Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: сентябрь 2026. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
В базе интернет-магазина косметики лежат 41 тысяча контактов. Из них 9 тысяч — люди, которые один раз оформили заказ в 2019 году и больше не возвращались. Владелец хранит их «на всякий случай»: вдруг вернутся, вдруг пригодятся для рассылки. С точки зрения 152-ФЗ это не запасливость, а нарушение — и одновременно девять тысяч лишних строк, которые утекут вместе со всей базой, если однажды её вскроют.
Срок хранения персональных данных — самое игнорируемое требование закона. Про политику конфиденциальности и согласие помнят все, про уведомление в РКН — многие. А вопрос «когда мы обязаны это удалить» не задаёт почти никто, пока его не задаст проверяющий.
Закон не называет конкретный срок — и это главная ловушка
Часть 7 статьи 5 152-ФЗ формулирует правило так: данные хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки. По достижении цели данные подлежат уничтожению или обезличиванию — если иное не установлено федеральным законом.
Ни «трёх лет», ни «пяти», ни какой-либо универсальной цифры в законе нет. Срок хранения персональных данных вы определяете сами — но не произвольно, а привязкой к цели, которую сами же указали в политике конфиденциальности и в согласии.
Отсюда следует неприятное для многих: если в политике написано «цель — обработка и доставка заказа», то через разумное время после доставки цель достигнута. Держать после этого номер телефона и адрес для будущего маркетинга — обработка, несовместимая с заявленной целью. Это состав по части 1 статьи 13.11 КоАП: для юридических лиц штраф 150 000–300 000 рублей.
Формулировка «храним до отзыва согласия» — не решение, а способ спрятать проблему. Отзыв согласия прекращает обработку, но не отменяет обязанности удалить данные, когда цель уже достигнута, даже если субъект молчит.
Как определить срок хранения для своего бизнеса
Работающий способ — три шага, и делаются они один раз.
Шаг первый: разложите обработку по целям. Не «клиенты» одним куском, а отдельно: заявка с сайта, оформленный заказ, подписка на рассылку, отклик на вакансию, доступ в личный кабинет, обращение в поддержку. У каждой цели своё основание по статье 6 и свой момент достижения.
Шаг второй: определите, когда цель считается достигнутой. Заявка без сделки — цель отпала, когда клиент отказался или перестал отвечать. Заказ — когда товар доставлен и истёк срок возврата и гарантийных претензий. Резюме кандидата, который не вышел на работу, — когда вакансия закрыта. Рассылка — когда человек отписался.
Шаг третий: проверьте, не перебивает ли ваш срок другой закон. Это и есть то самое «иное, установленное федеральным законом».
Результат этой работы фиксируется в реестре обработки персональных данных — отдельной графой «срок хранения» по каждой цели. Без такого реестра инспектор просто не увидит, что вы вообще думали о сроках.
Сроки, которые диктуют другие законы
Тут начинается самое неочевидное: часть данных вы обязаны хранить дольше, чем хотели бы, и удаление будет уже нарушением — только другого закона.
| Что за данные | Сколько хранить | Основание |
|---|---|---|
| Документы по личному составу (созданные с 2003 года) | 50 лет | ст. 22.1 ФЗ № 125-ФЗ «Об архивном деле» |
| Те же документы, созданные до 2003 года | 75 лет | ст. 22.1 ФЗ № 125-ФЗ |
| Первичные учётные документы, бухгалтерская отчётность | 5 лет | ст. 29 ФЗ № 402-ФЗ «О бухгалтерском учёте» |
| Данные для исчисления и уплаты налогов | 5 лет | ст. 23 НК РФ |
Практический вывод: данные бывшего сотрудника нельзя «зачистить» вместе с остальной базой при увольнении — трудовой договор и личная карточка уходят в архив на десятилетия. Зато его личная почта, которую отдел кадров завёл в CRM для рассылки корпоративных новостей, к архивным документам отношения не имеет и должна быть удалена. Подробнее про этот разрыв — в материале про 152-ФЗ для HR.
Зеркальная ошибка встречается чаще: компания ссылается на «бухгалтерские пять лет», чтобы оправдать хранение всей клиентской базы. Пять лет установлены для первичных документов, а не для маркетинговых профилей, истории просмотров и телефонов, собранных на лендинге.
Что делать, когда срок вышел: уничтожить или обезличить
Статья 5 даёт два выхода. Уничтожение — данные физически удаляются и не подлежат восстановлению. Обезличивание — данные остаются, но по ним больше невозможно определить конкретного человека. Второй путь удобен, если нужна аналитика: сколько заказов, средний чек, конверсия по регионам. Но обезличивание работает, только когда оно необратимо. Замена ФИО на «Клиент № 4471» при сохранении телефона и адреса — это псевдонимизация, а не обезличивание, и данные остаются персональными.
Сроки на само действие устанавливает статья 21, и они разные:
- 30 дней с даты достижения цели обработки — прекратить обработку и уничтожить данные (ч. 4), если иное не предусмотрено договором или законом.
- 30 дней с даты поступления отзыва согласия — уничтожить, если сохранение больше не требуется для целей обработки (ч. 5).
- 3 рабочих дня с даты выявления неправомерной обработки — прекратить её (ч. 3).
- 10 рабочих дней — уничтожить данные, если сделать обработку правомерной невозможно (ч. 3).
- 7 рабочих дней — уточнить недостоверные данные после подтверждения факта недостоверности (ч. 2).
Не путайте эти сроки с 30 днями из части 3 статьи 20 — там речь о предоставлении субъекту информации о его данных, а не об удалении. Порядок работы с такими обращениями разобран отдельно: как отвечать на запросы субъектов.
Акт об уничтожении: что именно требует Роскомнадзор
Само по себе удаление записей ничего не доказывает. С 1 марта 2023 года действует приказ Роскомнадзора от 28.10.2022 № 179, который установил требования к подтверждению уничтожения персональных данных. Подтверждением считаются два документа:
- Акт об уничтожении персональных данных — составляется во всех случаях.
- Выгрузка из журнала регистрации событий в информационной системе — дополнительно, если данные уничтожались в ИСПДн.
Акт составляется комиссией и содержит: наименование или ФИО оператора и его адрес, перечень категорий уничтоженных данных, ФИО субъектов — если уничтожались данные конкретных людей, наименование информационной системы, причину и способ уничтожения, дату, а также ФИО и подписи членов комиссии. Хранить акт нужно три года с даты уничтожения.
Три года — не формальность. Именно этот документ вы предъявите, если через два года бывший клиент напишет в РКН жалобу «они не удалили мои данные». Без акта позиция «мы всё удалили» ничем не подкреплена.
Способ уничтожения указывается конкретно: удаление записей из базы с последующей перезаписью, физическое уничтожение носителя, шредирование бумажных анкет. «Удалено» без уточнения — плохая формулировка, потому что не отвечает на вопрос, можно ли восстановить.
Пять ошибок, которые встречаются чаще всего
Резервные копии живут своей жизнью. Данные удалили из рабочей базы, а в бэкапах они лежат ещё год. Формально обработка продолжается. Решение — фиксированная глубина хранения резервных копий и запись об этом в регламенте: удалённое из базы исчезает из бэкапов не позднее такого-то срока.
Забытые сервисы. Контакты удалили из CRM, но они остались в сервисе рассылок, в таблице на Google Диске, в выгрузке для колл-центра и в переписке в мессенджере. Инвентаризация мест хранения — часть работы над сроками, а не отдельная задача.
«Удалим, когда попросят». Обязанность уничтожить данные по достижении цели не зависит от обращения субъекта. Она возникает автоматически.
Срок есть в политике, но не в процессе. В документе написано «5 лет», в базе лежат записи 2016 года. Расхождение между заявленным и фактическим — типичная находка проверки, и объяснить её нечем.
Данные подрядчиков не удаляются. Если вы передали данные обработчику, обязанность уничтожения нужно прописать в договоре поручения — иначе подрядчик хранит их столько, сколько считает нужным, а отвечать будете вы.
Что делать прямо сейчас
Начните с инвентаризации: выпишите все места, где лежат персональные данные, и для каждого ответьте на два вопроса — зачем эти данные здесь и когда цель будет достигнута. Дальше поставьте самые старые записи в очередь на уничтожение, соберите комиссию и оформите первый акт. Параллельно допишите в политику конфиденциальности конкретные сроки вместо расплывчатого «до отзыва согласия».
Знаете ли вы, какие данные на вашем сайте вы уже обязаны были удалить? Запустите бесплатный аудит на соответствие 152-ФЗ → Аудит покажет, какие данные собирает ваш сайт, какие сроки хранения заявлены в документах и какие обязательные разделы в политике отсутствуют.
При подготовке использованы: Федеральный закон от 27.07.2006 № 152-ФЗ (ст. 5, 6, 18.1, 20, 21), Кодекс РФ об административных правонарушениях (ст. 13.11 в редакции ФЗ № 420-ФЗ от 30.11.2024), приказ Роскомнадзора от 28.10.2022 № 179, Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации», Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте», Налоговый кодекс РФ.