Почему срок хранения — это не формальность, а часть законных оснований
Персональные данные можно обрабатывать только для конкретной заранее определённой цели — это базовое требование закона. Срок хранения прямо связан с этой целью: если цель достигнута, данные нужно удалить или обезличить. Хранение «на всякий случай» или «пока не попросят удалить» создаёт риск квалификации как обработка без законных оснований.
На практике это означает: в политике конфиденциальности и в согласии на обработку нужно указать не только цель, но и срок, в течение которого данные будут храниться. Если в документах срок не указан или указан неопределённо — это сигнал для проверяющих, что оператор не контролирует объём и период обработки.
Проверка документов сайта покажет, указаны ли сроки хранения, привязаны ли они к целям обработки и нет ли противоречий между политикой, согласием и пользовательским соглашением.
Как определить срок хранения для разных целей обработки
Срок хранения устанавливает сам оператор, исходя из цели. Для выполнения договора данные нужны, пока договор действует, плюс срок возможных претензий — обычно три года. Для маркетинговой рассылки — пока субъект не отозвал согласие. Для бухгалтерских и кадровых документов действуют специальные сроки, установленные другими законами, и их нужно соблюдать.
Если данные обрабатываются для нескольких целей одновременно — например, для выполнения заказа и для аналитики, — каждая цель должна иметь свой срок. После достижения одной цели данные для неё удаляются, но могут оставаться для другой, если есть законное основание.
Для cookie и идентификаторов посетителей срок тоже нужно указывать. Обычно это делается в политике использования cookie или в тексте баннера. Проверка сайта зафиксирует, какие cookie устанавливаются до получения согласия и указаны ли для них сроки хранения.
Что должно быть в политике конфиденциальности и согласии
В политике конфиденциальности нужно перечислить все цели обработки и для каждой указать срок хранения или условие, при котором данные будут удалены. Например: «данные хранятся до исполнения договора и в течение трёх лет после для возможных претензий» или «данные для рассылки хранятся до отзыва согласия».
В согласии на обработку персональных данных срок тоже должен быть указан явно. Формулировка «до достижения целей обработки» без конкретики создаёт риск: субъект не понимает, на какой период он даёт согласие, а проверяющий орган может счесть такое согласие недействительным.
Проверка документов покажет, есть ли в политике и согласии указание на сроки, совпадают ли они между собой и соответствуют ли заявленным целям обработки.
Как соблюдать срок на практике: удаление, архивирование, подрядчики
Обязанность удалить данные по истечении срока распространяется на все копии: основную базу данных, резервные копии, логи, данные у подрядчиков и на внешних сервисах. В политике можно указать разумный технический срок на удаление — например, 30 дней с момента истечения основного срока, — но он должен быть обоснован.
Если данные переданы подрядчику или на иностранный сервис, ответственность за соблюдение срока хранения остаётся на операторе. В договоре с подрядчиком нужно прописать обязательство соблюдать установленные сроки и удалять данные по требованию оператора или автоматически.
Проверка сайта не видит внутренних процессов удаления, но фиксирует, какие внешние сервисы получают данные посетителя, и показывает, описаны ли в политике условия передачи данных третьим лицам и их обязательства.
Как проверить документы и снизить риск претензий
Начать стоит с проверки публичных документов: политики конфиденциальности, согласия на обработку, пользовательского соглашения. Нужно убедиться, что сроки хранения указаны для каждой цели, сформулированы понятно и не противоречат друг другу.
Следующий шаг — сравнить документы с тем, что происходит на сайте: какие данные собираются через формы, какие cookie устанавливаются, куда уходят сетевые запросы. Если данные передаются на внешние сервисы, это должно быть отражено в политике с указанием получателя и цели передачи.
Проверка в Dobrolex фиксирует всё это автоматически: открывает сайт с чистой сессии, снимает экраны форм и баннеров, анализирует тексты документов и сетевой обмен. В отчёте — эпизоды с признаками нарушений, правовая квалификация и рекомендации, что исправить в первую очередь.
Проверьте срок хранения персональных данных на вашем сайте
- 01Срок указан в политике конфиденциальности. Для каждой цели обработки должен быть указан срок хранения или условие удаления данных.
- 02Срок совпадает в политике и согласии. Проверьте, что формулировки в политике и форме согласия не противоречат друг другу.
- 03Срок привязан к цели обработки. Избегайте общих формулировок вроде «до достижения целей» — укажите конкретный период или событие.
- 04Для cookie указан срок хранения. В политике использования cookie или в баннере должны быть указаны сроки для каждой категории файлов.
- 05Описана процедура удаления данных. В политике желательно указать, как субъект может запросить удаление и в какой срок это будет выполнено.
- 06Учтены данные у подрядчиков. Если данные передаются третьим лицам, в политике должно быть указано, что они обязаны соблюдать те же сроки хранения.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Есть ли в законе конкретный срок хранения персональных данных?
Нет единого срока для всех случаев. Оператор определяет срок сам, исходя из цели обработки, и фиксирует его в политике конфиденциальности и согласии. Для некоторых документов другие законы устанавливают минимальные сроки — например, для кадровых и бухгалтерских.
Можно ли хранить данные «до отзыва согласия» без указания конкретного срока?
Да, если обработка основана на согласии и цель не предполагает автоматического завершения — например, для рассылки. Но для данных, связанных с договором или разовой услугой, нужно указать конкретный срок или событие.
Что делать, если клиент попросил удалить данные, а они остались в резервных копиях?
Обязанность удалить данные распространяется на все копии. В политике можно указать технический срок на удаление из резервных копий — обычно до 30 дней, — и уведомить субъекта об этом.
Нужно ли указывать срок хранения для cookie и аналитики?
Да, если cookie позволяют идентифицировать конкретного посетителя. Срок указывается в политике использования cookie или в тексте баннера для каждой категории файлов.
Как доказать Роскомнадзору, что данные действительно удаляются вовремя?
Нужна внутренняя процедура: кто отвечает за удаление, как часто проверяется база, как фиксируется выполнение. Журнал операций или автоматические отчёты помогут подтвердить соблюдение сроков при проверке.
Кто отвечает за соблюдение срока хранения, если данные переданы подрядчику?
Ответственность остаётся на операторе. В договоре с подрядчиком нужно прописать обязательство соблюдать сроки и удалять данные по требованию оператора или автоматически после истечения срока.
Какой штраф грозит за нарушение срока хранения персональных данных?
Отдельной статьи за превышение срока нет, но это может квалифицироваться как обработка без законных оснований или несовместимо с целями сбора. Проверка сайта покажет применимые нормы и диапазон санкций для конкретной ситуации.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.