Как и в какие сроки нужно уничтожать персональные данные при отзыве согласия на их обработку или при достижении цели обработки?

Оператор обязан в 30-дневный срок после наступления любого из указанных событий уничтожить персональные данные, оформив уничтожение документально. Порядок оформления зависит от способа обработки.

Отношения, связанные с персональными данными и их обработкой, урегулированы Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных». Этот закон также определяет случаи и сроки уничтожения персональных данных. Так, уничтожение относится к числу видов обработки персональных данных.

Уничтожение персональных данных – действия, после которых восстановление персональных данных становится в принципе невозможным. Например, бумажные носители с персональными данными сжигаются, разрезаются или подвергаются механическому уничтожению. Эти действия должны быть совершены в 30-дневный срок со дня, когда поступил отзыв согласия на их обработку или была достигнута цель обработки, на которую субъект давал согласие. Процедура уничтожения подтверждается специальным актом, который хранится в течение трёх лет.

Неисполнение требования об уничтожении персональных данных является основанием для привлечения оператора к ответственности по ст. 13.11 КоАП РФ.

Таким образом, персональные данные должны быть уничтожены оператором в течение 30 календарных дней после наступления любого из событий – отзыва согласия на обработку персональных данных или достижения цели обработки. Уничтожение оформляется специальным актом, который хранится у оператора три года.