РКН Аудит
Безусловного «права на удаление» в российском законе нет. Статья 14 152-ФЗ даёт субъекту право требовать уничтожения данных в конкретных случаях: данные неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели. Ещё два основания в статье 21 152-ФЗ — достижение цели обработки и отзыв согласия. Сроки короткие: семь рабочих дней на уничтожение незаконно полученных или не нужных для цели данных, три рабочих дня на прекращение неправомерной обработки, тридцать дней на уничтожение после отзыва согласия — если сохранять данные больше не для чего. Если же обработка идёт на другом законном основании, оператор вправе продолжить её и отказать в удалении.
Проверить бесплатно, как сайт собирает данные и что обещает посетителю ←
Есть ли в 152-ФЗ право на удаление?
Формулировки «право на удаление» в законе нет — оно собирается из нескольких норм, и это не формальность. От того, какая норма сработала, зависят и срок, и то, может ли оператор отказать.
| Основание | Что происходит | Срок | Норма |
|---|---|---|---|
| Данные неполные, устаревшие, неточные, незаконно полученные или не нужны для цели | субъект требует уточнения, блокирования или уничтожения; оператор уточняет либо уничтожает | семь рабочих дней со дня, когда субъект представил подтверждающие сведения | статья 14 и часть 3 статьи 20 152-ФЗ |
| Субъект требует прекратить обработку | оператор прекращает обработку | десять рабочих дней, с продлением не более чем на пять рабочих дней по мотивированному уведомлению | часть 5.1 статьи 21 152-ФЗ |
| Подтвердилась неточность данных | оператор уточняет данные и снимает блокирование | семь рабочих дней | статья 21 152-ФЗ |
| Выявлена неправомерная обработка | оператор прекращает её | три рабочих дня | статья 21 152-ФЗ |
| Правомерность обеспечить невозможно | оператор уничтожает данные | десять рабочих дней | статья 21 152-ФЗ |
| Достигнута цель обработки | оператор уничтожает данные | тридцать дней | статья 21 152-ФЗ |
| Отозвано согласие | оператор прекращает обработку; данные уничтожаются, если их сохранение больше не требуется для целей обработки | тридцать дней | статья 21 152-ФЗ |
| Уничтожить в срок невозможно | блокирование, затем уничтожение | не более шести месяцев | статья 21 152-ФЗ |
| Требование прекратить распространение данных, разрешённых субъектом для распространения | передача прекращается | три рабочих дня | статья 10.1 152-ФЗ |
Сроки по достижении цели и по отзыву согласия применяются, если иное не предусмотрено договором с субъектом или другим законом — эта оговорка в статье 21 152-ФЗ и есть та самая причина, по которой интернет-магазин не удаляет данные о заказе сразу.
Отдельно стоит механизм, который часто путают с удалением у оператора: требование к поисковой системе убрать ссылки на страницы с недостоверной или неактуальной информацией о человеке. Оно адресовано поисковику, регулируется законом об информации и к обязанностям владельца сайта отношения не имеет.
В каких случаях оператор обязан удалить данные?
Три рабочие ситуации, которые закрывают почти все обращения.
Первая: обработка изначально была неправомерной. Данные собрали без основания — например, форма отправляла заявку без согласия и без договора. Оператор обязан прекратить обработку в срок, не превышающий трёх рабочих дней с даты выявления. Если сделать обработку законной нельзя, данные уничтожаются в срок не более десяти рабочих дней.
Вторая: цель достигнута. Заявку обработали, договор исполнили, срок хранения по бухгалтерскому и налоговому законодательству вышел. Дальше держать данные не на чем: закон требует уничтожить их в срок, не превышающий тридцати дней. Это нарушение легко не заметить: в базе лежат заявки пятилетней давности, цель по которым исчерпана давно, а срок на уничтожение начал течь в день достижения цели, а не в день, когда об этом вспомнили.
Третья: согласие отозвано. Тот же тридцатидневный срок — но только для той обработки, которая держалась на согласии, и только если сохранять данные больше не требуется для целей обработки: эта оговорка стоит прямо в статье 21 152-ФЗ.
Во всех трёх случаях уничтожение — не «удалить строку в админке». Резервные копии, выгрузки для подрядчиков, файлы в почте и таблицы в облаке — это тоже места хранения, и требование распространяется на них.
Как составить требование об удалении?
Формы для самого требования об уточнении, блокировании или уничтожении закон не устанавливает: право требовать закреплено частью 1 статьи 14 152-ФЗ без всяких условий к оформлению. Но если вы одновременно запрашиваете у оператора сведения об обработке своих данных, к такому запросу часть 3 статьи 14 152-ФЗ предъявляет конкретные требования, и выполнить их разумно сразу — чтобы оператору не на что было сослаться. Запрос должен содержать:
- номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе;
- сведения, подтверждающие участие субъекта в отношениях с оператором (номер договора, дата заключения, условное словесное обозначение или иные сведения) либо иным образом подтверждающие факт обработки данных оператором;
- подпись субъекта или его представителя.
Запрос можно направить в электронной форме, подписав его электронной подписью в соответствии с законодательством. Повторный запрос о тех же сведениях допускается не ранее чем через тридцать дней после первоначального обращения, если более короткий срок не установлен федеральным законом или договором. Раньше — только если по результатам рассмотрения первого обращения сведения или сами данные не были предоставлены для ознакомления в полном объёме; такой повторный запрос должен содержать обоснование, почему он направлен досрочно. К требованию об удалении это правило не относится: тридцатидневный порог касается повторного запроса сведений, а не напоминания о неисполненном требовании.
Практический совет, который экономит месяц: в одном обращении стоит прямо назвать основание. «Прошу уничтожить мои персональные данные в связи с отзывом согласия» и «Прошу уничтожить мои персональные данные как не являющиеся необходимыми для заявленной цели обработки» — разные требования с разной проверкой у оператора.
Когда оператор вправе отказать?
Отказ — законный исход, если обработка держится не на согласии. Типовые случаи:
| Ситуация | Что с удалением |
|---|---|
| Данные нужны для исполнения договора с этим же человеком | обработка продолжается до исполнения и истечения сроков хранения |
| Хранение прямо предписано законом (бухгалтерский и налоговый учёт, кадровый учёт) | удалить нельзя до истечения установленного срока |
| Обработка нужна для защиты прав оператора в суде | продолжается в объёме, необходимом для этой цели |
| Есть неисполненное обязательство субъекта | обработка продолжается в объёме, связанном с обязательством |
Есть и обратная сторона. Прямой нормы о мотивированном отказе именно в уничтожении в 152-ФЗ нет. Но оператор, который продолжает обработку, остаётся обязанным по части 2 статьи 20 152-ФЗ дать письменный мотивированный ответ, если отказывает субъекту в предоставлении информации об обработке, — со ссылкой на основание отказа и в срок не более десяти рабочих дней со дня обращения, с продлением не более чем на пять рабочих дней по мотивированному уведомлению. Молчание отказом не является и оператора не защищает.
Чем отзыв согласия отличается от требования об удалении?
Это разные действия, и путаница между ними — источник половины конфликтов.
| Отзыв согласия | Требование об удалении | |
|---|---|---|
| Что делает | убирает одно из оснований обработки | требует уничтожить данные |
| Основание | статья 9 152-ФЗ | статьи 14 и 21 152-ФЗ |
| Результат при наличии другого основания | обработка продолжается без согласия | в удалении может быть отказано |
| Типичный пример | отписка от рассылки | удаление профиля и истории заявок |
Отдельно стоит помнить, что согласие с 1 сентября 2025 года оформляется отдельным документом и не может быть вшито в оферту одной галочкой — подробности в статье «Пакетное согласие: одна галочка на всё больше нельзя». Чем аккуратнее разделены согласия на разные цели, тем проще исполнить отзыв: отписка от рекламы не должна тянуть за собой удаление данных о заказе.
Как подтверждается уничтожение персональных данных?
Приказ Роскомнадзора №179 от 28.10.2022 устанавливает требования к подтверждению уничтожения, и они конкретные.
- Обработка без средств автоматизации — подтверждающий документ один: акт об уничтожении персональных данных.
- Автоматизированная обработка — акт об уничтожении плюс выгрузка из журнала регистрации событий в информационной системе.
Акт содержит наименование или фамилию и адрес оператора, сведения о лице, обрабатывающем данные по поручению (если оно есть), сведения о субъектах, перечень категорий уничтоженных данных, наименование информационных систем или носителей, способ, причину и дату уничтожения, а также фамилии, должности и подписи тех, кто уничтожал. Выгрузка из журнала содержит сведения о субъектах, категории данных, наименование системы, причину и дату уничтожения. Если в выгрузке каких-то сведений нет, они вносятся в акт.
Оба документа хранятся три года с момента уничтожения. Электронный акт, подписанный электронной подписью, равнозначен бумажному.
Практический вывод для оператора: если обработка автоматизированная, одного акта недостаточно — без журнала регистрации событий в информационной системе подтвердить уничтожение нечем. Это та же дисциплина журналирования, без которой невозможно расследование инцидента с данными, — с той разницей, что для подтверждения уничтожения в журнале должно быть зафиксировано само уничтожение, а не только доступ и выгрузки. Регистрация событий — и один из пунктов чек-листа аудита ИСПДн.
Что делать, если оператор молчит?
Порядок простой, и до жалобы доходит не всякое обращение — письменного напоминания часто хватает.
- Зафиксируйте обращение. Дата, канал, текст. Электронное письмо на адрес, указанный в политике обработки, — нормальный способ; скриншот формы обратной связи тоже.
- Дождитесь срока — своего. Семь рабочих дней на уничтожение со дня, когда вы представили сведения о том, что данные незаконно получены или не нужны для заявленной цели (часть 3 статьи 20 152-ФЗ). Десять рабочих дней, если требование сформулировано как прекращение обработки (часть 5.1 статьи 21). Тридцать дней — при отзыве согласия и достижении цели (статья 21 152-ФЗ). Десять рабочих дней с продлением до пяти — это срок на отдельный запрос сведений об обработке по статье 20 152-ФЗ, а не на удаление.
- Напомните письменно. Напоминание о неисполненном требовании — не повторный запрос сведений, тридцати дней для него ждать не нужно: достаточно сослаться на срок и норму и указать, что ответа по первому обращению не было.
- Жалуйтесь в Роскомнадзор через портал персональных данных или обращайтесь в суд. Невыполнение обязанности предоставить субъекту информацию об обработке — часть 4 статьи 13.11 КоАП. Невыполнение в срок требования об уточнении, блокировании или уничтожении данных, которые неполны, устарели, неточны, незаконно получены или не нужны для заявленной цели, — часть 5 той же статьи. Неуничтожение после отзыва согласия или по достижении цели под часть 5 не подпадает: это нарушение статьи 21 152-ФЗ, и квалифицируется оно иначе.
Что стоит сделать оператору заранее?
Запрос об удалении приходит внезапно, а срок начинает течь сразу. Минимум, который стоит подготовить до первого обращения:
- Назначить ответственного за организацию обработки персональных данных по статье 22.1 152-ФЗ и указать канал для обращений в политике.
- Описать порядок: кто принимает требование, как проверяет личность, где ищет данные, кто подписывает акт.
- Составить карту хранения: в каких системах, выгрузках, резервных копиях и у каких подрядчиков лежат данные одного человека. Без неё «удалили» означает «удалили в одном месте из пяти».
- Разделить основания обработки. Если в политике и в согласиях цели перечислены вперемешку, ответить на отзыв согласия корректно почти невозможно.
- Настроить сроки хранения по каждой цели, чтобы удаление по достижении цели происходило само, а не по заявлению.
Начинать проще с того, что видно снаружи: совпадает ли политика обработки с тем, какие данные реально собирают формы, и есть ли в ней раздел о правах субъекта с каналом для обращений. Это же первое, что смотрит регулятор.
→ Проверить сайт бесплатно: политика, формы, согласия, сторонние сервисы
Что читать дальше
- Чек-лист аудита ИСПДн: 12 пунктов самопроверки — где в компании вообще лежат персональные данные
- Согласие на обработку ПДн: образец и обязательные элементы — как оформить согласие, чтобы его можно было корректно отозвать
- Проверка Роскомнадзора: какие документы запрашивают — что регулятор спросит про работу с обращениями субъектов
- Формы собирают больше данных, чем описано в политике — типовое расхождение, из-за которого обработка становится неправомерной
- GDPR и 152-ФЗ: сравнительный анализ — чем европейское право на удаление отличается от российского
Источники: Федеральный закон №152-ФЗ «О персональных данных» — статьи 9, 10.1, 14, 20, 21, 22.1; приказ Роскомнадзора №179 от 28.10.2022 «Об утверждении Требований к подтверждению уничтожения персональных данных»; статья 13.11 КоАП РФ.