Сроки хранения персональных данных на сервере по 152-ФЗ

152-ФЗ не устанавливает единый срок хранения персональных данных для всех случаев — он требует хранить их не дольше, чем это нужно для целей обработки, а дальше данные нужно обезличить или уничтожить.

Почему в законе нет конкретных сроков хранения?

Закон «О персональных данных» построен на принципе целевого использования: данные собираются под конкретную задачу — заключить договор, начислить зарплату, отправить рассылку — и хранятся, пока эта задача актуальна. Как только цель достигнута или отпала необходимость, оператор обязан прекратить обработку и удалить или обезличить информацию. Жёсткой цифры «хранить три года» или «пять лет» в самом 152-ФЗ нет, потому что задачи у всех разные: у бухгалтерии одни сроки, у отдела продаж другие, у службы поддержки третьи.

Кто тогда определяет конкретные сроки хранения?

Сроки обычно берутся из других нормативных актов, которые регулируют конкретную сферу деятельности. Например, требования к бухгалтерским и налоговым документам устанавливают отдельные законы и подзаконные акты, а для трудовых отношений действуют свои правила по личным делам сотрудников. Оператор персональных данных обязан учитывать эти отраслевые нормы и прописывать сроки хранения во внутренних документах — политике обработки персональных данных, положениях о персонале, регламентах CRM. Именно эти внутренние документы становятся ориентиром и для технического персонала, который администрирует сервер.

Что происходит с данными, когда срок хранения истёк?

Оператор обязан либо уничтожить персональные данные, либо обезличить их так, чтобы по оставшейся информации невозможно было определить конкретного человека. Уничтожение — это не просто перемещение файла в корзину: запись должна быть удалена так, чтобы её нельзя было восстановить штатными средствами. Обезличивание — альтернативный путь, когда данные всё ещё нужны, например, для статистики или аналитики, но привязка к конкретному человеку убирается: имена, номера телефонов и другие идентификаторы заменяются или удаляются.

Как правильно удалить персональные данные с сервера?

Удаление должно быть зафиксировано документально — актом или протоколом с указанием, какие данные удалены, когда и на каком основании. Технически это значит, что нужно очистить не только основную базу данных, но и все места, где могла остаться копия информации:

• рабочие таблицы и файлы на сервере приложений;
• журналы и логи, если в них попадали персональные данные;
• кеши и временные файлы;
• архивные копии баз данных.

Если хотя бы одна копия останется «забытой» на диске, формально требование закона не выполнено, даже если основная база уже очищена.

А что делать с резервными копиями — их тоже нужно чистить?

Это один из самых частых вопросов на практике. Резервная копия — это тоже носитель персональных данных, и формально требование об уничтожении распространяется и на неё. На деле компании выстраивают процесс так, чтобы старые бэкапы, содержащие уже удалённые из основной базы данные, естественным образом выходили из ротации и перезаписывались новыми копиями в течение разумного срока. Важно, чтобы этот срок хранения резервных копий тоже был прописан во внутренней политике компании и не превращался в бесконечный архив «на всякий случай». Держать бэкапы с персональными данными годами без причины — это прямое нарушение принципа ограничения хранения.

Что грозит компании, если данные хранятся дольше положенного?

Надзорный орган в сфере персональных данных может проводить проверки и выдавать предписания об устранении нарушений, а при неисполнении требований предусмотрена административная ответственность. Кроме формальных санкций, есть и репутационный риск: утечка старых, давно неактуальных данных выглядит для клиентов особенно неприятно — компания хранила информацию, которая ей уже не нужна была, и не смогла её защитить. Поэтому регулярная чистка серверов от «мёртвых» данных — это не только про соблюдение закона, но и про снижение поверхности атаки для злоумышленников: чем меньше лишних данных лежит на сервере, тем меньше есть что украсть.

Как организовать хранение и удаление данных на практике, если своего сервера нет?

Компании без собственной IT-инфраструктуры обычно работают с хостинг-провайдером или облачным сервисом, и здесь важно, чтобы провайдер поддерживал нужные процессы: удаление данных по запросу, управление сроками хранения резервных копий, контроль доступа к бэкапам. Например, сервис «Клауд АйСи» предоставляет облачные серверы и хостинг с учётом требований 152-ФЗ и помогает настроить резервное копирование так, чтобы старые копии с персональными данными не накапливались бесконтрольно, а ротация бэкапов происходила по понятным правилам. Это снимает с бизнеса часть технической нагрузки, но ответственность за определение сроков хранения и оформление документов всё равно остаётся за оператором данных.

Есть какой-то интересный факт про сам закон о персональных данных?

Федеральный закон «О персональных данных» № 152-ФЗ был принят в 2006 году — задолго до того, как облачные технологии и большие базы данных стали привычной частью бизнеса. С тех пор закон многократно дополнялся, но базовый принцип остался неизменным: данные нельзя хранить бесконечно и без цели, а обрабатывать их можно только в рамках тех задач, для которых они были собраны изначально.