Сроки хранения персональных данных: как определить, закрепить и контролировать по процессам

Полное практическое руководство для операторов ПДн в России — от закона до автоматизации

Почему сроки хранения — это не бюрократия, а управление риском

Большинство компаний, которые всерьёз занялись соответствием требованиям 152-ФЗ, прорабатывают согласия, политику обработки, меры защиты. Но тема сроков хранения нередко остаётся в слепой зоне. Кажется, что это технический вопрос кадрового делопроизводства — "написали в политике '3 года' и готово".

На практике всё сложнее. В типичной компании среднего размера ПДн хранятся в десятках мест: CRM, 1С, Active Directory, почта, файловые серверы, базы данных разработки, архивы. Каждая система имеет собственный жизненный цикл. Данные копируются при интеграциях, мигрируют при апгрейдах, оседают в резервных копиях. И когда приходит проверка Роскомнадзора или, что хуже, инцидент с утечкой — выясняется, что срок хранения истёк два года назад, а данные всё ещё там.

Это не гипотетическая ситуация. По данным Роскомнадзора, за 2024 год в России зафиксировано 135 официально подтверждённых утечек персональных данных [1]. Реальное число инцидентов, по оценкам экспертного сообщества, значительно выше. В первом полугодии 2024 года страна заняла второе место в мире по объёму скомпрометированных записей ПДн [2].

Регулятор реагирует ужесточением ответственности. С 30 мая 2025 года вступили в силу поправки в КоАП и УК, изменившие ландшафт санкций настолько кардинально, что сравнение "до и после" поражает [3]. Именно в этом контексте грамотное управление сроками хранения перестаёт быть вопросом документооборота и становится частью корпоративного риск-менеджмента.

Эта статья — для тех, кто хочет разобраться в теме основательно: понять, откуда берутся сроки, как их закрепить внутри компании, как выстроить контроль и что делать, когда срок истекает.

Часть 1. Правовая основа: что говорит законодательство

Принцип ограничения хранения — базовый, но не абсолютный

Фундаментальное правило сформулировано в ч. 7 ст. 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»: хранение ПДн должно осуществляться не дольше, чем этого требуют цели обработки [4]. По достижении целей или при утрате необходимости в их достижении данные подлежат уничтожению или обезличиванию, если иное не предусмотрено федеральным законом.

Это ключевая оговорка — "если иное не предусмотрено федеральным законом". Она создаёт сложную многоуровневую систему, в которой оператор не всегда волен самостоятельно определять сроки. Источников для определения срока хранения несколько, и они имеют разный правовой статус:

Первый источник — цель обработки. Если нет специального закона или договора, срок определяется исключительно целью. Данные потенциального клиента, оставившего заявку, хранятся столько, сколько актуальна эта заявка. Данные участника вебинара — до момента, когда мероприятие прошло и дальнейшая связь не нужна.

Второй источник — федеральное законодательство. Здесь сроки могут быть прямо установлены и иметь приоритет над волей оператора. Налоговый кодекс обязывает хранить документы, подтверждающие расходы, не менее 5 лет [4]. Трудовое законодательство и архивные нормы устанавливают сроки для кадровых документов — в ряде случаев 50 или 75 лет [5].

Третий источник — договор. Если субъект ПДн является стороной, выгодоприобретателем или поручителем по договору, срок хранения может быть закреплён в этом документе.

Четвёртый источник — согласие субъекта. С 1 сентября 2025 года согласие на обработку ПДн должно оформляться в виде отдельного документа, не смешиваясь с пользовательским соглашением или договором [6]. В согласии обязательно указывается срок его действия и, соответственно, срок хранения данных. Важно понимать: срок действия согласия и срок хранения самих данных — разные вещи. Согласие на обработку хранится 3 года после истечения его срока действия или после его отзыва [7].

Нормативная база по видам данных: таблица ключевых сроков

Разобраться в конкретных сроках помогает Перечень типовых управленческих архивных документов, утверждённый приказом Росархива от 20.12.2019 № 236 [5]. Это основной документ для всех организаций независимо от формы собственности. Дополнительно — Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле», ст. 22.1 которого регулирует документы по личному составу [8].

Вот ориентировочная карта сроков для наиболее распространённых категорий:

Трудовые договоры и дополнительные соглашения: 50 лет (если оформлены с 2003 года) или 75 лет (если до 2003 года). Это норма ст. 22.1 Закона об архивном деле.

Личные карточки, личные дела работников: 50 или 75 лет в зависимости от даты оформления, согласно тому же источнику [8].

Приказы о приёме, переводе, увольнении, премировании: 50 или 75 лет.

Приказы об отпусках, командировках, дисциплинарных взысканиях: 5 лет [9].

Штатные расписания: 75 лет [9].

Графики отпусков: 3 года [9].

Согласия субъектов на обработку ПДн: 3 года после истечения срока действия или отзыва [7].

Журналы аудита и учёта операций с ПДн: 3 года после окончания работы с документами [10].

Данные клиентов в CRM (без договорной основы): определяются целью и согласием, обычно от нескольких месяцев до нескольких лет.

Данные кандидатов на вакансии (не принятых): как правило, не дольше срока принятия решения по вакансии, если иное не согласовано.

Медицинские данные сотрудников: регулируются отраслевыми нормами Минздрава и могут достигать 25–30 лет.

Важное замечание: сроки хранения ПДн в информационных системах должны соответствовать срокам хранения на бумажных носителях — эта позиция прямо отражена в политике обработки данных Роскомнадзора [11]. Электронные данные не "живут дольше" только потому, что их проще хранить.

Свежие изменения законодательства: что изменилось в 2024–2025 годах

Нормативная среда за последние два года претерпела существенные изменения, и их нельзя игнорировать.

Федеральный закон от 30.11.2024 № 420-ФЗ с 30 мая 2025 года кратно повысил административные штрафы [3]. Теперь за неправомерную обработку ПДн организациям грозит до 500 млн руб. при крупных утечках. За неуведомление Роскомнадзора о намерении обрабатывать данные штраф для компаний составляет от 100 тыс. до 300 тыс. руб. За неуведомление об утечке — от 1 млн до 3 млн руб. [3].

Федеральный закон от 30.11.2024 № 421-ФЗ ввёл в УК РФ новую статью 272.1, устанавливающую уголовную ответственность за неправомерное обращение с ПДн — вплоть до 10 лет лишения свободы [3].

Федеральный закон от 08.08.2024 № 233-ФЗ с 1 сентября 2025 года вводит обязанность операторов передавать обезличенные данные в государственную систему по запросам Минцифры [12].

С 1 сентября 2025 года вступает в силу также требование об оформлении согласия на обработку ПДн в виде отдельного документа — не смешанного с договором или пользовательским соглашением [6].

Постановление Правительства РФ № 1286 от 27.08.2025 внесло изменения в критерии оценки рисков при обработке ПДн: порог для категории «Б» снижен до 10 000 записей, введены регулярные проверки высокорисковых объектов [13].

Часть 2. Как определить сроки хранения: методология

Три шага к правильному сроку

Определение срока хранения — не разовое действие "один раз написал в политике и забыл". Это методологический процесс, который нужно пройти для каждого бизнес-процесса, в котором задействованы ПДн.

Шаг первый: инвентаризация процессов обработки. Прежде чем определять сроки, нужно знать, что именно и с какой целью обрабатывается. Это означает составление реестра обработок (Records of Processing Activities, RoPA) — таблицы, в которой каждая строка соответствует одному процессу, а столбцы — категориям информации: цель, правовое основание, категории субъектов, категории данных, системы хранения, получатели, срок хранения [14].

Для российских компаний ведение такого реестра не является прямым требованием 152-ФЗ, но де-факто необходимо для выполнения требований ст. 18.1 (принятие мер по обеспечению соответствия) и для уведомления Роскомнадзора, в котором требуется указать сроки обработки [15]. Кроме того, именно на основе реестра определяются риски и выстраивается контроль.

Шаг второй: установление правовой основы для каждого процесса. Каждый процесс должен опираться на одно из законных оснований из ч. 1 ст. 6 152-ФЗ: согласие, договор, закон, жизненно важные интересы, публичный интерес, законный интерес оператора [16]. От основания зависит срок: если основание — согласие, срок определяется согласием; если основание — закон (например, Трудовой кодекс), срок определяется законом.

Шаг третий: сопоставление с архивным законодательством. Даже если правовая основа — договор или согласие, может существовать "нижний порог" хранения, установленный архивными нормами. Нельзя уничтожить трудовой договор через год после увольнения только потому, что "согласие отозвано" — архивное законодательство требует хранить его ещё десятилетия.

Практические сложности: почему сроки трудно определить

В теории всё выглядит стройно. На практике возникает несколько системных сложностей, с которыми сталкиваются операторы.

Множественность целей для одних и тех же данных. ФИО и телефон сотрудника используются одновременно для: начисления зарплаты (основание — ТК), доступа к корпоративным системам (основание — договор), учёта рабочего времени, корпоративной мобильной связи. Каждая цель может иметь свой срок. Какой из них применять? Правило: хранить нужно до истечения наиболее долгого законно обоснованного срока. Но это создаёт сложность: одна запись в базе данных обслуживает несколько процессов с разными сроками.

Данные "размазаны" по системам. Одни и те же ПДн могут находиться в CRM, в почте, в файловом архиве, в системе аналитики, в бэкапах. Каждая система управляет своими данными по-своему. Централизованного управления сроками нет. Когда приходит время уничтожения, нужно найти и удалить данные во всех местах — а это нетривиальная задача даже при наличии регламента.

Неопределённость при отсутствии явного законодательного срока. Для многих коммерческих процессов (история покупок клиентов, данные лидов, поведенческая аналитика) законодательство не устанавливает конкретного срока. Оператор должен самостоятельно обосновать разумный срок исходя из цели. Регулятор может оспорить срок как чрезмерный, если тот явно не соответствует целям.

Конфликт между "правом быть забытым" и законными обязанностями. Субъект может отозвать согласие и потребовать удаления данных. Но если данные необходимы для исполнения договора или закреплены архивным законодательством, уничтожить их нельзя. Оператор должен объяснить субъекту, почему данные продолжают обрабатываться и на каком основании.

Матрица решений: как выбрать срок хранения

Ниже — упрощённая логика принятия решений о сроке хранения для конкретного набора данных:

Вопрос первый: установлен ли срок хранения федеральным законом (архивным, налоговым, отраслевым)? Если да — соблюдаем этот срок как минимум.

Вопрос второй: установлен ли срок договором с субъектом? Если да — срок не может быть меньше договорного.

Вопрос третий: какова цель обработки и когда она будет достигнута? Это определяет верхнюю границу — дольше, чем нужно для цели, хранить нельзя.

Итоговый срок: максимум из законодательно установленных минимумов, но не дольше, чем требует цель. При отсутствии законодательных требований — срок, обоснованный целью обработки и зафиксированный в документах компании.

Часть 3. Как закрепить сроки: документирование

Политика обработки персональных данных

Политика обработки ПДн — основной публичный документ оператора. Она должна быть утверждена руководителем и опубликована в открытом доступе [6]. В 2025 году Роскомнадзор требует включать в неё сведения о локализации баз данных, механизмах шифрования и уровне защищённости.

Применительно к срокам хранения политика должна содержать: категории субъектов и данных; цели обработки; правовые основания; сроки хранения для каждой цели или категории; порядок уничтожения или обезличивания. Расплывчатые формулировки ("данные хранятся столько, сколько необходимо") не устраивают регулятора — нужны конкретные сроки в явном виде [6].

Реестр обработок (RoPA)

Реестр обработок — это операционный инструмент управления ПДн. Российское профессиональное сообщество в сфере защиты данных выработало детальный формат RoPA, включающий десятки атрибутов: от описания процесса до характеристик информационных систем и параметров передачи третьим лицам [14].

Для целей управления сроками в реестре критически важно зафиксировать: конкретный срок хранения (не диапазон "от 1 до 5 лет", а точный период или ссылка на правовую норму), системы, в которых хранятся данные (чтобы знать, где нужно уничтожать), владельца процесса (ответственного за контроль срока).

Ведение реестра в статичном Excel-файле создаёт проблему актуальности: новые системы, новые интеграции, изменения в процессах — всё это делает реестр устаревшим быстрее, чем его успевают обновлять вручную. Именно поэтому для средних и крупных компаний актуален вопрос автоматизации инвентаризации ПДн.

Локальные нормативные акты

Помимо политики, операторы должны иметь внутренние регламенты, детализирующие процедуры: положение о порядке уничтожения ПДн; регламент работы с персональными данными сотрудников; инструкции для ответственных за обработку; процедуры реагирования на запросы субъектов.

Порядок уничтожения ПДн определяется оператором самостоятельно в локальном нормативном акте — законодательство этот порядок детально не регламентирует, но устанавливает требования к подтверждению уничтожения [17].

Согласие субъекта: что обязательно указывать

С 2025 года требования к тексту согласия на обработку ПДн ужесточились. В нём обязательно должны быть указаны [6]: конкретные цели обработки (не "для любых целей компании"), перечень данных, которые будут использованы, срок хранения данных, порядок отзыва согласия, дата и подпись субъекта.

Отсутствие чёткого срока хранения в тексте согласия — прямое нарушение, за которое Роскомнадзор может привлечь к ответственности.

Часть 4. Как контролировать: процессы и инструменты

Почему ручной контроль не работает

Контроль сроков хранения вручную — это попытка удержать воду в решете. Причины три:

Динамика ИТ-ландшафта. Каждый новый сервис, новая интеграция, новый подрядчик могут создавать новые точки хранения ПДн. Если нет автоматизированного обнаружения, эти точки остаются вне поля зрения до момента инцидента.

Масштаб. Крупная компания может иметь сотни баз данных и файловых хранилищ. Ручная инвентаризация таких объёмов занимает недели и требует привлечения дорогостоящих специалистов — и при этом её результаты устаревают ещё в процессе проведения.

Человеческий фактор. Сотрудник, загруженный текущими задачами, не будет регулярно проверять, не истёк ли срок хранения у какого-то массива данных. Нужны системные напоминания и автоматические триггеры.

Минимальный контур контроля

Даже без дорогостоящей автоматизации можно выстроить базовый контур контроля сроков хранения.

Назначение ответственных. Для каждого процесса обработки ПДн должен быть назначен "владелец данных" — лицо, ответственное за соблюдение сроков. В уведомлении Роскомнадзора также требуется указать ответственного за организацию обработки [15].

Регулярный аудит. Не реже одного раза в год организация должна проводить ревизию обрабатываемых ПДн: выявлять данные с истёкшим сроком, проверять актуальность реестра обработок.

Автоматические напоминания. В реестре обработок для каждой записи фиксируется дата начала хранения и расчётная дата истечения срока. Ответственный должен получать уведомление за 30–60 дней до истечения срока.

Процедура "события-триггеры". Ряд событий автоматически инициирует пересмотр сроков или уничтожение данных: увольнение сотрудника, завершение договора с клиентом, отзыв согласия. Эти события должны быть процессно связаны с действиями по управлению ПДн.

Продвинутый контур: автоматизация

В крупных компаниях, где ПДн обрабатываются в десятках систем, ручной контроль невозможен в принципе. Здесь нужны специализированные инструменты, решающие несколько задач:

Автоматическое обнаружение ПДн в корпоративных системах — поиск по структуре данных, паттернам полей (ФИО, СНИЛС, паспорт, телефон) в базах данных, хранилищах файлов, почте, CRM, 1С.

Инвентаризация и классификация — автоматическое создание и обновление карты ПДн: где и какие данные хранятся, кто владелец системы, с каким процессом связана каждая сущность.

Мониторинг изменений — обнаружение новых полей, новых интеграций, новых источников данных до того, как они станут источником риска.

Управление статусами и согласованиями — прозрачный рабочий процесс: нарушение выявлено, назначен ответственный, установлен срок устранения, статус отслеживается.

Часть 5. Уничтожение данных: процедура и документирование

Когда данные подлежат уничтожению

Согласно ст. 21 152-ФЗ и политике Роскомнадзора, ПДн подлежат уничтожению в следующих случаях [11]:

При достижении цели обработки — в течение 30 дней с даты достижения цели.

При утрате необходимости в достижении цели — в течение 30 дней.

При отзыве субъектом согласия — в течение 30 дней с даты поступления отзыва, если нет иных законных оснований для продолжения обработки.

При выявлении неправомерной обработки — в течение 7 рабочих дней с даты подтверждения факта.

При запросе субъекта и подтверждении незаконности обработки — в течение 7 рабочих дней.

Важно: обязанность уничтожить данные и обязанность уведомить субъекта об этом — разные вещи. Закон не требует уведомлять субъекта о плановом уничтожении по истечении срока, но при уничтожении по запросу субъекта или по факту незаконной обработки уведомление обязательно [17].

Способы уничтожения

Федеральный закон № 152-ФЗ и Приказ ФСТЭК № 378 различают несколько методов [18]:

Для бумажных носителей: измельчение на шредере, сжигание, механическое уничтожение. Степень измельчения должна исключать восстановление информации.

Для электронных носителей: программное гарантированное удаление (многократная перезапись, специализированные утилиты), физическое уничтожение носителя (для особо чувствительных данных), криптографическое стирание (уничтожение ключа шифрования при зашифрованном хранении).

Удаление файла стандартными средствами ОС (Shift+Delete) не является уничтожением в юридическом смысле — данные могут быть восстановлены. Это важно понимать, особенно при передаче или списании оборудования.

Документирование уничтожения

С 1 марта 2023 года действует Приказ Роскомнадзора от 28.10.2022 № 179, устанавливающий требования к подтверждению уничтожения ПДн [17]. Этот приказ будет действовать до 1 марта 2029 года.

Для операторов, обрабатывающих данные без средств автоматизации, достаточно акта об уничтожении. Для тех, кто использует информационные системы ПДн (ИСПДн), — необходима выгрузка из журнала регистрации событий в дополнение к акту [13].

Акт об уничтожении ПДн должен содержать: дату уничтожения, перечень уничтоженных категорий данных, способ уничтожения, состав комиссии, подписи членов комиссии.

Организация уничтожения предполагает создание комиссии (минимум 3 человека, обычно включают юриста, IT-специалиста и кадровика или ответственного за процесс), составление перечня данных к уничтожению, непосредственное уничтожение, составление акта и журнала учёта [13].

По запросу контролирующих органов оператор обязан предоставить документы, подтверждающие соблюдение законодательства о ПДн. Отсутствие актов уничтожения — один из наиболее частых поводов для штрафов при проверках.

Часть 6. Типичные ошибки и как их избежать

Ошибка 1: единый срок для всех данных

"Мы храним данные 3 года" — это неполноценный ответ. Трёхлетний срок может быть верным для части данных, но не для трудовых договоров, которые хранятся 50–75 лет, и не для данных клиентов, для которых законодательство не устанавливает минимального срока, а цель может исчерпаться через полгода. Нужна дифференциация по процессам и категориям.

Ошибка 2: срок хранения данных приравнивается к сроку согласия

Распространённое заблуждение: "согласие действует 3 года, значит, данные можно хранить 3 года". На самом деле согласие — это основание для обработки, а не мера срока хранения. Если по истечении срока согласия данные всё ещё нужны для другой законной цели (например, хранение бухгалтерских документов), они продолжают обрабатываться на другом основании. Если не нужны — должны быть уничтожены независимо от срока согласия.

Ошибка 3: игнорирование данных в системах разработки, тестовых средах и резервных копиях

Разработчики часто копируют фрагменты реальных данных в тестовые базы. Резервные копии хранятся месяцами или годами. Между тем данные в этих системах — такие же ПДн, подпадающие под все требования закона. Регламент уничтожения должен охватывать все места хранения.

Ошибка 4: уничтожение только по запросу, но не по расписанию

Часть компаний уничтожает данные только по запросу субъекта или при явном инциденте, не проводя плановых проверок истечения сроков. Это нарушение принципа ограничения хранения: оператор обязан проактивно следить за сроками и уничтожать данные самостоятельно, не дожидаясь запросов.

Ошибка 5: отсутствие актов уничтожения

Уничтожение данных без документирования юридически равносильно их отсутствию. При проверке оператор должен доказать, что данные уничтожены. Без акта это невозможно.

Ошибка 6: "мёртвые" поля в базах данных

Разработчики со временем добавляют новые поля в БД для новых задач, но забывают об этом уведомить ответственного за ПДн. Поле с датой рождения, добавленное "просто для удобства" в форму регистрации, становится обрабатываемыми ПДн, требующими правового основания, согласия и регламента хранения. Без автоматизированного мониторинга такие изменения остаются незамеченными.

Часть 7. Практический чек-лист: что проверить прямо сейчас

Этот список поможет быстро оценить текущее состояние управления сроками хранения ПДн в вашей организации.

По документам: в наличии утверждённая политика обработки ПДн с конкретными сроками; реестр обработок ПДн ведётся и регулярно актуализируется; для каждого процесса указан владелец; согласия субъектов содержат явные сроки хранения; разработано положение о порядке уничтожения ПДн; процедура уничтожения закреплена для бумажных и электронных носителей.

По процессам: назначен ответственный за организацию обработки ПДн; существует процедура реагирования на события-триггеры (увольнение, расторжение договора, отзыв согласия); проводится регулярный (не реже раза в год) аудит хранимых данных; имеются акты уничтожения с журналами событий ИСПДн; сотрудники проинструктированы о правилах работы с ПДн и подписали соглашения о неразглашении.

По техническим мерам: все системы, содержащие ПДн, включены в реестр; тестовые и dev-среды очищены от реальных ПДн или к ним применены те же требования, что и к продуктивным; резервные копии управляются с учётом сроков хранения; новые системы и поля в БД проходят проверку на наличие ПДн перед запуском.

По контролю: известно, в каких системах хранятся какие ПДн; есть уведомление в РКН с актуальными сведениями о сроках обработки; организован мониторинг изменений в ИТ-инфраструктуре, влияющих на обработку ПДн.

Часть 8. Кейсы и практические примеры

Кейс 1: Торгово-розничная сеть — данные клиентов программы лояльности

Крупная розничная сеть запускает программу лояльности. Клиенты предоставляют ФИО, дату рождения, телефон и email. Правовое основание — согласие субъекта. Цель — предоставление скидок и персонализированных предложений.

Срок хранения данных клиентов-участников определяется сроком действия согласия (указан как "до отзыва") и сроком существования программы. Срок хранения согласия — 3 года после его отзыва или прекращения программы.

Проблема, с которой сталкивается ретейлер: данные неактивных клиентов (не совершавших покупки 2 года и более) фактически утрачивают свою цель — персонализация на основе устаревших данных не работает. Регулятор может признать хранение таких данных избыточным. Решение: установить в политике критерий активности (например, 24 месяца без транзакций) как триггер для уведомления клиента и последующего уничтожения данных.

Кейс 2: Производственное предприятие — персональные данные сотрудников

На предприятии работают 500 сотрудников. После увольнения работника в системе 1С остаются его ПДн, в AD — учётная запись, в почтовом архиве — переписка, в кадровой системе — личное дело.

Сроки хранения разные: трудовой договор — 50 лет (по Приказу Росархива № 236), расчётные листки — 6 лет, данные о заработной плате — 75 лет, переписка в корпоративной почте, не связанная с кадровым учётом, — 1–3 года в зависимости от процесса.

Проблема: IT-служба не удаляет учётные записи уволенных сотрудников своевременно. Данные сотрудника в AD продолжают храниться годами после увольнения, хотя цель (обеспечение доступа к корпоративным ресурсам) утрачена в день увольнения. Решение: регламент, привязывающий деактивацию учётной записи к дате увольнения, и ежеквартальный аудит "сиротских" учётных записей.

Кейс 3: IT-компания — данные кандидатов на вакансии

Компания ведёт базу резюме в ATS-системе. Кандидаты, не прошедшие отбор, остаются в базе. Цель обработки — рассмотрение кандидатуры. Эта цель достигается (или не достигается) в момент принятия решения о найме.

Правовая позиция: хранение данных отказанных кандидатов без их согласия и без иного законного основания является незаконным. Стандартная практика: запрашивать у кандидата согласие на хранение резюме в базе талантов на определённый срок (обычно 1–2 года) и уничтожать данные по истечении этого срока или при отзыве согласия. Без такого согласия данные должны быть уничтожены после принятия решения об отказе.

Часть 9. Тренды и будущее управления сроками ПДн

Несколько тенденций определяют направление развития этой области в 2025–2027 годах.

Усиление надзора и проверочной активности. После введения оборотных штрафов Роскомнадзор системно усиливает проверочную деятельность. Новый порядок надзора, введённый Постановлением Правительства № 146 от 2019 года, предусматривает как плановые, так и внеплановые проверки. Ожидается, что с 2025–2026 годов частота проверок будет расти [19].

Переход к непрерывному контролю. Модель "аудит раз в год" уступает место модели непрерывного мониторинга. Это требует автоматизированных инструментов, способных в режиме реального времени отслеживать состояние ПДн в корпоративных системах.

Обезличивание как альтернатива уничтожению. Законодательство допускает обезличивание как равноправную альтернативу уничтожению. Это особенно актуально для аналитических систем, где исторические данные имеют ценность, но без привязки к конкретному субъекту. С 1 сентября 2025 года государство также заинтересовано в получении обезличенных данных для государственных целей [12].

Конвергенция ИБ и комплаенса. Управление сроками хранения ПДн всё теснее интегрируется с информационной безопасностью. Данные с истёкшим сроком хранения — это не только юридический риск, но и ненужная поверхность атаки: чем меньше данных хранится избыточно, тем меньший ущерб причинит утечка.

Заключение: что делать дальше

Управление сроками хранения ПДн — это не разовый проект, а непрерывный процесс. Начать его лучше всего с нескольких конкретных шагов.

Первый: провести инвентаризацию текущих мест хранения ПДн. Не писать документы "с нуля", а сначала понять реальное состояние: где и какие данные есть, в каких системах, кто ответственный.

Второй: для каждого процесса определить правовое основание обработки и вытекающий из него срок хранения. Зафиксировать в реестре обработок.

Третий: обновить политику обработки ПДн и согласия, включив конкретные сроки для каждой категории данных.

Четвёртый: разработать и внедрить регламент уничтожения, включая процедуры для электронных и бумажных носителей.

Пятый: установить регулярные контрольные точки — ежегодный аудит + реагирование на события-триггеры.

Шестой: для средних и крупных организаций — рассмотреть автоматизацию инвентаризации и мониторинга ПДн, особенно в части обнаружения новых точек хранения и изменений в ИТ-ландшафте.

Как «Пятый фактор» помогает решить проблему контроля сроков хранения

Одна из самых сложных задач в управлении сроками хранения ПДн — не написать правильный регламент (это важно, но это юридическая работа), а обеспечить, чтобы этот регламент исполнялся в условиях постоянно меняющегося ИТ-ландшафта.

Новые поля в базах данных, новые сервисы, новые интеграции с подрядчиками — всё это создаёт новые точки хранения ПДн быстрее, чем их успевают обнаружить вручную. В результате возникают "призрачные" данные: ПДн, которые хранятся за пределами сроков, задокументированных в политике, просто потому что никто не знает об их существовании.

«Пятый фактор» (5factor.ru) — это on-prem платформа для автоматического обнаружения, инвентаризации и контроля персональных данных в корпоративных системах. Платформа работает с базами данных, хранилищами, почтой, Active Directory и LDAP, CRM, 1С, API — и при этом не передаёт и не хранит сырые значения ПДн. Работа ведётся с метаданными, структурой и агрегатами, что само по себе соответствует принципу privacy-by-design.

Что это даёт в контексте управления сроками хранения? Живая "карта ПДн" показывает, где и какие данные есть в компании прямо сейчас, — включая новые поля и системы, которые появились после последнего ручного аудита. Раннее обнаружение рисков позволяет выявить новые точки хранения ПДн до того, как они превратятся в нарушение с истёкшим сроком. Сокращение времени аудита: вместо недель ручной работы — актуальная картина в любой момент. Это напрямую повышает готовность к проверкам Роскомнадзора.

В условиях, когда штрафы выросли до 500 млн рублей, а уголовная ответственность стала реальностью, инвестиция в автоматизированный контроль ПДн перестаёт быть опциональной.

Источники

[1] Роскомнадзор — данные о зафиксированных утечках ПДн за 2024 год, цит. по материалам Habr/МойСклад — https://habr.com/ru/companies/moysklad/articles/994568/

[2] Статистика утечек за первое полугодие 2024 года — https://www.bitrix24.ru/journal/zakon-o-personalnyh-dannyh/

[3] Федеральный закон от 30.11.2024 № 420-ФЗ, обзор изменений — https://it-pnk.ru/news/uvelichenie-shtrafov-pd/ ; https://pravovest-audit.ru/nashi-statii-nalogi-i-buhuchet/izmeneniya-v-obrabotke-personalnykh-dannykh-s-30-maya-2025-goda/

[4] Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 5 ч. 7 — https://www.consultant.ru/document/cons_doc_LAW_61801/96fbc469f91f57235cc842a85e0516a99f23dc85/

[5] Приказ Росархива от 20.12.2019 № 236 «Перечень типовых управленческих архивных документов...» — https://archives.gov.ru/documents/prik236_2019.shtml

[6] Новые требования Роскомнадзора по 152-ФЗ (на 30 мая 2025 года) — https://linkodium.com/news/novye-trebovaniya-roskomnadzora-po-zakonu-152-fz-na-30-maya-2025-goda/

[7] Срок хранения персональных данных 2025, анализ норм — https://www.pro-personal.ru/article/1099459-20-m12-hranenie-personalnyh-dannyh-srok

[8] Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле», ст. 22.1 — https://www.consultant.ru/document/cons_doc_LAW_345020/

[9] Таблица сроков хранения кадровых документов — https://www.kdelo.ru/art/384083-sroki-hraneniya-kadrovyh-dokumentov-17-m10

[10] Положения о сроках хранения ПДн по 152-ФЗ, журналы аудита — https://pod-ft.ru/baza-znaniy/sroki-khraneniya-personalnykh-dannykh-po-152-fz/

[11] Политика обработки персональных данных Роскомнадзора (образцовый документ регулятора) — https://02.rkn.gov.ru/directions/p4172/p18331/

[12] Федеральный закон от 08.08.2024 № 233-ФЗ, обзор — https://www.consultant.ru/legalnews/27142/

[13] Уничтожение персональных данных сотрудников: порядок 2025 — https://www.glavbukh.ru/art/389144-kak-unichtozhit-personalnyye-dannyye-sotrudnikov-instruktsiya-obraztsy-dokumentov

[14] Типовые формы реестра RoPA — https://rppa.pro/analitika/ropa

[15] Политика обработки ПДн: структура и требования по 152-ФЗ — https://kontur.ru/articles/4871

[16] 152-ФЗ, ст. 6, условия обработки ПДн — https://www.consultant.ru/document/cons_doc_LAW_61801/315f051396c88f1e4f827ba3f2ae313d999a1873/

[17] Приказ Роскомнадзора от 28.10.2022 № 179 «Требования к подтверждению уничтожения ПДн» — https://www.consultant.ru/law/podborki/unichtozhenie_personalnyh_dannyh/

[18] Сроки обработки персональных данных, аналитика RPPA — https://rppa.pro/analitika/sroki_obrabotki_personalnyx_dannyx

[19] Постановление Правительства РФ от 13.02.2019 № 146 «О государственном контроле и надзоре за обработкой ПДн» — https://www.consultant.ru/document/cons_doc_LAW_61801/