Хранение персональных данных в силу п. 3 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных) является одной из форм их обработки.
Частью 2 ст. 9 Закона о персональных данных установлено, что согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 – 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 указанного закона.
При этом в п. 2 ст. 6 Закона о персональных данных предусмотрено, что обработка персональных данных без согласия субъекта персональных данных допускается в том числе в случае, если она необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.
В силу ч. 2 ст. 22.1 Федерального закона от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации» документы по личному составу, законченные делопроизводством после 1 января 2003 года, хранятся 50 лет.
Данные положения согласно ч. 4 вышеуказанной статьи не распространяются на документы по личному составу, в отношении которых действующими перечнями архивных документов с указанием сроков их хранения установлен иной срок хранения.
В настоящее время действует перечень, утвержденный Приказом Росархива от 20.12.2019 № 236 (выдержки из него, касающиеся документов, связанных с трудовой деятельностью работников, привести в тексте электронного письма не представляется возможным в связи с их большим объемом).
В частности, согласно п. 435 вышеуказанного Перечня трудовые договоры хранятся 50 или 75 лет соответственно.
Кроме того, в силу ч. 1 ст. 29 Федерального закона от 06.12.2011 № 402-ФЗ «О бухгалтерском учете» первичные учетные документы, регистры бухгалтерского учета, бухгалтерская (финансовая) отчетность, аудиторские заключения о ней подлежат хранению экономическим субъектом в течение сроков, устанавливаемых в соответствии с правилами организации государственного архивного дела, но не менее пяти лет после отчетного года.
При этом согласно п. 3 ст. 8 Федерального закона от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системах обязательного пенсионного страхования и обязательного социального страхования» копии сведений, предоставляемых в СФР для индивидуального (персонифицированного) учета, хранятся у страхователей по правилам, установленным для хранения документов бухгалтерского учета и отчетности.
Также в соответствии с пп. 8 п. 1 ст. 23 НК РФ налогоплательщики обязаны в течение пяти лет обеспечивать сохранность данных бухгалтерского и налогового учета и других документов, необходимых для исчисления и уплаты налогов, в том числе документов, подтверждающих получение доходов, осуществление расходов (для организаций и индивидуальных предпринимателей), а также уплату (удержание) налогов, если иное не предусмотрено НК РФ.
Таким образом, трудовой договор со всеми содержащимися в нем персональными данными работника, приказы, касающиеся данного работника, с персональными данными этого работника, первичные учетные документы и регистры бухгалтерского учета с содержащимися в них персональными данными работника, отчетность об уплате налогов и страховых взносов, а также формы сведений персучета, предоставляемые в контролирующие органы, должны храниться работодателем пять лет и более.
Иные персональные данные (фотография, сведения о семейном положении, если они не имели значения для удержания НДФЛ, и т.п.) должны быть уничтожены, если работник отозвал согласие на их обработку.
Что касается сведений об образовании и прочих персональных данных, которые могли быть указаны в личной карточке работника, то ведение таких карточек больше не является обязанностью работодателя, соответственно, в связи с отзывом согласия работника на обработку его персональных данных личная карточка (если она велась) должна быть уничтожена, как и все прочие относящиеся к нему кадровые документы, ведение которых в отношении работников прямо не предусмотрено в настоящее время действующим законодательством.
Под уничтожением персональных данных согласно п. 8 ст. 3 Закона о персональных данных понимаются действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Соответственно, персональные данные уничтожаются путем физического уничтожения материальных носителей, а в отношении данных, хранящихся в электронном виде, — путем их удаления из памяти ЭВМ без возможности восстановления.
При этом необходимо учитывать, что у организации либо есть основания продолжать хранение персональные данные работника на всех носителях, либо их нет, что тоже касается всех носителей.
Следовательно, если данные нужно уничтожить, то их надо уничтожить и в программах для ЭВМ тоже (если подлежащие уничтожению данные туда вносились).
Требования к подтверждению уничтожения персональных данных установлены только для случаев, когда оно осуществляется по требованию контролирующих органов.
Однако данный порядок, описанный в Приказе Роскомнадзора от 28.10.2022 № 179, можно применять и в иных ситуациях (текст приказа прилагается).
По результатам следует уведомить работника, указав в ответе, какие персональные данные и по каким причинам сохранены, а какие уничтожены (с указанием даты, когда это сделано).
В отношении уничтоженных данных можно написать в общем виде — «иные, указанные в вашем обращении персональные данные».
