Акт уничтожения персональных данных: образец 2026 и порядок составления

По ст. 21 закона 152-ФЗ оператор обязан уничтожить персональные данные в следующих случаях:

• Достигнута цель обработки — данные больше не нужны для первоначальной цели (ч. 4 ст. 21)
• Субъект отозвал согласие — оператор обязан уничтожить данные в течение 30 дней (ч. 5 ст. 21)
• Истёк срок обработки — указанный в согласии или договоре
• Обнаружена незаконная обработка — данные получены без оснований, нужно уничтожить в течение 10 рабочих дней
• По требованию Роскомнадзора — при выявлении нарушений

Важно: факт уничтожения должен быть задокументирован. Для этого составляется акт уничтожения.

Акт уничтожения персональных данных содержит:

1. Дата и место составления
2. Состав комиссии — не менее 3 человек: председатель (руководитель или заместитель), ответственный за ПДн, IT-специалист
3. Основание уничтожения — ссылка на ст. 21 закона 152-ФЗ, приказ руководителя, отзыв согласия
4. Перечень уничтожаемых данных — ФИО субъектов (обезличенно, например «данные 47 клиентов»), категории ПДн, объём
5. Носители информации — бумажные документы, база данных, файлы на сервере, резервные копии
6. Способ уничтожения — шредирование, форматирование, перезапись, физическое уничтожение
7. Результат — «персональные данные уничтожены, восстановление невозможно»
8. Подписи членов комиссии

Бумажные носители:

• Шредирование (уровень P-4 и выше по DIN 66399)
• Сжигание (в присутствии комиссии)
• Химическое растворение (для больших объёмов)

Электронные носители:

• Удаление записей из базы данных с очисткой корзины
• Полное форматирование дисков (не быстрое!)
• Перезапись данных (минимум 3 прохода по ГОСТ Р 50739-95)
• Физическое уничтожение носителей (размагничивание, дробление)

Резервные копии:

• Удаление из всех хранилищ (основной сервер, бэкапы, облако)
• Если данные в shared-бэкапе — обезличивание или замена

Важно: простое удаление файла или записи из CRM недостаточно — данные можно восстановить. Уничтожение должно быть необратимым.

Уничтожение проводит комиссия, назначенная приказом руководителя. Минимальный состав:

• Председатель — руководитель организации или заместитель
• Ответственный за обработку ПДн — контролирует соответствие 152-ФЗ
• IT-специалист / системный администратор — выполняет техническое уничтожение

Для регулярного уничтожения рекомендуется создать постоянную комиссию приказом руководителя с указанием периодичности (ежеквартально, ежегодно).

30 дней — после отзыва согласия субъектом (ч. 5 ст. 21 152-ФЗ). Если есть иные законные основания для хранения (договор, закон) — данные не уничтожаются.

10 рабочих дней — при обнаружении незаконной обработки (ч. 3 ст. 21).

По истечении срока обработки — указанного в согласии, договоре или нормативном акте.

Сроки хранения по другим законам (не уничтожать раньше!):

• Бухгалтерские документы — 5 лет
• Кадровые документы — 50–75 лет
• Налоговые документы — 5 лет
• Медицинские карты — 25 лет

Если ПДн содержатся в документах с длительным сроком хранения — уничтожить можно только после истечения этого срока.