Закон о персональных данных не содержит единой таблицы «сколько хранить», и это сбивает с толку: одни компании годами копят базы клиентов и резюме, другие боятся удалить даже кадровые документы. На самом деле правило простое — хранить не дольше, чем требует цель, если срок не установлен законом или договором. А вот конкретные сроки разбросаны по разным актам: налоговому и бухгалтерскому законодательству, закону об архивном деле и Перечню Росархива. Собрали их в одну таблицу и разобрали, когда и как данные нужно уничтожать.
Главное правило: не дольше, чем требует цель
Хранение — такой же вид обработки персональных данных, как сбор или использование (п. 3 ст. 3 закона № 152-ФЗ). Поэтому на него распространяются все принципы закона. Ключевой из них: хранение должно осуществляться в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором, стороной, выгодоприобретателем или поручителем по которому является субъект. Обрабатываемые данные подлежат уничтожению либо обезличиванию по достижении целей или в случае утраты необходимости в их достижении, если иное не предусмотрено федеральным законом (ч. 7 ст. 5).
Из этого правила следуют три практических вывода:
- срок хранения нельзя определить «вообще» — только для конкретной цели и конкретного набора данных;
- если для цели нужны не все данные, лишние нужно удалить раньше, даже если документ в целом ещё хранится;
- если закон или договор устанавливает срок, действует он, но и после него данные нельзя хранить «на всякий случай».
Когда данные нужно уничтожить: сроки по закону № 152-ФЗ
Статья 21 закона № 152-ФЗ устанавливает, в какие сроки оператор обязан прекратить обработку и уничтожить данные в разных ситуациях.
| Событие | Что сделать и в какой срок | Норма закона № 152-ФЗ |
|---|---|---|
| Цель обработки достигнута | Прекратить обработку и уничтожить данные — не позднее 30 дней | ч. 4 ст. 21 |
| Субъект отозвал согласие | Прекратить обработку и, если данные больше не нужны, уничтожить — не позднее 30 дней | ч. 5 ст. 21 |
| Субъект потребовал прекратить обработку | Прекратить — не позднее 10 рабочих дней (продление ещё на 5 рабочих дней) | ч. 5.1 ст. 21 |
| Выявлена неправомерная обработка | Прекратить — 3 рабочих дня; если исправить нельзя, уничтожить — 10 рабочих дней | ч. 3 ст. 21 |
| Уничтожить в срок невозможно | Заблокировать данные и уничтожить не позднее шести месяцев | ч. 6 ст. 21 |
Сроки по ч. 4 и 5 ст. 21 применяются, если иное не предусмотрено договором с субъектом, иным соглашением между оператором и субъектом и если оператор не вправе обрабатывать данные без согласия на основаниях, предусмотренных законом. То есть если после отзыва согласия у компании остаётся другое законное основание — например, обязанность хранить документ по налоговому законодательству, — данные в этой части уничтожать не нужно.
Сроки хранения, установленные законами и Перечнем Росархива
Организации и индивидуальные предприниматели обязаны обеспечивать сохранность архивных документов, в том числе документов по личному составу, в течение сроков, установленных федеральными законами, иными нормативными актами и перечнями документов (ч. 1 ст. 17 закона № 125-ФЗ). Главный такой перечень для управленческих документов утверждён приказом Росархива от 20.12.2019 № 236. Вот сроки, которые чаще всего касаются персональных данных.
| Документы с персональными данными | Срок хранения | Основание |
|---|---|---|
| Первичные учётные документы, регистры, бухгалтерская отчётность | Не менее 5 лет после отчётного года | ч. 1 ст. 29 закона № 402-ФЗ |
| Документы для исчисления и уплаты налогов | 5 лет | подп. 8 п. 1 ст. 23 НК РФ |
| Документы по личному составу, законченные после 01.01.2003 | 50 лет | ч. 2 ст. 22.1 закона № 125-ФЗ |
| Документы по личному составу, законченные до 01.01.2003 | 75 лет | ч. 1 ст. 22.1 закона № 125-ФЗ |
| Трудовые договоры и соглашения к ним | 50/75 лет | п. 435 Перечня № 236 |
| Документы лиц, не принятых на работу | 1 год | подп. «б» п. 438 Перечня № 236 |
| Согласия на обработку персональных данных | 3 года после истечения срока действия или отзыва | п. 441 Перечня № 236 |
| Договоры и документы к ним (не указанные отдельно) | 5 лет после истечения срока договора или прекращения обязательств | п. 11 Перечня № 236 |
| Акт об уничтожении персональных данных и выгрузка из журнала | 3 года с момента уничтожения | п. 8 Требований, утв. приказом РКН № 179 |
Отметка «50/75 лет» означает, что документы, законченные делопроизводством до 1 января 2003 года, хранятся 75 лет, а после этой даты — 50 лет. Отметка «ЭПК» в Перечне означает, что после истечения срока часть документов проходит экспертизу ценности.
Как уничтожать персональные данные и подтверждать уничтожение
Подтверждение уничтожения осуществляется по требованиям, установленным Роскомнадзором (ч. 7 ст. 21 закона № 152-ФЗ). Это требования, утверждённые приказом Роскомнадзора от 28.10.2022 № 179, которые действуют с 1 марта 2023 года:
- если данные обрабатывались без средств автоматизации — уничтожение подтверждает акт об уничтожении персональных данных;
- если с использованием средств автоматизации — акт об уничтожении и выгрузка из журнала регистрации событий в информационной системе;
- акт можно оформить в электронной форме с электронной подписью — он равнозначен бумажному;
- акт и выгрузку из журнала хранят 3 года с момента уничтожения персональных данных.
В акте указывают, в частности, способ и причину уничтожения. На практике удобно утвердить форму акта приказом, назначить комиссию или ответственного и проводить уничтожение по графику — например, раз в квартал по всем данным, у которых истёк срок.
Ответственность за нарушение сроков
Если оператор не выполнил в установленные сроки требование субъекта или Роскомнадзора об уточнении, блокировании или уничтожении данных, которые неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели, организации грозит штраф от 50 000 до 90 000 ₽, должностному лицу — от 8 000 до 20 000 ₽ (ч. 5 ст. 13.11 КоАП РФ). За повторное нарушение штраф для организации — от 300 000 до 500 000 ₽ (ч. 5.1 ст. 13.11 КоАП РФ).
Хранение данных дольше, чем нужно для цели, может быть квалифицировано и как обработка, несовместимая с целями сбора, — за это организации грозит штраф от 150 000 до 300 000 ₽, а при повторном нарушении — от 300 000 до 500 000 ₽ (ч. 1 и 1.1 ст. 13.11 КоАП РФ). Обзор остальных обязанностей и штрафов — в статье «Персональные данные для бизнеса».
Типичные ошибки
- «Храним всё бессрочно». Базы клиентов, выгрузки заявок с сайта и резюме копятся годами без цели — это прямое нарушение ч. 7 ст. 5 закона № 152-ФЗ.
- Удалили только оригинал. Копии остаются в почте, мессенджерах, на личных дисках сотрудников и в резервных копиях; уничтожение должно охватывать все носители.
- Уничтожили, но не оформили. Без акта и выгрузки из журнала доказать уничтожение при проверке нечем.
- Уничтожили лишнее. Кадровые и бухгалтерские документы с персональными данными удалять до истечения сроков по закону нельзя.
- Сроки есть только «на бумаге». Положение утверждено, но в CRM и на сайте нет автоматического удаления, а ответственный не назначен.
- Подрядчики не охвачены. Сервис рассылок или колл-центр продолжает хранить базу после окончания договора.
Как настроить сроки хранения в компании: порядок действий
- Проведите инвентаризацию. Какие данные, в каких системах и на бумаге хранятся: CRM, бухгалтерия, кадры, почта, облачные диски, сайт.
- Привяжите каждый массив к цели. Для чего собраны данные и на каком основании: договор, закон, согласие.
- Определите срок для каждой цели. По закону, договору или Перечню; если срока нет — момент достижения цели плюс 30 дней на уничтожение.
- Закрепите сроки в локальном акте. Положение об обработке персональных данных или раздел политики оператора, форма акта об уничтожении.
- Настройте технику. Автоматическое удаление или обезличивание в CRM и на сайте, журналы событий, разграничение доступа к архиву.
- Проверьте договоры с подрядчиками. Сроки хранения и удаления данных сервисами, которым поручена обработка.
- Уничтожайте по графику и храните акты. Акты и выгрузки — 3 года.
- Отвечайте на запросы вовремя. Запрос субъекта о его данных — 10 рабочих дней (ч. 1 ст. 20), требование прекратить обработку — 10 рабочих дней (ч. 5.1 ст. 21).
Сроки хранения тесно связаны с основаниями обработки: если данные собраны по согласию, срок его действия и способ отзыва должны быть указаны в самом согласии — как его оформить, разобрано в статье о согласии на обработку персональных данных. Если вы только начинаете обрабатывать данные, не забудьте об уведомлении в Роскомнадзор. Комплексно выстроить документы и процессы поможет юрист по персональным данным для бизнеса.
Поможем настроить сроки хранения и уничтожение данных. Оставьте заявку на странице юриста по персональным данным или напишите нам в Telegram @lawyerchepik.
Частые вопросы
Сколько хранить резюме кандидатов, которых не взяли на работу?
Документы лиц, не принятых на работу, — заявления, анкеты, копии документов — хранятся 1 год (подп. «б» п. 438 Перечня типовых управленческих архивных документов, утв. приказом Росархива № 236). Если компания хочет держать кандидата в кадровом резерве дольше, нужна понятная цель и основание — как правило, согласие кандидата на эту цель.
Нужно ли уничтожать данные уволенного работника?
Документы по личному составу — нет: их хранят 50 лет, а законченные делопроизводством до 2003 года — 75 лет (ст. 22.1 закона № 125-ФЗ). Но данные, которые собирались для других целей и больше не нужны, — например, копии документов для пропуска или фотографии для корпоративного сайта, — после достижения цели подлежат уничтожению в течение 30 дней (ч. 4 ст. 21 закона № 152-ФЗ).
Можно ли обезличить данные вместо уничтожения?
Да. По достижении целей обработки персональные данные подлежат уничтожению либо обезличиванию, если иное не предусмотрено федеральным законом (ч. 7 ст. 5 закона № 152-ФЗ). Обезличенные данные удобно использовать для статистики и аналитики. Важно, чтобы после обезличивания нельзя было без дополнительной информации определить, к какому человеку они относятся.
Кто отвечает, если данные хранит облачный сервис или CRM?
Если оператор поручил обработку другому лицу, ответственность перед субъектом за действия этого лица несёт оператор, а исполнитель отвечает перед оператором (ч. 5 ст. 6 закона № 152-ФЗ). Поэтому в договоре с сервисом нужно закрепить сроки хранения, порядок удаления данных по запросу и при расторжении договора и обязанность подтверждать уничтожение.
Сколько хранить данные клиентов интернет-магазина?
Столько, сколько нужно для цели: исполнения заказа, гарантийного обслуживания, возврата товара. Документы, нужные для налогового и бухгалтерского учёта, хранятся не менее пяти лет (подп. 8 п. 1 ст. 23 НК РФ, ст. 29 закона № 402-ФЗ). Данные для рассылок хранятся, пока действует согласие, а после его отзыва — уничтожаются в течение 30 дней.
Итог
Единого срока хранения персональных данных нет: данные хранят столько, сколько требует цель обработки, если закон или договор не устанавливает иной срок. Для бухгалтерских и налоговых документов это не менее 5 лет, для кадровых — 50 лет, для согласий — 3 года после окончания срока действия или отзыва, для документов кандидатов, не принятых на работу, — 1 год. По достижении цели данные уничтожают или обезличивают в течение 30 дней, а уничтожение подтверждают актом и выгрузкой из журнала, которые хранят 3 года.
Нормы сверены на 24 октября 2026 года по закону № 152-ФЗ «О персональных данных», законам № 125-ФЗ и № 402-ФЗ, Налоговому кодексу РФ, КоАП РФ, Перечню типовых управленческих архивных документов и приказу Роскомнадзора от 28.10.2022 № 179 в действующих редакциях.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
- Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации»
- Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»
- Приказ Росархива от 20.12.2019 № 236 (Перечень типовых управленческих архивных документов)
- Кодекс РФ об административных правонарушениях (ст. 13.11)
