Акт уничтожения персональных данных: когда обязателен и как составить
Материал ПдПро
«Мы удалили клиента из базы» звучит убедительно, пока Роскомнадзор не спрашивает: «Чем подтверждается уничтожение?» Ответ «удалили» не подтверждение — с 2023 года форма подтверждения прописана отдельным приказом РКН, и нажатие Delete в CRM в неё не входит. Разберём, когда обязанность уничтожить данные возникает по закону, что должен содержать акт и какие ошибки чаще всего встречаются у малого бизнеса.
Когда возникает обязанность уничтожить данные
Статья 21 152-ФЗ называет три основных случая, когда оператор обязан не просто прекратить обработку, а уничтожить данные, и у каждого свой срок:
- Цель обработки достигнута — заказ выполнен, договор закрыт, а хранить данные дальше не требует ни закон, ни договор. Уничтожить нужно в срок не более 30 дней с даты достижения цели (ч. 4 ст. 21).
- Субъект отозвал согласие — и данные больше не нужны для целей обработки (например, других оснований для их хранения, помимо отозванного согласия, нет). Срок тот же — 30 дней с даты отзыва (ч. 5 ст. 21).
- Обработка признана неправомерной, и обеспечить её правомерность невозможно — например, данные собраны без основания и легализовать это задним числом нельзя. Здесь сроки короче: 3 рабочих дня на прекращение неправомерной обработки и 10 рабочих дней на уничтожение данных с момента выявления нарушения (ч. 3 ст. 21).
Близкий, но не тождественный случай — требование субъекта прекратить обработку его данных (ч. 5.1 ст. 21): здесь у оператора 10 рабочих дней на то, чтобы именно прекратить обработку. Прямого срока на уничтожение после такого требования закон не называет; по аналогии с отзывом согласия (ч. 5) разумно ориентироваться на те же 30 дней, если хранение данных больше не требуется ни по одному из оставшихся оснований.
Самый короткий срок стоит не в ст. 21, а в ст. 20 ч. 3: если субъект сам представил оператору сведения, подтверждающие, что его данные получены незаконно или не нужны для заявленной цели обработки, уничтожить их оператор обязан в срок не более 7 рабочих дней со дня представления таких сведений — и уведомить субъекта о принятых мерах.
Если уничтожить данные в эти сроки технически невозможно — например, они лежат в резервной копии, которую нельзя выборочно почистить, — закон разрешает вместо немедленного уничтожения заблокировать данные и уничтожить их не позднее чем за 6 месяцев (ч. 6 ст. 21). Заблокировать — не то же самое, что удалить: доступ к данным для текущей работы прекращается, но окончательное уничтожение всё равно нужно довести до конца.
Разница между сценариями практическая: если клиент просто отозвал согласие на рассылку, спешить некуда — 30 дней. Если данные вообще не должны были собираться, срок жёстче — 10 рабочих дней, а при сведениях от самого субъекта — 7.
Шаблон акта уничтожения — вместе с остальными обязательными документами оператора — входит в комплект ПдПро: 15 минут опроса по ИНН, 3 980 ₽, против штрафов до 300 тысяч за один только пропущенный срок.
Как подтверждается уничтожение: приказ РКН № 179
Часть 7 статьи 21 152-ФЗ отсылает к отдельным требованиям регулятора: «Подтверждение уничтожения персональных данных... осуществляется в соответствии с требованиями, установленными уполномоченным органом». Эти требования — приказ РКН от 28.10.2022 № 179, он действует с 01.03.2023 по 01.03.2029.
Состав подтверждения зависит от того, как обрабатывались данные:
- Без автоматизации (бумажные анкеты, журналы, папки) — единственный документ подтверждения: акт об уничтожении персональных данных.
- С автоматизацией (CRM, база данных, любая информационная система) — нужны два документа сразу: акт об уничтожении и выгрузка из журнала регистрации событий информационной системы.
- Смешанная обработка (часть данных на бумаге, часть в системе) — оба документа требуются одновременно, каждый на свою часть.
Если выгрузка из журнала не отражает какие-то из обязательных сведений — их дописывают прямо в акт (п. 6 приказа № 179). Акт можно оформить в электронном виде: подписанный электронной подписью по 63-ФЗ документ приравнивается к бумажному с собственноручной подписью.
Что обязательно должно быть в акте
Приказ № 179 задаёт закрытый перечень сведений для акта об уничтожении. Пропуск любого пункта делает документ формально неполным:
| № | Что указать |
|---|---|
| а | Наименование (юрлица) или ФИО (физлица) и адрес оператора |
| б | Наименование или ФИО, адрес лица, обрабатывающего данные по поручению оператора (если обработка поручена) |
| в | ФИО субъекта или иная информация, позволяющая его определить |
| г | ФИО, должность и подпись лиц, уничтоживших данные |
| д | Перечень категорий уничтоженных персональных данных |
| е | Наименование материального носителя и число листов (для бумажных документов) |
| ж | Наименование информационной системы, из которой удалены данные (для автоматизированной обработки) |
| з | Способ уничтожения |
| и | Причина уничтожения |
| к | Дата уничтожения |
Акт и (если применимо) выгрузка из журнала хранятся 3 года с момента уничтожения (п. 8 приказа № 179) — именно этими документами компания подтверждает свою правоту, если РКН через год спросит, куда делись данные конкретного клиента.
Типичные ошибки малого бизнеса
Актов нет вообще. Данные удаляют из CRM или рвут бумажную анкету, никак это не фиксируя. При проверке предъявить нечего: формально обязанность по ч. 7 ст. 21 не выполнена, даже если данные реально удалены.
«Удалили из CRM» вместо акта. Само удаление записи — правильное действие, но не подтверждение по закону. Для автоматизированной обработки нужны оба документа: акт и выгрузка из журнала событий системы. Если CRM вообще не ведёт журнал событий, это отдельная проблема с самой системой, а не повод пропустить документальное подтверждение.
Акт заведён один на все случаи. Приказ № 179 требует указывать конкретного субъекта (пункт «в»), конкретную дату и конкретную причину — общий акт «уничтожили старые данные» без привязки к человеку и дате этим требованиям не отвечает.
Путаница между блокированием и уничтожением. Заблокировали доступ к данным, отчитались как об уничтожении — а по ч. 6 ст. 21 блокирование лишь отсрочка: окончательное уничтожение и оформление акта всё равно нужны, максимум через 6 месяцев.
Все эти пробелы обычно всплывают, когда субъект персональных данных требует подтверждение уничтожения, а показать нечего. Если уничтожение не выполнено в срок по требованию субъекта или Роскомнадзора, состав идёт по ч. 5 ст. 13.11 КоАП — 20 000–40 000 ₽ для ИП, 50 000–90 000 ₽ для юрлиц, а при повторном нарушении по ч. 5.1 для юрлиц уже 300 000–500 000 ₽. Если же требований никто не предъявлял, но компания сама пропустила срок уничтожения по достижении цели обработки (ч. 4 ст. 21), продолжение хранения рискует квалифицироваться по общей ч. 1 ст. 13.11 — обработка, несовместимая с целями сбора, — а там вилка для юрлиц выше: 150 000–300 000 ₽ (полная таблица сумм — в статье «Штрафы за нарушение 152-ФЗ»).
Кто в компании должен следить, чтобы сроки уничтожения не пролетали мимо, а акты оформлялись, — как раз ответственный за организацию обработки ПД: внутренний контроль за соблюдением закона входит в его прямые обязанности.
Акт в комплекте документов
Акт уничтожения ПД входит в базовый пакет документов конструктора — с готовой структурой под все пункты приказа № 179, чтобы при уничтожении оставалось заполнить конкретные поля: кого, что, когда и почему. Он логично идёт в связке с формой отзыва согласия: отозвали согласие — запустили отсчёт 30 дней — оформили акт по итогу.
Частые вопросы
Нужен ли акт, если данные вообще не запрашивал субъект, а компания сама решила почистить старую базу? Да. Обязанность уничтожить данные по достижении цели (ч. 4 ст. 21) действует независимо от того, требовал ли этого кто-то, и подтверждается тем же актом по приказу № 179; основание в акте (пункт «и») — «достижение цели обработки». Штрафной состав в этом сценарии другой: не ч. 5 ст. 13.11 (она про невыполненное требование субъекта или органа), а общая ч. 1 — хранение данных, которые больше не нужны для целей сбора.
Можно ли подписать акт задним числом, если уничтожили данные раньше, а документ оформили позже? Нет — дата в акте (пункт «к») должна отражать реальную дату уничтожения. Если акт оформляется позже, разумнее указать фактическую дату уничтожения и зафиксировать, что документ составлен постфактум, чем задним числом подгонять даты.
У нас всего 5–10 клиентов, все данные на бумаге — приказ № 179 всё равно применяется? Да, требования не зависят от объёма обработки. Для обработки без автоматизации нужен только акт (без выгрузки из журнала, которая относится к информационным системам).
Итог
Обязанность уничтожить персональные данные возникает в нескольких случаях с разными сроками — достижение цели (30 дней), отзыв согласия (30 дней), неустранимая неправомерность обработки (10 рабочих дней), представленные субъектом сведения о незаконности или ненужности данных (7 рабочих дней по ст. 20 ч. 3) — и в каждом закон требует не факт удаления, а документ, оформленный по приказу РКН № 179: акт, а при автоматизированной обработке ещё и выгрузку из журнала событий. Без этих документов доказать выполнение обязанности при проверке нечем. Готовый шаблон акта под требования приказа № 179 собирает конструктор документов вместе с остальным пакетом; полный список того, что нужно бизнесу по 152-ФЗ, — в перечне документов.