Уничтожение ПД

РЕГЛАМЕНТ
уничтожения персональных данных, обрабатываемых на сайте.

1. Общие положения

1.1. Настоящий Регламент определяет порядок, сроки, способы и документальное оформление уничтожения персональных данных, обрабатываемых Оператором при эксплуатации сайта мешкоф.рф (далее — Сайт).

1.2. Регламент разработан в соответствии с:

• Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ);

• Постановлением Правительства РФ от 15.09.2008 № 687;

• Приказом Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных» (далее — Приказ № 179);

• иными нормативными правовыми актами Российской Федерации.

1.3. Термины и определения используются в значениях, установленных 152-ФЗ. Под уничтожением персональных данных понимаются действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

1.4. Оператор обрабатывает персональные данные пользователей Сайта, включая, но не ограничиваясь: фамилия, имя, отчество, адрес электронной почты, номер телефона, данные файлов cookie, IP-адрес, сведения о заказах и обращениях.

2. Основания уничтожения персональных данных

2.1. Оператор обязан уничтожить персональные данные при наступлении одного из следующих оснований:

2.2. Если федеральным законом установлен более длительный срок хранения персональных данных (например, бухгалтерские документы — 5 лет, кадровые документы — 50 или 75 лет), уничтожение производится после истечения такого срока.

3. Порядок выявления персональных данных, подлежащих уничтожению

3.1. Ответственное лицо за организацию обработки персональных данных (далее — Ответственное лицо) не реже одного раза в квартал проводит инвентаризацию всех источников персональных данных, включая:

• базы данных Сайта;

• CRM-системы;

• почтовые ящики, используемые для обратной связи с пользователями;

• файловые хранилища;

• бумажные документы (при наличии);

• резервные копии.

3.2. По результатам инвентаризации составляется перечень записей и носителей, подлежащих уничтожению, с указанием:

• категории субъектов;

• перечня обрабатываемых данных;

• основания уничтожения;

• даты наступления основания;

• предельного срока уничтожения.

3.3. Перечень утверждается руководителем Оператора.

4. Способы уничтожения персональных данных

4.1. Уничтожение персональных данных должно исключать возможность их восстановления.

4.2. В зависимости от способа обработки применяются следующие методы:

4.2.1. Персональные данные, обрабатываемые с использованием средств автоматизации (в электронном виде):

• удаление из информационной системы способом, исключающим штатное восстановление (в том числе через интерфейс администратора);

• удаление учётных записей пользователей;

• аннулирование токенов доступа, API-ключей и интеграций;

• блокирование доступа к данным в резервных копиях с последующим удалением копий при регламентной перезаписи либо досрочно, если это технически возможно.

4.2.2. Персональные данные на бумажных носителях:

• уничтожение путём шредирования;

• сжигание (при невозможности шредирования);

• иной способ, исключающий восстановление содержания.

4.2.3. Персональные данные на съёмных носителях:

• механическое нарушение целостности носителя;

• демилитаризация (затирание) с последующей физической утилизацией.

4.3. При уничтожении персональных данных, обрабатываемых с использованием средств автоматизации, Оператор обеспечивает формирование выгрузки из журнала регистрации событий в информационной системе персональных данных.

5. Документальное подтверждение уничтожения

5.1. Факт уничтожения персональных данных подтверждается:

5.2. Акт об уничтожении персональных данных должен содержать следующие сведения (в соответствии с Приказом № 179):

• наименование Оператора;

• место составления акта;

• дата составления;

• сведения о лицах, составивших акт (ФИО, должности);

• основание уничтожения;

• перечень уничтоженных персональных данных;

• способ уничтожения;

• сведения о носителе (при наличии);

• результат уничтожения (невозможность восстановления);

• подписи лиц, составивших акт.

5.3. Выгрузка из журнала регистрации событий должна содержать сведения, позволяющие однозначно идентифицировать факт уничтожения конкретных записей (дата, время, идентификатор записи, действие, ответственное лицо).

5.4. Если уничтожение осуществлялось с привлечением третьего лица (обработчика), к акту прилагается письменное подтверждение такого лица об уничтожении переданных ему персональных данных.

5.5. Акты об уничтожении и выгрузки из журналов хранятся не менее 3 лет с момента уничтожения персональных данных.

6. Ответственные лица

6.1. Ответственным за организацию уничтожения персональных данных является ИП Мешков.

6.2. Непосредственное исполнение процедур уничтожения осуществляет Мешков К,В, либо комиссия, назначаемая приказом руководителя.

6.3. Контроль за соблюдением настоящего Регламента возлагается на МешковК,В,.

7. Уведомление субъекта персональных данных

7.1. При уничтожении персональных данных по требованию субъекта (основание № 2, таблица п. 2.1) Оператор обязан уведомить субъекта о проведённом уничтожении в письменной форме или в форме электронного документа в срок, не превышающий 7 рабочих дней с даты уничтожения.

7.2. Уведомление направляется по адресу, указанному субъектом в требовании, либо по адресу электронной почты, с которого поступило требование (если иное не указано в требовании).

8. Ответственность

8.1. Нарушение порядка уничтожения персональных данных влечёт административную ответственность в соответствии со ст. 13.11 КоАП РФ.

8.2. Лица, виновные в нарушении настоящего Регламента, несут дисциплинарную, материальную, административную и уголовную ответственность в случаях, предусмотренных законодательством Российской Федерации.

9. Заключительные положения

9.1. Настоящий Регламент вступает в силу с даты утверждения и действует до замены его новой редакцией.

9.2. Изменения в Регламент вносятся приказом руководителя Оператора.

9.3. Регламент подлежит размещению на Сайте в открытом доступе в разделе «Политика обработки персональных данных» или в отдельном разделе «Уничтожение персональных данных».

Приложение № 1. Форма акта об уничтожении персональных данных

АКТ
об уничтожении персональных данных

г. ___________                                «__» __________ 20__ г.

Оператор: [полное наименование]
Место составления: [адрес]

Комиссия в составе:
Председатель: [должность, ФИО]
Члены комиссии: [должность, ФИО], [должность, ФИО]

На основании: [указать основание: достижение цели, требование субъекта,
истечение срока согласия, выявление неправомерной обработки и т.д.]

Произвела уничтожение следующих персональных данных:

| № | ФИО субъекта | Перечень данных | Носитель / ИС | Способ уничтожения |
|---|--------------|-----------------|---------------|---------------------|
| 1 |              |                 |               |                     |
| 2 |              |                 |               |                     |

Способ уничтожения: [удаление из ИС, шредирование, механическое
нарушение целостности носителя и т.д.]

Результат: восстановление персональных данных невозможно.

Подписи:
Председатель комиссии: _______________ / [ФИО]
Члены комиссии: _______________ / [ФИО]
                _______________ / [ФИО]

Приложение № 2. Форма выгрузки из журнала регистрации событий

ВЫГРУЗКА
из журнала регистрации событий информационной системы персональных данных

Информационная система: [наименование]
Дата формирования выгрузки: «__» __________ 20__ г.

| № | Дата и время события | Действие | Идентификатор записи | Ответственное лицо |
|---|----------------------|----------|----------------------|---------------------|
| 1 |                      | Удаление |                      |                     |
| 2 |                      | Удаление |                      |                     |

Ответственное лицо: _______________ / [ФИО]