В 2026 году требования к хранению персональных данных на сайте продолжают проверять при жалобах и плановых проверках Роскомнадзора. Закон не задаёт единый срок хранения для всех случаев - оператор определяет его сам исходя из цели обработки и фиксирует в политике конфиденциальности. Ниже - как правильно установить и обосновать сроки, а также что делать, когда они истекли.
Коротко
- Единого срока хранения персональных данных закон не устанавливает - он зависит от цели обработки.
- Срок определяет сам оператор и прописывает его в политике конфиденциальности.
- Данные нельзя хранить дольше, чем это необходимо для целей обработки.
- По истечении срока данные нужно удалить или обезличить.
- Отсутствие сроков хранения в политике - частое основание для претензий при проверке.
Принцип ограничения срока хранения по цели обработки
По общему принципу ст.5 152-ФЗ обработка персональных данных должна ограничиваться достижением конкретных, заранее определённых и законных целей. Хранение не должно продолжаться дольше, чем этого требует цель обработки, - если цель достигнута или отпала необходимость её достижения, дальнейшее хранение данных становится неправомерным.
Это значит, что срок хранения нельзя устанавливать произвольно "на всякий случай" или бессрочно. Для каждой категории данных и каждой цели обработки нужно определить собственный срок либо событие, с наступлением которого хранение прекращается.
| Цель обработки | Ориентир для срока хранения |
|---|---|
| Обратная связь через форму на сайте | До завершения обработки обращения плюс разумный срок на случай повторных вопросов |
| Оформление заказа, договор | Срок действия договора и период, установленный для хранения бухгалтерских и налоговых документов |
| Рассылка новостей и предложений | До отзыва согласия на рассылку |
| Cookie и аналитика поведения на сайте | Срок действия конкретного cookie-файла, указанный в политике использования cookie |
| Регистрация личного кабинета | Период активного использования аккаунта плюс срок, согласованный с пользователем на случай возврата |
Кто определяет срок хранения - сам оператор
Закон возлагает эту задачу на оператора: именно он анализирует, для чего собираются данные, и устанавливает соразмерный срок хранения для каждой цели или категории данных. Готового перечня "срок хранения email - столько-то лет" в 152-ФЗ нет - оператор обязан обосновать выбранный период самостоятельно.
Определённый срок (или порядок его определения) обязательно фиксируется в политике обработки персональных данных, которая должна быть доступна на сайте, - того требует ст.18.1 152-ФЗ, обязывающая оператора подтверждать соответствие обработки данных требованиям закона, в том числе публикацией политики.
При выборе срока стоит опираться на:
- цель обработки, указанную в согласии пользователя;
- требования отраслевого законодательства (бухгалтерского, налогового, архивного), если оно применимо к конкретным данным;
- условия договора с пользователем, если данные собираются в его рамках;
- факт отзыва согласия - с этого момента дальнейшее хранение, как правило, теряет законное основание.
Что делать по истечении срока - удалить или обезличить
Ст.21 ч.4 152-ФЗ обязывает оператора уничтожить персональные данные (или обеспечить их уничтожение) в срок, не превышающий тридцати дней с даты достижения цели обработки, если иное не предусмотрено договором, законом или согласием субъекта данных. Эта же логика применяется и при истечении установленного оператором срока хранения.
Уничтожение - не единственный вариант. Если данные нужны для статистики, аналитики или иных задач, где идентификация конкретного человека не требуется, их можно обезличить: удалить или заменить сведения, позволяющие установить личность, сохранив только обобщённые показатели.
На практике порядок действий по истечении срока такой:
- Зафиксировать факт наступления события, прекращающего обработку (истёк срок, отозвано согласие, достигнута цель).
- Определить, нужны ли данные в обезличенном виде для иных законных целей.
- Уничтожить данные или провести обезличивание.
- Составить акт об уничтожении персональных данных - документ, подтверждающий выполнение требования закона.
- Уведомить субъекта данных об уничтожении, если это предусмотрено договором или отдельным запросом.
Отсутствие акта об уничтожении - типичная придирка при проверке: оператор может утверждать, что данные удалены, но подтвердить это документально не может.
Что проверить у себя на сайте
- Указаны ли в политике конфиденциальности сроки хранения по каждой цели обработки (или порядок их определения).
- Соответствуют ли заявленные сроки реальной практике - данные не хранятся дольше, чем указано.
- Есть ли механизм, который напоминает об истечении срока хранения для конкретных данных.
- Настроено ли автоматическое удаление или архивирование неактуальных данных в базе и CRM.
- Прописан ли порядок действий при отзыве согласия - в том числе срок уничтожения данных.
- Учтены ли сроки хранения cookie-файлов в баннере и политике cookie.
- Составляются ли акты об уничтожении персональных данных при их удалении.
- Хранятся ли резервные копии с персональными данными дольше основного срока и учтено ли это в политике.
- Проверено ли, не хранятся ли данные бывших клиентов или сотрудников без действующего основания.
Частые вопросы
Можно ли установить единый срок хранения для всех данных на сайте?
Формально да, если этот срок обоснован и достаточен для всех целей обработки, заявленных на сайте. Но чаще сроки различаются: для формы обратной связи один срок, для договорных отношений - другой, поэтому в политике удобнее указывать сроки по категориям данных или целям.
Что будет, если срок хранения не указан в политике вообще?
Это нарушение требований к содержанию политики обработки персональных данных и один из частых поводов для предписания при проверке. Ответственность за нарушение порядка обработки данных предусмотрена ч.1 ст.13.11 КоАП - штраф для юридических лиц от 10 000 до 30 000 рублей.
Нужно ли уничтожать данные сразу после отзыва согласия?
Да, если нет другого законного основания для хранения (например, действующего договора или требований отраслевого законодательства). Срок на уничтожение - до тридцати дней с момента, когда обработка данных без согласия стала неправомерной.
Обезличивание заменяет уничтожение данных?
Может заменять, если цель, ради которой велась обработка, больше не требует идентификации конкретного человека, а сами данные нужны в обобщённом виде - например, для статистики посещаемости сайта.
Как подтвердить, что данные действительно удалены?
Составить акт об уничтожении персональных данных с указанием, какие данные, когда и каким способом уничтожены. Это стандартная практика, которую спрашивают при проверках.
Разобраться со сроками хранения проще, когда под рукой готовый набор документов и понятная структура политики. В комплекте на /documents есть акт об уничтожении персональных данных и другие шаблоны, которые помогают привести обработку данных на сайте в порядок.