничтожение не состоялось. Полномочия комиссии должны доходить до бэкапов.

Подписи без полномочий ничего не подтверждают. С 1 марта 2023 года факт уничтожения подтверждается по требованиям Роскомнадзора. Акт, подписанный людьми, чьи полномочия нигде не закреплены, — слабое доказательство.

03 Синонимы и поисковые названия

Как ещё называют этот документ

—Положение о комиссии по уничтожению ПДн

—Положение о комиссии по уничтожению документов с персональными данными

—Порядок работы комиссии по уничтожению персональных данных

—Положение об экспертной комиссии по уничтожению носителей ПДн

—Регламент комиссии по уничтожению персональных данных

—Положение о постоянно действующей комиссии по уничтожению ПДн

—Состав и полномочия комиссии по уничтожению персональных данных

—Кто уничтожает персональные данные в организации

Не путать с экспертной комиссией по архивному делу. Архивная комиссия решает, что подлежит хранению как документ, и работает по срокам архивного законодательства. Эта комиссия уничтожает персональные данные по срокам 152-ФЗ. Пересечение есть — кадровые документы попадают под оба режима, — но правила и сроки разные, и в положении стоит прямо сказать, что делать при конфликте сроков.

04 Обязательное содержание

Что должно быть в документе

Проверка содержательности простая: по положению должно быть понятно, кто в этом квартале обязан проверить сроки и что он делает, если срок наступил.

Задачи комиссии. Контроль наступления сроков уничтожения, проведение уничтожения, оформление актов, подтверждение факта уничтожения по требованиям регулятора. Не «участие в обеспечении», а конкретные действия.

Состав по должностям. Ответственный за организацию обработки ПДн, администратор системы (он физически удаляет записи), представитель подразделения — владельца данных, при бумажных носителях — кадровик или делопроизводитель. Персональный состав — в приказе.

Периодичность. Плановая сверка сроков — не реже раза в квартал; внеплановое заседание — по отзыву согласия, по требованию субъекта, при выявлении неправомерной обработки. Пункт, без которого документ мёртв.

Права комиссии. Доступ к системам и к перечню данных, право запросить выгрузку затронутых записей, право доступа в архив и к местам хранения носителей, право требовать уничтожения данных в резервных копиях.

Способы уничтожения. Для электронных записей — удаление с исключением восстановления; для носителей — шредирование, физическое разрушение, гарантированное затирание. Способ фиксируется в положении, а не выбирается на месте.

Порядок работы с резервными копиями. Отдельным пунктом: как обеспечивается, что уничтоженные данные не вернутся из архива. Обычно через срок хранения копий короче срока уничтожения.

Оформление результата. Акт об уничтожении по каждому случаю, приложение выгрузки из журнала регистрации событий, если уничтожение шло в информационной системе. Кто подписывает и кто утверждает.

Уведомление субъекта. Когда уничтожение проведено по обращению человека или по требованию регулятора, об этом нужно сообщить. Ответственный за уведомление назначается здесь.

Хранение актов. Где лежат акты и сколько хранятся. Акт — единственное доказательство того, что данных больше нет, и он должен переживать проверку через годы.

05 Правовая база

Требования законодательства

ч. 7 ст. 5 152-ФЗпо достижении цели данные уничтожаются либо обезличиваются

ч. 3 ст. 21 152-ФЗнеправомерная обработка: 3 рабочих дня, уничтожение — 10

ч. 4, ч. 5 ст. 21 152-ФЗдостижение цели и отзыв согласия — 30 дней

ч. 5.1 ст. 21 152-ФЗтребование субъекта — 10 рабочих дней, продление до 5

ч. 6 ст. 21 152-ФЗесли уничтожить нельзя — блокирование и 6 месяцев

приказ РКН № 179 от 28.10.2022требования к подтверждению уничтожения, с 01.03.2023

ч. 1 ст. 13.11 КоАПхранение сверх срока — обработка без правового основания

Комиссию закон не требует — он требует уничтожать в срок и подтверждать факт уничтожения. Комиссия нужна там, где иначе некому следить за календарём: носителей много, подразделений несколько, данные лежат и в системах, и в бумаге. Организации из пяти человек с одной программой достаточно ответственного лица.

06 Связи в комплекте

Как связан с другими документами

Положение — рамка процедуры; сроки ей задаёт перечень, результат оформляется актом.

Приказ о комиссии — персональный состав. Приказ называет фамилии и переиздаётся при кадровых изменениях; положение при этом не трогают.

Акт об уничтожении — выход. Акт фиксирует, что именно, когда и каким способом уничтожено; к нему прикладывается выгрузка из журнала событий.

Перечень ПДн — источник сроков. Графа срока хранения в перечне данных определяет, что комиссия увидит при квартальной сверке. Нет сроков — нечего сверять.

Регламент обезличивания — альтернатива. Обезличивание применяют, когда массив нужен для аналитики: комиссия должна знать, какие данные уничтожаются, а какие обезличиваются.

07 Актуализация

Когда обновлять документ

Положение долгоживущее — описывает орган, а не людей. Меняется по конкретным поводам.

Изменились места хранения

Появился новый архив, склад носителей, облачное хранилище — расширяется зона ответственности комиссии и список мест, куда ей нужен доступ.

Изменились способы уничтожения

Сменили шредер, ввели гарантированное затирание, отдали уничтожение носителей подрядчику. Последнее требует отдельного пункта: кто контролирует подрядчика и чем подтверждается уничтожение.

Не выдерживается периодичность

Если квартальные сверки по факту не проводятся, документ либо нереалистичен, либо не исполняется. Первое лечится правкой, второе — вопросом к руководителю.

Изменились требования к подтверждению

Порядок подтверждения уничтожения установлен подзаконным актом и может меняться — сверять формулировки с действующей редакцией.

Появились новые категории данных

Спецкатегории и биометрия часто имеют свои сроки и требуют более строгого способа уничтожения — это отражается в положении.

Комиссия признана избыточной

Организация сократилась, носители перевели в электронный вид — положение отменяется, уничтожение проводит ответственный за обработку. Нормальное решение.

08 Проверка

Что спросит проверяющий

Положение проверяют через акты: если орган работает, за год их несколько.

Сколько актов за период. Ноль актов при пятилетней работе — прямое указание, что данные не уничтожались никогда, вопреки требованию уничтожать по достижении цели.

Соблюдается ли заявленная периодичность. Сверяют даты актов и протоколов сверок с тем, что написано в положении. Квартальная сверка на бумаге и один акт за три года — противоречие в собственных документах.

Совпадает ли состав с приказом. Фамилии в актах сверяют с действующим приказом и с кадровыми данными: подпись уволившегося обесценивает акт.

Что с резервными копиями. Спрашивают прямо, доходит ли уничтожение до архивов. Если нет — уничтожение считается неполным, а акты недостоверными.

Как подтверждён факт уничтожения. Для данных из информационных систем ожидают выгрузку из журнала регистрации событий, а не только подписи комиссии.

09 Разбор эксперта

Разбор эксперта

Комиссия по уничтожению — единственная комиссия комплекта, которая работает руками, и потому единственная, где формальный подход виден сразу. Комиссию по уровню защищённости можно собрать раз в год, и этого достаточно. Здесь же вся ценность в регулярности: если в положении не написано «не реже раза в квартал» и не назначен человек, который открывает календарь, уничтожение не произойдёт никогда. Мы видели организации с идеальным положением и нулём актов за четыре года.

Второе, о чём предупреждаем всегда, — резервные копии. Администратор аккуратно удаляет записи из рабочей базы, комиссия подписывает акт, все довольны. А в бэкапах данные лежат ещё год и восстанавливаются одной командой. Формально уничтожение не состоялось: данные существуют. Лечится это не героизмом, а арифметикой — срок хранения копий должен быть короче срока, после которого данные подлежат уничтожению. Тогда копии сами вытесняются, и комиссии остаётся только зафиксировать это в акте.

Третье — про подрядчиков. Всё чаще уничтожение бумажных носителей отдают внешней компании: приехали, забрали, увезли, прислали справку. Юридически данные при этом передаются третьему лицу, и до момента уничтожения ответственность остаётся на операторе. В положении стоит прямо написать, что представитель комиссии присутствует при уничтожении либо что уничтожение проводится на территории организации. Справка «уничтожено» от подрядчика без этого — слабое доказательство.

Что мы советуем при подготовке комплекта

Ставьте квартальную периодичность и назначайте конкретную должность, которая открывает перечень данных и смотрит сроки: без этого механизм не запускается. Обязательно распространите полномочия комиссии на резервные копии и архивы — это самая частая дыра. Опишите способ уничтожения так, чтобы исключалось восстановление, а для бумаги зафиксируйте присутствие члена комиссии при уничтожении, особенно если работает подрядчик. И если организация небольшая — не создавайте комиссию вовсе: назначьте ответственного, ему хватит.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

10 Частые вопросы

Частые вопросы

Обязательно ли создавать комиссию по уничтожению?

Закон требует уничтожать данные в срок и подтверждать факт уничтожения, но не требует именно комиссии. Она нужна там, где носителей много, данные лежат и в системах, и в бумаге, а подразделений несколько. В маленькой организации достаточно ответственного за обработку.

Кого включать в состав?

По должностям: ответственного за организацию обработки ПДн, администратора системы (он физически удаляет записи), представителя подразделения — владельца данных, при бумажных носителях — кадровика или делопроизводителя. Фамилии закрепляются приказом.

Как часто комиссия должна собираться?

Плановая сверка сроков — не реже раза в квартал, плюс внеплановые заседания при отзыве согласия, требовании субъекта или выявлении неправомерной обработки. Без заданной периодичности процедура не запускается: у уничтожения нет естественного триггера.

Нужно ли уничтожать данные в резервных копиях?

Да. Если данные восстанавливаются из архива, уничтожение не состоялось. Практичное решение — держать срок хранения копий короче срока уничтожения, тогда копии вытесняются сами, а комиссия фиксирует это в акте.

Чем эта комиссия отличается от комиссии по определению уровня защищённости?

Характером работы. Та принимает расчётное решение по постановлению № 1119 и собирается редко. Эта работает регулярно: следит за сроками, присутствует при физическом уничтожении носителей, подписывает акты.

Можно ли отдать уничтожение носителей подрядчику?

Можно, но до момента уничтожения ответственность остаётся на операторе, а данные фактически передаются третьему лицу. В положении стоит закрепить присутствие члена комиссии при уничтожении либо уничтожение на территории организации: одной справки от подрядчика для подтверждения мало.

Как подтверждается факт уничтожения?

Актом, а для данных, уничтоженных в информационной системе, — ещё и выгрузкой из журнала регистрации событий. Требования к подтверждению установлены приказом Роскомнадзора от 28.10.2022 № 179 и действуют с 1 марта 2023 года.

Связанные документы

Приказ о комиссии по уничтожению персональных данныхПриказы Типовая форма акта об уничтожении персональных данныхАкты и технические документы Регламент обезличивания персональных данныхИнструкции и регламенты

Все документы комплекта

Положение о комиссии по уничтожению — одна из 139 позиций комплекта

Эксперты Комитета разрабатывают комплект под фактическую деятельность организации. Проверьте бесплатно, какие документы обязательны для вас, — по ИНН, за минуту.

или по телефону +7 (812) 240-81-66