Уничтожение персональных данных с сайта: сроки, акт, копии

Уничтожение персональных данных по закону означает одно: после ваших действий восстановить запись нельзя. Так написано в пункте 8 статьи 3 закона 152-ФЗ. Уничтожать нужно вУничтожить нужно в три случая:nbsp;трёх случаях: человек отозвал согласие, цель обработки достигнута, обработка оказалась незаконной. Сроки жёсткие: 30 дней в первых двух случаях и 10 рабочих дней в третьем. Факт уничтожения подтверждается актом, а если данные лежали в программах, ещё и выгрузкой из журнала событий. Оба документа хранятся три года.

Юридическая часть на этом почти заканчивается, а практическая только начинается. Все статьи из верхней части выдачи написаны про кадровый архив: личные дела, шредер, комиссия из трёх человек. У компании с сайтом всё устроено иначе. Одна заявка из формы расходится по восьми-девяти местам, и человек, который требует удалить его данные, требует удалить их отовсюду. Ниже карта этих мест, сроки, разбор бэкапов и заполненный акт под заявку с сайта.

Одна заявка, девять копий

Возьмём обычный сайт услуг: форма обратного звонка, заявки уходят на почту и в CRM, менеджерам прилетает уведомление в мессенджер, на сайте стоит Метрика с Вебвизором. Человек вписал имя и телефон. Через час его данные лежат здесь:

Самые упрямые строки в этой таблице - почта и таблицы. CRM и база сайта управляются из одного интерфейса, там заявку можно найти поиском по телефону за минуту. Письмо-уведомление ушло трём адресатам, один переслал его руководителю, руководитель скачал сводку за квартал в Excel и положил на общий диск. Ни одна из этих копий не связана с другими, и про каждую знает только тот, кто её сделал.

Мессенджер из строки четыре несёт ещё один риск, кроме удаления. Если бот пишет заявки в зарубежный сервис, копия данных россиян первым делом записывается за пределами страны, а это отдельное нарушение требования о локализации. Удалить такую копию вы можете только со своей стороны, что остаётся на серверах сервиса, вы не контролируете.

Отсюда первый практический вывод. Уничтожение начинается задолго до первого требования: с карты точек сбора и хранения, где каждое место записано, у каждого есть человек, который умеет там удалять, и понятно, как это проверить. Без карты 30 дней уходят на поиски, и копия в чьей-то почте всё равно остаётся.

Когда уничтожать и в какие сроки

Статья 21 закона 152-ФЗ перечисляет поводы, и у каждого свой срок. Для сайта из них реально случаются пять.

Человек отозвал согласие. Часть 5: прекратить обработку и уничтожить данные в течение 30 дней с даты, когда отзыв поступил. Исключение одно, и оно важное: если с человеком заключён договор или у вас есть другое законное основание обрабатывать данные без согласия, отзыв согласия договорные данные не обнуляет. Человек, который оставил заявку и пропал, под исключение не попадает.

Цель обработки достигнута. Часть 4: те же 30 дней, но отсчёт идёт от даты достижения цели, и никто вам о ней не напомнит. Это самый недооценённый повод. Заявке перезвонили, человек отказался - цель, ради которой брали телефон, достигнута. Дальше данные лежат без основания, если в согласии и политике не указан срок хранения для этой цели.

Человек потребовал прекратить обработку. Часть 5.1: 10 рабочих дней, срок можно продлить ещё на 5, если направить человеку мотивированное уведомление. Эта норма про прекращение обработки, уничтожение она прямо не требует. На практике такое письмо почти всегда приходит вместе с отзывом согласия, и тогда работает часть 5.

Обработка оказалась незаконной. Часть 3: прекратить в течение 3 рабочих дней с даты выявления, а если сделать обработку законной нельзя, уничтожить в течение 10 рабочих дней. Типичный случай для сайта: форма полгода работала без флажка согласия, и это выяснилось при проверке. Задним числом согласие не возьмёшь, значит, заявки за эти полгода, по которым нет другого основания, подлежат уничтожению. Об устранении нарушения нужно уведомить человека, а если нарушение нашёл Роскомнадзор, то и его.

Уничтожить в срок технически нельзя. Часть 6: данные блокируются, то есть перестают использоваться, и уничтожаются в срок не больше шести месяцев, если другой срок не установлен федеральным законом. На этой норме держится вся история с бэкапами.

За неисполнение требования человека или Роскомнадзора об уточнении, блокировании или уничтожении часть 5 статьи 13.11 КоАП даёт компании от 50 до 90 тысяч рублей, при повторе от 300 до 500 тысяч. Если же данные просто лежат годами после достижения цели, проверяющий может квалифицировать это как обработку без основания по части 1, а это уже 150-300 тысяч. Как эти суммы складываются на одном сайте, разобрано в статье про штрафы.

Сколько хранить заявку, если никто не просил удалить

Часть 7 статьи 5 говорит общими словами: хранить не дольше, чем требуют цели, а по достижении целей уничтожить или обезличить. Цифры в законе нет намеренно: срок выбирает оператор и сам отвечает за то, чтобы он был разумным.

Отсюда самая частая ошибка в политиках, сгенерированных по шаблону: "данные хранятся до отзыва согласия". Для формы обратного звонка это означает бессрочно, потому что почти никто согласие не отзывает. Цель при этом достигнута в день звонка. Формулировка и цель противоречат друг другу, а проверяющий читает именно цель.

Рабочая схема строится от того, что с заявкой происходит дальше:

• заявка без продолжения: человек не ответил или отказался. Срок короткий и конкретный, например несколько месяцев, чтобы успеть разобрать повторные обращения и споры о качестве сервиса. Главное, чтобы цифра была в политике и в тексте согласия и вы могли объяснить, откуда она;
• заявка стала договором: данные переходят в другую цель, исполнение договора, и живут по её срокам. Первичные бухгалтерские документы по статье 29 закона 402-ФЗ хранятся не меньше пяти лет, и согласие для этого уже не нужно;
• человек подписался на рассылку: это отдельная цель со своим отдельным согласием, живёт до отписки плюс время на её обработку.

Выбранные сроки превращаются в календарь. Раз в месяц ответственный фильтрует CRM и базу сайта по дате и статусу, удаляет всё, у чего срок вышел, и оформляет один акт на всю партию. Закон не требует составлять акт на каждого человека отдельно, в акте перечисляются субъекты, чьи данные уничтожены, и их может быть много.

Корзина и бэкап: что закон считает уничтожением

Определение из статьи 3 стоит перечитать медленно: действия, в результате которых невозможно восстановить содержание данных. Из него следуют три неудобных вывода.

Корзина не считается. В большинстве CRM и почтовых сервисов удалённое сначала попадает в корзину и живёт там неделями, пока его не очистят или не сработает автоочистка. Пока запись можно вернуть одной кнопкой, данные не уничтожены. Процедура должна включать второй шаг: очистка корзины или ожидание автоочистки с фиксацией даты.

Архивация тоже не считается. Статус "архив" в CRM, скрытая сделка, перемещённая в отдельную папку переписка - данные остаются доступны, их видит любой сотрудник с правами. Для закона это продолжение хранения.

Обезличивание считается альтернативой, но только настоящее. Часть 7 статьи 5 разрешает по достижении цели либо уничтожить данные, либо обезличить. Если вам нужна статистика по заявкам за год, можно стереть имя, телефон и почту, оставив дату, источник и услугу. Замена телефона на +7 999 *--12 обезличиванием не будет, если по остатку, дате и тексту комментария человека можно узнать.

Что из этого видно снаружи

Часть проблем с уничтожением закладывается на самом сайте, и её видно без доступа к вашей CRM. Именно это проверяет бесплатная проверка сайта по 152-ФЗ в SEENGO: опубликована ли политика, есть ли у форм отдельный пустой флажок согласия, какие зарубежные сервисы грузятся на страницах. Последний пункт напрямую связан с темой статьи: каждый зарубежный скрипт, который видит форму, это ещё одна копия, до которой ваша процедура уничтожения не дотянется.

Оценка приходит сразу и без регистрации, пояснения к каждому найденному нарушению со ссылкой на статью и еженедельная перепроверка доступны бесплатно в кабинете после регистрации. Граница у проверки честная: что лежит в вашей почте, CRM и бэкапах, снаружи не видно никому, и эту часть закрывает карта из первого раздела и порядок из последнего.

Акт об уничтожении: заполненный образец для заявок с сайта

Требования к подтверждению уничтожения утверждены приказом Роскомнадзора от 28.10.2022 № 179. Приказ действует с 1 марта 2023 года до 1 марта 2029 года. Если данные обрабатывались только на бумаге, достаточно акта. Если в программах или смешанно, а заявки с сайта всегда обрабатываются в программах, нужны акт и выгрузка из журнала регистрации событий.

Пункт 3 приказа перечисляет, что должно быть в акте. Ниже он заполнен под ежемесячную чистку заявок условной компании. Названия и фамилии выдуманы, структура взята из приказа пункт в пункт.

Акт об уничтожении персональных данных № 9/2026

Оператор: ООО "Северный берег", ИНН 0000000000, 190000, Санкт-Петербург, ул. Примерная, д. 1.

Лицо, которое обрабатывало данные по поручению оператора: не привлекалось. Если бы уничтожение выполнял подрядчик, здесь стояли бы его наименование и адрес.

Субъекты, чьи данные уничтожены: 47 человек, оставивших заявки через форму обратного звонка на сайте с 01.06.2026 по 30.06.2026, по которым договор не заключён. Перечень с номерами заявок и именами в том виде, в каком их указали люди, приведён в приложении 1.

Категории уничтоженных данных: имя, номер телефона, адрес электронной почты, текст комментария к заявке.

Информационные системы: база заявок сайта, CRM, корпоративная почта (ящики трёх получателей уведомлений), рабочий чат менеджеров.

Способ уничтожения: удаление записей средствами каждой системы с последующей очисткой корзины; в резервных копиях данные заблокированы и будут удалены при плановой ротации не позднее 31.12.2026.

Причина: достижение цели обработки (часть 4 статьи 21 закона 152-ФЗ), истёк срок хранения, установленный политикой.

Дата уничтожения: 15.09.2026.

Уничтожение выполнили: Иванова Мария Сергеевна, руководитель отдела продаж, подпись; Петров Олег Андреевич, системный администратор, подпись.

Две детали в этом образце важнее остальных. Первая: у людей из формы часто есть только имя и телефон, фамилии нет. Приказ требует сведения, которые позволяют понять, чьи данные уничтожены, и номер заявки с именем эту задачу решает. Выдумывать фамилии ради полноты граф не нужно. Вторая: в акте перечислены все системы, в которых лежала заявка. Акт с одной строкой "удалено из CRM", когда письмо с той же заявкой лежит у менеджера в почте, работает против вас: он фиксирует, что про почту забыли.

Акт можно вести в электронном виде: по пункту 4 приказа подписанный электронной подписью акт равнозначен бумажному.

Выгрузка из журнала, когда журнала нет

Пункт 5 приказа требует, чтобы выгрузка из журнала регистрации событий показывала, чьи данные уничтожены, какие категории, в какой системе, по какой причине и когда. В большой информационной системе такой журнал есть. У конструктора сайтов, недорогой CRM или почтового ящика его часто нет совсем, или он пишет только "пользователь такой-то удалил объект".

На этот случай в приказе есть пункт 6: если выгрузка не позволяет указать отдельные сведения, недостающее вносится в акт. На практике это выглядит так. Перед удалением делается выгрузка удаляемых записей: номера заявок, даты, категории данных. После удаления сохраняется то, что даёт система: строки журнала действий CRM, скриншот пустой корзины с датой, отчёт об удалении из базы сайта. Всё вместе прикладывается к акту, а то, чего не показывает ни одна система, например причина уничтожения, пишется в самом акте.

Здесь легко ошибиться в обратную сторону. Выгрузка перед удалением сама содержит персональные данные. Если её сохранить в папку с актами в полном виде, вы получите новую копию тех самых данных, которые только что уничтожили, и будете хранить её три года. В приложение к акту кладётся минимум, который позволяет понять, о ком речь: номер заявки и имя. Телефон, почта и текст комментария туда не нужны.

Порядок уничтожения персональных данных в компании

Всё выше превращается в процедуру один раз, в положении об обработке персональных данных или в отдельном регламенте. Статья 18.1 требует от оператора локальные акты по вопросам обработки, и порядок уничтожения входит в них естественно. Хватает одной-двух страниц, если в них есть:

1. Перечень мест хранения с ответственным за каждое. Это та же карта из первого раздела, только с фамилиями.
2. Сроки хранения по целям, совпадающие с политикой и текстом согласия. Три документа с тремя разными сроками дают проверяющему готовое нарушение.
3. Периодичность плановой чистки и кто её делает.
4. Порядок работы с требованием человека: кто принимает письмо, кто удаляет, кто отвечает, в какие сроки. Письмо об удалении должно попадать к человеку, назначенному ответственным за организацию обработки. В общем ящике оно пролежит до конца срока.
5. Правило для бэкапов: срок жизни копий и порядок повторного удаления после восстановления.
6. Форма акта и место, где акты и выгрузки хранятся три года.

Про комиссию. Почти все образцы в сети начинаются с приказа о создании комиссии по уничтожению из трёх человек с председателем. Приказ Роскомнадзора № 179 комиссию не упоминает: он требует фамилии, должности и подписи тех, кто уничтожил данные. Комиссия пришла из архивного дела, где уничтожают бумажные документы по описям. Если вам удобно, заведите её. Но если вы записали комиссию в своё положение, акт без её подписей нарушит уже ваш собственный документ, и проверяющий это увидит. Пишите в положение ту процедуру, которую действительно будете выполнять каждый месяц.

Последний пункт про подрядчиков. Если заявки хранит CRM-сервис, конструктор или агентство, они обрабатывают данные по вашему поручению, а уничтожение остаётся вашей обязанностью. В договоре с каждым стоит прописать, что подрядчик удаляет данные по вашему запросу в срок, который укладывается в ваши 30 дней, и подтверждает это документом. Иначе акт придётся подписывать, не зная, что на самом деле произошло на чужом сервере.

Источники

• Статья 3 закона 152-ФЗ: определения уничтожения, блокирования и обезличивания.
• Статья 21 закона 152-ФЗ: поводы и сроки уничтожения, редакция от 26.07.2026, сверено 23 сентября 2026 года.
• Приказ Роскомнадзора от 28.10.2022 № 179: требования к акту и выгрузке из журнала, срок хранения три года.
• Статья 13.11 КоАП: части 1 и 5, суммы с 30 мая 2025 года.
• Требования и ограничения Вебвизора: срок хранения записей и маскирование полей.