Уничтожение персональных данных: сроки, способы и акт

Уничтожить персональные данные — это не просто удалить строку из базы. Они лежат в основной системе, в копиях, в журналах, в файлах выгрузок, у подрядчиков и на бумаге, а закон устанавливает точные сроки и требует подтверждения. Ниже сроки по статье 21 152-ФЗ, технический порядок для небольшой ИТ-инфраструктуры и перечень документов, которые стоит сохранить.

Оговорка. Статья не юридическая консультация. Сроки сверены по тексту 152-ФЗ с изменениями, внесёнными в том числе законом от 14.07.2022 № 266-ФЗ; закон меняется, проверяйте действующую редакцию: текст закона. Требования к подтверждению уничтожения устанавливает Роскомнадзор (в методике Группы Сбер они названы как приказ Роскомнадзора № 179): точную форму акта и состав подтверждающих документов берите из текста приказа. Структура процесса соответствует областям контроля в методике Группы Сбер (источник), мы пересказываем её своими словами.

Когда данные нужно уничтожить

Основание	Срок	Статья 152-ФЗ
Достигнута цель обработки и нет иных оснований обрабатывать	Не более 30 дней с даты достижения цели, если договор или другое соглашение либо закон не предусматривают иное	21, часть 4
Субъект отозвал согласие и данные больше не нужны	Не более 30 дней с даты поступления отзыва, если иное не предусмотрено договором или законом	21, часть 5
Выявлена неправомерная обработка, правомерность обеспечить невозможно	Не более 10 рабочих дней с даты выявления	21, часть 3
Нет возможности уничтожить в указанные сроки	Блокирование данных и уничтожение не позднее чем через 6 месяцев, если иной срок не установлен законом	21, часть 6

Подтверждение уничтожения в этих случаях осуществляется по требованиям Роскомнадзора (часть 7 статьи 21). Об остальных сроках и запросах субъектов: запросы субъектов ПДн.

Что нужно знать до начала

Где лежат данные. Без перечня систем с ПДн и их владельцев процесс невозможен: чек-лист оператора ПДн.
Сроки хранения. Для каждой категории данных определите, сколько и на каком основании они хранятся: закон, договор, цель обработки. Часть данных нельзя уничтожать раньше срока (бухгалтерские, кадровые документы).
Кто делает. Назначьте исполнителя и контролёра, чтобы одно лицо не уничтожало и не подтверждало.

Шаг 1. Определите объём

Для каждого случая запишите, чьи данные, какие, где хранятся и по какому основанию уничтожаются. Проверьте, нет ли оснований продолжать обработку (договор, закон о хранении, судебные споры). Если есть, уничтожается только то, что не требуется для этих целей, и это записывается.

Шаг 2. Заблокируйте, если нужно время

Если вы не успеваете уничтожить данные в срок (например, они в копиях, которые перезаписываются по циклу), закон требует блокировать их и уничтожить не позднее чем через шесть месяцев. Блокирование означает, что данные не используются и не передаются, доступ закрыт, а запись о блокировании сделана. Заведите отметку в системе или отдельный перечень заблокированных записей.

Шаг 3. Уничтожьте во всех местах

Где	Как
Основная база данных	Удаление записей по запросу, проверка связанных таблиц и журналов приложения; для таблиц без возможности удаления — обезличивание, если оно необратимо и соответствует требованиям
Файлы, выгрузки, каталоги	Поиск по имени и содержимому, удаление; проверка корзин, сетевых папок и мест, куда сотрудники выгружали списки
Резервные копии	Данные уходят вместе с истечением срока хранения копий. До этого блокируйте, ограничьте восстановление и записывайте процесс; не восстанавливайте уничтоженные данные из старой копии без повторного удаления
Журналы и мониторинг	Сократите срок хранения журналов с ПДн, где возможно; фильтруйте данные при записи: сбор логов
Почта и мессенджеры	Поиск и удаление в почтовых ящиках и архивах по правилам вашей организации
Подрядчики по поручению	Письменное требование уничтожить и получить подтверждение; срок в договоре поручения
Бумажные носители	Уничтожение измельчением или сжиганием с актом, не мусорной корзиной
Съёмные и списываемые носители	Стирание или физическое уничтожение носителя, акт на списание

Технические особенности

Обычное удаление файла не стирает содержимое блоков. Пока носитель остаётся в эксплуатации, этого достаточно только при условии, что доступ к нему защищён; при списании носитель стирают или уничтожают физически.
На SSD и в виртуальных дисках перезапись отдельных файлов утилитами вроде shred ненадёжна: контроллер переносит блоки. Для таких носителей надёжнее шифрование диска с уничтожением ключа или специальные команды стирания носителя.
База данных: после DELETE данные могут оставаться в файлах и журналах транзакций до их перезаписи. Продумайте регламент очистки и сроки хранения журналов.
Репликация и кэши: убедитесь, что данные исчезли из реплик, кэшей, поисковых индексов и аналитических копий.

Пример поиска оставшихся упоминаний в каталогах выгрузок (адаптируйте путь и образец, выполняйте от пользователя с нужными правами, результат проверяйте вручную):

grep -rIl "ИВАНОВ_ИВАН" /srv/exports /home/shared 2>/dev/null

Ожидаемый результат: список файлов, где встречается образец; после уничтожения команда ничего не выводит. Команда ищет только текстовые файлы и не заменяет проверку баз данных и копий.

Шаг 4. Подтвердите уничтожение

Подтверждение — документальное: оно должно показать, что, когда, кем и как было уничтожено. Состав и форма определяются требованиями Роскомнадзора к подтверждению уничтожения; ориентируйтесь на текст приказа. Как правило, собирают:

акт об уничтожении: основание, перечень данных или носителей, способ, дата, исполнитель и ответственные лица;
для данных в информационных системах: подтверждение действий в системе, например выгрузку записи из журнала событий;
письмо или акт подрядчика, если уничтожение выполнял он;
уведомление субъекту об уничтожении, если оно требуется по обращению (статья 21, часть 3).

Храните документы в течение срока, определённого вашими правилами и требованиями, и держите связь между обращением, актом и подтверждением.

Регламент и ответственность

Утвердите порядок уничтожения как локальный акт: основания, сроки, исполнители, способы, формы актов.
Включите в договоры с подрядчиками обязанность уничтожить данные и подтвердить это.
Раз в год проверяйте выборочно: есть ли в системах данные, срок обработки которых закончился.
Штрафы за нарушения при обработке персональных данных: размеры штрафов.

Диагностика

Симптом	Причина и что делать
Данные «оживают» после восстановления из копии	Не учтены копии. Ведите перечень уничтоженных записей и повторяйте удаление после восстановления
Невозможно удалить из-за связей в базе	Архитектура не предусматривает удаления. Введите обезличивание и пересмотрите схему для новых систем
Подрядчик не подтверждает уничтожение	Нет обязанности в договоре. Дополните поручение, запросите акт письменно
Сроки хранения никто не определил	Составьте перечень категорий данных с основаниями и сроками, утвердите

Где это в моделях

Материал продолжает раздел «Регуляторика ПДн» и относится к направлению «Безопасность данных» (карта: карта зрелости, самопроверка оператора ПДн). Уничтожение, блокирование и прекращение обработки — отдельная область контроля в методике Группы Сбер.

Как проверить

Для каждой категории ПДн определены срок хранения и основание; есть утверждённый порядок уничтожения.
Последние два случая уничтожения имеют акт и подтверждение, сроки не нарушены.
Известно, как данные уходят из копий и журналов, и это записано.
В договорах с подрядчиками есть обязанность уничтожить данные и подтвердить это.

Источники

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статья 21: КонсультантПлюс, Гарант. Проверяйте действующую редакцию.
Требования к подтверждению уничтожения персональных данных, приказ Роскомнадзора (в методике Группы Сбер указан номер 179): текст ищите на официальном портале правовой информации и сайте Роскомнадзора, форму акта берите из него.
Методика осуществления контроля соблюдения фокусными компаниями законодательства РФ в области персональных данных, Группа Сбер: sberbank.ru.