Уничтожение персональных данных: порядок, сроки и оформление по 152-ФЗ
У обработки персональных данных есть начало и конец. Начало большинство компаний выстраивают: уведомляют РКН, получают согласия, настраивают защиту. С концом сложнее — уничтожение данных после достижения цели или отзыва согласия остается без внимания в большинстве организаций.
Между тем хранение данных дольше установленного срока уже является нарушением закона 152-ФЗ с момента, когда ПДн следовало уничтожить, независимо от того, используются они или просто хранятся без активной обработки.
Содержание
- Что такое уничтожение персональных данных по 152-ФЗ
- В каких случаях оператор обязан уничтожить персональные данные
- Какие способы уничтожения персональных данных применяются на практике
- Когда оператор вправе не уничтожать ПДн несмотря на требование субъекта
- Как правильно оформить акт об уничтожении персональных данных
- Что грозит за нарушение порядка уничтожения персональных данных
- Заключение
Что такое уничтожение персональных данных по 152-ФЗ
К уничтожению персональных данных относятся действия, в результате которых восстановить содержание ПДн становится невозможным, и/или которые влекут уничтожение материальных носителей. Это не архивирование, не блокирование и не обезличивание.
Определение закреплено в п.8 ст. 3 152-ФЗ. Закон указывает по сути на два критерия уничтожения: невозможность восстановления содержания данных в ИСПДн и ликвидация материального носителя. Однако применение двух этих условий одновременно для подтверждения уничтожения не является обязательным: все зависит от того, на каком носителе и в каком виде хранились данные.
Часто возникает смешение уничтожения с похожими понятиями. Важно их разграничить:
- Блокирование — временное прекращение обработки ПДн при сохранении самих данных. Применяется как промежуточная мера до уничтожения, если немедленно уничтожить данные невозможно.
- Обезличивание — изменение данных, при котором их принадлежность конкретному человеку установить нельзя. ПДн продолжают существовать, просто теряют персональный характер.
- Архивирование — перенос данных в архив для долгосрочного хранения. Не является уничтожением и не прекращает обязанностей оператора по их защите, установленных архивным законодательством.
В каких случаях оператор обязан уничтожить персональные данные
Вопрос о том, в каких случаях персональные данные должны быть уничтожены, связан с четырьмя самостоятельными основаниями, предусмотренными законом. Для каждого из них установлен свой срок. Пропустить срок по любому из них — значит нарушить закон, и это может быть зафиксировано Роскомнадзором при проверке.
Все основания и сроки уничтожения персональных данных установлены ст. 21 152-ФЗ. Важная особенность: сроки исчисляются с разных моментов, и считать их нужно от конкретного события, а не от даты выявления нарушения или получения жалобы.
| Основание |
Срок уничтожения |
Норма |
Что делать, если немедленно невозможно |
| Достигнута цель обработки ПДн | 30 дней с даты достижения цели | Ч. 4 ст. 21 | Блокировать немедленно, уничтожить не позднее 6 месяцев (ч. 6 ст. 21) |
| Субъект отозвал согласие на обработку | 30 дней с даты достижения отзыва | Ч. 5 ст. 21 | Блокировать немедленно, уничтожить не позднее 6 месяцев (ч. 6 ст. 21) |
| Субъект потребовал прекратить обработку (без отзыва согласия) | 10 рабочих дней с даты получения требования | Ч. 5.1 ст. 21 | Блокировать в те же 10 р.д., уничтожить не позднее 6 месяцев (ч. 6 ст. 21) |
| Выявлена неправомерная обработка ПДн | 3 рабочих дня на прекращение обработки; при невозможности устранить нарушение — уничтожение в срок до 10 рабочих дней с даты выявления неправомерности | Ч. 3 ст. 21 | Блокировать немедленно, уничтожить не позднее 6 месяцев (ч. 6 ст. 21) |
Если в компании нет четкого регламента, по каким основаниям и в какие сроки уничтожаются данные, возрастает риск получения штрафов при проверке РКН. Юристы «Хелп Консалтинг» проведут правовой аудит и помогут выстроить правильный порядок работы с ПДн.
Наши кейсы
-
Безопасная покупка коммерческой недвижимости с обременением в виде ипотеки
Завершение сделки с полным снятием обременения
-
Взыскали более 800 000 рублей с Фонда капитального ремонта за систематические заливы квартиры
Ущерб возмещен, виновник установлен
Какие способы уничтожения персональных данных применяются на практике
Нажатая кнопка «Delete», перемещенный файл в корзину или отключенный сервер не считаются уничтожением ПДн. В таких случаях данные физически остаются на носителе и восстанавливаются специализированными утилитами.
Закон требует именно невозможности восстановления.
Электронные данные. Для гарантированного уничтожения применяются три подхода:
- Надежное удаление с многократной перезаписью. Специализированные программы (например, DBAN) перезаписывают ПДн случайными символами несколько раз подряд. После нескольких проходов восстановление становится практически невозможным.
- Криптографическое стирание. Данные шифруются, ключ шифрования уничтожается. Без ключа зашифрованные данные нечитаемы и фактически недоступны.
- Физическое уничтожение носителя. Размагничивание жестких дисков, механическое уничтожение (шредирование) флеш-носителей, SSD, оптических дисков. Наиболее надежный способ, когда есть сомнения в программном удалении.
Бумажные документы. Способы уничтожения персональных данных на бумажных носителях зависят от того, как оператор организовал уничтожение документов. Шредирование — основной способ. Для документов, содержащих специальные категории данных (медицинские сведения, биометрия), рекомендуется уровень измельчения не ниже класса P-4 по стандарту DIN 66399: частицы шириной не более 6 мм. Альтернатива — передача специализированной организации по договору с актом об уничтожении.
Отдельного внимания требуют резервные копии и архивы. Удаление ПДн из основной системы не освобождает от обязанности уничтожить их в резервных копиях. В регламенте уничтожения данных должен быть явно прописан порядок работы с бэкапами.
Когда оператор вправе не уничтожать ПДн несмотря на требование субъекта
Закон предусматривает случаи, когда требование субъекта об уничтожении ПДн не подлежит исполнению. Оператор в этом случае обязан дать мотивированный отказ с указанием правового основания.
Исключения установлены в ч. 4 — 5.1 ст. 21 152-ФЗ с отсылкой к пп. 2–11 ч. 1 ст. 6 и ч. 2 ст. 10, ч. 2 ст. 11 152-ФЗ. На практике наиболее значимые ситуации:
- Данные нужны для исполнения договора с самим субъектом. Например, гарантийные обязательства еще не истекли, или претензионный срок не прошел.
- Оператор обязан хранить ПДн по закону. Как правило, сюда относится налоговая отчетность (первичные документы хранятся 5 лет по НК РФ), трудовые документы (личные дела — 50 или 75 лет по закону об архивном деле).
- ПДн используются в рамках судебного или следственного производства.
- Обработка ведется на ином законном основании из закрытого перечня ч. 1 ст. 6 152-ФЗ, не требующем согласия субъекта.
Во всех этих случаях оператор не уничтожает данные, но обязан прекратить те виды обработки, которые не охватываются сохранившимся основанием. Если ПДн хранятся для налоговой отчетности, использовать их для маркетинговых рассылок запрещено.
Как правильно оформить акт об уничтожении персональных данных
Факт уничтожения ПДн должен быть задокументирован. Без акта об уничтожении оператор не может подтвердить исполнение обязанности ни при проверке РКН, ни в случае судебного спора.
Требование фиксировать уничтожение установлено в ч. 7 ст. 21 152-ФЗ: подтверждение осуществляется в соответствии с требованиями уполномоченного органа (РКН). РКН разработал методические рекомендации по документированию уничтожения ПДн.
Акт об уничтожении персональных данных должен содержать:
- Данные об операторе (наименование / ФИО, адрес).
- Дату составления и дату фактического уничтожения (если они различаются).
- Основание уничтожения — ссылку на норму закона и конкретное событие: дата достижения цели, дата получения отзыва согласия, дата требования субъекта.
- Идентификаторы субъекта, чьи данные были уничтожены (например, ФИО).
- Перечень категорий уничтоженных персональных данных.
- Наименование уничтоженных материальных носителей (например, папки, документа, физического носителя).
- Наименование информационной системы, из которой были уничтожены данные (при автоматизированном способе обработке).
- Способ уничтожения: какой метод был применен для каждого вида носителей.
- Состав комиссии: ФИО и должности сотрудников, участвовавших в уничтожении.
- Подписи всех членов комиссии.
Акт стоит составлять в двух экземплярах, один из которых хранится у оператора, а второй может передаваться в архив или ответственному за обработку ПДн. Регламент уничтожения ПДн, принятый у оператора в виде локального нормативного акта, должен описывать порядок формирования комиссии, периодичность плановых проверок сроков хранения и порядок реагирования на требования субъектов. Составленный акт подлежит хранению в течение 3 лет с момента уничтожения данных.
Что грозит за нарушение порядка уничтожения персональных данных
Хранение персональных данных дольше установленного срока — уже нарушение, независимо от того, используются ли они или просто лежат в базе. Штрафы по ст. 13.11 КоАП суммируются по каждому составу отдельно.
С 30 мая 2025 года действуют обновленные санкции по ст. 13.11 КоАП РФ (ФЗ №420-ФЗ от 30.11.2024). Для нарушений, связанных с неуничтожением ПДн, применяются несколько составов в зависимости от ситуации.
|
Нарушение |
Норма |
Штраф для юридических лиц |
| Продолжение обработки ПДн после истечения срока хранения или цели | Ч. 1 ст. 13.11 КоАП | 150 000–300 000 руб. |
| Неисполнение в срок требования об уничтожении (по жалобе субъекта или предписанию РКН) | Ч. 5 ст. 13.11 КоАП | 50 000–90 000 руб. |
| Повторное неисполнение требования об уничтожении | Ч. 5.1 ст. 13.11 КоАП | 300 000–500 000 руб. |
Ч. 1 и ч. 5 ст. 13.11 могут применяться одновременно: если данные хранились дольше срока (ч. 1) и при этом оператор не выполнил предписание об уничтожении (ч. 5), штрафы по обоим составам суммируются. Это типичная ситуация по результатам проверок, когда компания не реагирует на жалобу субъекта.
Если компания еще не уведомила Роскомнадзор о работе с персональными данными, юристы «Хелп Консалтинг» подготовят и подадут уведомление под ключ, включая указание сроков хранения и порядка уничтожения данных.
Заключение
Уничтожение персональных данных — это системный процесс, который требует регламента, комиссии и документального оформления. Компании, у которых нет утвержденного порядка уничтожения, рано или поздно сталкиваются с одной из двух проблем: либо хранение ПДн дольше положенного срока, либо уничтожение без возможности подтверждения.
Оба варианта при проверке РКН дают один результат — штраф, разница лишь в его размере.
Ответы на вопросы
-
Что считается уничтожением ПДн по закону?
Действия, в результате которых восстановить содержание данных невозможно и/или материальные носители уничтожены (ст. 3 п. 8 152-ФЗ). Простое удаление файла или архивирование ПДн уничтожением не является.
-
В течение какого срока нужно уничтожить ПДн после отзыва согласия?
В течение 30 дней с даты получения отзыва согласия (ч. 5 ст. 21 152-ФЗ). Если немедленное уничтожение невозможно технически, данные блокируются, а срок уничтожения продлевается не более чем до 6 месяцев.
-
Обязательно ли составлять акт об уничтожении персональных данных?
Да. Факт уничтожения должен быть задокументирован в соответствии с требованиями РКН (ч. 7 ст. 21 152-ФЗ). Акт составляется оператором и содержит дату, основание уничтожения, перечень категорий ПДн, способ уничтожения и подписи членов комиссии.
-
Можно ли отказать клиенту в уничтожении его данных?
Да, если для обработки ПДн есть самостоятельное законное основание: исполнение договора, требование закона (налоговый или трудовой архив), судебное разбирательство. В этом случае оператор направляет мотивированный отказ с указанием нормы закона.
-
Нужно ли уничтожать резервные копии?
Да. Уничтожение данных в основной системе не освобождает от обязанности уничтожить их в резервных копиях и архивах. Регламент уничтожения должен описывать порядок работы с бэкапами отдельно.
-
Что будет, если не уничтожить ПДн после того, как цель их обработки достигнута?
Хранение данных сверх срока квалифицируется законом как их незаконная обработка. Штраф по ч. 1 ст. 13.11 КоАП: 150 000–300 000 рублей для юридических лиц. Если РКН выдало предписание, а оператор его проигнорировал, то налагается дополнительный штраф по ч. 5 той же статьи.
-
Какими способами можно уничтожить электронные ПДн?
Надежное удаление с многократной перезаписью (специализированные программы), криптографическое стирание (шифрование с последующим уничтожением ключа) или физическое уничтожение носителя (размагничивание жестких дисков, шредирование флеш-носителей и SSD).
-
Какие установлены сроки уничтожения персональных данных 152-ФЗ?
Срок зависит от основания для уничтожения. Если цель обработки достигнута или субъект отозвал согласие, данные нужно уничтожить в течение 30 дней. При требовании субъекта прекратить обработку срок составляет 10 рабочих дней, а при выявлении неправомерной обработки — 3 рабочих дня на прекращение обработки и, если нарушение нельзя устранить, до 10 рабочих дней на уничтожение.
-
Что считается уничтожением ПДн по закону?
Действия, в результате которых восстановить содержание данных невозможно и/или материальные носители уничтожены (ст. 3 п. 8 152-ФЗ). Простое удаление файла или архивирование ПДн уничтожением не является.
-
В течение какого срока нужно уничтожить ПДн после отзыва согласия?
В течение 30 дней с даты получения отзыва согласия (ч. 5 ст. 21 152-ФЗ). Если немедленное уничтожение невозможно технически, данные блокируются, а срок уничтожения продлевается не более чем до 6 месяцев.
-
Обязательно ли составлять акт об уничтожении персональных данных?
Да. Факт уничтожения должен быть задокументирован в соответствии с требованиями РКН (ч. 7 ст. 21 152-ФЗ). Акт составляется оператором и содержит дату, основание уничтожения, перечень категорий ПДн, способ уничтожения и подписи членов комиссии.
-
Можно ли отказать клиенту в уничтожении его данных?
Да, если для обработки ПДн есть самостоятельное законное основание: исполнение договора, требование закона (налоговый или трудовой архив), судебное разбирательство. В этом случае оператор направляет мотивированный отказ с указанием нормы закона.
-
Нужно ли уничтожать резервные копии?
Да. Уничтожение данных в основной системе не освобождает от обязанности уничтожить их в резервных копиях и архивах. Регламент уничтожения должен описывать порядок работы с бэкапами отдельно.
-
Что будет, если не уничтожить ПДн после того, как цель их обработки достигнута?
Хранение данных сверх срока квалифицируется законом как их незаконная обработка. Штраф по ч. 1 ст. 13.11 КоАП: 150 000–300 000 рублей для юридических лиц. Если РКН выдало предписание, а оператор его проигнорировал, то налагается дополнительный штраф по ч. 5 той же статьи.
-
Какими способами можно уничтожить электронные ПДн?
Надежное удаление с многократной перезаписью (специализированные программы), криптографическое стирание (шифрование с последующим уничтожением ключа) или физическое уничтожение носителя (размагничивание жестких дисков, шредирование флеш-носителей и SSD).
-
Какие установлены сроки уничтожения персональных данных 152-ФЗ?
Срок зависит от основания для уничтожения. Если цель обработки достигнута или субъект отозвал согласие, данные нужно уничтожить в течение 30 дней. При требовании субъекта прекратить обработку срок составляет 10 рабочих дней, а при выявлении неправомерной обработки — 3 рабочих дня на прекращение обработки и, если нарушение нельзя устранить, до 10 рабочих дней на уничтожение.
Руководитель юридического отдела
8 лет опыта
более 300 выигранных дел
Комментарии