Персональные данные бывших учеников: сколько хранить и когда можно удалить в 2026 году
Типичная ситуация: в CRM онлайн-школы копятся карточки учеников, которые прошли курс два, три, пять лет назад и больше ничего не покупали. Юридически это не безобидный архив, а риск – хранение персональных данных без актуальной цели прямо нарушает закон, даже если утечки не было и жалоб от учеников не поступало. Разберем, что можно хранить, сколько и на каком основании.
Сколько по умолчанию можно хранить данные бывшего ученика
На практике это значит, что для каждой категории данных школе нужно отдельно ответить на вопрос “зачем мы это до сих пор храним”. Пока ученик учится – цель очевидна: нужно вести учет успеваемости, отправлять материалы, выдавать сертификат. Курс закончен, повторных покупок нет, оснований для хранения на будущее не заявлено – формальная цель обработки исчерпана, и данные пора либо удалить, либо найти для них новое законное основание.
Ошибка, которую совершает большинство школ – хранить все подряд “на всякий случай”, без разделения базы на активных учеников, тех, кто может вернуться, и тех, чьи данные давно потеряли практический смысл. Именно отсутствие такого разделения и делает базу уязвимой при проверке: инспектор Роскомнадзора видит карточки пятилетней давности без активности и без объяснения, зачем они там лежат.
| Категория данных | Типичный срок хранения | Основание |
|---|---|---|
| Контакты активного ученика (учится сейчас) | Пока действует договор | Цель обработки – оказание услуги |
| Документы об оплате (чеки, договоры) | 5 лет с момента операции | Бухгалтерский и налоговый учет |
| Переписка и данные для возможного спора | 3 года после окончания курса | Общий срок исковой давности, ст. 196 ГК РФ |
| Контакты для рассылок и допродаж | До отзыва согласия | Отдельное согласие на маркетинг |
| Данные без активной цели и согласия на маркетинг | Подлежат удалению | Ст. 5 ч. 7 ФЗ №152-ФЗ |
Когда возникает обязанность удалить данные
При отзыве согласия срок прямо установлен ст. 21 ч. 5 ФЗ №152-ФЗ (проверено: август 2026): оператор обязан прекратить обработку и уничтожить персональные данные не позднее 30 дней с даты поступления отзыва, если иное не предусмотрено соглашением сторон или другим федеральным законом. Именно на этот срок школе стоит ориентироваться и во внутреннем регламенте – более длинный срок реагирования на практике становится поводом для жалобы в Роскомнадзор, даже если сама причина хранения формально отсутствовала.
Отдельный случай – истечение срока годности самой цели без формального отзыва согласия. Например, ученик прошел бесплатный вебинар два года назад, ни разу не открывал письма рассылки и не отвечал на них. Формально согласие не отозвано, но фактическая цель обработки (довести до покупки основного курса) явно не реализуется. В таком случае разумная практика – завести регламент автоматической очистки базы: контакты без активности за определенный период переводятся в архив с ограниченным доступом или удаляются, если для них нет отдельного основания хранения.
Основание первое: бухгалтерский и налоговый учет
Это законное основание хранить данные бывшего ученика дольше, чем формально нужно для оказания образовательной услуги – но только в том объеме, который действительно требуется для учета: ФИО, сумма и дата платежа, реквизиты договора. Хранить вместе с этим полную историю переписки, IP-адреса или данные о посещении вебинаров на основании “это же тоже связано с оплатой” уже некорректно – для этих данных нужно отдельное основание, и по истечении цели обработки их следует удалять независимо от бухгалтерского архива.
Практический вывод для онлайн-школы: разделяйте в CRM финансовый блок данных (который живет 5 лет по закону об учете) и коммуникационный блок (переписка, история активности), для которого этого основания нет. Смешивание всего в одной карточке клиента без разделения усложняет и удаление по запросу, и объяснение инспектору, почему конкретные данные все еще хранятся.
Основание второе: возможные судебные споры
Это основание работает только для конкретных, обоснованных случаев, а не как универсальное оправдание хранить всю базу “на случай спора”. Если ученик закончил курс без единой претензии, ссылаться на потенциальный судебный риск для хранения его данных пять лет спустя суд или Роскомнадзор при проверке, скорее всего, не примут – основание должно быть реальным, а не гипотетическим.
Хорошая практика – фиксировать в CRM отдельным флагом случаи, где был конфликт, претензия или спор, и хранить расширенный пакет данных именно по этим карточкам дольше стандартного срока. Остальная база при этом может чиститься по общему правилу без риска потерять доказательства на случай реального разбирательства.
Показательный пример: ученик прошел курс в 2023 году, оплата и доступ к материалам прошли без нареканий – для его карточки нет ни спора, ни маркетингового согласия, поэтому после закрытия бухгалтерского периода данные логично удалить. Другой ученик того же потока написал претензию о возврате денег, спор был урегулирован без суда, но переписка и документы по этому случаю имеет смысл держать три года именно из-за реального прецедента конфликта. Формально оба – бывшие ученики одного курса, но срок и основание хранения их данных различаются, и это нормально: закон требует индивидуальной оценки цели, а не единого правила “для всех сразу”.
Удаление или обезличивание: в чем разница и что выбрать
Для маркетинговой и управленческой аналитики обезличивание часто выгоднее удаления: школа сохраняет статистику “сколько учеников купили курс X в марте 2025 года” без персональных данных, которые формально уже нельзя обрабатывать. Для платежных и бухгалтерских документов обезличивание, как правило, не подходит – документ теряет юридическую силу, если из него убрать ФИО плательщика, поэтому здесь применяется обычное хранение с последующим полным удалением по истечении срока.
Технически важно, чтобы удаление было подтверждаемым: если данные хранились в CRM, облачном сервисе рассылок и таблице у менеджера по продажам одновременно, удаления только в CRM недостаточно. При запросе на удаление или при проверке нужно быть готовым показать, что данные стерты во всех местах, где они реально обрабатывались, включая резервные копии, если политика их хранения это позволяет.
Отдельная сложность возникает, когда данные бывшего ученика передавались подрядчику – сервису email-рассылок, платформе для вебинаров, бухгалтерской компании на аутсорсе. По договору поручения на обработку персональных данных именно школа как оператор отвечает за то, чтобы подрядчик тоже удалил данные по истечении срока их использования, а не хранил их у себя бессрочно “про запас”. В договоре поручения стоит заранее прописать обязанность подрядчика удалять данные по запросу оператора и подтверждать факт удаления – без этого пункта проверить исполнение будет нечем, кроме устных заверений.
Данные для повторных продаж: нужно отдельное согласие
Частая ошибка школ – считать, что раз ученик один раз согласился на обработку данных для прохождения курса, этого достаточно, чтобы годами присылать ему рекламу новых продуктов. Формально это два разных основания обработки, и второе требует отдельной галочки в форме согласия именно на маркетинговые коммуникации, с возможностью отписаться в любой момент.
Если согласие на маркетинг получено, хранение контакта оправдано до тех пор, пока ученик его не отзовет – явным действием (отпиской, письменным заявлением) или неактивностью, если во внутренней политике школы прописано автоматическое прекращение рассылок и удаление контакта после определенного периода отсутствия реакции. Второй вариант снижает и юридический риск, и нагрузку на базу – подписчики, которые год не открывали ни одного письма, вряд ли принесут конверсию, зато формально остаются персональными данными, которые нужно защищать.
Что делать по запросу бывшего ученика об удалении
Порядок действий: зафиксировать дату поступления запроса, проверить по каждой категории данных, есть ли основание для дальнейшего хранения, удалить или обезличить то, для чего оснований нет, и направить ученику ответ с описанием предпринятых действий. Молчание в ответ на запрос – самостоятельное нарушение, даже если фактически данные были удалены: субъект персональных данных вправе получить подтверждение.
Если часть данных действительно нужно сохранить (например, документы об оплате, пока не истек пятилетний срок хранения по бухучету), в ответе стоит прямо это объяснить: какие данные удалены, какие остаются и на каком основании, до какой даты. Это снимает большинство последующих претензий и жалоб в Роскомнадзор – типичная жалоба возникает не из-за самого факта частичного отказа, а из-за отсутствия внятного объяснения.
Что грозит за хранение без основания
На практике риск редко реализуется как отдельная жалоба именно на “старые данные” – чаще проблема всплывает при более широкой проверке или в момент утечки: чем больше в базе неактуальных карточек, тем шире круг пострадавших субъектов и тем выше итоговый размер санкций. Регулярная чистка базы – это не только вопрос формального соответствия закону, но и способ снизить масштаб последствий на случай инцидента с безопасностью.
Чек-лист: аудит базы бывших учеников
Порядок действий для директора онлайн-школы
- ✓ Разделить базу на активных учеников, потенциальных (маркетинговое согласие есть) и неактивных без оснований для хранения
- ✓ Выделить финансовый блок данных, который хранится 5 лет по закону об учете
- ✓ Отметить карточки с реальным риском спора – хранить отдельно 3 года
- ✓ Проверить, есть ли отдельное согласие на маркетинг для тех, кому продолжают приходить рассылки
- ✓ Настроить регламент: что удаляется автоматически, а что остается по закону
- ✓ Прописать процедуру ответа на запрос об удалении – 30 дней и мотивированный ответ
Не уверены, сколько можно хранить данные учеников?
Проведем аудит базы, разделим данные по основаниям хранения и настроим регламент удаления под требования 152-ФЗ.
Статья подготовлена на основе законодательства РФ на август 2026 года. Для консультации по вашему случаю обратитесь к специалисту.
Частые вопросы
Можно ли хранить данные бывшего ученика бессрочно, если он не просил их удалить?
Нет. Ст. 5 ч. 7 ФЗ №152-ФЗ (проверено: август 2026) требует хранить данные не дольше, чем этого требуют цели обработки, независимо от того, поступал запрос об удалении или нет. Отсутствие жалобы не освобождает от обязанности.
Сколько хранить документы об оплате курса после выпуска ученика?
Не менее 5 лет – это требование бухгалтерского и налогового законодательства (ст. 29 ФЗ №402-ФЗ, пп. 8 п. 1 ст. 23 НК РФ, проверено: август 2026), а не 152-ФЗ. Оно распространяется только на финансовые документы, а не на всю карточку ученика.
Сколько дней есть на удаление данных после отзыва согласия?
30 дней с даты поступления отзыва – срок установлен ст. 21 ч. 5 ФЗ №152-ФЗ. Если данные передавались подрядчику (email-сервис, платформа вебинаров), школа обязана обеспечить их удаление и там же.
Нужно ли отдельное согласие, чтобы присылать бывшему ученику рекламу новых курсов?
Да. Общее согласие на обработку данных при первой покупке не покрывает рассылку рекламных предложений – для этого нужно отдельное согласие на обработку в целях продвижения товаров и услуг по ст. 15 ФЗ №152-ФЗ.
Что делать, если ученик прислал запрос на удаление данных, а часть из них еще нужна для бухучета?
Удалить то, для чего оснований нет, а по остальному дать мотивированный ответ: какие данные и на каком основании остаются, до какой даты. Молчание в ответ на запрос – самостоятельное нарушение.
Что грозит школе за хранение неактуальной базы бывших учеников?
Хранение данных без основания квалифицируется по ст. 13.11 КоАП РФ. На практике риск чаще реализуется при более широкой проверке или утечке – чем больше неактуальных данных в базе, тем выше потенциальный масштаб последствий.
