Инстинкт бизнеса — хранить данные клиентов вечно: вдруг пригодятся. Закон 152-ФЗ смотрит на это иначе. Хранение — не бессрочное право, а обязанность, ограниченная целью, ради которой данные собирались. И у уничтожения есть конкретный срок.
Хранить — не дольше цели
Часть 7 статьи 5 закона 152-ФЗ устанавливает принцип: персональные данные хранятся не дольше, чем этого требуют цели их обработки. Как только цель достигнута, основание для хранения исчезает. Данные, которые лежат «на всякий случай», без действующей цели, — это хранение без основания, а не запас.
По достижении цели — уничтожить за 30 дней
Часть 4 статьи 21 конкретизирует срок: по достижении цели обработки оператор обязан прекратить обработку и уничтожить персональные данные в срок, не превышающий тридцати дней с даты достижения цели. Из этого правила есть исключения:
- иное предусмотрено договором или соглашением с субъектом;
- у оператора есть право обрабатывать данные без согласия по другому законному основанию — например, требование закона хранить документы определённый срок.
Классический пример законного продления: бухгалтерские и налоговые документы с персональными данными нужно хранить установленные законом сроки, и цель «продажа» здесь сменяется целью «исполнение требований закона». Но это именно смена основания, а не «храним, потому что удобно».
🪤 Находка: старая база без цели — это не актив, а риск
Многие компании годами держат базы бывших клиентов, участников давних акций, подписчиков, которые давно неактивны, — в логике «данные лишними не бывают». С точки зрения 152-ФЗ такая база без действующей цели обработки — не ценность, а обязательство, которое пора было уничтожить. При проверке или утечке из такой базы наличие данных, для которых нет актуальной цели, само по себе становится претензией. Чем больше «спящих» данных, тем больше поверхность риска — и при утечке масштаб (а значит, и штраф по частям 12–14 статьи 13.11) считается по всем субъектам в базе, включая тех, кого давно следовало удалить.
Что с этим делать
Практический вывод: у каждой категории данных должна быть цель и понимание, когда эта цель считается достигнутой. Данные без действующей цели подлежат уничтожению в 30-дневный срок. Это пересекается с обработкой отзыва согласия, где действует такой же 30-дневный срок, и с локализацией — хранить меньше проще и дешевле, чем хранить всё и везде.
Вопросы про сроки хранения данных
Сколько можно хранить персональные данные?
Не дольше, чем этого требуют цели обработки (ст. 5 ч. 7 152-ФЗ). Как только цель достигнута, основание для хранения исчезает, и данные подлежат уничтожению.
В какой срок нужно уничтожить данные после достижения цели?
В срок не более 30 дней с даты достижения цели обработки (ст. 21 ч. 4). Исключения — если иное предусмотрено договором или у оператора есть право обрабатывать данные без согласия по другому законному основанию.
Можно ли хранить данные бывших клиентов «на всякий случай»?
Нет. Данные без действующей цели обработки — это хранение без основания. С точки зрения 152-ФЗ старая база без актуальной цели не актив, а риск: при утечке масштаб и штраф считаются по всем субъектам, включая тех, кого следовало удалить.
Когда хранение данных дольше цели законно?
Когда основание меняется — например, бухгалтерские и налоговые документы с персональными данными хранятся установленные законом сроки. Это смена цели на «исполнение требований закона», а не хранение «потому что удобно».
Продукт по теме
Похожие материалы
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 5 ч. 7 и ст. 21 ч. 4 (сроки хранения и уничтожения) — consultant.ru
Принцип хранения (ст. 5 ч. 7) и срок уничтожения 30 дней по достижении цели (ст. 21 ч. 4) сверены с текстом норм на 11.07.2026.