Правомерно ли работник после увольнения требует прекратить обрабатывать его персональные данные и уничтожить их?

Бывший работник общества требует прекратить обрабатывать его персональные данные и уничтожить их. Правомерно ли это?

Рассмотрев вопрос, мы пришли к следующему выводу:

Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных" наделяет субъекта персональных данных правом отзыва согласия на обработку персональных данных, а также требования прекращения оператором обработки персональных данных и их уничтожения, в связи с чем такие действия не могут быть признаны неправомерными. Вместе с тем реализация субъектом предоставленных прав не во всяком случае влечет обязанность оператора по прекращению обработки персональных данных и их уничтожению.

Обоснование вывода:

Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ) под обработкой персональных данных понимается любое действие (операция) или их совокупность, совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Закона N 152-ФЗ).

Законом N 152-ФЗ предусмотрено право субъекта персональных данных на отзыв согласия на обработку персональных данных (ч. 2 ст. 9 Закона N 152-ФЗ), право требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки (ч. 1 ст. 14 Закона N 152-ФЗ), а также прекращения обработки (чч. 12, 13 ст. 10.1 Закона N 152-ФЗ).

При этом в случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без такого согласия при наличии оснований, указанных в пп. 2-11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Закона N 152-ФЗ. Аналогичный подход предусмотрен и для случаев обращения субъекта персональных данных к оператору с требованием о прекращении обработки персональных данных (ч. 5.1 ст. 21 Закона N 152-ФЗ).

Из положений ч. 5 ст. 21 Закона N 152-ФЗ также следует, что в случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение в срок, не превышающий 30 дней с даты поступления отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных указанным Законом или другими федеральными законами*(1).

Достижение цели обработки персональных данных также влечет обязанность оператора прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий 30 дней с даты достижения цели обработки персональных данных, если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законом N 152-ФЗ или другими федеральными законами (ч. 4 ст. 21 Закона N 152-ФЗ).

Хранение персональных данных, как это следует из ч. 7 ст. 5 Закона N 152-ФЗ, должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом либо наличием иного предусмотренного условия.

Одним из условий, допускающих обработку персональных данных без согласия субъекта, является обработка персональных данных для достижения целей, предусмотренных законом, осуществления и выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей (п. 2 ч. 1 ст. 6 Закона N 152-ФЗ). Также допускается обработка персональных данных для осуществления прав и законных интересов оператора при условии, что при этом не нарушаются права и свободы субъекта персональных данных (п. 7 ч. 1 ст. 6 Закона N 152-ФЗ).

Законодательство РФ предусматривает случаи и сроки обработки персональных данных работников и после их увольнения.

С учетом положений законодательства РФ о налоговом и бухгалтерском учете, оператор вправе осуществлять обработку персональных данных уволенных работников, в том числе в информационных системах, в течение пяти лет после увольнения*(2). По достижении такого срока обработка персональных данных уволенных работников в информационных системах, согласно позиции Роскомнадзора, должна быть прекращена*(3). Статьей 195 ГК РФ установлен срок для защиты права по иску лица, право которого нарушено, что также допускает обработку персональных данных в пределах исковой давности.

Частью 1 ст. 17 Федерального закона от 22.10.2004 N 125-ФЗ "Об архивном деле в Российской Федерации" предусмотрено, что организации обязаны обеспечивать сохранность архивных документов, в том числе документов по личному составу, в течение сроков их хранения, установленных федеральными законами, иными нормативными правовыми актами РФ.

Сроки хранения документов определены Перечнем типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения, утвержденным приказом Росархива от 20.12.2019 N 236 (далее - Перечень N 236).

Так, разделом 8 Перечня предусмотрено архивное хранение следующих видов документов: приказы, распоряжения по личному составу; трудовые договоры, служебные контракты, соглашения об их изменении, расторжении; документы (списки, представления, характеристики, анкеты, резюме) по формированию кадрового резерва организации, сведения о трудовой деятельности и трудовом стаже работника; документы, связанные с применением дисциплинарных взысканий; согласие на обработку персональных данных; личные карточки и личные дела работников и др.

Таким образом, оператор не только вправе, но и обязан осуществлять хранение предусмотренных Перечнем документов, содержащих персональные данные уволенных работников, в пределах установленных сроков архивного хранения, что предполагает продолжение их обработки в виде хранения (смотрите, например, решение Ленинского районного суда г. Саратова Саратовской области от 21.03.2024 по делу N 2-598/2024, решение Северодвинского городского суда Архангельской области от 09.11.2023 по делу N 2-5857/2023, решение Верхнеуслонского районного суда Республики Татарстан от 24.05.2023 по делу N 2-266/2023 и др.).

При отсутствии оснований обработки, предусмотренных пп. 2-11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Закона N 152-ФЗ, оператор в срок, не превышающий 30 дней с даты увольнения работника, обязан прекратить обработку персональных данных и уничтожить их, то есть должна быть прекращена та обработка персональных данных, которая не требуется далее в связи с увольнением работника либо обусловленная исключительно согласием уволенного работника на обработку его персональных данных (например, удалены персональных данных из корпоративных справочников, со стендов и иных аналогичных мест размещения, с сайта оператора в сети Интернет, исключено направление на личный номер телефона или адрес электронной почты корпоративных рассылок и информации и т.п.).

Требования к подтверждению уничтожения персональных данных установлены приказом Роскомнадзора от 28.10.2022 N 179 (далее - Требования). При обработке персональных данных без использования средств автоматизации документом, подтверждающим уничтожение персональных данных, является акт об уничтожении персональных данных. В случае, если обработка персональных данных осуществляется оператором с использованием средств автоматизации, документами, подтверждающими уничтожение персональных данных субъектов персональных данных, являются акт об уничтожении персональных данных и выгрузка из журнала регистрации событий в информационной системе персональных данных (далее - выгрузка из журнала).

При этом в силу п. 2 ч. 2 ст. 1 Закона N 152-ФЗ его действие не распространяется на отношения, возникающие при организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда РФ и других архивных документов в соответствии с законодательством об архивном деле. Таким образом, документы, поименованные в Перечне N 236, в том числе включающие персональные данные уволенных работников, уничтожению в установленном Требованиями порядке не подлежат. Уничтожение архивных документов осуществляется с учетом Правил, утвержденных приказом Росархива от 31.07.2023 N 77.

Ответ подготовил:
Эксперт службы Правового консалтинга ГАРАНТ
Беликова Татьяна

Ответ прошел контроль качества

25 марта 2025 г.

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг.

-------------------------------------------------------------------------

*(1) Уничтожение персональных данных представляет собой действие, в результате которого становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных (п. 8 ст. 3 Закона N 152-ФЗ).

*(2) Налоговый кодекс РФ обязывает налогоплательщиков в течение пяти лет обеспечивать сохранность данных бухгалтерского и налогового учета и других документов, необходимых для исчисления и уплаты налогов, в том числе документов, подтверждающих получение доходов, осуществление расходов (для организаций и индивидуальных предпринимателей), а также уплату (удержание) налогов (подп. 8 п. 1 ст. 23 Налогового кодекса РФ). В соответствии с чч. 1 и 2 ст. 29 Федерального закона от 06.12.2011 N 402-ФЗ "О бухгалтерском учете" первичные учетные документы, регистры бухгалтерского учета, бухгалтерская (финансовая) отчетность подлежат хранению в течение сроков, устанавливаемых в соответствии с правилами организации государственного архивного дела, но не менее пяти лет после отчетного года.

*(3) Такая позиция территориального органа Роскомнадзора в споре с оператором не была поддержана судом, который пришел к выводу, что хранение документов, в том числе архивное, может осуществляться не только в бумажном, но и в электронном виде. При этом персональные данные уволенных работников, содержащиеся в документах, подлежащих архивному хранению, должны сохраняться в течение нормативно установленных сроков хранения документов и сведений.

Кроме того, при принятии решения судом учтено поступление в адрес оператора запросов от органов Пенсионного фонда РФ при назначении пенсий, содержащих периоды свыше пяти лет с момента увольнения работников, которые обрабатываются с помощью информационной системы. Оценив указанные обстоятельства, суд не нашел оснований для признания правомерными выводов о нарушении оператором ч. 4 ст. 21 Закона N 152-ФЗ в связи с непринятием мер по уничтожению персональных данных уволенных свыше пяти лет назад работников из информационной системы (смотрите подробнее: постановление Девятого арбитражного апелляционного суда от 09.02.2022 N 09АП-87227/21 по делу N А40-163911/2021).