Регламенты и порядки
Образец 2026 по 152-ФЗ
Обновлено: 30 августа 2026
Регламент уничтожения ПДн
Обработка персональных данных не может продолжаться бесконечно: как только данные перестают быть нужны, их нужно уничтожить, а не просто оставить лежать в базе на всякий случай. Регламент уничтожения ПДн описывает, при каких основаниях это происходит, кто отвечает за процедуру и как зафиксировать сам факт уничтожения, чтобы у оператора осталось подтверждение при проверке.
Часть 4 ст. 21 закона 152-ФЗ перечисляет основания, при которых оператор обязан уничтожить персональные данные:
достигнута цель обработки, ради которой данные собирались;
субъект отозвал согласие на обработку (ст. 9 закона 152-ФЗ), а другого законного основания для обработки не осталось;
субъект потребовал прекратить обработку и уничтожить свои данные — такое право закреплено ст. 14 закона 152-ФЗ;
истёк срок хранения данных, установленный законом, договором или согласием субъекта;
выявлена неправомерная обработка, которую невозможно устранить иначе.
Регламент внутри организации должен описывать, кто и как отслеживает наступление каждого из этих оснований — иначе на практике данные продолжают храниться просто потому, что никто не зафиксировал момент, когда цель обработки была достигнута.
Для образовательного проекта типичный пример — данные ученика, который прошёл курс и больше не взаимодействует с платформой. Формально цель обработки (обучение) достигнута, а значит регламент должен предусматривать момент, с которого начинается отсчёт для последующего уничтожения или архивирования данных в объёме, который прямо требуется законом.
Сроки уничтожения
Закон не называет единый универсальный срок для всех случаев — он зависит от основания и указывается применительно к конкретной ситуации: например, срок уничтожения данных после отзыва согласия отличается от срока, применимого при истечении договорного срока хранения. Регламент организации должен фиксировать: уничтожение происходит в срок, установленный законом, отсчитываемый с момента наступления соответствующего основания.
На практике разумно не дожидаться формального истечения срока, а встраивать проверку оснований для уничтожения в регулярный внутренний процесс — например, ежеквартальную ревизию баз данных, чтобы не пропустить момент, когда данные пора уничтожить.
Комиссия и порядок уничтожения
Для уничтожения персональных данных оператор обычно создаёт комиссию — приказом руководителя, с указанием состава и порядка работы. В комиссию включают ответственного за организацию обработки персональных данных и представителей подразделений, которые фактически работают с уничтожаемыми данными.
Порядок работы комиссии включает: определение перечня данных, подлежащих уничтожению, проверку оснований для уничтожения, выбор способа уничтожения в зависимости от типа носителя, само уничтожение и составление акта. Регламент фиксирует эту последовательность как внутреннюю процедуру, обязательную для всех подразделений, которые обрабатывают персональные данные.
Способы уничтожения бумажных и электронных носителей
Способ уничтожения зависит от типа носителя и должен гарантированно исключать восстановление данных:
Носитель
Допустимый способ
Не считается уничтожением
Бумажный документ
Измельчение шредером или иной способ, исключающий восстановление текста
Выброс документа целиком или разрыв на крупные фрагменты
Электронный носитель в эксплуатации
Безвозвратное удаление с перезаписью данных или форматирование с последующей перезаписью
Удаление файла в корзину, простое форматирование без перезаписи
Носитель, выводимый из эксплуатации
Физическое уничтожение носителя
Передача или утилизация носителя без предварительного уничтожения данных
Данные у стороннего подрядчика
Запрос на уничтожение подрядчику с фиксацией его подтверждения
Удаление данных только из внутренней базы оператора
Если полное уничтожение невозможно, а данные всё равно нужно исключить из доступа для целей их изначальной обработки, закон допускает обезличивание — приведение данных к виду, при котором невозможно определить принадлежность к конкретному субъекту без дополнительной информации.
Фиксация уничтожения актом
Факт уничтожения персональных данных фиксируется актом — отдельным документом, который подписывают члены комиссии. Акт указывает: какие данные уничтожены, на каком основании, каким способом, дату и место уничтожения.
Комиссия в составе: [должности, Ф. И. О. членов комиссии], действующая на основании приказа ООО «Компания» от [дата] № [номер], составила настоящий акт о том, что [дата] уничтожены персональные данные [категория субъектов / указание конкретных субъектов] на основании [пункт части 4 ст. 21 закона 152-ФЗ] способом [измельчение / безвозвратное удаление с перезаписью / физическое уничтожение носителя].
Акт — ключевое доказательство для оператора: при проверке Роскомнадзора или при обращении субъекта персональных данных именно акт подтверждает, что данные действительно уничтожены, а не просто удалены из активного использования. Акты хранятся вместе с остальной внутренней документацией по обработке ПДн — их отсутствие делает регламент декларативным документом без практического подтверждения.
Регламент стоит связать с журналом учёта обращений субъектов персональных данных: если уничтожение произошло по требованию субъекта, разумно, чтобы номер обращения из журнала был указан прямо в акте — так проще подтвердить, что запрос был исполнен, а не просто зарегистрирован.
Частые вопросы
Коротко о том, что обычно спрашивают об этом документе.
Нужно ли уничтожать данные сразу после отзыва согласия?
Только если у оператора не осталось другого законного основания для обработки. Если данные, например, всё ещё нужны для исполнения действующего договора, обработка в этом объёме продолжается, а уничтожается только та часть, которая держалась исключительно на отозванном согласии.
Кто входит в комиссию по уничтожению персональных данных?
Состав определяет сам оператор приказом руководителя. Обычно это ответственный за организацию обработки персональных данных и представители подразделений, которые фактически работают с уничтожаемыми данными — например, отдел кадров или служба поддержки клиентов.
Достаточно ли удалить файл с компьютера, чтобы данные считались уничтоженными?
Нет. Обычное удаление в корзину или простое форматирование не исключает техническое восстановление данных. Уничтожением считается способ, который гарантированно делает восстановление данных невозможным — например, безвозвратное удаление с перезаписью или физическое уничтожение носителя.
Обязательно ли составлять акт при каждом уничтожении данных?
Да, это стандартная практика фиксации: без акта у оператора нет письменного подтверждения факта и способа уничтожения, что создаёт риски при проверке или при споре с субъектом персональных данных, который потребовал уничтожить свои данные.
Можно ли вместо уничтожения просто обезличить данные?
Да, если полное уничтожение технически невозможно, а цель обработки, ради которой хранились именно идентифицируемые данные, уже достигнута. Обезличивание — законная альтернатива, при которой данные приводятся к виду, не позволяющему определить принадлежность к конкретному субъекту.
Подготовим документ под ваш бизнес
Юрист BN Legal соберёт «Регламент уничтожения ПДн» с вашими реквизитами и проверит остальной комплект по 152-ФЗ.
