Акт об уничтожении персональных данных: образец и когда онлайн-школа обязана его составлять

Удалили строку из CRM после того, как ученик закончил курс — и решили, что на этом обязанности по 152-ФЗ закрыты? На самом деле только начинаются: факт удаления нужно задокументировать так, чтобы Роскомнадзор мог проверить его спустя месяцы.

Разбираем, в каких случаях онлайн-школе нужен акт об уничтожении, что в нём обязано быть, как его оформить вместе со вторым документом — выгрузкой из журнала системы — и что будет, если акта не окажется на момент проверки. Это часть общей работы школы с персональными данными — рядом с согласиями, политикой обработки и сроками хранения.

Когда школе нужен акт об уничтожении

Для образовательного бизнеса самый частый случай — первый. Цель обработки данных ученика по договору об образовании достигается в момент выдачи документа об обучении: сертификата, диплома, удостоверения. С этой даты у школы есть 30 дней, чтобы прекратить обработку и уничтожить данные, если иное не предусмотрено договором, иным соглашением с учеником или другим основанием для обработки без согласия (ст. 21 ч. 4 152-ФЗ, проверено: сентябрь 2026).

Второй по частоте случай в онлайн-школах — отказ от рассылки или отзыв согласия на обработку данных до завершения курса. Школа обязана прекратить обработку и уничтожить данные в течение 30 дней с момента получения отзыва, с теми же оговорками про договор и иные законные основания (ст. 21 ч. 5).

Третий случай — прямой запрос ученика или его представителя об удалении данных. Здесь сроки короче: 7 рабочих дней на уничтожение с момента подтверждения, что данные незаконно получены или больше не нужны для цели (ст. 20 ч. 3 152-ФЗ).

Четвёртый случай — собственная инициатива оператора: школа выявила, что обрабатывает данные неправомерно (например, собрала больше сведений, чем нужно для цели). Тогда 3 рабочих дня на прекращение обработки, а если обеспечить правомерность невозможно — 10 рабочих дней на уничтожение (ст. 21 ч. 3).

Почему нужен не один документ, а два

Логика простая: акт — это человекочитаемое подтверждение того, что организация приняла решение уничтожить конкретные данные и сделала это. Выгрузка из журнала — техническое подтверждение того же факта внутри информационной системы, где эти данные хранились: CRM, база данных сайта, таблица учеников.

Для онлайн-школы на практике это означает: мало просто удалить ученика из CRM. Нужно, во-первых, оформить акт с перечнем удалённых данных и основанием, во-вторых — выгрузить и сохранить журнал событий системы (лог), в котором зафиксировано само действие удаления, дата и кто его выполнил. Большинство современных CRM и LMS ведут такой журнал автоматически — его нужно просто выгрузить и приложить к акту, а не формировать заново.

Если данные хранились в нескольких системах — например, в CRM отдела продаж, в LMS для обучения и в отдельной таблице бухгалтерии — уничтожение и акт нужны по каждой системе, где эти данные реально находились. Выборочное удаление из одной системы при сохранении копии в другой не считается уничтожением персональных данных в смысле закона.

Что должно быть в акте: обязательные реквизиты

Разумный состав акта, который закрывает требования практики проверок и логику приказа:

Отдельное требование, которое легко упустить: по ст. 19 ч. 2 п. 3.1 152-ФЗ для уничтожения данных применяются прошедшие процедуру оценки соответствия средства защиты информации, в составе которых реализована функция уничтожения (проверено: сентябрь 2026). Формально простое удаление строки командой DELETE в базе данных этому требованию не отвечает — акт стоит дополнить указанием, каким именно программным средством проведено уничтожение.

Образец акта для онлайн-школы

Ниже — упрощённый каркас, который школа может взять за основу и доработать под свой документооборот:

Для школ с небольшим потоком учеников удобнее вести один сводный акт на группу субъектов, чьи данные уничтожаются в одну дату по одному основанию (например, весь выпускной поток курса через 30 дней после выдачи дипломов), а не оформлять отдельный акт на каждого ученика. Закон такого требования не содержит, групповой акт с перечнем субъектов в приложении закрывает ту же цель — задокументировать факт уничтожения.

Сроки уничтожения: от 30 дней до 6 месяцев

Это частый легальный выход для школ, у которых CRM или сайт делают регулярные бэкапы базы данных. Удалить запись конкретного ученика из каждой резервной копии вручную и сразу физически сложно — закон это учитывает и даёт 6 месяцев вместо 30 дней, но только при условии, что данные на это время заблокированы, то есть исключены из активной обработки.

Отдельная история — архивные сроки хранения документов об образовании. Если по договору об образовании выдан диплом о дополнительном профессиональном образовании, помимо ст. 21 152-ФЗ подключается Перечень Росархива (Приказ № 236): его отдельные позиции устанавливают срок хранения документов об обучении сверх 30 дней, предусмотренных ч. 4 ст. 21 — здесь уничтожение откладывается до истечения архивного срока, а не проводится сразу.

Отдельно нужно помнить про согласие на обработку: даже уничтожив сами данные, отозванное согласие нужно хранить ещё 3 года после истечения срока его действия или отзыва (ст. 441 Перечня Росархива) — как доказательство того, что обработка велась законно, пока согласие действовало.

Сколько хранить сам акт

Парадокс, который стоит объяснить команде: сами персональные данные школа уничтожает, а документ, подтверждающий их уничтожение, хранит ещё три года. Это не противоречие — акт и выгрузка из журнала не содержат полного набора персональных данных в исходном виде (или содержат их в минимальном объёме, нужном для идентификации факта), их хранение не нарушает принцип ограничения срока обработки.

Практический совет: заведите в организации единый реестр актов об уничтожении — таблицу с датой, основанием, субъектом (или идентификатором группы) и ссылкой на файл акта. Это ускорит поиск нужного документа при проверке Роскомнадзора и снимет риск, что акт просто потеряется среди прочих бумаг школы.

Что грозит без акта при проверке

При повторном нарушении по ч. 5.1 той же статьи штрафы вырастают резко: для юрлиц уже 300-500 тыс. руб. Отягчающим обстоятельством по прим. 5 к ст. 13.11 КоАП считается предшествующая привлечённость по любой части статьи 13.11 — даже мелкий прошлый штраф за непубликацию политики впоследствии утяжеляет позицию школы по новому делу об уничтожении данных.

На практике ситуация чаще всего выглядит так: бывший ученик требует удалить свои данные, школа технически их удаляет из CRM, но акт не составляет — для внутреннего ощущения школы обязанность выполнена. Проблема всплывает позже: тот же ученик жалуется в Роскомнадзор, что не получил подтверждения, инспектор запрашивает акт, а его нет. С формальной точки зрения факт уничтожения данных без документального подтверждения доказать почти невозможно, и дело разворачивается не в пользу школы. Подробный разбор общего алгоритма действий при утечке данных и схожей логики «сначала сделали, потом не смогли подтвердить» — в статье «Утечка персональных данных в онлайн-школе: что делать в первые 24 часа».

Если школа хранит данные дольше законного срока без составления акта об уничтожении — это отдельный и более частый повод для претензий при проверке. Как определить срок хранения для разных категорий данных учеников, подробно разобрано в статье «Персональные данные бывших учеников: сколько хранить и когда можно удалить».

Не хотите разбираться в 152-ФЗ сами?

Проверим документы и подготовим к проверке Роскомнадзора.

Оставить заявку ->

Статья подготовлена на основе законодательства РФ на сентябрь 2026 года. Для консультации по вашему случаю обратитесь к специалисту.