Сроки хранения персональных данных

Единого срока хранения персональных данных нет и быть не может: закон задаёт правило, а конкретные годы приходят из других актов и из ваших договоров. Правило такое — хранить в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок не установлен федеральным законом или договором, стороной которого является субъект (часть 7 статьи 5 152-ФЗ).

Три источника срока

1. Цель обработки. Достигли цели — хранить дальше нечем оправдать. Данные подлежат уничтожению либо обезличиванию (часть 7 статьи 5);
2. Федеральный закон. Кадровые и бухгалтерские документы хранятся по правилам архивного дела и налогового законодательства — независимо от того, достигнута ли цель;
3. Договор с субъектом. Срок может быть определён договором, стороной, выгодоприобретателем или поручителем по которому является сам субъект.

Отсюда практическое следствие: срок устанавливается не «на весь массив», а по каждой цели обработки отдельно. В политике так и пишется — цель, состав данных, срок.

Ориентиры, которые встречаются чаще всего

Точные сроки по видам документов смотрят в перечнях типовых архивных документов и в отраслевых актах — таблица выше даёт ориентир, а не заменяет их. Смысл её в другом: у каждой строки перечня персональных данных должен быть свой срок и своё основание, а не общее «храним пять лет».

Сроки уничтожения — вот они точные

Если сроки хранения приходят из разных актов, то сроки уничтожения задаёт сама статья 21 152-ФЗ, и их стоит помнить наизусть:

• 3 рабочих дня — прекратить неправомерную обработку с даты выявления. Если обеспечить правомерность невозможно, данные уничтожаются;
• 10 рабочих дней — уничтожить данные по требованию субъекта либо при отзыве согласия, когда другого основания обработки нет;
• 30 дней — уничтожить данные по достижении цели обработки, если иное не предусмотрено договором или законом;
• 6 месяцев — предельный срок в отдельных случаях, когда уничтожение в общий срок невозможно.

Факт уничтожения подтверждается актом, а при обработке с использованием средств автоматизации — актом вместе с выгрузкой из журнала регистрации событий: это Требования, утверждённые приказом Роскомнадзора от 28.10.2022 № 179. Акт и выгрузка хранятся три года.

Где сроки живут в документах

• Политика обработки — сроки обработки и хранения по каждой цели (пункт 2 части 1 статьи 18.1);
• Согласие — срок действия согласия и способ его отзыва (пункт 8 части 4 статьи 9). Это не то же самое, что срок хранения: согласие может закончиться раньше, чем истечёт архивный срок;
• Уведомление в Роскомнадзор — срок или условие прекращения обработки (пункт 9 части 3 статьи 22);
• Поручение обработчику — срок обработки и условия её прекращения у подрядчика;
• Акт об уничтожении — дата и причина уничтожения, состав уничтоженных данных.

Расхождение между этими документами — обычная находка: в политике «до достижения целей», в согласии «бессрочно», в уведомлении «постоянно». Все три формулировки не могут быть верными одновременно.

Что делать, когда срок истёк

1. определить, нет ли другого основания хранить: закон, договор, незавершённый спор;
2. если основания нет — уничтожить либо обезличить данные;
3. оформить акт об уничтожении и приложить выгрузку из журнала регистрации событий;
4. проверить резервные копии и архивы: данные, удалённые из системы, обычно остаются в бэкапах;
5. записать результат — три года акт хранится и может быть предъявлен.

Четвёртый пункт чаще всего и подводит. Уничтожение в основной системе при живой резервной копии за прошлый год уничтожением не является — порядок работы с копиями стоит описать заранее, вместе со сроком их хранения.

Как не держать лишнего

Хранение сверх нужного — не бережливость, а риск: чем больше данных, тем больше объём возможной утечки и тем выше требования к защите. Число субъектов прямо влияет на уровень защищённости информационной системы, а значит и на набор мер, которые придётся выполнять. Регулярная чистка по истёкшим срокам — самый дешёвый способ снизить и то, и другое.

Коротко

Есть ли единый срок хранения персональных данных

Нет. Правило одно: хранить не дольше, чем требуют цели обработки, если срок не установлен федеральным законом или договором, стороной которого является субъект (часть 7 статьи 5 152-ФЗ). Конкретные годы приходят из архивного, налогового и отраслевого законодательства.

В какой срок уничтожать данные по достижении цели

В течение тридцати дней, если иное не предусмотрено договором или федеральным законом. По требованию субъекта или при отзыве согласия — в течение десяти рабочих дней; при выявлении неправомерной обработки обработка прекращается в течение трёх рабочих дней (статья 21 152-ФЗ).

Чем подтверждается уничтожение данных

Актом об уничтожении, а при обработке с использованием средств автоматизации — актом вместе с выгрузкой из журнала регистрации событий: Требования, утверждённые приказом Роскомнадзора от 28.10.2022 № 179. Акт хранится три года.

Нужно ли удалять данные из резервных копий

Данные, удалённые из основной системы, остаются в резервных копиях, и уничтожением это не является. Порядок работы с копиями и срок их хранения стоит описать заранее, иначе истёкший срок хранения соблюдается только на бумаге.

Материал опирается на редакцию нормативной базы от 11.09.2026 — что в неё вошло и по каким актам считает конструктор, перечислено в составе пакета. Расчёты в сервисе выводятся правилами по тексту актов: одни и те же исходные данные дают один и тот же результат.