Сроки хранения персональных данных: как установить и соблюдать
Table of contents
Что требует 152‑ФЗ о сроках хранения и обработки
Ключевое правило 152‑ФЗ: персональные данные хранятся в форме, позволяющей определить субъект, не дольше, чем этого требуют цели обработки. Это прямо закреплено в принципах из ст. 5 (см. также обзор — Принципы и цели обработки). Иначе говоря, срок хранения персональных данных 152 ФЗ должен быть ограничен и обоснован.
Сроки обработки персональных данных 152 ФЗ заканчиваются при достижении цели, при отзыве согласия (если нет иной правовой основы), либо при утрате необходимости. После наступления предельного события оператор обязан прекратить обработку, заблокировать и уничтожить данные или обезличить их — см. уничтожение и блокировка ПДн и прекращение обработки.
Важно: если федеральные законы, иные нормативные акты или договор устанавливают конкретный 152 ФЗ срок хранения (например, архивные, бухгалтерские, налоговые требования), применяется больший срок. Актуальную базовую норму смотрите в 152‑ФЗ: текст, последняя редакция и следите за изменениями 2025.
Срок хранения vs срок обработки
- Срок обработки — период, когда вы имеете право совершать с ПДн любые операции (сбор, запись, систематизация, хранение, использование, передача и т. д.). Он определяется целями и правовой основой.
- Срок хранения — часть срока обработки, в которую данные сохраняются в идентифицируемом виде. По достижении цели хранения данные подлежат уничтожению или обезличиванию.
Пример: у клиента закончился договор. Вы можете хранить минимально необходимый набор сведений для бухгалтерии и возможной защиты прав (исковая давность), но маркетинговые рассылки без свежего согласия — нельзя.
Алгоритм: как установить сроки для ваших процессов
- Проведите инвентаризацию процессов и составьте реестр ПДн
- Опишите источники данных, цели, категории субъектов и ПДн, ИСПДн/системы, получателей, трансграничную передачу, сроки. Поможет наш пакет документов.
- Определите правовые основания
- Договор, закон, согласие, защита прав и др. Основания перечислены в ст. 6. Если можете работать без согласия, срок привязывайте к иной правовой основе.
- Найдите внешние требования к срокам
- Бухгалтерия: не менее 5 лет (ФЗ № 402‑ФЗ), налоги — не менее 4 лет (НК РФ), трудовые и архивные документы — по перечням Росархива (вплоть до 50/75 лет). Для отраслей (медицина, банки, образование) — специализированные нормы.
- Выберите тип срока
- Календарный (например, X месяцев/лет), событийный ("до окончания договора"), либо условие ("до отзыва согласия" или "до закрытия спора"). Часто комбинируют: "срок договора + 3 года, но не менее 5 лет для бухгалтерии".
- Зафиксируйте начало отсчёта
- От события: расторжение договора, закрытие вакансии, последняя активность пользователя, закрытие инцидента и т. п.
- Установите буферы правовых рисков
- Для защиты прав — хранение минимально необходимого набора в пределах срока исковой давности (обычно 3 года), если это обоснованно и задокументировано.
- Включите сроки в документы и IT-процессы
- Политики, регламенты удаления, критерии в CRM/ECM/DWH, задачи на автоочистку, пометки "не для маркетинга" после отзыва согласия.
Типовые сроки по категориям данных (таблица)
Внимание: ниже — практические ориентиры. Всегда сверяйтесь с отраслевыми нормами и внутренним риск‑аппетитом. Сохраняйте только необходимый объём данных.
| Процесс/данные |
Цель |
Правовая основа |
Типовой срок хранения |
Основание/комментарий |
| Клиентский договор, ПДн для исполнения |
Исполнение договора, претензионная работа |
Договор, защита прав |
Срок договора + 3 года; отдельные первичные документы — 5 лет |
402‑ФЗ (5 лет), НК РФ (≥4 лет); минимизация набора после расторжения |
| Бухгалтерские и налоговые документы с ПДн |
Учёт и отчётность |
Закон |
≥5 лет |
ФЗ № 402‑ФЗ ст. 29; НК РФ |
| Маркетинговые рассылки (email/SMS) |
Персонализированный маркетинг |
Согласие |
До отзыва согласия; пересмотр актуальности каждые 12 месяцев |
Согласие отдельно на маркетинг; исключать из рассылок по первому требованию |
| Заявки с сайта, формы лидов |
Обратная связь, предложение услуг |
Договор до заключения, законный интерес при минимизации |
До закрытия запроса + 6–12 месяцев |
Учитывайте требования к сайту и cookie: см. требования к сайту, cookie и баннеры |
| Видеонаблюдение |
Безопасность, контроль доступа |
Законный интерес, локальные акты |
Обычно 30–90 дней; дольше при инцидентах |
Пропорциональность, ограничение доступа, автоудаление |
| Пропускной режим, журналы входов |
Обеспечение режима |
Законный интерес |
30–365 дней |
Внутренний регламент, учёт инцидентов |
| Резюме соискателей |
Подбор персонала |
Согласие либо договор до заключения |
До завершения подбора + 6 месяцев (при наличии согласия) |
При отказе — удалить по запросу; храните минимум |
| Табели учёта рабочего времени |
Учёт труда |
Закон |
Обычно 5 лет |
По перечням Росархива и требованиям учёта |
| Приказы по личному составу, личные дела |
Кадровый учёт |
Закон |
До 50/75 лет |
Архивные правила; возможна длительная сохранность |
| Медицинские карты (для медорганизаций) |
Охрана здоровья |
Закон |
5–25 лет |
По приказам Минздрава и отраслевым нормам |
| Биометрические ПДн |
Идентификация |
Согласие/закон |
До достижения цели или отзыва, далее — уничтожение |
Повышенные требования: см. биометрические ПДн |
![Жизненный цикл ПДн: сбор → использование → хранение → блокировка → обезличивание/уничтожение]
Как фиксировать сроки в документах
- Политика обработки ПДн. Опишите подход к срокам, принцип минимизации и порядок удаления — см. Политика обработки ПДн.
- Реестр операций и локальный регламент сроков и уничтожения. Утвердите перечень сроков по процессам и ролям, формы актов уничтожения — см. уничтожение и блокировка ПДн.
- Договоры с порученцами. Пропишите обязанности по срокам и удалению у операторов‑порученцев — см. поручение обработки ПДн.
- Публичные документы сайта. Уточните сроки в Политике конфиденциальности, баннерах cookie, формах согласия — см. документы для сайта.
- Уведомление в Роскомнадзор. При регистрации укажите категории, цели и общие сроки — см. уведомление в Роскомнадзор и реестр операторов.
Техническая реализация: блокировка, обезличивание, уничтожение
- Блокировка. Временное прекращение операций, кроме хранения, до проверки законности или по требованию субъекта. Реализуйте флаги «blocked», изоляцию записей и ограничение доступа. Подробно — меры безопасности ПДн.
- Обезличивание. Удаление идентификаторов, псевдонимизация, агрегирование, хеширование — см. обезличивание ПДн. После обезличивания срок хранения может быть иным, так как это уже не ПДн.
- Уничтожение. Безвозвратное удаление: безопасное стирание, крипто‑шредирование, физическое уничтожение носителей, акты о ликвидации. Учтите бэкапы и зеркала.
- ИСПДн и соответствие. Формализуйте требования в ИСПДн: сроки ретенции, политики ротации логов, DLP/SIEM-контроль. Смотрите ИСПДн: определение и требования, модель угроз, криптография/шифрование, требования ФСТЭК и ФСБ.
События-триггеры и законные продления
- Отзыв согласия. Если нет иных оснований — немедленно прекратите обработку и удалите/обезличьте данные. Закон допускает хранение минимального набора для защиты прав и отчётности.
- Окончание договора. Храним только минимально необходимое для учёта и возможных претензий в установленные законом сроки.
- Спор/проверка. При возникновении спора данные можно хранить до его разрешения (блокируя лишние операции), фиксируя правовое обоснование. Подробнее — прекращение обработки.
- Архивная ценность. Для отдельных кадровых документов действуют длительные сроки по архивному законодательству.
Контроль и доказательства соблюдения
- Реестр сроков и журнал событий. Ведите учёт дат начала/окончания сроков, блокировок, обезличивания и удаления с идентификаторами записей.
- Акты уничтожения. Унифицированные формы, согласование с ответственным за ПДн, подписание комиссией.
- Логи доступа и изменений. Храните логи в защищённом виде с ротацией.
- Внутренний контроль и обучение. Проводите регулярные проверки и обучение сотрудников — см. внутренний контроль и обучение.
- Аудит и готовность к проверкам. Подготовьте доказательную базу: регламенты, скриншоты настроек ретенции, выгрузки журналов — см. проверки Роскомнадзора и аудит соответствия.
- Ответственность. За нарушение сроков возможны штрафы по КоАП 13.11 и другие санкции: см. ответственность и штрафы.
Частые ошибки
- Не различают срок хранения и срок действия согласия, продолжают маркетинг без основания.
- Ставят бессрочное хранение «на всякий случай», нарушая принцип ограниченности из ст. 5.
- Не учитывают бэкапы: данные «удалены» из продакшна, но живут в резервных копиях без ротации.
- Не документируют сроки и акты удаления, нечего показать проверяющему.
- Дублируют ПДн в мессенджерах и почте без регламентов очистки.
- Не урегулированы отношения с подрядчиками, которые обрабатывают ПДн, — см. передача третьим лицам.
Короткий чек-лист внедрения
- Описать процессы и составить реестр ПДн с целями, основаниями, сроками.
- Сопоставить требования 152‑ФЗ и отраслевых законов, выбрать больший срок при конфликте.
- Установить типы сроков (календарные/событийные), точки старта и буферы рисков.
- Зафиксировать всё в Политике, регламенте удаления, договорах с порученцами.
- Настроить автоматизацию: теги, статусы, таймеры очистки, ротацию логов/бэкапов.
- Запустить цикл контроля: журналы, выборочные проверки, обучение персонала.
- Подготовить доказательства на случай запроса или проверки.
Итоги и следующий шаг
Сроки хранения и сроки обработки персональных данных 152 ФЗ — это управляемая часть комплаенса. Определите их для каждого процесса, закрепите в документах и автоматизируйте удаление. При этом учитывайте отраслевые нормы и реальные риски, корректируйте практику по мере изменений 2025.
Нужна помощь с матрицей сроков, регламентами и автоматизацией? Обратитесь к нашим экспертам:
Сделайте сроки прозрачными — и проверки пройдут спокойно, а данные будут в безопасности.