Акт об уничтожении персональных данных: образец и заполнение
Каждый предприниматель, который хотя бы раз принимал сотрудника на работу, уже стал оператором персональных данных. Паспортные данные, ИНН, СНИЛС, адрес регистрации — всё это персональные данные (ПД), которые вы обязаны не только правильно собирать и хранить, но и своевременно уничтожать. Когда цель обработки достигнута, трудовой договор расторгнут или истёк срок хранения — данные нужно ликвидировать. И этот процесс должен быть задокументирован.
Именно для фиксации факта ликвидации информации существует акт об уничтожении персональных данных. Без этого документа вы не сможете доказать Роскомнадзору, что выполнили требования закона. Штрафы за нарушения в сфере обработки ПД растут каждый год, а проверки становятся всё чаще. Малый бизнес и ИП — не исключение: закон применяется одинаково ко всем операторам.
В этом материале разберём, когда возникает обязанность уничтожить персональные данные, как правильно составить и заполнить акт, какие реквизиты он должен содержать и какие ошибки чаще всего допускают предприниматели. Вы также найдёте практические рекомендации, которые помогут избежать штрафов и выстроить грамотный процесс работы с данными сотрудников.
Когда и зачем нужен акт об уничтожении персональных данных
Федеральный закон № 152-ФЗ «О персональных данных» обязывает каждого оператора уничтожить ПД в строго определённых случаях. Понимание этих оснований — первый шаг к правильному оформлению документации.
Основания для уничтожения персональных данных:
- Достижение цели обработки. Если вы собирали данные кандидата на вакансию и приняли решение не нанимать его, хранить резюме, копию паспорта и анкету больше нет оснований.
- Истечение срока хранения. Согласие на обработку ПД может быть дано на определённый период. Когда срок истёк, а новое согласие не получено — данные подлежат уничтожению.
- Отзыв согласия субъектом. Сотрудник или бывший сотрудник вправе в любой момент отозвать согласие на обработку персональных данных.
- Выявление неправомерной обработки. Если данные были получены без надлежащего основания, их необходимо уничтожить.
- Расторжение трудового договора. После увольнения работника часть данных подлежит хранению в установленные сроки (например, личные карточки — 50 или 75 лет), но информация, не подпадающая под обязательные сроки архивного хранения, должна быть ликвидирована.
📎 Ст. 21 Федерального закона № 152-ФЗ: оператор обязан прекратить обработку и уничтожить персональные данные в срок, не превышающий 30 дней с момента достижения цели обработки, отзыва согласия или получения требования субъекта.
Акт об уничтожении ПД — это документ, который фиксирует факт, дату, способ и объём ликвидированной информации. Он выполняет сразу несколько функций:
- подтверждает соблюдение требований законодательства;
- защищает оператора при проверке Роскомнадзора;
- фиксирует ответственность членов комиссии, проводивших уничтожение;
- исключает претензии со стороны субъектов ПД.
Без оформленного акта факт уничтожения данных юридически не существует. Даже если вы действительно удалили файлы и уничтожили бумажные копии, отсутствие документального подтверждения приравнивается к нарушению.
⚠️ Важно: типичная ошибка малого бизнеса — считать, что если данные «просто удалены» с компьютера, обязанность выполнена. Это не так. Закон требует именно документального оформления процедуры.
Правовая база: какие нормы регулируют уничтожение ПД
Чтобы грамотно составить акт, необходимо понимать, на какие нормативные акты вы опираетесь. Система правового регулирования уничтожения персональных данных включает несколько уровней.
Основные нормативные акты:
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» — базовый закон, устанавливающий обязанности оператора, включая обязанность уничтожения данных (ст. 5, ст. 20, ст. 21).
- Постановление Правительства РФ от 15.09.2008 № 687 — определяет особенности обработки ПД без использования средств автоматизации, в том числе порядок их уничтожения.
- Постановление Правительства РФ от 01.11.2012 № 1119 — требования к защите персональных данных при обработке в информационных системах.
- Приказ Роскомнадзора от 28.10.2022 № 179 — устанавливает требования к подтверждению уничтожения ПД.
- КоАП РФ, ст. 13.11 — устанавливает ответственность за нарушение законодательства о персональных данных.
📎 Ст. 5 Федерального закона № 152-ФЗ: персональные данные подлежат уничтожению или обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
Штрафы за нарушения по ст. 13.11 КоАП РФ:
| Нарушение | ИП | Юридическое лицо |
|---|---|---|
| Обработка ПД без согласия | 20 000–40 000 ₽ | 30 000–150 000 ₽ |
| Повторное нарушение | 100 000–300 000 ₽ | 300 000–500 000 ₽ |
| Невыполнение обязанности по уничтожению | 10 000–20 000 ₽ | 25 000–45 000 ₽ |
С 2024 года размеры штрафов существенно увеличены. Кроме того, введена ответственность за утечку персональных данных — штрафы могут достигать нескольких миллионов рублей для юридических лиц. Для малого бизнеса даже «минимальный» штраф в 25 000–45 000 ₽ — ощутимый удар по бюджету, особенно если нарушение выявлено при плановой проверке и затрагивает данные нескольких бывших сотрудников.
Также стоит учитывать требования Трудового кодекса РФ. Глава 14 ТК РФ посвящена защите персональных данных работника.
📎 Ст. 86 ТК РФ: работодатель обязан обеспечить защиту персональных данных работника от неправомерного использования или утраты. Порядок хранения и использования устанавливается работодателем с учётом требований ТК РФ и иных федеральных законов.
📎 Ст. 87 ТК РФ: порядок хранения и использования персональных данных работников устанавливается работодателем.
Это означает, что каждый работодатель — будь то крупное предприятие или ИП с одним наёмным сотрудником — обязан иметь локальный нормативный акт (положение) о порядке обработки, хранения и уничтожения персональных данных.
Как заполнить акт об уничтожении персональных данных: пошаговая инструкция
Унифицированной формы акта закон не предусматривает. Однако содержание документа должно соответствовать требованиям Приказа Роскомнадзора № 179 и содержать исчерпывающую информацию о проведённой процедуре. Рассмотрим пошагово, как заполнить акт об уничтожении ПД правильно.
Шаг 1. Сформируйте комиссию
Уничтожение персональных данных не может быть единоличным действием. Необходимо создать комиссию минимум из трёх человек. Состав комиссии утверждается приказом руководителя. В комиссию обычно включают:
- ответственного за организацию обработки ПД;
- представителя кадровой службы (или лицо, ответственное за кадры);
- IT-специалиста (если данные уничтожаются в электронных системах);
- руководителя организации или его заместителя.
Для ИП с небольшим штатом комиссия может состоять из самого предпринимателя и двух сотрудников. Если наёмных работников меньше трёх, допустимо привлечь внешнего свидетеля (например, бухгалтера на аутсорсе).
Шаг 2. Определите перечень уничтожаемых данных
Перед составлением акта необходимо точно определить, какие именно данные и на каких носителях подлежат ликвидации:
- Бумажные носители: личные карточки, копии паспортов, анкеты кандидатов, согласия на обработку ПД, трудовые договоры (копии), медицинские справки.
- Электронные носители: файлы в информационных системах, базы данных, электронные копии документов, данные на съёмных носителях (флешки, диски).
⚠️ Важно: не путайте уничтожение персональных данных с уничтожением кадровых документов, имеющих установленные сроки архивного хранения. Трудовые договоры, приказы о приёме и увольнении, личные карточки (форма Т-2) хранятся 50 лет для документов, созданных после 2003 года, и 75 лет — для более ранних. Эти документы уничтожать раньше срока запрещено.
Шаг 3. Заполните реквизиты акта
Обязательные реквизиты акта об уничтожении персональных данных:
- Наименование документа — «Акт об уничтожении персональных данных».
- Дата и место составления — число, месяц, год; населённый пункт.
- Основание для уничтожения — ссылка на приказ руководителя, номер и дата.
- Состав комиссии — ФИО, должности всех членов комиссии, включая председателя.
- Перечень уничтожаемых данных — подробная таблица с указанием:
- ФИО субъекта ПД (или категория субъектов);
- перечень уничтожаемых данных (какие именно: паспортные, ИНН, адрес и т.д.);
- вид носителя (бумажный, электронный);
- объём (количество листов, файлов, записей);
- основание для уничтожения (достижение цели, отзыв согласия, истечение срока и т.д.).
- Способ уничтожения — конкретный метод ликвидации для каждого типа носителя.
- Подтверждение факта уничтожения — формулировка: «Персональные данные уничтожены в полном объёме, восстановление невозможно».
- Подписи всех членов комиссии — с расшифровкой (ФИО, должность).
Шаг 4. Укажите способ уничтожения
Способ ликвидации данных — обязательный элемент акта. Закон требует, чтобы уничтожение исключало возможность восстановления информации.
Для бумажных носителей:
- шредирование (измельчение документов с помощью шредера);
- сжигание;
- химическая обработка (растворение).
Для электронных носителей:
- удаление из информационной системы с перезаписью секторов;
- форматирование носителя с невозможностью восстановления;
- физическое уничтожение носителя (размагничивание, дробление);
- использование сертифицированного программного обеспечения для безвозвратного удаления.
📋 Пример: ИП Сидоров уволил бухгалтера Иванову. После увольнения и завершения всех расчётов он должен уничтожить копии паспорта, СНИЛС и ИНН, которые хранились в личном деле (оригиналы личной карточки и трудового договора продолжают храниться 50 лет). Бумажные копии пропускаются через шредер, электронные сканы удаляются из папки на компьютере с помощью программы безвозвратного удаления. Комиссия в составе ИП Сидорова, менеджера Петрова и администратора Козловой фиксирует это в акте.
Шаг 5. Подпишите и зарегистрируйте акт
После заполнения акт подписывают все члены комиссии. Документ регистрируется в журнале учёта актов об уничтожении ПД (если такой ведётся) и хранится в течение 3 лет — это минимальный рекомендуемый срок хранения, необходимый для предъявления при возможной проверке Роскомнадзора.
Образец акта об уничтожении персональных данных
Ниже приведён типовой образец акта об уничтожении ПД, адаптированный для малого бизнеса и ИП. Вы можете использовать его как основу и скорректировать под свою ситуацию.
АКТ об уничтожении персональных данных
г. Москва «___» ____________ 2025 г.
Комиссия в составе:
Председатель комиссии: _________________________ (ФИО, должность)
Члены комиссии:
- _________________________ (ФИО, должность)
- _________________________ (ФИО, должность)
действующая на основании Приказа № ___ от «___» ____________ 2025 г., произвела уничтожение персональных данных следующих субъектов:
| № п/п | ФИО субъекта ПД | Перечень ПД | Носитель | Объём | Основание уничтожения | Способ уничтожения |
|---|---|---|---|---|---|---|
| 1 | Иванова А.А. | Копия паспорта, СНИЛС, ИНН | Бумажный | 4 листа | Достижение цели обработки (увольнение) | Шредирование |
| 2 | Иванова А.А. | Скан паспорта, анкета | Электронный | 3 файла | Достижение цели обработки (увольнение) | Безвозвратное удаление ПО |
| 3 | Петров Б.В. | Анкета кандидата, копия диплома | Бумажный | 3 листа | Отзыв согласия на обработку ПД | Шредирование |
Персональные данные уничтожены в полном объёме. Возможность восстановления данных исключена.
Председатель комиссии: _________________ / _________________
Члены комиссии:
- _________________ / _________________
- _________________ / _________________
⚠️ Важно: данный образец носит ознакомительный характер. Шаблон, скачанный из интернета, — это риск, оформленный в Word. Такие документы не учитывают специфику вашего бизнеса, могут содержать устаревшие формулировки и не обновляются при изменении законодательства. Платформы автоматизации кадрового документооборота, такие как Bejure, позволяют создавать акты и другие документы, адаптированные под конкретный вид деятельности, с актуальными правовыми формулировками и возможностью электронного подписания.
Типичные ошибки при составлении акта и как их избежать
Анализ практики проверок Роскомнадзора показывает, что предприниматели допускают одни и те же ошибки при оформлении процедуры уничтожения. Разберём самые распространённые.
Ошибка 1: отсутствие акта при фактическом уничтожении данных
Самая грубая ошибка. Предприниматель удалил файлы с компьютера или выбросил бумажные копии документов, но не оформил это документально. При проверке у него нет подтверждения, что данные уничтожены. Роскомнадзор расценивает это как продолжение обработки ПД без законного основания.
Решение: каждый факт ликвидации данных фиксируется актом. Без исключений.
Ошибка 2: неполный состав комиссии
Акт подписан одним человеком или двумя сотрудниками без надлежащего приказа о формировании комиссии.
Решение: издайте приказ о создании комиссии, укажите не менее трёх членов, обеспечьте подписи всех участников.
Ошибка 3: отсутствие указания на способ уничтожения
Формулировки вроде «данные удалены» без конкретизации метода не соответствуют требованиям. Роскомнадзор вправе потребовать объяснений, каким именно способом обеспечена невозможность восстановления.
Решение: указывайте конкретный метод — шредирование, сжигание, безвозвратное удаление с помощью специализированного ПО, физическое уничтожение носителя.
Ошибка 4: уничтожение документов с обязательным сроком хранения
Предприниматель уничтожает всю папку с личным делом сотрудника, включая трудовой договор и приказы, хотя эти документы должны храниться десятилетиями.
📎 Ст. 22.1 Федерального закона от 22.10.2004 № 125-ФЗ «Об архивном деле»: документы по личному составу, законченные делопроизводством после 01.01.2003, хранятся 50 лет; до указанной даты — 75 лет.
Решение: разделяйте персональные данные, подлежащие уничтожению, и кадровые документы с установленным сроком хранения. Уничтожению подлежат только те носители и данные, для дальнейшего хранения которых нет правового основания.
Ошибка 5: отсутствие основания уничтожения
В акте не указано, почему именно данные уничтожаются: отзыв согласия, достижение цели, истечение срока хранения.
Решение: для каждой строки в перечне указывайте конкретное правовое основание.
Ошибка 6: хранение акта в ненадлежащих условиях
Составленный акт теряется, хранится в общей папке без учёта, не регистрируется.
Решение: ведите реестр (журнал) актов об уничтожении ПД. Храните акты отдельно от прочей документации, обеспечьте быстрый доступ при проверке. Если вы используете электронный документооборот — храните документ в защищённой системе с возможностью мгновенного извлечения. В Bejure, например, весь архив документов сохраняется внутри экосистемы: при проверке или споре нужный документ находится за 30 секунд, а не за три дня поисков по папкам.
Порядок уничтожения ПД: организационные аспекты для малого бизнеса
Для предпринимателей и небольших компаний процедура уничтожения персональных данных не должна быть обременительной. Достаточно выстроить простую систему и придерживаться её.
Рекомендуемый алгоритм:
Составьте реестр обрабатываемых ПД. Зафиксируйте, чьи данные вы храните, на каких носителях, какие сроки хранения установлены для каждого документа.
Определите ответственного. Назначьте лицо, ответственное за организацию обработки ПД. Для ИП это может быть сам предприниматель.
Установите периодичность проверки. Проводите ревизию хранящихся данных не реже одного раза в полгода. Выявляйте данные, для хранения которых истекли основания.
Издайте приказ. При выявлении данных, подлежащих ликвидации, издайте приказ о создании комиссии и проведении процедуры уничтожения.
Проведите уничтожение и составьте акт. Соблюдайте все требования к содержанию документа.
Зарегистрируйте акт и поместите в архив. Обеспечьте хранение в течение минимум 3 лет.
📋 Пример: владелец небольшого магазина принял на работу трёх продавцов. При трудоустройстве он собрал копии паспортов, СНИЛС, ИНН и медицинские книжки. Через год один из продавцов уволился. Работодатель обязан: сохранить трудовой договор, приказы о приёме/увольнении и личную карточку Т-2 на срок 50 лет; уничтожить копии паспорта, СНИЛС и ИНН (они были нужны только для оформления и передачи сведений в ПФР/ФНС — цель достигнута); составить акт об уничтожении.
Что потребуется ИП и малому бизнесу для организации работы с ПД:
- Положение о порядке обработки и защите персональных данных (локальный нормативный акт).
- Форма согласия на обработку ПД.
- Приказ о назначении ответственного за организацию обработки ПД.
- Журнал учёта обращений субъектов ПД.
- Форма акта об уничтожении ПД.
- Журнал регистрации актов об уничтожении.
Весь этот пакет документов должен быть готов заранее — до первой проверки, до первого запроса от бывшего сотрудника, до первого уведомления Роскомнадзора.
Штатный юрист, который мог бы подготовить и поддерживать эти документы, стоит от 80 000 ₽ в месяц. Сторонний юрист на аутсорсе получает ваши данные сотрудников и не несёт ответственности за их конфиденциальность. Платформы автоматизации кадрового документооборота с фиксированной подпиской решают обе проблемы — документы создаются по актуальным шаблонам, обновляются при изменении законодательства и хранятся в защищённой системе.
Уведомление Роскомнадзора об уничтожении персональных данных
Отдельный аспект, о котором забывают многие предприниматели: в ряде случаев об уничтожении ПД необходимо уведомить Роскомнадзор.
Когда нужно уведомлять:
- если уничтожение происходит по запросу субъекта (бывший сотрудник потребовал прекратить обработку и уничтожить данные);
- если уничтожение связано с выявлением неправомерной обработки — оператор обязан уничтожить данные в течение 10 рабочих дней и уведомить Роскомнадзор;
- если оператор включён в Реестр операторов персональных данных и обязан представлять сведения об изменении порядка обработки.
Сроки:
- уничтожение по запросу субъекта — 30 дней с момента получения требования;
- уничтожение при неправомерной обработке — 10 рабочих дней с момента выявления;
- уведомление Роскомнадзора — в те же сроки, что и само уничтожение.
⚠️ Важно: с 01.03.2023 действуют обновлённые требования к уведомлению Роскомнадзора. Оператор обязан уведомить ведомство о начале обработки ПД до начала такой обработки (ст. 22 ФЗ № 152). Аналогично — при прекращении обработки оператор обязан уведомить Роскомнадзор в течение 10 рабочих дней.
Подтверждением факта уничтожения для Роскомнадзора служит именно акт об уничтожении персональных данных. Без этого документа вы не сможете ответить на запрос ведомства и доказать выполнение требования закона.
Формат уведомления: уведомление подаётся через портал Роскомнадзора (pd.rkn.gov.ru) в электронном виде или направляется в территориальный орган в бумажном виде. К уведомлению прикладывается копия акта.
Часто задаваемые вопросы
Обязан ли ИП с одним-двумя сотрудниками составлять акт об уничтожении персональных данных?
Да. Закон № 152-ФЗ не делает исключений для малого бизнеса или ИП. Любой работодатель, собирающий персональные данные сотрудников, является оператором ПД и обязан соблюдать все требования, включая документальное оформление процедуры уничтожения. Размер штрафа для ИП по ст. 13.11 КоАП РФ за невыполнение обязанности по уничтожению составляет от 10 000 до 20 000 ₽.
Можно ли использовать свободную форму акта или существует утверждённый бланк?
Утверждённой унифицированной формы акта не существует. Документ составляется в свободной форме, однако его содержание должно соответствовать требованиям Приказа Роскомнадзора № 179 от 28.10.2022. Обязательные элементы: дата, состав комиссии, перечень уничтожаемых данных с указанием субъектов и носителей, способ уничтожения, основание, подписи членов комиссии. Отсутствие любого из этих элементов может стать основанием для претензий при проверке.
Сколько лет нужно хранить акт об уничтожении ПД?
Законодательство не устанавливает конкретный срок хранения акта. Рекомендуемый срок — не менее 3 лет с момента составления. Этот срок обусловлен общим сроком исковой давности (ст. 196 ГК РФ) и практикой проверок Роскомнадзора. Некоторые эксперты рекомендуют хранить акты в течение 5 лет — это обеспечивает дополнительную защиту при отложенных проверках или судебных разбирательствах.
Нужно ли уничтожать резюме кандидатов, которых не приняли на работу?
Да. Если вы получили резюме, провели собеседование и приняли решение не нанимать кандидата — цель обработки данных достигнута. Персональные данные кандидата (резюме, копии документов, анкеты) подлежат уничтожению в течение 30 дней, если у вас нет письменного согласия на включение в кадровый резерв. Факт уничтожения оформляется актом на общих основаниях.
Как уничтожить электронные данные, чтобы это соответствовало закону?
Простое удаление файла в «Корзину» или даже очистка «Корзины» не является уничтожением в понимании закона — данные могут быть восстановлены. Необходимо использовать специализированное программное обеспечение для безвозвратного удаления (затирание данных с перезаписью секторов), либо физически уничтожить носитель. В акте указывайте название ПО или конкретный способ физического уничтожения. Если данные хранились в информационной системе — зафиксируйте удаление записей из базы данных с указанием идентификаторов записей.
Заключение
Акт об уничтожении персональных данных — не формальность, а обязательный документ, который защищает ваш бизнес от штрафов, претензий и репутационных потерь. Правильное оформление процедуры ликвидации ПД занимает минимум времени, но избавляет от серьёзных проблем при проверке Роскомнадзора или запросе бывшего сотрудника.
Ключевые выводы:
- Уничтожайте персональные данные сразу при наступлении оснований — не накапливайте.
- Оформляйте каждый факт ликвидации актом с полным перечнем реквизитов.
- Храните акты не менее 3 лет в доступном и защищённом месте.
- Разделяйте данные, подлежащие уничтожению, и документы с обязательным сроком архивного хранения.
- Не используйте устаревшие шаблоны — работайте с актуальными формами, адаптированными под ваш бизнес.
Грамотный кадровый документооборот — это не бремя, а система порядка, без которой бизнес работает вслепую. Выстройте процесс один раз, и каждая последующая проверка будет проходить спокойно.
