РКН Аудит
Статья 21 152-ФЗ — это девять частей, и почти у каждой свой триггер и свой срок. При обращении субъекта или запросе Роскомнадзора о неправомерной обработке данные блокируются на период проверки; то же при сообщении о неточных данных, если блокирование не нарушает права и законные интересы субъекта или третьих лиц. Подтверждённая неточность устраняется за 7 рабочих дней; выявленная неправомерная обработка прекращается за 3 рабочих дня, а если сделать её правомерной нельзя — данные уничтожаются за 10 рабочих дней. При достижении цели и при отзыве согласия срок уничтожения — 30 дней; по требованию субъекта о прекращении обработки обработку нужно прекратить за 10 рабочих дней. Если уничтожить в срок невозможно — блокирование и уничтожение не позднее чем через 6 месяцев. Об инциденте неправомерной передачи регулятор уведомляется за 24 часа, о результатах расследования — за 72.
О чём статья 21 152-ФЗ?
Полное название нормы — «Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, по уточнению, блокированию и уничтожению персональных данных». Она отвечает на вопрос, который статьи 6 и 9 152-ФЗ оставляют открытым: что оператор обязан сделать, когда основание для обработки исчезло или его не было с самого начала.
Статья устроена как набор сценариев: свой триггер, своё действие и, кроме последней части, свой срок.
| Часть | Триггер | Действие оператора | Срок |
|---|---|---|---|
| 1 | Обращение субъекта или запрос Роскомнадзора о неправомерной обработке | Блокирование на период проверки — без условий | С момента обращения или получения запроса |
| 1 | Обращение или запрос о неточных данных | Блокирование на период проверки, если оно не нарушает права и законные интересы субъекта или третьих лиц | С момента обращения или получения запроса |
| 2 | Неточность подтвердилась | Уточнить данные и снять блокирование | 7 рабочих дней со дня представления сведений |
| 3 | Выявлена неправомерная обработка оператором или подрядчиком | Прекратить обработку; если правомерность обеспечить нельзя — уничтожить; уведомить субъекта, а при обращении через регулятор — и регулятор | 3 рабочих дня на прекращение, 10 рабочих дней на уничтожение |
| 3.1 | Неправомерная или случайная передача, повлёкшая нарушение прав субъектов | Уведомить Роскомнадзор об инциденте и о результатах внутреннего расследования | 24 часа и 72 часа с момента выявления |
| 4 | Достигнута цель обработки | Прекратить обработку и уничтожить данные | 30 дней с даты достижения цели |
| 5 | Субъект отозвал согласие | Прекратить обработку; если сохранение больше не требуется — уничтожить | 30 дней с даты поступления отзыва |
| 5.1 | Субъект потребовал прекратить обработку | Прекратить обработку, кроме случаев, когда она идёт на иных основаниях статьи 6 152-ФЗ помимо согласия, а также случаев обработки специальных категорий и биометрии без согласия по статьям 10 и 11 152-ФЗ | 10 рабочих дней, продление не более чем на 5 рабочих дней с мотивированным уведомлением |
| 6 | Уничтожить в срок невозможно | Блокировать и обеспечить уничтожение | Не более 6 месяцев, если иной срок не установлен федеральным законом |
| 7 | Данные уничтожены | Подтвердить уничтожение по требованиям регулятора | — |
Обратите внимание на единицы: в частях 2, 3 и 5.1 сроки считаются в рабочих днях, в частях 4 и 5 — в календарных, в части 3.1 — в часах. Ошибка в единице стоит просрочки: «10 дней» на уничтожение при неправомерной обработке — это две рабочие недели, а «30 дней» при отзыве согласия включают выходные.
Чем блокирование отличается от уничтожения?
Оба термина определены в статье 3 152-ФЗ, и в статье 21 они играют разные роли.
| Блокирование | Уничтожение | |
|---|---|---|
| Определение | Временное прекращение обработки, за исключением случаев, когда обработка необходима для уточнения данных | Действия, в результате которых становится невозможным восстановить содержание данных в информационной системе и (или) уничтожаются материальные носители |
| Обратимость | Обратимо: запись хранится, но не используется | Необратимо |
| Роль в статье 21 152-ФЗ | Промежуточная мера: на период проверки, до уточнения, до уничтожения | Конечная мера |
| Как реализуется на сайте и в CRM | Флаг «заблокировано», исключение из выборок, рассылок и экспорта, запрет редактирования | Удаление записи без возможности восстановления, включая резервные копии в установленный срок |
| Подтверждение | Запись в журнале, ответ субъекту | Акт об уничтожении, выгрузка из журнала регистрации событий |
Практическое следствие: пометить запись «не беспокоить» — это блокирование, а не уничтожение. Если срок по части 4 или 5 истёк, а запись просто скрыта из интерфейса, обязанность не выполнена. И наоборот: пока идёт проверка обращения по части 1, уничтожать данные нельзя — они могут понадобиться для уточнения, и блокирование здесь единственно правильное действие.
Кто и как запускает обязанности по статье 21 152-ФЗ?
Триггеры у частей разные, и от того, кто запустил обязанность, зависит, кого уведомлять по итогам.
- Субъект или его представитель. Обращение о неточных данных, о неправомерной обработке, отзыв согласия, требование о прекращении обработки. Как оформить требование и как оператору на него отвечать, разобрано в статье «Право на удаление персональных данных: когда оператор обязан удалить».
- Роскомнадзор. Запрос регулятора запускает те же обязанности, что и обращение субъекта, но с дополнительной: если обращение пришло через уполномоченный орган, его же нужно уведомить об устранении нарушения или уничтожении данных.
- Сам оператор. Часть 3 применяется и тогда, когда неправомерную обработку выявил оператор при внутреннем контроле, а часть 4 — когда цель достигнута: заказ доставлен, договор исполнен, кандидат не принят. Здесь никто ничего не требует; срок идёт сам.
- Подрядчик. Если неправомерную обработку допустило лицо, действующее по поручению оператора, сроки и обязанности всё равно на операторе: он обязан обеспечить прекращение и уничтожение.
- Иное заинтересованное лицо. Для части 3.1 закон прямо называет три источника выявления инцидента: оператор, Роскомнадзор или иное заинтересованное лицо. Письмо исследователя безопасности или клиента об открытой базе запускает отсчёт 24 часов.
Отдельный случай — отзыв согласия: он запускает часть 5, а не 5.1, и сроки в них разные. Как отличить отзыв от требования и что обязан сделать оператор после каждого, разобрано в статье «Отзыв согласия на обработку персональных данных».
Что делать, если уничтожить данные в срок невозможно?
Части 4 и 5 содержат оговорку «если иное не предусмотрено договором, стороной которого является субъект, иным соглашением, либо если оператор не вправе обрабатывать данные без согласия на иных основаниях». Проще говоря, достигнутая цель или отозванное согласие не отменяют других оснований и обязанностей:
- Обязательные сроки хранения по закону. Первичные учётные документы, в которых есть данные покупателей, хранятся по Федеральному закону №402-ФЗ о бухгалтерском учёте не менее пяти лет после отчётного года. Отзыв согласия покупателя не обязывает уничтожить накладную.
- Действующий договор. Пока договор с субъектом исполняется, обработка идёт на основании договора, а не согласия, и требование о прекращении по части 5.1 к ней не применяется. Прямой обязанности объяснить субъекту основание эта часть не содержит, но субъект вправе запросить сведения об обработке по статье 20 152-ФЗ, и на такой запрос нужно ответить в течение 10 рабочих дней; молчание в ответ на требование человек воспримет как отказ.
- Претензии и споры. Данные, нужные для защиты в суде, оператор вправе сохранить до окончания спора.
Всё перечисленное — работа оговорки частей 4 и 5, а не часть 6: пока действует другое основание, тридцатидневная обязанность уничтожить попросту не возникает, и пятилетний срок хранения бухгалтерских документов ей не противоречит.
Часть 6 — про другое: основание уже отпало, а уничтожить данные физически не получается в срок. Тогда они блокируются, а уничтожение обеспечивается не позднее чем через 6 месяцев, если иной срок не установлен федеральными законами. Норма не разрешает хранить всё бессрочно «на всякий случай» — она даёт отсрочку на конкретную техническую невозможность и требует, чтобы в это время данные не использовались.
Практический приём — заранее описать в политике обработки сроки хранения по каждой цели и основание, по которому данные хранятся после её достижения. Тогда ответ на требование субъекта — цитата собственного документа, а не импровизация.
Как подтверждается уничтожение?
Часть 7 отсылает к требованиям регулятора. Они установлены приказом Роскомнадзора №179 и сводятся к двум документам:
- акт об уничтожении — при любом способе обработки;
- выгрузка из журнала регистрации событий информационной системы — если данные обрабатывались автоматизированно.
Это единственное доказательство, которое примет инспектор. Скриншот пустой таблицы, письмо субъекту «ваши данные удалены» и уверения подрядчика доказательством не являются. Что должно быть в акте и сколько его хранить, разобрано в статье «Акт об уничтожении персональных данных».
Уведомить об уничтожении нужно субъекта — часть 3 требует этого прямо, а для частей 4 и 5 это разумная практика: молчание оператора после требования человек воспринимает как отказ и идёт с жалобой в Роскомнадзор.
Чем грозит нарушение статьи 21 152-ФЗ?
Сама статья санкций не содержит — они в КоАП, и разные части статьи 21 152-ФЗ ведут к разным составам.
| Нарушение статьи 21 152-ФЗ | Состав КоАП |
|---|---|
| Не выполнено в срок требование субъекта или регулятора об уточнении, блокировании или уничтожении | часть 5 статьи 13.11 КоАП |
| Не уведомлён Роскомнадзор об инциденте в 24 и 72 часа | часть 11 статьи 13.11 КоАП |
| Данные продолжают обрабатываться после достижения цели или отзыва согласия | часть 1 статьи 13.11 КоАП — обработка без правового основания |
| Неправомерная передача данных в объёме от тысячи субъектов | части 12–18 статьи 13.11 КоАП — размер зависит от объёма утечки, категории данных и повторности |
Размеры санкций по частям 4 и 5 разобраны в статье «Штрафы за нарушение прав субъектов ПДн в 2026», по утечкам и неуведомлению об инциденте — в статье «420-ФЗ: оборотные штрафы за утечки». У части 11 есть особенность: неуведомление об инциденте квалифицируется отдельно от самой утечки, и оператор, промолчавший об инциденте, получает два наказания вместо одного.
Есть и неадминистративное последствие. Обращение субъекта, оставшееся без ответа в срок, — распространённый повод для жалобы в Роскомнадзор, а жалоба — основание для внепланового контроля, в ходе которого проверят уже не одно обращение, а весь сайт: политику, согласия в формах, трекеры, реестр.
Что оператору подготовить заранее?
Обязанности статьи 21 152-ФЗ невозможно выполнить в срок, если процедура придумывается после первого обращения. Минимальный набор:
- реестр систем и мест хранения — где лежат данные, включая резервные копии, выгрузки для подрядчиков и почту; без него уничтожить «все данные субъекта» нельзя физически;
- сроки хранения по каждой цели в политике и во внутреннем документе, с основанием для хранения после достижения цели;
- канал для обращений субъектов — адрес из политики, который кто-то читает, и порядок регистрации даты получения: с неё идут рабочие дни;
- форма акта об уничтожении и журнал событий в информационной системе, соответствующие приказу Роскомнадзора №179;
- поручения подрядчикам с обязанностью уничтожить данные по вашему указанию и в ваш срок — иначе 30 дней истекут у вас, а копия останется у сервиса рассылок;
- порядок на случай инцидента: кто и как подаёт уведомление за 24 часа, у кого есть доступ к порталу Роскомнадзора.
Внешняя часть этого списка видна без доступа к внутренним документам: опубликована ли политика и открывается ли она по прямой ссылке, покрывает ли она обязательные разделы статьи 18.1 152-ФЗ, в том числе о правах субъекта, хранении и уничтожении данных, и совпадают ли заявленные в ней категории ПДн с тем, что собирают формы. Бесплатный скан на rkn-ok.ru показывает именно то, что увидит человек, решивший направить требование, и инспектор, получивший его жалобу. Наличия самих сроков хранения в тексте политики скан не проверяет — это читают глазами.
Что читать дальше
- Право на удаление персональных данных — основания и сроки с точки зрения субъекта
- Отзыв согласия на обработку ПДн — часть 5 в подробностях
- Акт об уничтожении персональных данных — как выполнить часть 7
- Утечка ПДн: как обнаружить и что делать в первые 24 часа — часть 3.1 на практике
- Статья 6 152-ФЗ: условия обработки — основания, без которых обработка неправомерна
- 420-ФЗ: оборотные штрафы за утечки — составы частей 12–18 статьи 13.11 КоАП
Источники: статья 21 Федерального закона №152-ФЗ «О персональных данных»; статья 3 152-ФЗ — определения блокирования и уничтожения; приказ Роскомнадзора от 28.10.2022 №179 — требования к подтверждению уничтожения; статья 13.11 КоАП РФ.