Приказ о комиссии по уничтожению ПД: образец и порядок заполнения

Каждый работодатель — будь то ООО или индивидуальный предприниматель — обрабатывает персональные данные сотрудников, кандидатов, контрагентов. Паспортные сведения, адреса, СНИЛС, ИНН, медицинские справки — всё это информация, которая подпадает под действие Федерального закона № 152-ФЗ «О персональных данных». Когда цели обработки достигнуты или истёк срок хранения, данные необходимо уничтожить. Но уничтожение — это не формальность «удалить файл». Это регламентированная процедура, которая начинается с одного документа — приказа о создании комиссии по уничтожению персональных данных.

Отсутствие такого приказа — прямой путь к штрафам. Роскомнадзор при проверке запрашивает не только политику обработки ПД, но и документы, подтверждающие порядок их уничтожения. Если процедура не формализована, проверяющий фиксирует нарушение. Штрафы по ст. 13.11 КоАП РФ для юридических лиц достигают 300 000 ₽, а с учётом последних поправок — до 500 000 ₽ за повторные нарушения. Для ИП суммы ниже, но и они ощутимы: от 20 000 до 100 000 ₽.

В этой статье разберём, зачем нужна комиссия, как правильно составить приказ, какие разделы он должен содержать и где взять надёжный образец, который выдержит любую проверку.

Зачем нужен приказ о комиссии по уничтожению персональных данных

Многие предприниматели воспринимают уничтожение ПД как техническое действие: стереть запись в базе, порезать бумагу в шредере. На практике всё сложнее. Закон требует, чтобы процесс был прозрачным, документально подтверждённым и контролируемым. Именно для этого создаётся комиссия, а основанием её работы служит приказ.

Приказ о создании комиссии по уничтожению ПД выполняет несколько функций:

• Формализует процедуру. Без приказа уничтожение — просто действие конкретного сотрудника, которое невозможно ни проверить, ни доказать.
• Распределяет ответственность. Каждый член комиссии знает свою роль: кто выявляет данные, подлежащие уничтожению, кто проводит процедуру, кто фиксирует результат.
• Создаёт доказательную базу. При проверке Роскомнадзора или трудовой инспекции приказ вместе с актом уничтожения подтверждает, что компания действует в рамках закона.
• Закрывает требования регуляторов. Постановление Правительства РФ № 1119 и приказ ФСТЭК № 21 требуют от операторов ПД наличия внутренних организационных мер защиты — комиссия является одной из таких мер.

📎 Ч. 3 ст. 21 Федерального закона № 152-ФЗ: оператор обязан уничтожить персональные данные в срок не более 30 дней с момента достижения цели обработки, если иное не предусмотрено договором или законодательством.

Без действующего приказа о комиссии невозможно составить корректный акт уничтожения персональных данных — а именно акт является финальным документом, подтверждающим исполнение обязанности по закону.

Правовые основания для создания комиссии: что говорит закон

Прежде чем составлять приказ, важно понимать, на каких нормативных актах он базируется. Это не просто «бумажка для проверки» — это часть системы защиты ПД, которую обязан выстроить каждый оператор.

Ключевые нормативные акты

1. Федеральный закон № 152-ФЗ «О персональных данных» — основной закон, регулирующий обработку, хранение и уничтожение ПД на территории РФ.
2. Постановление Правительства РФ от 15.09.2008 № 687 — устанавливает особенности обработки ПД без использования средств автоматизации (бумажные носители).
3. Постановление Правительства РФ от 01.11.2012 № 1119 — определяет требования к защите ПД при их обработке в информационных системах.
4. Трудовой кодекс РФ, глава 14 (ст. 86–90) — регулирует обработку персональных данных работников.
5. КоАП РФ, ст. 13.11 — устанавливает ответственность за нарушение порядка обработки ПД.

📎 Ст. 87 ТК РФ: порядок хранения и использования персональных данных работников устанавливается работодателем с соблюдением требований Трудового кодекса и иных федеральных законов.

Когда возникает обязанность уничтожить ПД

Не каждая ситуация требует немедленного уничтожения. Закон определяет конкретные основания:

• Достигнута цель обработки. Например, кандидат не прошёл отбор — его резюме, копии документов подлежат уничтожению (если нет письменного согласия на хранение).
• Истёк срок хранения, установленный согласием субъекта, договором или нормативным актом.
• Субъект отозвал согласие на обработку ПД.
• Выявлена незаконная обработка. Если данные были получены неправомерно, они уничтожаются в срок не более 10 рабочих дней.
• Работник уволен. После истечения срока хранения кадровых документов (как правило, 50 или 75 лет для документов по личному составу согласно Приказу Росархива от 20.12.2019 № 236) данные подлежат уничтожению.

⚠️ Важно: не путайте уничтожение ПД с уничтожением кадровых документов. Личные дела, приказы о приёме и увольнении, трудовые договоры имеют длительные сроки хранения. Уничтожению подлежат прежде всего копии документов, данные кандидатов, сведения из устаревших информационных систем.

Состав комиссии: кого назначить и какие полномочия определить

Комиссия по уничтожению персональных данных — это коллегиальный орган, который формируется приказом руководителя. В крупных компаниях её состав может включать 5–7 человек. Для малого бизнеса и ИП достаточно минимального состава.

Минимальный состав комиссии

Роль	Функция	Кого обычно назначают
Председатель	Организует работу комиссии, подписывает акт уничтожения	Руководитель компании, заместитель, главбух
Член комиссии	Выявляет данные, подлежащие уничтожению, проверяет основания	Специалист по кадрам, ответственный за обработку ПД
Член комиссии	Осуществляет техническое уничтожение, контролирует полноту	Системный администратор, офис-менеджер

Для ИП с небольшим штатом комиссия может состоять из трёх человек, включая самого предпринимателя. Если в штате менее трёх сотрудников, допускается привлечение внешних лиц (например, бухгалтера на аутсорсе) при наличии соглашения о конфиденциальности.

Полномочия комиссии

В приказе следует чётко определить, что комиссия вправе:

• Определять перечень ПД, подлежащих уничтожению.
• Устанавливать способ уничтожения (физическое уничтожение бумажных носителей, стирание цифровых записей, форматирование носителей).
• Составлять и подписывать акт уничтожения персональных данных.
• Вести журнал учёта уничтожений.
• Информировать руководителя о выявленных нарушениях в порядке хранения ПД.

📋 Пример: ИП Смирнова ведёт небольшой магазин с четырьмя сотрудниками. Она назначает себя председателем комиссии, старшего продавца — членом комиссии, бухгалтера (работающего по договору ГПХ с условием конфиденциальности) — третьим членом. Этого состава достаточно, чтобы процедура соответствовала требованиям закона.

Как заполнить приказ о комиссии по уничтожению ПД: пошаговая инструкция

Приказ составляется в свободной форме — унифицированного бланка не существует. Однако есть обязательные элементы, без которых документ не будет иметь юридической силы. Разберём структуру по шагам.

Шаг 1. Оформите реквизиты документа

В «шапке» приказа укажите:

• Полное наименование организации (или ФИО индивидуального предпринимателя) в соответствии с ЕГРЮЛ/ЕГРИП.
• Название документа: «Приказ о создании комиссии по уничтожению персональных данных».
• Номер приказа — по внутренней системе нумерации.
• Дата издания приказа.
• Место издания (город).

Шаг 2. Укажите основание приказа

В преамбуле необходимо сослаться на нормативные акты, которые обязывают создать комиссию:

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».
• Положение об обработке и защите ПД, действующее в организации (если есть).
• Иные внутренние документы.

Типичная формулировка преамбулы:

«В целях обеспечения соблюдения требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», а также Положения об обработке и защите персональных данных, утверждённого приказом от ..____ № ___, ПРИКАЗЫВАЮ:»

Шаг 3. Сформулируйте распорядительную часть

Распорядительная часть — ядро документа. Здесь перечисляются конкретные действия:

1. Создать постоянно действующую комиссию по уничтожению персональных данных (или комиссию на определённый срок — в зависимости от потребностей).
2. Утвердить состав комиссии, указав ФИО, должности и роли:
   • Председатель комиссии — ФИО, должность.
   • Член комиссии — ФИО, должность.
   • Член комиссии — ФИО, должность.
3. Определить порядок работы комиссии: периодичность заседаний (ежеквартально, по мере необходимости), процедуру принятия решений.
4. Установить обязанности комиссии:
   • Проводить проверку оснований для уничтожения ПД.
   • Определять способ уничтожения.
   • Составлять акт по результатам уничтожения.
   • Вести учёт проведённых уничтожений.
5. Назначить ответственного за хранение актов уничтожения.
6. Указать, с какой даты приказ вступает в силу.

Шаг 4. Добавьте подписи

Приказ подписывает руководитель организации (или ИП). Ниже обязательно предусмотрите строки «С приказом ознакомлен(а)» для каждого члена комиссии с указанием даты ознакомления.

Шаг 5. Зарегистрируйте приказ

Присвойте документу регистрационный номер и внесите в журнал регистрации приказов по основной деятельности. Приказ хранится постоянно — это приказ по основной деятельности, а не по личному составу.

⚠️ Важно: не путайте приказ о создании комиссии с приказом о проведении конкретного уничтожения. Первый — организационный, создаёт комиссию как постоянно действующий орган. Второй — распорядительный, издаётся каждый раз, когда нужно уничтожить определённый массив данных. Оба документа необходимы.

Образец приказа о комиссии по уничтожению ПД: готовый шаблон

Ниже приведён примерный текст приказа, который можно адаптировать под свою организацию. Обратите внимание: это не «скачанный из интернета шаблон без привязки к реальности», а структурированный документ с обязательными реквизитами.

---

ООО «Ваша компания» (или: Индивидуальный предприниматель Фамилия И.О.)

ПРИКАЗ

от «_» ___________ 202 г.        № ___

г. _________________

О создании комиссии по уничтожению персональных данных

В целях обеспечения соблюдения требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», Положения об обработке и защите персональных данных, утверждённого приказом от .._____ № ___, а также в связи с необходимостью организации порядка уничтожения персональных данных, цели обработки которых достигнуты либо срок хранения которых истёк,

ПРИКАЗЫВАЮ:

1. Создать постоянно действующую комиссию по уничтожению персональных данных в следующем составе:

   • Председатель комиссии — ________________________ (ФИО, должность);
   • Член комиссии — ________________________ (ФИО, должность);
   • Член комиссии — ________________________ (ФИО, должность).

2. Возложить на комиссию следующие функции:

   2.1. Выявление персональных данных, подлежащих уничтожению в связи с достижением целей обработки, истечением срока хранения, отзывом согласия субъекта персональных данных или иными основаниями, предусмотренными законодательством Российской Федерации.

   2.2. Определение способа уничтожения персональных данных (механическое измельчение бумажных носителей, стирание информации с электронных носителей, иные способы, исключающие дальнейшее восстановление данных).

   2.3. Проведение процедуры уничтожения персональных данных.

   2.4. Составление акта об уничтожении персональных данных по результатам каждой проведённой процедуры.

   2.5. Ведение журнала учёта уничтожения персональных данных.

3. Установить, что комиссия осуществляет проверку наличия персональных данных, подлежащих уничтожению, не реже одного раза в квартал.

4. Ответственность за хранение актов уничтожения персональных данных возложить на ________________________ (ФИО, должность).

5. Контроль за исполнением настоящего приказа оставляю за собой.

6. Настоящий приказ вступает в силу с даты подписания.

Руководитель       _________________       (ФИО)

С приказом ознакомлены:

_________________ / _________________ / «» ___________ 202 г. _________________ / _________________ / «» ___________ 202 г. _________________ / _________________ / «_» ___________ 202 г.

---

⚠️ Важно: шаблон из интернета — это отправная точка, а не готовое решение. Каждый бизнес имеет свою специфику обработки ПД, и документ должен быть адаптирован. Шаблоны устаревают, формулировки теряют актуальность с изменением законодательства. Платформы автоматизации кадрового документооборота, такие как Bejure, позволяют формировать документы, адаптированные под конкретный вид деятельности, с автоматическим обновлением при изменении нормативной базы — и хранить их в защищённом электронном архиве, доступном в любой момент.

Типичные ошибки при составлении приказа и как их избежать

Даже простой по структуре документ часто содержит ошибки, которые превращают его из защитного механизма в формальную бумагу. Рассмотрим самые распространённые.

Ошибка 1. Отсутствие ссылки на нормативные акты

Приказ без преамбулы с указанием правового основания может быть расценён проверяющими как необоснованный. Всегда ссылайтесь на 152-ФЗ и внутреннее Положение об обработке ПД.

Ошибка 2. Неполный состав комиссии

Комиссия из одного человека — это не комиссия. Минимум три участника. Если в штате недостаточно людей, привлекайте совместителей, сотрудников по договорам ГПХ (с обязательным условием о конфиденциальности) или даже самого руководителя в качестве одного из членов.

Ошибка 3. Отсутствие подписей об ознакомлении

Каждый член комиссии обязан расписаться в приказе. Без подписи невозможно доказать, что сотрудник знал о своих обязанностях. При проверке трудовой инспекции это может стать отдельным основанием для замечания.

📎 Ст. 88 ТК РФ: при передаче персональных данных работника работодатель должен соблюдать установленные требования, в том числе предупреждать лиц, получающих персональные данные, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены. Члены комиссии должны быть проинформированы об ограничениях.

Ошибка 4. Не определён порядок работы комиссии

Приказ, который создаёт комиссию, но не устанавливает периодичность её работы и функции, — пустой документ. Укажите: как часто комиссия проводит ревизию данных, в каком порядке составляет акт, где хранятся результаты.

Ошибка 5. Приказ не обновляется при смене кадров

Уволился член комиссии — приказ нужно переиздать или внести изменения. Многие предприниматели забывают об этом, и в документе числятся люди, давно не работающие в компании. При проверке это трактуется как отсутствие действующей комиссии.

Ошибка 6. Путаница между уничтожением ПД и уничтожением документов

Персональные данные и документы — не одно и то же. Трудовой договор содержит ПД, но имеет срок хранения 50 лет (для документов, созданных после 2003 года, согласно ст. 22.1 Федерального закона № 125-ФЗ «Об архивном деле»). Уничтожать его через 30 дней после увольнения нельзя. Комиссия должна чётко разграничивать: какие именно данные (не документы целиком) подлежат уничтожению и на каком основании.

📋 Пример: Компания хранит копии паспортов сотрудников. После увольнения работника копия паспорта не требуется для архивного хранения — она подлежит уничтожению. А вот приказ об увольнении (который тоже содержит ПД) хранится 50 или 75 лет.

Что делать после издания приказа: акт уничтожения и сопутствующие документы

Создание комиссии — это первый шаг. После издания приказа необходимо выстроить полноценную процедуру, которая включает несколько элементов.

1. Ревизия персональных данных

Комиссия проводит инвентаризацию всех ПД, которые обрабатывает организация:

• Данные действующих сотрудников (личные дела, копии документов, карточки Т-2).
• Данные уволенных сотрудников.
• Данные кандидатов (резюме, анкеты, рекомендации).
• Данные контрагентов — физических лиц.
• Данные в информационных системах (1С, CRM, учётные системы).

2. Определение оснований для уничтожения

По каждому массиву данных комиссия проверяет:

• Истёк ли срок хранения.
• Достигнута ли цель обработки.
• Имеется ли отзыв согласия от субъекта ПД.
• Отсутствуют ли иные правовые основания для продолжения хранения (требования налогового, трудового, архивного законодательства).

3. Выбор способа уничтожения

Способ зависит от носителя:

• Бумажные документы — измельчение в шредере (не ниже уровня безопасности Р-4 по DIN 66399), сжигание.
• Электронные носители — стирание с использованием сертифицированного ПО, физическое уничтожение носителя (для жёстких дисков, флеш-накопителей).
• Данные в информационных системах — удаление записей с протоколированием действий.

4. Составление акта уничтожения

Акт уничтожения персональных данных — итоговый документ, который подтверждает, что процедура проведена. Акт подписывают все члены комиссии. В нём указываются:

• Перечень уничтоженных данных (категории, объём, носители).
• Основание уничтожения.
• Способ уничтожения.
• Дата проведения процедуры.

5. Хранение документации

Акты уничтожения хранятся не менее 3 лет — этот срок позволяет предъявить документ при проверке Роскомнадзора. Некоторые эксперты рекомендуют хранить акты 5 лет, ориентируясь на общий срок давности по административным правонарушениям в сфере ПД.

Все документы — приказы, акты, журналы — должны быть доступны в любой момент. Если вы храните кадровую документацию в электронном виде, убедитесь, что архив защищён и структурирован. Сервис Bejure, например, обеспечивает хранение всех кадровых документов в единой защищённой системе с электронной подписью, что позволяет предъявить нужный документ за 30 секунд — даже во время внезапной проверки.

Штрафы за нарушение порядка уничтожения ПД

Ответственность за нарушения в сфере персональных данных ужесточается каждый год. Актуальные размеры штрафов по ст. 13.11 КоАП РФ:

Нарушение	Должностные лица	ИП	Юридические лица
Обработка ПД без согласия субъекта	20 000 – 40 000 ₽	20 000 – 40 000 ₽	30 000 – 150 000 ₽
Невыполнение обязанности по уничтожению ПД	4 000 – 10 000 ₽	10 000 – 20 000 ₽	25 000 – 90 000 ₽
Повторное нарушение	до 50 000 ₽	до 100 000 ₽	до 500 000 ₽

⚠️ Важно: с 2024–2025 годов законодатель активно обсуждает кратное увеличение штрафов за утечки ПД — вплоть до оборотных штрафов для юридических лиц. Формализация процедуры уничтожения данных — это не бюрократия, а реальная защита бизнеса от финансовых потерь.

Часто задаваемые вопросы

Можно ли обойтись без комиссии и поручить уничтожение одному сотруднику?

Формально закон не запрещает уничтожение ПД силами одного ответственного лица. Однако коллегиальный формат (комиссия) обеспечивает контроль и объективность процедуры. При проверке Роскомнадзора акт, подписанный комиссией из нескольких человек, вызывает значительно больше доверия, чем документ за одной подписью. Для микропредприятий допустимо назначить комиссию из трёх человек, включая руководителя.

Как часто нужно переиздавать приказ о создании комиссии?

Если приказ создаёт постоянно действующую комиссию, переиздавать его каждый год не нужно. Документ действует до отмены или до издания нового приказа. Однако при смене состава участников (увольнение, перевод на другую должность) необходимо издать приказ о внесении изменений или новый приказ о комиссии. Рекомендуется проводить ревизию актуальности состава не реже одного раза в год.

Нужен ли приказ о комиссии индивидуальному предпринимателю с одним-двумя сотрудниками?

Да, если ИП является оператором ПД (а таковым является практически каждый работодатель). Даже при минимальном штате закон требует организационных мер по защите данных. Для ИП с небольшим количеством сотрудников комиссия может состоять из самого предпринимателя, работника и привлечённого специалиста (бухгалтера, консультанта). Главное — наличие не менее трёх лиц и документальное оформление.

Где хранить акты уничтожения персональных данных?

Акты хранятся вместе с другими документами по защите ПД: политикой обработки, согласиями субъектов, приказами. Рекомендуемый срок хранения — не менее 3 лет, оптимально — 5 лет. Храните их в защищённом месте (сейф для бумажных, защищённая информационная система для электронных). Электронный формат предпочтительнее: документы не теряются, доступны моментально, подписываются электронной подписью с полной юридической силой.

Какие данные нельзя уничтожать даже после увольнения сотрудника?

Нельзя уничтожать документы, для которых установлены обязательные сроки хранения по архивному, налоговому или трудовому законодательству. Например: приказы о приёме и увольнении хранятся 50 или 75 лет, расчётные ведомости — 6 лет, табели учёта рабочего времени при вредных условиях — 50/75 лет. Уничтожению подлежат копии паспортов, анкеты при трудоустройстве, данные непринятых кандидатов и иные материалы, не подпадающие под обязательные сроки хранения.

Заключение

Приказ о создании комиссии по уничтожению персональных данных — это не факультативный документ, а обязательный элемент системы защиты ПД в любой организации и у любого индивидуального предпринимателя. Без него процедура уничтожения данных теряет юридическую силу, а бизнес остаётся уязвимым перед проверками Роскомнадзора и трудовой инспекции.

Подведём итог:

• Создайте комиссию из не менее чем трёх человек.
• Оформите приказ с указанием правовых оснований, состава, полномочий и порядка работы.
• Проводите ревизию ПД не реже одного раза в квартал.
• По результатам каждого уничтожения составляйте акт.
• Храните всю документацию не менее 3–5 лет.
• Обновляйте приказ при каждой кадровой перестановке.

Кадровый документооборот — это не то, чем предприниматель должен заниматься вручную. Это система, которая либо работает и защищает, либо создаёт риски. Выстройте её один раз — и сосредоточьтесь на развитии бизнеса.