Хранение персональных данных — единственная обязанность оператора, которую нельзя выполнить «навсегда». Закон устанавливает жёсткое правило: данные хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требует цель обработки. Достигнута цель — данные подлежат уничтожению или обезличиванию, если иной срок не установлен законом или договором. Бессрочный архив клиентов в CRM — не запасливость, а нарушение, причём легко доказуемое: достаточно посмотреть дату последнего заказа.
Ниже — как определять срок по каждой цели, где хранить данные российских граждан, что делать с резервными копиями, чем блокирование отличается от уничтожения и как подтвердить, что данные действительно удалены.
Что вы получаете:
- методику определения срока хранения для каждой цели обработки;
- разбор требования о локализации и того, что считается его нарушением на практике;
- порядок уничтожения с формами акта и журнала — то, что спрашивает проверка;
- решение по резервным копиям, архивам и тестовым контурам;
- готовый перечень сроков хранения под ваши процессы.
Кому это нужно
- компаниям с накопленными базами клиентов, заявок и резюме за много лет;
- интернет-сервисам и магазинам — данные заказов, аккаунтов, брошенных корзин;
- работодателям — кадровые документы живут по своим, архивным правилам;
- тем, кто пользуется иностранными сервисами аналитики, рассылок, хостинга, поддержки;
- компаниям после запроса субъекта об удалении или после отзыва согласия.
Нормативная рамка
- Федеральный закон № 152-ФЗ «О персональных данных» — основной акт;
- статья 5 № 152-ФЗ — принципы обработки: хранение не дольше, чем требует цель; уничтожение или обезличивание по достижении цели либо при утрате необходимости;
- часть 5 статьи 18 № 152-ФЗ — локализация: при сборе данных, в том числе через интернет, оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан России с использованием баз, находящихся на территории Российской Федерации;
- статья 21 № 152-ФЗ — порядок устранения нарушений, блокирование и уничтожение данных, действия при отзыве согласия;
- статья 20 № 152-ФЗ — обязанности оператора при обращении субъекта;
- статья 12 № 152-ФЗ — трансграничная передача;
- приказ Роскомнадзора от 28.10.2022 № 179 — требования к подтверждению уничтожения: акт, а при автоматизированной обработке ещё и выгрузка из журнала регистрации событий; оба документа хранятся три года;
- Федеральный закон № 402-ФЗ «О бухгалтерском учёте» и Налоговый кодекс РФ — сроки хранения первичных и учётных документов;
- Федеральный закон № 125-ФЗ «Об архивном деле» и Перечень типовых управленческих архивных документов (приказ Росархива от 20.12.2019 № 236) — сроки хранения кадровых и управленческих документов;
- статья 13.11 КоАП РФ — административная ответственность.
Как определяется срок хранения
Универсального срока не существует — он выводится из цели. Работающий порядок такой.
1. Выписать все цели обработки. Заключение и исполнение договора, доставка, гарантийное обслуживание, кадровый учёт, бухгалтерия, рассылка, обращения в поддержку, видеонаблюдение, кандидаты на вакансии.
2. Для каждой цели найти основание. Договор, требование закона, согласие, законный интерес.
3. Определить срок. Если срок установлен законом — берём его: бухгалтерские и налоговые документы, кадровые документы, документы по охране труда. Если срок законом не установлен — определяем сами и обосновываем: срок действия договора плюс срок исковой давности, срок действия согласия, срок рассмотрения обращения.
4. Зафиксировать срок в документах — в перечне обрабатываемых данных, в политике обработки и в тексте согласия. Срок, существующий только в голове администратора базы, для проверки не существует.
5. Настроить исполнение. Автоматическое удаление или пометка на уничтожение в системах, регулярная процедура, ответственный, журнал.
Практическая типология сроков: короткие — заявки и обращения, записи видеонаблюдения, данные кандидатов; средние — первичные учётные документы и отчётность, которые хранятся не менее пяти лет после отчётного года (статья 29 № 402-ФЗ), и табели учёта рабочего времени — пять лет; длинные — документы по личному составу: 50 лет, если делопроизводство закончено после 1 января 2003 года, и 75 лет для более ранних (статья 22.1 № 125-ФЗ). Смешивать их в один «срок хранения по компании» нельзя.
Отдельный случай — данные, которые перестали быть нужны, но удалять их жаль. Законный выход один: обезличивание. Правильно обезличенные данные перестают быть персональными, и статистику по ним можно хранить сколько угодно. Требования к методам — обезличивание персональных данных по 152-ФЗ.
Локализация: где физически лежат данные
Требование о локализации касается сбора. При сборе данных граждан России оператор обязан обеспечить, чтобы запись, систематизация, накопление, хранение, уточнение и извлечение выполнялись в базах на территории страны. Российская база при этом должна быть первичной: сначала данные попадают в неё, и только потом, при наличии оснований, могут передаваться за рубеж.
Что нарушает требование на практике:
- форма на сайте, которая пишет данные напрямую в иностранный сервис — CRM, конструктор форм, сервис рассылок, таблица в зарубежном облаке;
- хостинг и базы данных за рубежом при работе с российской аудиторией;
- иностранные системы поддержки и аналитики, куда данные попадают раньше российской системы;
- корпоративная почта и мессенджеры на зарубежных серверах, через которые проходят кадровые и клиентские данные.
Само по себе наличие иностранного сервиса нарушением не является: если данные сначала записаны в российскую базу, а затем переданы за рубеж на законном основании, схема рабочая. Но передача за границу — самостоятельный режим со своими требованиями, включая предварительное уведомление регулятора: подготовка документов для трансграничной передачи.
Блокирование, обезличивание, уничтожение
Три разные операции, которые в документах часто путают.
Блокирование — временное прекращение обработки. Применяется, например, на период проверки достоверности данных по обращению субъекта или при выявлении неправомерной обработки. Данные сохраняются, но с ними ничего не делают.
Обезличивание — действия, после которых данные невозможно соотнести с конкретным человеком без дополнительной информации. Обезличенные данные перестают быть персональными, но только при действительной невозможности обратной идентификации. Замена фамилии на идентификатор при сохранении таблицы соответствия обезличиванием не является.
Уничтожение — необратимое удаление, после которого восстановление невозможно, а материальные носители уничтожены физически. Именно это требуется по достижении цели, при отзыве согласия и при выявлении неправомерной обработки.
Порядок уничтожения и подтверждение
Уничтожение оформляется, а не просто выполняется. Комплект, который спрашивают при проверке:
1. Основание. Достигнута цель, истёк срок, отозвано согласие, поступило требование субъекта, выявлена неправомерная обработка.
2. Решение об уничтожении — приказ или решение уполномоченного лица с указанием состава данных и оснований.
3. Акт об уничтожении персональных данных. Внутри: дата, состав уничтоженных данных, категории субъектов и их количество, основание, способ уничтожения, сведения об информационных системах и носителях, подписи комиссии.
4. Выгрузка из журнала регистрации событий информационной системы — если обработка автоматизированная. Акта без такой выгрузки недостаточно: регулятор установил требования к подтверждению уничтожения, и оба документа составляются вместе.
5. Отметка в журнале учёта уничтожения и хранение подтверждающих документов — они доказывают, что обязанность исполнена в срок.
Отдельно проверяются резервные копии, архивы и тестовые контуры. Данные, удалённые из боевой системы, но живые в бэкапе, юридически не уничтожены. Рабочее решение: установить срок хранения самих резервных копий, чтобы данные выбывали по ротации, описать порядок в документах, а тестовые контуры перевести на обезличенные данные. Практическую сторону разбираем в услуге удаление персональных данных: порядок, сроки и акт.
Запросы субъектов и отзыв согласия
Человек вправе потребовать уточнить, заблокировать или уничтожить свои данные, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели. Оператор обязан ответить в течение десяти рабочих дней с продлением не более чем на пять (статья 20) и либо исполнить требование, либо мотивированно отказать со ссылкой на основание, позволяющее продолжать обработку.
Обоснованный отказ — нормальная ситуация: бухгалтерские и кадровые документы хранятся по требованиям закона, и отзыв согласия их не отменяет. Но отказ должен быть письменным, мотивированным и точным по объёму: продолжать обработку можно только в той части, где действует иное основание, а всё остальное — уничтожается.
При отзыве согласия обработка прекращается, а данные уничтожаются в срок, не превышающий тридцати дней (части 3–5 статьи 21), если нет иного основания. Регламент ответов и формы готовим в рамках услуги приведение обработки персональных данных в соответствие 152-ФЗ.
Типовые ошибки
- Единый срок хранения на всю компанию вместо срока по каждой цели.
- Срок не зафиксирован ни в политике, ни в перечне данных, ни в согласии.
- Данные удалены, но остались в бэкапах и выгрузках, а срок хранения копий не установлен.
- Уничтожение без документов — данные удалили, подтвердить нечем.
- Иностранный сервис собирает данные первым, российская база заполняется потом или не заполняется вовсе.
- Тестовая среда с боевыми данными — доступ разработчиков к реальным данным без оснований и без поручения.
- Резюме и заявки хранятся годами без основания и без согласия.
- Отказ субъекту без мотивировки либо, наоборот, удаление документов, которые обязаны храниться по закону.
Что входит в работу
- Инвентаризация данных и систем: где что лежит, включая архивы, бэкапы, файловые хранилища и тестовые контуры.
- Перечень сроков хранения по целям с обоснованием и привязкой к нормам.
- Документы по уничтожению: порядок, формы акта и журнала, состав комиссии, регламент периодической чистки.
- Проверка локализации: карта потоков, выявление сервисов, собирающих данные в обход российской базы, план исправления.
- Регламент работы с обращениями субъектов и шаблоны ответов, включая мотивированные отказы.
- Сопровождение проверок и работа с предписаниями — аудит соответствия 152-ФЗ, помощь при проверке Роскомнадзора.
Сроки и стоимость
Разработка перечня сроков хранения и документов по уничтожению — от трёх до семи рабочих дней. Инвентаризация данных и систем в компании среднего размера — одна-две недели. Проверка локализации занимает несколько дней после получения списка систем.
Пошлин процедура не требует. Стоимость — по договорённости и зависит от числа информационных систем, объёма накопленных данных и того, нужна ли техническая проверка потоков. Цены не являются публичной офертой.
Вопросы и ответы
Сколько лет можно хранить данные клиентов?
Столько, сколько нужно для цели, ради которой они собраны, плюс срок, установленный законом для связанных документов. Для исполненного договора ориентиром служит срок хранения бухгалтерских документов и срок, в течение которого возможен спор. Хранение «пока не удалим» сроком не является.
Обязательно ли хранить данные только в России?
Требование касается сбора: базы, в которых данные граждан России записываются, систематизируются, накапливаются, хранятся, уточняются и извлекаются, должны находиться на территории страны. Дублирование данных за рубежом после этого возможно, но только на законном основании и с соблюдением правил трансграничной передачи.
Что делать с резервными копиями при удалении данных?
Установить и соблюдать срок хранения самих копий, чтобы данные выбывали из них по ротации, и описать это в документах. Точечное удаление записи из архивной копии технически обычно невозможно, поэтому регулятор оценивает разумность и документированность порядка.
Чем подтвердить, что данные уничтожены?
Актом об уничтожении и, при автоматизированной обработке, выгрузкой из журнала регистрации событий информационной системы. Устные заверения и скриншот удаления записи доказательством не признаются.
Можно ли отказать человеку в удалении данных?
Да, если есть иное основание продолжать обработку: требование закона о хранении документов, исполнение договора, судебный спор. Отказ оформляется письменно и мотивированно, а в части, не покрытой этим основанием, требование исполняется.
Что грозит за хранение данных сверх срока?
Это нарушение принципов обработки со всеми последствиями по статье 13.11 КоАП РФ. Дополнительный риск косвенный, но более дорогой: чем больше лишних данных хранится, тем тяжелее последствия утечки — размер санкции за неё зависит от количества пострадавших субъектов.
Получить консультацию
Опишите, какие данные вы храните, где именно и с какого года. Поможем определить сроки по каждой цели, проверим локализацию, подготовим порядок уничтожения с формами актов и настроим регулярную чистку баз.
Почта: law@vfs.consulting. Телефон: +7 916 419-16-66.