Уничтожение персональных данных: сроки, акт и подтверждение (ст. 21 152-ФЗ, приказ РКН №179)

Собрать и хранить персональные данные мало — по закону их нужно вовремя и правильно уничтожить. Именно на своевременное уничтожение чаще всего смотрит Роскомнадзор: держать данные дольше цели нельзя, а сам факт уничтожения надо подтвердить документально. Разберём, когда возникает обязанность уничтожить ПДнПерсональные данные — Любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн)., в какие сроки, как это подтверждают (акт и приказ РКНРоскомнадзор — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций; надзор за обработкой ПДн. №179) и чем отличается уничтожение в информационной системе от уничтожения бумажных документов.

Когда нужно уничтожать персональные данные

Общий принцип — часть 7 статьи 5 152-ФЗ: данные хранят не дольше, чем этого требует цель обработки, а по достижении цели их уничтожают либо обезличивают, если иное не предусмотрено законом или договором. Основания и сроки прекращения обработки и уничтожения закреплены в статье 21 152-ФЗ:

• Достигнута цель обработки (часть 4 статьи 21). Цель, ради которой собрали данные, исчерпана — оператор прекращает обработку и уничтожает данные в срок не более 30 дней с даты достижения цели, если иное не предусмотрено договором или законом.
• Субъект отозвал согласие (часть 5 статьи 21). Если после отзыва сохранение данных больше не требуется для целей обработки и нет договора или иного законного основания её продолжать, оператор прекращает обработку и уничтожает данные в срок не более 30 дней с даты поступления отзыва.
• Субъект потребовал прекратить обработку (часть 5.1 статьи 21). Оператор прекращает обработку в срок, не превышающий 10 рабочих дней с даты получения требования (может быть продлён не более чем на 5 рабочих дней при направлении мотивированного уведомления субъекту). Это срок прекращения обработки, а не самостоятельный срок уничтожения; продолжать обработку можно только при основаниях, прямо указанных в части 5.1.
• Обработка оказалась неправомерной (часть 3 статьи 21). Неправомерную обработку прекращают в срок до 3 рабочих дней, а если обеспечить её правомерность нельзя — данные уничтожают в срок до 10 рабочих дней с даты выявления нарушения.
• Истёк срок хранения. Закончились установленные законом или политикой сроки, и держать данные дальше нет законного основания.

Если уничтожить данные в срок технически невозможно (например, они остались в резервных копиях), оператор обязан их заблокировать и уничтожить в срок не более 6 месяцев, если иной срок не установлен федеральным законом (часть 6 статьи 21). Право субъекта потребовать уничтожения и порядок ответа на такие обращения — в статье «Права субъекта ПДн», а как считать сроки хранения по видам документов — в статье «Сколько хранить персональные данные».

Сроки по статье 21: шпаргалка

Как подтверждают уничтожение: акт и приказ РКН №179

Просто удалить данные недостаточно — уничтожение нужно подтвердить документально. Требования к подтверждению установил Роскомнадзор в приказе №179 от 28.10.2022. Подтверждением служит акт об уничтожении персональных данных, а при обработке с использованием средств автоматизации подтверждением вместе с актом служит выгрузка из журнала регистрации событий в информационной системе персональных данных, фиксирующая факт удаления.

Акт составляют так, чтобы из него было видно, что, чьё, когда, каким способом и кем уничтожено. В нём указывают:

• наименование (для организации) или ФИО (для ИП и физлица) и адрес оператора;
• ФИО, должности и подписи лиц, уничтоживших персональные данные (как правило, членов комиссии);
• перечень (наименование) уничтоженных категорий персональных данных;
• ФИО субъектов, чьи данные уничтожены, либо иную информацию, позволяющую определить, чьи персональные данные уничтожены;
• причину и основание уничтожения (достижение цели, отзыв согласия и другое);
• наименование информационной системы, из которой уничтожены данные, и (или) наименование материального носителя;
• способ уничтожения;
• дату уничтожения.

Акт и выгрузку из журнала оператор хранит не менее 3 лет с даты уничтожения. По обращению субъекта или запросу Роскомнадзора оператор направляет предусмотренный законом ответ или уведомление о прекращении обработки и уничтожении, а сами акт и выгрузку хранит как подтверждающие документы и представляет их Роскомнадзору по запросу.

Оформить акт по этим реквизитам можно в сервисе ГрамотаИБ: для ИСПДнИнформационная система персональных данных — Совокупность персональных данных в базах данных и обеспечивающих их обработку информационных технологий и технических средств. — акт с приложением выгрузки из журнала регистрации событий (раздел «Уничтожение ПДн в ИСПДн»), для материальных носителей — акт по их перечню (раздел «Носители ПДн»). Реквизиты организации и состав комиссии подставляются автоматически, а подтверждение хранится вместе с актом.

Бумага и ИСПДн: чем отличается подтверждение

Порядок уничтожения зависит от того, как обрабатывались данные — на бумаге или в информационной системе. Полный жизненный цикл обоих режимов разобран в статье «Бумага и ИСПДн: что хранить, сколько и когда уничтожать», а коротко разница такая:

Комиссия и приказ об уничтожении

152-ФЗ и приказ №179 не требуют обязательно создавать комиссию; приказ №179 требует лишь отразить в акте сведения о лицах, уничтоживших персональные данные. Но на практике надёжнее оформить приказом комиссию по уничтожению ПДн (обычно три и более человек: ответственный за организацию обработки ПДн, представитель профильного подразделения, а для ИСПДн — специалист по ИТ или ИБИнформационная безопасность — Состояние защищённости информации и поддерживающей инфраструктуры от угроз.). Комиссия проводит уничтожение, подписывает акт и прикладывает выгрузку из журнала для информационных систем. Сам порядок закрепляют во внутренних документах — политике обработки ПДн или отдельном регламенте.

Способы уничтожения

Бумажные носители

Документы уничтожают способом, исключающим восстановление и дальнейшую обработку: шредирование, сжигание, передача в специализированную организацию по акту. Если на одном носителе часть данных ещё нужна, допускается частичное уничтожение — уничтожение или обезличивание части данных способом, исключающим дальнейшую обработку этих сведений, но сохраняющим возможность обработки остальных (например, удаление или вымарывание полей), — пункт 12 Положения №687. Подробнее о бумажном режиме — в статье «Обработка персональных данных без средств автоматизации».

Электронные носители и ИСПДн

Удаление записи из интерфейса программы (CRM, 1С) — ещё не уничтожение. Данные удаляют необратимо: гарантированным затиранием (перезапись специализированными средствами, secure erase или crypto erase, если они обеспечивают необратимое удаление) или физическим уничтожением носителя (измельчение, дробление, повреждение пластин и микросхем, размагничивание магнитных носителей). Частый подвох — те же данные остаются в резервных копиях, репликах, архивах базы, журналах и выгрузках. Их либо тоже уничтожают, либо, если сразу нельзя, блокируют и уничтожают при ближайшей ротации в пределах сроков статьи 21. Если данные обрабатывает подрядчик-обработчик (облако, сервис), при удалении требуют уничтожить их и на его стороне и получить подтверждение — это условие поручения на обработку.

Обезличивание как альтернатива

По достижении цели данные можно не уничтожать, а обезличить — привести в состояние, когда без дополнительной информации нельзя определить принадлежность конкретному человеку. Часть 7 статьи 5 152-ФЗ прямо говорит об уничтожении либо обезличивании, а само обезличивание определено в пункте 9 статьи 3 152-ФЗ. Это удобно, когда массив ещё нужен для статистики или аналитики, а сами личности — нет. Обезличивание должно быть устойчивым к повторной идентификации. Как сделать корректно — в статье «Обезличивание персональных данных» с учётом новых правил с 1 сентября 2025 года.

Что оформить

• Порядок и сроки уничтожения по категориям данных — в политике обработки ПДн или отдельном регламенте.
• Приказ о комиссии по уничтожению ПДн (или о назначении ответственных).
• Акт об уничтожении на каждое уничтожение; для ИСПДн — с выгрузкой из журнала регистрации событий.
• Хранение актов и выгрузок не менее 3 лет.
• Регулярную ревизию (например, раз в год): какие цели достигнуты, какие сроки истекли, что пора уничтожить.

Типичные ошибки

• Хранят дольше цели. Данные держат «на всякий случай» без основания — частое нарушение, за которое штрафует Роскомнадзор.
• Удалили, но не подтвердили. Данные стёрли, а акта (и выгрузки для ИСПДн) нет — подтвердить уничтожение нечем.
• «Мягкое» удаление. Ставят флаг «удалён», но данные физически остаются в базе, копиях и логах.
• Забывают про резервные копии. Уничтожили в основной системе, а в бэкапах данные живут дальше.
• Уничтожают согласие раньше времени. Пока обработка продолжается, подписанное согласие нужно как доказательство законного основания.

Главное

Уничтожение — обязательная часть жизненного цикла персональных данных: по достижении цели или отзыву согласия данные уничтожают в сроки статьи 21 152-ФЗ (30 дней), при неправомерной обработке — быстрее (3 и 10 рабочих дней), а по требованию субъекта в первую очередь прекращают обработку (до 10 рабочих дней), если нет основания её продолжать. Сам факт уничтожения подтверждают актом, для ИСПДн — с выгрузкой из журнала событий (приказ РКН №179), и хранят подтверждение не менее 3 лет. Бумагу шредируют или сжигают, электронные носители — необратимо затирают или уничтожают физически, не забывая про резервные копии. Где хранить дольше нельзя, но массив ещё нужен, помогает обезличивание. ГрамотаИБ помогает выстроить сроки, подготовить приказ о комиссии и акты об уничтожении под ваши ИСПДн и бумажный документооборот — попробовать можно в сервисе.