Уничтожение персональных данных: почему удалить из CRM — это ещё не уничтожить

Клиент написал: «удалите мои данные». Менеджер открыл CRM, нашёл карточку, нажал «удалить». Всё, вопрос закрыт — так думает почти каждый предприниматель. И почти каждый ошибается.

Разница вылезает не сразу, а на запросе от Роскомнадзора. Там спрашивают не «удалили ли вы», а «чем подтвердите». И вот тут выясняется, что подтвердить нечем. Удалённая запись без документа — как выброшенный чек: товар-то вы вернули, а доказать нечем.

Разберу спокойно: когда закон обязывает уничтожать данные, в какие сроки, чем уничтожение отличается от удаления и что именно требуется оформить. Плюс главную ошибку, на которой спотыкается большинство.

Когда бизнес обязан уничтожить данные — четыре ситуации

Обязанность возникает не по вашему желанию, а по одному из четырёх оснований. Все они в статье 21 152-ФЗ.

• Достигнута цель обработки (часть 4). Заказ доставлен и оплачен, гарантийный срок истёк — данные больше не нужны для того, ради чего вы их брали.
• Человек отозвал согласие (часть 5). Клиент написал: «удалите меня из рассылки и из базы».
• Субъект потребовал прекратить обработку (часть 5.1). Формулировка требования другая, и срок тоже другой — короче.
• Выявлена неправомерная обработка (часть 3). Собрали лишнее, взяли без основания, храните то, на что нет согласия.

Само согласие, которое человек отзывает, тоже должно быть оформлено правильно — как его собрать, разобрал в статье про согласие на обработку данных.

Важная оговорка, без которой совет был бы вредным. В частях 4 и 5 закон допускает иной порядок, если он предусмотрен договором с этим человеком или другим федеральным законом. На практике это значит: если бухгалтерские документы вы обязаны хранить несколько лет, требование клиента эту обязанность не отменяет. Уничтожается то, что вы больше не вправе держать. Остальное живёт по своим правилам хранения.

Сроки: 30 дней, 10 рабочих, 3 рабочих — что к чему относится

Самая полезная таблица статьи. Каждый срок привязан к своему основанию, и путать их дорого.

• Неправомерная обработка — прекратить: 3 рабочих дня (часть 3).
• Неправомерная обработка — уничтожить: 10 рабочих дней (часть 3).
• Достигнута цель обработки: 30 дней (часть 4).
• Отозвано согласие: 30 дней (часть 5).
• Требование прекратить обработку: 10 рабочих дней, можно продлить не более чем на 5 рабочих дней с мотивированным уведомлением (часть 5.1).
• Уточнить неточные данные: 7 рабочих дней (часть 2).
• Уничтожить невозможно: блокировать и уничтожить в срок до 6 месяцев (часть 6).

Теперь про ловушку, на которой реально попадают: «дни» и «рабочие дни» — разные вещи. Тридцать дней — это календарные, с выходными и праздниками внутри. А десять рабочих — это две полные недели, и если между ними попадают праздники, срок сдвигается дальше. Отозвали согласие 1 августа: уничтожить надо к 31 августа. Требование прекратить обработку 1 августа — считаем только будни, и получается середина месяца.

Практически всё сводится к двум ориентирам: месяц на «спокойные» основания и две недели на требования. Запомнить несложно.

Чем уничтожение отличается от удаления и обезличивания

Три понятия, которые в разговоре смешивают, а в законе они разные. Это подготовка к главному разделу.

Удаление — техническое действие. Стёрли запись, освободили место.

Уничтожение — юридический результат: данные восстановить нельзя, и это подтверждено документом. Ключевое слово здесь «подтверждено».

Обезличивание — данные остались, но по ним больше нельзя понять, о ком речь. Это не уничтожение и от обязанности уничтожить не освобождает.

Блокирование — временная мера, когда уничтожить прямо сейчас нельзя.

Бытовая аналогия, которая всё расставляет по местам. Удаление — выбросить папку с документами в урну. Уничтожение — пропустить её через шредер и составить акт, что пропустили. Обезличивание — заклеить в документе фамилии маркером: бумага-то осталась лежать. Разница в том, что после урны папку можно достать, а после шредера с актом — нет, и это зафиксировано.

Акт об уничтожении: что обязано быть внутри

Требования к подтверждению установил приказ Роскомнадзора от 28 октября 2022 года № 179 (зарегистрирован Минюстом под номером 71167). Он действует с 1 марта 2023 года по 1 марта 2029-го — документ живой и применяется прямо сейчас.

В акте об уничтожении обязательно должно быть пять вещей:

• наименование организации (или ФИО, если вы ИП) и адрес оператора;
• сведения о лицах, которые обрабатывают данные по вашему поручению;
• сведения о субъектах, чьи данные уничтожены;
• перечень категорий уничтоженных данных;
• ФИО и подписи тех, кто фактически уничтожал.

Два практических пункта, которых почти нет в статьях по этой теме. Первый: электронный акт, подписанный электронной подписью, равнозначен бумажному с собственноручной — печатать и складывать в шкаф необязательно. Второй: акт и приложения к нему нужно хранить три года с момента уничтожения. Не «пока не спросят», а три года.

Если посмотреть на это глазами собственника, картина неожиданно приятная: документ на полстраницы, заполняется за десять минут, а закрывает вопрос на три года вперёд. Чтобы не собирать его с нуля, я выложил шаблон акта об уничтожении ПДн — скачать .docx и заполнить под себя.

Главная ошибка: удалили из CRM — а подтверждения нет

Вот ядро всей темы. Приказ № 179 различает два режима работы, и от режима зависит комплект документов.

Обрабатываете без средств автоматизации (журнал на бумаге, картотека) — достаточно акта.

Обрабатываете с использованием средств автоматизации — нужны два документа: акт об уничтожении и выгрузка из журнала регистрации событий в информационной системе. Если у вас и бумага, и система — комплект тоже двойной.

Теперь главное: что такое «средства автоматизации» для обычного бизнеса. Это CRM. Это 1С. Это таблица в Excel. Это база заявок с сайта. То есть у подавляющего большинства компаний режим второй — а документ они оформляют один. Отсюда и разрыв, который вылезает при запросе.

У самой выгрузки тоже есть обязательный состав: нельзя приложить произвольный скриншот. А если из выгрузки не видно каких-то обязательных сведений, недостающее вписывается в акт — приказ это прямо допускает.

Живой случай из практики. Компания сделала всё аккуратно: получила отзыв согласия, удалила клиента из базы, составила акт, подшила в папку. Когда пришёл запрос, выяснилось, что журнал регистрации событий в их системе просто не велся — то есть выгружать было нечего и подтвердить удаление технически невозможно. Акт есть, доказательства нет. Вывод отсюда простой: журнал надо включить до того, как понадобится что-то уничтожать.

Почему об этом так мало пишут? Инструкции по уничтожению обычно составляют бухгалтеры и кадровики — они прекрасно знают бумажную часть, а журнал событий в информационной системе лежит за пределами их работы.

Кстати, если данные не просто лежат лишние, а уже утекли — это другая история с другими суммами, разбирал её в статье про штрафы за утечку.

Отдельно проговорю, чтобы не пугать зря: отдельного штрафа «за неуничтожение в срок» в КоАП нет. Такие ситуации квалифицируют по статье 13.11 под конкретную фабулу, и заранее назвать сумму нельзя. Но логика проверки простая: подтверждения нет — считается, что обязанность не исполнена.

Если уничтожить нельзя — блокирование и шесть месяцев

Бывает, что уложиться в срок физически невозможно. Данные лежат в резервных копиях, в архивных выгрузках, в системе без функции удаления записи. Закон это предусмотрел: часть 6 статьи 21 разрешает заблокировать данные и обеспечить их уничтожение в срок не более шести месяцев.

Только это не лазейка «можно тянуть полгода». Блокирование означает, что данные перестают использоваться: их нельзя показывать, отправлять в рассылку, брать в работу. Как арестованный товар на складе — лежит, но продавать его нельзя.

Кто подписывает: нужна ли комиссия

Частый вопрос, вокруг которого много мифов. Приказ № 179 требует указать ФИО и подписи лиц, осуществивших уничтожение. Слова «комиссия» в требованиях к акту нет — это сложившаяся практика, а не обязанность.

Крупной организации комиссия удобна: она распределяет ответственность между несколькими людьми. Малому бизнесу достаточно двоих: ответственного за организацию обработки данных и того, кто фактически удалял записи. Иногда это вообще один человек, и это нормально.

Что не обязательно — и на чём не надо разоряться

Блок для тех, кому уже успели продать страх. Для уничтожения персональных данных обычному бизнесу не нужны: специальный сертифицированный «уничтожитель данных» за отдельные деньги, платная услуга «аттестация процедуры уничтожения», отдельный штатный специалист под эту задачу.

Нужны: понимание сроков, один шаблон акта, включённый журнал событий в вашей системе и папка, где акт с выгрузкой лежат вместе. Всё остальное вам продают. Закон этого не требует.

Что сделать на этой неделе

• Проверьте, ведётся ли журнал регистрации событий в CRM или 1С. Не ведётся — включите. Это единственный пункт, который нельзя сделать задним числом.
• Скачайте шаблон акта и заполните один раз «на будущее», чтобы при запросе не сочинять с нуля.
• Определите, кто подписывает, и зафиксируйте это в документах.
• Посмотрите, что пора уничтожить: старые заявки, ушедшие клиенты, данные уволенных сотрудников.
• Заведите одну папку, где акт и выгрузка хранятся вместе. Три года.

Это вечер работы. На проект в квартал тут ничего не тянет. Кто такой оператор и какие ещё обязанности на нём висят, разобрал в статье про оператора персональных данных, а полный набор мер — в разборе защиты персональных данных.

Короткий вывод

Уничтожение данных — это короткая процедура с документом на выходе. Одной нажатой кнопки «удалить» мало. Сроки простые: месяц на спокойные основания, две недели на требования. Подтверждение — акт, а если данные живут в CRM или 1С, к акту нужна выгрузка из журнала событий. Именно на втором документе спотыкается большинство, потому что про него мало кто пишет.

Хорошая новость в том, что вся эта история стоит вечера и нуля рублей. Светлая сторона тут именно такая: спокойствие достигается не покупкой, а порядком. Свежие разборы 152-ФЗ на языке бизнеса выкладываю в телеграм-канале.

Частые вопросы