Когда нужно уничтожить персональные данные и как это оформить

Закон обязывает не только защищать персональные данные, но и вовремя их уничтожать. Разбираем сроки уничтожения по 152-ФЗ, как оформить акт и журнал и что грозит при проверке Роскомнадзора, если устаревшая база всё ещё хранится.

В базе почти любой компании годами лежат персональные данные бывших клиентов, соискателей, которых не взяли на работу, и подписчиков, отписавшихся от рассылки. Закон 152-ФЗ требует не только защищать эти данные, но и вовремя их уничтожать. Разбираемся, в какой срок это нужно делать и как оформить уничтожение персональных данных, чтобы при проверке Роскомнадзора не получить штраф.

Почему нельзя просто хранить лишние данные

Оператор вправе обрабатывать персональные данные только для той цели, ради которой их собрал. Об этом говорит статья 5 152-ФЗ. Как только цель обработки достигнута, хранить данные дальше нельзя. Причины разные. Согласие отозвано, договор исполнен, вакансия закрыта, подписчик отписался от рассылки.

Многие операторы держат старые базы «на всякий случай». Вдруг клиент вернётся, вдруг понадобится статистика. Закон это не разрешает. Хранение персональных данных без действующей цели уже нарушение, и утечка для этого не нужна. Инспектор Роскомнадзора найдёт устаревшую базу и без взлома.

В какие сроки нужно уничтожить персональные данные

Статья 21 152-ФЗ отводит на уничтожение персональных данных два основных срока.

• 30 дней. Такой срок действует, когда оператор сам определил, что цель обработки достигнута. Например, договор исполнен, вакансия закрыта или субъект отозвал согласие.
• 10 рабочих дней. Такой срок действует, если при внутренней проверке оператор обнаружил, что данные обрабатывались без законного основания. Например, данные хранились дольше нужного срока или собирались без согласия.

Если субъект прямо просит уничтожить свои данные, это по сути тоже отзыв согласия. На такое обращение распространяется тот же тридцатидневный срок.

Для некоторых операторов действуют отраслевые сроки хранения, которые наступают раньше обязанности по 152-ФЗ. Например, банки обязаны хранить данные, нужные для идентификации клиента, не менее пяти лет после завершения отношений с ним. Это требование устанавливает 115-ФЗ о противодействии отмыванию денег. Пока действует отраслевой срок, уничтожать данные нельзя, даже если цель обработки по 152-ФЗ уже достигнута.

Как оформить уничтожение персональных данных

Устного решения «пора удалить базу» недостаточно. Уничтожение нужно задокументировать, чтобы предъявить документы при проверке.

1. Составить акт уничтожения персональных данных. В нём укажите дату, состав уничтоженных данных, способ уничтожения и ответственного сотрудника.
2. Выбрать способ, который исключает восстановление данных. Бумажные носители уничтожают шредером или сжиганием. Электронную базу удаляют необратимо или обезличивают.
3. Внести запись в журнал учёта уничтожения персональных данных.
4. Хранить акты и журнал минимум три года. Эти документы Роскомнадзор запрашивает первыми на плановой проверке.

Отдельно проверьте резервные копии. Если запись удалили из рабочей базы, но она осталась в бэкапе без срока хранения, уничтожение формально не завершено. Пропишите в регламенте, как долго живут бэкапы и когда из них исключают устаревшие персональные данные.

Что грозит за нарушение сроков уничтожения

На плановой проверке Роскомнадзор смотрит не только на то, как компания защищает персональные данные, но и на то, держит ли она устаревшие записи без действующей цели обработки. Найденная просроченная база квалифицируется как нарушение порядка обработки персональных данных по статье 13.11 КоАП. С мая 2025 года санкции по этой статье выросли, а с конца декабря 2025 года такие дела рассматривают мировые судьи.

Калькулятор штрафов по 152-ФЗ

Перед плановой проверкой стоит заранее свериться с чек-листом требований и убедиться, что в компании нет данных, которые уже некому и незачем хранить.

Чек-лист готовности к проверке Роскомнадзора

Частые вопросы

Нужно ли уничтожать бумажные документы, если данные уже удалили из электронной базы?

Да. Персональные данные хранятся не только в базах, но и в анкетах, заявлениях, копиях паспортов. Если бумажный документ содержит персональные данные и цель его хранения достигнута, его нужно уничтожить так же, как электронную запись, и составить отдельный акт.

Можно ли обезличить данные вместо того, чтобы их уничтожать?

Да, если данные всё ещё нужны, например для статистики или аналитики. Обезличивание — законный способ прекратить обработку персональных данных. После него информация перестаёт быть персональными данными, и требование об уничтожении на неё уже не распространяется.

Что будет, если просто не заметить, что срок уничтожения прошёл?

Ничего не изменится, пока не придёт проверка или жалоба субъекта. Но при проверке инспектор сверяет даты в базе с датами приказов, договоров и заявлений об отзыве согласия. Просроченные записи находят быстро, а объяснить их наличие постфактум нечем.

Как часто нужно проверять базу на устаревшие данные?

Разумная практика — не реже раза в год проводить внутренний аудит: сверять список действующих оснований обработки со списком записей в базе и убирать всё, для чего основание уже закрыто.