Уничтожение персональных данных: порядок, сроки и оформление акта в 2026 году

Для бизнеса вопрос уничтожения персональных данных — это не формальность, а управленческое решение с прямым влиянием на расходы, проверки и ответственность. Несвоевременное уничтожение персональных данных приводит к претензиям Роскомнадзора, спорам с контрагентами и рискам по трудовым и договорным отношениям. Компании приходится балансировать между обязательствами по хранению, требованиями законодательства о персональных данных и запросами субъектов. В 2026 году этот баланс по‑прежнему держится на грамотной организации процессов, корректной фиксации сроков и документальном подтверждении каждой операции.

Почему вопрос уничтожения влияет на деньги и риски компании

Ошибка с хранением персональных данных редко ограничивается корректировкой локальных актов. Это про расчеты на штрафы по статье 13.11 КоАП РФ, простои ИТ-службы, неизбежные консультации специалистов и возможные расходы на судебную защиту. За «лишний» массив карточек соискателей или архив старых резервных копий можно заплатить больше, чем за построение корректной процедуры. Практический эффект аккуратно выстроенного процесса прост: снижается объем хранимых массивов, легче исполнять запросы субъектов, уменьшается вероятность утечки и претензий по безопасности. Когда в регламенте определено, что уничтожение персональных данных запускается по достижении цели, по истечении законного срока хранения или после отзыва согласия при отсутствии иных оснований, юридические и ИТ-команды понимают, что делать и в какие сроки.

Если компания участвует в закупках или работает по жестким требованиям комплаенса, контрагенты вправе требовать описания процедур в контракте и отчеты об их выполнении. Поэтому подтверждение уничтожения для РКН нередко дополняется письмами и актами для партнеров. В ряде ситуаций целесообразно закрепить этот блок в договоре аутсорсинга, а при регулярной нагрузке передать сопровождение в формат абонентского юридического обслуживания, чтобы не держать внутренний отдел на пиковых задачах.

Нормативная база: что регулирует уничтожение персональных данных

Базовые требования вытекают из Федерального закона № 152‑ФЗ «О персональных данных». Он закрепляет принципы обработки и правило о недопустимости хранения дольше, чем этого требуют цели. Когда цель достигнута или утрачена, персональные данные должны быть уничтожены, если их хранение не предписано федеральным законом. Именно на этом принципе строится дальнейшая детализация.

Для кадровых документов применяются нормы Трудового кодекса РФ о защите персональных данных работников и локальные кадровые регламенты. Сроки хранения определяются законодательством об архивном деле (Федеральный закон № 125‑ФЗ) и перечнями Росархива. Отдельные массивы подпадают под налоговые правила: например, обязанность хранить бухгалтерские и налоговые документы минимум четыре года установлена Налоговым кодексом РФ. Если конкретный закон устанавливает обязательный срок хранения, уничтожение персональных данных откладывается до его истечения.

КоАП РФ предусматривает административную ответственность за нарушения установленных требований к обработке и защите персональных данных, включая отсутствие или ненадлежащее документирование процедур. В проверках Роскомнадзора оцениваются не только ИТ-меры, но и юридическая часть: основания обработки, информирование, порядок отзыва согласия и то, как организовано уничтожение персональных данных.

Когда и в какие сроки проводится уничтожение персональных данных

У оператора есть несколько типичных оснований, при наступлении которых начинается уничтожение персональных данных. Они связаны с достижением цели, отзывом согласия, истечением договорных отношений и окончанием обязательного срока хранения. Практика и методические рекомендации Роскомнадзора закрепляют ключевой подход: при отсутствии законного основания для дальнейшего хранения данные не должны оставаться в системах и архивах. В этом контексте особенно важны сроки уничтожения по закону — они должны быть заранее описаны в политиках и регламентах, чтобы не превращать каждую ситуацию в «ручной» разбор.

Обычная для оператора картина такова: после достижения цели обработки, если нет иной законной базы для хранения (например, приоритетного интереса оператора, обязанности по закону или неисполненных требований по договору), данные подлежат уничтожению в срок, который по общему правилу не должен превышать 30 календарных дней. Когда субъект отзывает согласие, а иных оснований для обработки не осталось, действует тот же подход. Если хранение предписано законом (кадровые, налоговые и архивные массивы), компания уничтожает персональные данные лишь после окончания обязательного периода.

На практике помогает единый реестр событий, в котором фиксируются основания, дата запуска и дата завершения процесса. Это упрощает подтверждение уничтожения для РКН и снижает риск спора о сроках.

Основание	Что делает оператор	Типичный срок	Документ-основание/подтверждение
Достижение цели обработки	Оценивает наличие иных правовых оснований, при их отсутствии инициирует уничтожение персональных данных	Не более 30 дней, если хранение не требуется по закону	Решение ответственного лица, акт уничтожения персональных данных
Отзыв согласия субъектом	Прекращает обработку, при отсутствии иных оснований запускает уничтожение персональных данных	Не более 30 дней с момента получения отзыва	Регистрация отзыва, служебная записка, акт, уведомление субъекта (при необходимости)
Окончание срока хранения по закону	Проводит экспертизу ценности, готовит дело к уничтожению персональных данных	По завершении обязательного срока хранения	Опись, заключение комиссии, акт уничтожения персональных данных
Ликвидация системы (архива, бэкапов)	Организует стирание/физическое разрушение носителей с фиксацией операции	По графику ИТ и архивов, но с фиксацией даты	Журнал работ, акт, отчет контрагента об оказанных услугах

Как оформить уничтожение персональных данных: акт, комиссия, реестр

Юридически корректное уничтожение персональных данных подтверждается документально. Центральный документ — акт уничтожения персональных данных. Унифицированной формы нет, но по практике проверок и рекомендациям надзора акт должен идентифицировать массивы (категории данных, периоды, носители или информационные системы), указать основание, дату и способ уничтожения, состав ответственных лиц, а также ссылку на внутренний регламент.

В организациях целесообразно назначать комиссию по уничтожению данных. Ее состав зависит от объема и характера массива: обычно участвуют ответственное лицо за обработку персональных данных, представитель ИТ или службы информационной безопасности, сотрудник кадров или подразделения — владельца данных, а также специалист по документообороту. Комиссия фиксирует факт и способ уничтожения, подписывает акт и формирует пакет подтверждающих документов, если процесс выполняется подрядчиком.

Даже при разовом процессе полезен реестр уничтожений. В него вносят основание (достижение цели, отзыв согласия, окончание срока хранения), ссылку на массив, дату, ответственных, номер акта. Такой реестр становится главным источником доказательств в случае запроса со стороны Роскомнадзора или контрагента.

Если обработка выполняется по поручению другой компании, обязанность документировать уничтожение персональных данных обычно прямо прописывается в договоре. Подрядчик выдает оператору отчет и акт, а оператор хранит их в своем досье по персональным данным.

Способы и подтверждение: как обеспечить уничтожение персональных данных

Метод уничтожения зависит от носителя, конфигурации систем, наличия резервных копий и соглашений с подрядчиками. В бумажном архиве это измельчение до установленной фракции или термическое уничтожение, с фиксацией количества и дат. В информационных системах — гарантированное стирание с многократной перезаписью, криптографическое «обнуление» ключей, после которого восстановление невозможно, или физическое разрушение носителя с регистрацией серийных номеров и отражением в журнале. При использовании облачных платформ требуется получить от провайдера документальное подтверждение уничтожения, согласованное в договоре, и включить эту процедуру в SLA.

Подтверждение уничтожения для РКН — это не один документ, а связка. В практике запросов обычно оценивают регламенты, журналы, акты и технические отчеты, которые в совокупности демонстрируют управляемый процесс. Проверяющему важно увидеть, что компания не просто стирает файлы, а действует по утвержденной процедуре, учитывающей сроки, основания и ответственность.

Электронные и бумажные массивы: практические решения

Для бумажных дел необходима экспертиза ценности. До уничтожения персональных данных сотрудники сопоставляют документы с перечнями Росархива, проверяют, не завершился ли обязательный срок хранения, и только после этого направляют дело на уничтожение. В акт вносится наименование дел, годы, объем и способ.

В электронных системах ключевая задача — корректная инвентаризация. Нужно понимать, где хранятся копии, кто контролирует бэкапы, как устроены журналы операций и возможна ли выборочная очистка. Без этой картины рискует остаться «невидимый» массив в тестовой среде или в старой резервной копии. Поэтому уничтожение персональных данных сопровождают техническим отчетом: какие сегменты очищены, какие ключи отозваны, какие носители утилизированы, кто подтвердил результаты.

Уничтожение персональных данных в кадровых и договорных отношениях

В кадровом контуре многие данные связаны с длительным хранением. Личные дела, приказы по личному составу, отдельные сведения о трудовой деятельности могут храниться десятилетиями по перечням Росархива. Пока срок не истек, уничтожение персональных данных невозможно, даже если сотрудник отозвал согласие. Но это не означает «разрешение на все»: обработка продолжается только в объеме, необходимом для выполнения требований закона и защиты прав компании. Для подтверждения корректности границ полезен внешний кадровый аудит, особенно когда компания проходит этап реорганизации или сокращает архив.

В договорных отношениях правило иное. После исполнения договора и истечения сроков исковой давности, а также обязательных налоговых периодов, уничтожение персональных данных контрагентов и представителей целесообразно планировать в рамках годового цикла архивных работ. В актах фиксируются именно категории данных (например, контактные сведения представителей), а не только номера договоров. При использовании CRM необходимо убедиться, что политика ретенции отражает эти сроки и что удаление информации происходит повсеместно — и в «боевой» базе, и в резервных копиях.

С массивами кандидатов на работу действует простое правило: хранить краткий результат подбора можно, но избыточные анкеты и резюме после завершения отбора подлежат уничтожению персональных данных, если кандидат не предоставил отдельного согласия на более долгий срок и у работодателя нет иных законных оснований.

Проверки и споры: как защищать позицию оператора

При проверках Роскомнадзора инспекторы оценивают соответствие фактических процедур локальным актам и закону. На практике часто запрашивают: политику обработки, регламент с описанием процесса, решение о назначении ответственного, примеры актов, журналы уничтожений, договоры с подрядчиками по ИТ и утилизации, а также доказательства уведомления субъектов при прекращении обработки на основании отзыва. Готовность пакета документов снижает риски привлечения к ответственности и ускоряет проверку.

• локальные акты и регламенты по обработке и уничтожению;
• журналы учета событий и реестр уничтожений;
• акты и технические отчеты (в том числе от подрядчиков);
• подтверждения правомерных оснований для хранения до момента уничтожения.

Если по результатам проверки выдано предписание, его можно обжаловать. Такие споры с надзором нередко рассматриваются в арбитражных судах, и к ним подходят как к любому публичному спору: важно соблюсти процессуальные сроки, представить доказательства фактического исполнения и обоснованности процедур. В отдельных случаях требуется сопровождение арбитражного спора, когда цена вопроса затрагивает договорные отношения или значимые ИТ-проекты. Заявления на оспаривание ненормативных актов, решений и действий органов подаются по правилам главы 24 АПК РФ, с учетом общего трехмесячного срока, если иной срок не установлен законом.

Когда нарушения устраняются в короткий период и представлены убедительные материалы, нередко удается ограничиться профилактическими мерами. Здесь именно качество доказательств решает исход: одним письмом о проведенном уничтожении персональных данных ситуацию не закрыть, если отсутствуют регламент, реестр и акты.

Роль юриста и практическая организация процесса

Юрист встраивает требование об уничтожении персональных данных в систему управления: анализирует основания обработки, формулирует сроки с опорой на закон и отраслевые перечни, готовит регламент и формы документов, описывает роли и ответственность. Отдельное внимание уделяется договорам с обработчиками и провайдерами ИТ-услуг — тот самый блок о подтверждении и формах отчетности часто экономит недели переписки при проверках.

Технические специалисты отвечают за исполнение, но инициатива на стороне правового блока: он определяет, где уничтожение персональных данных допустимо, а где закон обязывает хранить. Итоговая модель должна обеспечивать однозначный запуск процесса, контроль сроков и корректное оформление. Для компаний, которые не готовы держать внутри профильные компетенции, решением становятся комплексные юридические услуги для бизнеса с регулярным обновлением регламентов и обучением сотрудников.

Отдельно отметим риск «серых зон» — тестовых сред, завалявшихся резервных копий и локальных таблиц в отделах. Их нужно включить в карту данных и увязать с регламентом. Когда карта и регламент синхронизированы, уничтожение персональных данных превращается из разовой кампании в рабочую процедуру.

Контрольные точки: что проверить до и после уничтожения

Даже выстроенный процесс требует точек контроля. До запуска убедитесь, что правовые основания для хранения действительно исчерпаны, а перечни Росархива и налоговые требования учтены. После выполнения операции проверьте полноту журналов и актов, корректность удаления в резервных копиях и у подрядчиков, а также уведомления, если они предусмотрены регламентом.

Акт уничтожения персональных данных должен ссылаться на внутренние положения, идентифицировать массивы и фиксировать способ. Комиссия по уничтожению данных подтверждает факт и полноту операции. При привлечении внешних исполнителей не забывайте об отчетах и сертификатах утилизации носителей. Это станет тем самым файлом‑доказательством при запросе от надзора и контрагентов.

При корректно прописанных условиях договоров аутсорсинга оператор без задержек получает подтверждение уничтожения для РКН и выдерживает сроки, которые сам себе установил в политиках и уведомлениях. Это снижает и юридические, и репутационные риски.

Если подвести итог, в юридическом смысле выигрывает не тот, кто написал идеальную политику, а тот, кто на деле исполняет ее без сбоев. Уничтожение персональных данных должно быть встроено в договоры, регламенты, ИТ-процессы и архив. В 2026 году это по-прежнему проверяемая история: сроки известны, документы определены, а надзорный орган смотрит на доказательства. Чем лучше подготовлена компания, тем меньше неожиданностей в проверках и отношениях с партнерами.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.