Коротко: Если человек отзывает согласие, данные нужно уничтожить в течение 30 дней с даты получения отзыва. Если он подтвердил, что данные получены незаконно или не нужны для цели обработки, – в течение 7 рабочих дней. Если уничтожить в срок невозможно, данные блокируются и уничтожаются не позднее чем через 6 месяцев. Отказать можно, только если у вас есть другое законное основание обработки, и его нужно назвать в ответе.
Получили от пользователя запрос на удаление персональных данных? На него закон отводит конкретные сроки, а за их пропуск предусмотрен штраф по ст. 13.11 КоАП. Разберёмся, как обработать такой запрос, в какие сроки нужно уничтожить данные и что делать, если удалить информацию по закону нельзя.
Что говорит закон: основания для удаления ПДн
Субъект персональных данных (ваш клиент, подписчик, сотрудник) вправе в любой момент отозвать согласие и потребовать уничтожить данные, если они получены незаконно или не нужны для заявленной цели (ч. 1 ст. 14 152-ФЗ). Но уничтожать всё по первому требованию закон не обязывает: если у оператора есть другое законное основание обработки, данные можно сохранить.
Когда оператор обязан удалить данные
По статьям 20 и 21 152-ФЗ уничтожить персональные данные нужно в следующих случаях:
- Отзыв согласия на обработку. Если человек отозвал согласие и нет других законных оснований для обработки (например, договорных обязательств), данные нужно уничтожить в течение 30 дней (ч. 5 ст. 21).
- Данные получены незаконно или не нужны для цели. Если человек представил этому подтверждение, уничтожить данные нужно в течение 7 рабочих дней (ч. 3 ст. 20).
- Достижение цели обработки. Если вы собирали данные для конкретной задачи (например, регистрации на вебинар), а задача выполнена, данные уничтожают в течение 30 дней (ч. 4 ст. 21).
- Неправомерная обработка, которую нельзя исправить. Её прекращают в течение 3 рабочих дней с момента выявления, а данные уничтожают в течение 10 рабочих дней (ч. 3 ст. 21).
Если данные просто устарели или неточны, их не уничтожают, а уточняют – в течение 7 рабочих дней после того, как человек представил подтверждение (ч. 3 ст. 20, ч. 2 ст. 21).
Когда можно отказать в удалении
Закон предусматривает ситуации, когда оператор вправе оставить данные у себя, даже если пришёл запрос на удаление персональных данных:
- Данные необходимы для исполнения договора с субъектом (например, вы не можете удалить ФИО и адрес из договора, пока он действует).
- Обработка требуется по закону (например, бухгалтерские и кадровые документы).
- Данные нужны для защиты прав и законных интересов оператора или третьих лиц, например в судебном споре с этим человеком (п. 7 ч. 1 ст. 6 152-ФЗ), и это не нарушает его права и свободы.
После отзыва согласия оператор вправе продолжить обработку только по таким основаниям (ч. 2 ст. 9 152-ФЗ). Если вы отказываете в удалении, ответьте письменно и укажите основание: доказать законность обработки обязан оператор (ч. 3 ст. 9).
Сроки: сколько дней есть на ответ и удаление
Закон устанавливает конкретные сроки, и они разные – в зависимости от того, чего требует человек.
30 дней на уничтожение данных
Если запрос на удаление – это отзыв согласия, оператор обязан прекратить обработку и уничтожить данные в течение 30 дней с даты поступления отзыва (ч. 5 ст. 21 152-ФЗ). Если человек подтвердил, что данные получены незаконно или не нужны для цели обработки, срок короче – 7 рабочих дней (ч. 3 ст. 20 152-ФЗ).
Можно ли продлить срок
Продлить 30-дневный срок закон не позволяет. Если уничтожить данные вовремя невозможно (например, они остались в резервных копиях или у подрядчика), их нужно заблокировать и уничтожить не позднее чем через 6 месяцев, если иной срок не установлен федеральным законом (ч. 6 ст. 21 152-ФЗ).
Не путайте с другим сроком: если человек требует прекратить обработку (ч. 5.1 ст. 21 152-ФЗ), прекратить её нужно в течение 10 рабочих дней – и вот этот срок можно продлить ещё на 5 рабочих дней, направив мотивированное уведомление.
Что будет за просрочку
Если вы пропустили сроки, субъект вправе обратиться в Роскомнадзор или в суд. Штрафы по ст. 13.11 КоАП:
- не выполнили в срок требование уничтожить данные, полученные незаконно или ненужные для цели, – ч. 5: организации 50–90 тыс. ₽, ИП 20–40 тыс. ₽, должностные лица 8–20 тыс. ₽; повторно (ч. 5.1) – организации 300–500 тыс. ₽;
- продолжили обрабатывать данные после отзыва согласия без другого законного основания – ч. 1: организации 150–300 тыс. ₽, ИП и должностные лица 50–100 тыс. ₽;
- не дали человеку информацию об обработке его данных – ч. 4: организации 40–80 тыс. ₽, ИП 20–30 тыс. ₽.
Малому бизнесу за первое нарушение, выявленное при госконтроле и не причинившее вреда, штраф заменяют предупреждением (ст. 4.1.1 КоАП).
Сроки зависят от того, чего именно требует субъект.
| Требование | Срок | Можно ли продлить |
|---|---|---|
| Уничтожить персональные данные после отзыва согласия | 30 дней с даты получения отзыва | Нет |
| Уничтожить данные, полученные незаконно или ненужные для цели | 7 рабочих дней с даты, когда человек представил подтверждение | Нет |
| Уничтожить данные, если это невозможно сразу (резервные копии, подрядчик) | Не позднее 6 месяцев, если иной срок не установлен федеральным законом | Нет |
| Прекратить обработку персональных данных | 10 рабочих дней | Да, на 5 рабочих дней с мотивированным уведомлением |
Пошаговая инструкция: как ответить на запрос
Разберём алгоритм действий, чтобы вы ничего не упустили.
Шаг 1: Проверьте личность заявителя
Вы не обязаны удалять данные по анонимному запросу. Сначала убедитесь, что запрос исходит именно от субъекта данных или его законного представителя.
Что проверить:
- ФИО и контактные данные заявителя.
- Номер основного документа, удостоверяющего личность (паспорт), дату выдачи и выдавший орган, сведения о ваших отношениях с человеком (номер договора, логин) и подпись – так закон описывает запрос субъекта (ч. 3 ст. 14 152-ФЗ).
- Если запрос от представителя – реквизиты доверенности или иного документа, подтверждающего полномочия.
Если данных недостаточно, запросите уточнение сразу. Приостановки срока на время уточнения закон не предусматривает, поэтому не откладывайте этот шаг.
Шаг 2: Определите, есть ли основания для отказа
Проверьте, не попадает ли запрос в исключения, описанные выше. Если данные нужны для исполнения договора или обязательны по закону – вы можете отказать, но с обоснованием.
Шаг 3: Уничтожьте данные или подготовьте отказ
Если оснований для отказа нет – приступайте к уничтожению. Если отказываете – составьте письменный ответ с указанием причины.
Шаг 4: Уведомите субъекта о результате
После уничтожения данных или принятия решения об отказе сообщите заявителю о результате: об уничтожении незаконно полученных или ненужных данных и об устранении нарушений закон требует уведомить прямо (ч. 3 ст. 20, ч. 3 ст. 21 152-ФЗ). В уведомлении укажите:
- Факт уничтожения данных (или отказа с обоснованием).
- Дату, когда данные были уничтожены.
- Способ уничтожения (например, физическое уничтожение носителей, стирание с серверов).
Как правильно составить ответ: образцы документов
Ниже – два шаблона, которые можно подставить в ответ.
Образец уведомления об уничтожении данных
Уважаемый(ая) [ФИО заявителя]!
В ответ на Ваше заявление от [дата] сообщаем: Ваши персональные данные, обрабатывавшиеся в [название системы или базы], уничтожены [дата] путём [способ: удаление из базы данных, уничтожение бумажных носителей]. Уничтожение подтверждено актом об уничтожении персональных данных от [дата] № [номер].
Основание: отзыв согласия на обработку персональных данных (ч. 5 ст. 21 Федерального закона № 152-ФЗ).
С уважением, [должность, ФИО]
Образец уведомления об отказе в удалении
Уважаемый(ая) [ФИО заявителя]!
Рассмотрев Ваше заявление от [дата], сообщаем, что уничтожить персональные данные в полном объёме мы не можем: их обработка продолжается без согласия на основании [п. 5 ч. 1 ст. 6 Федерального закона № 152-ФЗ – исполнение договора № … от … / п. 2 ч. 1 ст. 6 – исполнение обязанностей по закону, например хранение первичных учётных документов не менее 5 лет по ст. 29 Федерального закона № 402-ФЗ] (ч. 2 ст. 9 Федерального закона № 152-ФЗ).
Данные будут уничтожены [дата или событие: окончание срока хранения, исполнение договора]. Обработка в иных целях, в том числе для рассылок, прекращена.
С уважением, [должность, ФИО]
Типичные ошибки операторов и как их избежать
Даже опытные компании допускают промахи. Вот самые частые.
Ошибка 1: Игнорирование запроса
Первая ошибка – просто не ответить на запрос. Отзыв согласия и требование уничтожить данные обязывают оператора действовать в срок, даже если человек прислал обычное письмо. Если запрос проигнорирован, субъект может подать жалобу в Роскомнадзор, а штраф – до 90 тыс. ₽ для организации по ч. 5 ст. 13.11 КоАП или 150–300 тыс. ₽ по ч. 1, если обработка продолжилась без законного основания.
Ошибка 2: Удаление данных, которые нельзя удалять
Нельзя уничтожать данные, если они нужны для исполнения договора или обязательны по закону. Например, документы по личному составу сотрудника хранят 50 лет, если они оформлены после 1 января 2003 года (ст. 22.1 125-ФЗ «Об архивном деле»), а бухгалтерские документы – не менее 5 лет (ст. 29 402-ФЗ «О бухгалтерском учёте»).
Ошибка 3: Нарушение сроков
30 дней на уничтожение после отзыва согласия продлить нельзя: мотивированное уведомление о продлении здесь не действует. Если уничтожить данные в этот срок невозможно, их нужно заблокировать и уничтожить не позднее 6 месяцев (ч. 6 ст. 21 152-ФЗ). Пропуск срока – основание для штрафа по ст. 13.11 КоАП.
Ошибка 4: Ответ, который нельзя подтвердить
Отвечайте письменно – по почте или по электронной почте, с которой пришёл запрос. Доказать, что данные обработаны законно и запрос выполнен, обязан оператор (ч. 3 ст. 9 152-ФЗ), а устный ответ по телефону подтвердить нечем.
Что делать, если данные уже переданы третьим лицам
Если данные обрабатывает подрядчик по вашему поручению (CRM, сервис рассылок, хостинг), обеспечить прекращение обработки и уничтожение данных у него обязаны вы, в те же сроки (ч. 5 ст. 21 152-ФЗ). Если вы передали данные другому оператору (например, рекламному партнёру), закон требует принять разумные меры, чтобы уведомить его об уточнении или уничтожении данных (ч. 3 ст. 20 152-ФЗ).
Как действовать:
- Направьте уведомление третьему лицу о необходимости уничтожить данные.
- Получите от него подтверждение об уничтожении.
- Включите эту информацию в ответ субъекту.
Если третье лицо отказывается уничтожать данные, сообщите об этом субъекту и объясните, куда ему обратиться (например, в Роскомнадзор).
Как автоматизировать обработку запросов
Ручная обработка каждого запроса – трудоёмкий процесс, особенно для крупных сайтов. Вот что можно сделать:
Внедрите форму для запросов
Разместите на сайте специальную форму, где пользователь может оставить запрос на удаление персональных данных. Форма должна собирать минимально необходимую информацию для идентификации (ФИО, email, номер договора или логин).
Настройте автоматическое уведомление
После получения запроса система может автоматически отправлять подтверждение о принятии заявки и информировать о сроках обработки.
Используйте сканер для проверки сайта
Регулярно проверяйте свой сайт на наличие уязвимостей в обработке ПДн. Это поможет заранее выявить проблемы и избежать штрафов.
Главное, что нужно запомнить
- Срок на уничтожение данных после отзыва согласия – 30 дней, для незаконно полученных или ненужных данных – 7 рабочих дней.
- Отказ возможен только при наличии законных оснований (договор, закон, защита прав оператора в споре).
- Отвечайте письменно: дата, способ уничтожения или основание отказа.
- Не игнорируйте запросы – это нарушение ст. 13.11 КоАП (ч. 5 – до 90 тыс. ₽ для организации).
- Если данные обрабатывает подрядчик, обеспечьте уничтожение у него и получите подтверждение.
Запрос на удаление персональных данных – законное требование субъекта. Если ситуация спорная (например, часть данных нужна по договору), согласуйте ответ с юристом.
Частые вопросы
В какой срок нужно удалить персональные данные после запроса?
Если человек отозвал согласие – в течение 30 дней с даты получения отзыва (ч. 5 ст. 21 152-ФЗ). Если он подтвердил, что данные получены незаконно или не нужны для цели, – в течение 7 рабочих дней (ч. 3 ст. 20). Продлить эти сроки закон не позволяет. Если уничтожить данные вовремя невозможно, их блокируют и уничтожают не позднее чем через 6 месяцев, если иной срок не установлен федеральным законом.
Можно ли отказать в удалении персональных данных?
Да, если данные необходимы для исполнения договора с субъектом, обработка требуется по закону или данные нужны для защиты прав и законных интересов оператора, например в судебном споре (ч. 2 ст. 9, ч. 1 ст. 6 152-ФЗ). В ответе нужно указать это основание.
Что делать, если данные уже переданы третьим лицам?
Если данные обрабатывает подрядчик по вашему поручению, обеспечьте уничтожение у него в те же сроки, получите подтверждение и включите эту информацию в ответ субъекту. Если данные переданы другому оператору, примите разумные меры, чтобы уведомить его (ч. 3 ст. 20 152-ФЗ). Если третье лицо отказывается уничтожать данные, об этом сообщают субъекту и объясняют, куда ему обратиться.
Что будет, если проигнорировать запрос на удаление данных?
Субъект вправе обратиться в Роскомнадзор или в суд. Невыполнение в срок требования уничтожить незаконно полученные или ненужные данные – ч. 5 ст. 13.11 КоАП: организации 50–90 тыс. ₽, ИП 20–40 тыс. ₽, повторно – организации 300–500 тыс. ₽. Обработка после отзыва согласия без другого основания – ч. 1: организации 150–300 тыс. ₽, ИП 50–100 тыс. ₽.
На что опираемся
- 152-ФЗ «О персональных данных» – ч. 1 и 3 ст. 14 (права субъекта, состав запроса)
- 152-ФЗ «О персональных данных» – ч. 3 ст. 20 (7 рабочих дней на уничтожение незаконно полученных или ненужных данных)
- 152-ФЗ «О персональных данных» – ст. 21 (обязанности оператора по уничтожению данных)
- 152-ФЗ «О персональных данных» – ч. 5 ст. 21 (уничтожение данных при отзыве согласия)
- 152-ФЗ «О персональных данных» – ч. 5.1 ст. 21 (прекращение обработки)
- 152-ФЗ «О персональных данных» – ч. 6 ст. 21 (срок уничтожения при невозможности)
- 152-ФЗ «О персональных данных» – ч. 1 ст. 6 (основания обработки без согласия)
- КоАП РФ – ст. 13.11 (штрафы за нарушение обработки персональных данных)
- Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
- Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
- Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.