Срок хранения персональных данных нельзя назначить — его можно только вывести. Источников ровно три: цель обработки, для которой данные собирались; договор и расчёты по нему; требование другого закона, чаще всего бухгалтерского, налогового или архивного. Если ни один из трёх не даёт ответа, значит, данные больше не нужны, и правильный срок — «до ближайшего прогона удаления».
Позиция «храним всё, вдруг пригодится» проигрывает сразу по трём направлениям. Она противоречит принципу минимизации, потому что данные хранятся дольше цели. Она делает дороже любой инцидент: в утечку уходит не полгода базы, а десять лет. И она делает дороже каждое обращение клиента, потому что искать его следы приходится по всем системам, выгрузкам и резервным копиям вручную. Ниже — методика вывода срока, таблица ориентиров на 14 категорий, разбор конфликта с бухгалтерией и расчёт в рублях на модельной сервисной компании: 75 человек, 26 000 карточек в CRM, своя телефония, кадровый учёт и сайт с формами.
Оговорка о жанре. Мы инженерное бюро, а не юридическая фирма и не архивная служба. Наша часть — регламент, настройка и проверяемость: как удаление превращается в правило системы, а не в напоминание в календаре. Правовая квалификация конкретных сроков — территория юриста, список вопросов к нему собран отдельным разделом, а сами ориентиры ниже даны по состоянию на сентябрь 2026 года с рекомендацией сверить действующие редакции 152-ФЗ, законодательства о бухгалтерском учёте и перечня архивных сроков перед изданием приказа.
Три источника срока — и ни одного «на всякий случай»
Правило вывода простое, и в нём почти нет исключений. Берётся категория данных, к ней задаются три вопроса по порядку, и первый же положительный ответ даёт срок. Если ответов нет ни на один — данные лишние, и это тоже результат.
- 1Цель обработки. Ради чего эти данные собирались и когда эта цель считается достигнутой? Заявка, не ставшая сделкой, нужна ровно до тех пор, пока по ней возможен разумный повторный контакт. Запись разговора нужна до тех пор, пока по ней возможен спор или проверка качества. Цель — самый частый и самый недооценённый источник: именно её формулировка превращает «полгода» из произвола в обоснование.
- 2Договор и расчёты по нему. Пока договор действует и по нему идут расчёты, данные нужны без вопросов. Отсчёт начинается не с даты подписания, а с окончания действия и завершения взаиморасчётов — типичная ошибка в приказах, из-за которой сроки истекают на несколько лет раньше, чем задумано.
- 3Требование другого закона. Бухгалтерское, налоговое, трудовое и архивное законодательство задают собственные сроки, и они перекрывают вашу цель: даже если клиент просит удалить всё, первичные документы с его данными останутся. Ориентиры по документам мы приводили в материале про хранение электронных документов и сроки.
Схема-развилка сверху вниз. Вход: блок «категория данных». От него последовательно три ромба с вопросами: «есть цель, которая ещё не достигнута?», «есть действующий договор или незакрытые расчёты?», «есть требование другого закона?». От каждого ромба вправо выходит ветка «да» в блок «срок = ...» с примерами «6 месяцев», «до закрытия расчётов», «5 лет», «50 лет». Нижний выход по всем «нет» ведёт в блок «данные лишние — удалить при ближайшем прогоне», выделенный штриховкой. Справа колонка «действие по истечении: удалить / обезличить / в архив с ограниченным доступом». Чертёжный стиль, подписи по-русски.
Действие по истечении срока — вторая половина правила, и её обычно забывают. Удаление подходит не всегда: карточку клиента с историей покупок чаще правильнее обезличить, оставив факт заказа, сумму и источник, но убрав имя, телефон и адрес. Тогда аналитика продолжает работать, а персональных данных в этой строке больше нет. Для документов третий вариант — перенос в архив с узким кругом допущенных: данные остаются, но перестают быть доступными всей компании.
Таблица ориентиров: 14 типовых категорий
Ниже — рабочая заготовка графика хранения. Это ориентиры, а не нормы: колонка «откуда берётся срок» важнее колонки со значением, потому что именно она позволяет защитить срок при проверке и пересчитать его, когда изменится процесс.
| Категория данных | Откуда берётся срок | Типичный ориентир | Что делать по истечении |
|---|---|---|---|
| Заявка с сайта, не ставшая сделкой | Цель «обработка обращения» исчерпана | 6 месяцев | Обезличить: оставить источник, дату и сумму, убрать контакты |
| Карточка клиента с действующим договором | Срок договора и расчётов по нему | Пока договор действует | Ничего; пересмотр после закрытия |
| Карточка клиента после закрытия договора | Требование к хранению первичных документов | 5 лет после года последнего использования документа | Сузить состав: оставить то, что нужно для документов |
| Первичные документы с данными физического лица | Законодательство о бухгалтерском и налоговом учёте | Не менее 5 лет | Архив с ограниченным доступом, затем уничтожение по акту |
| Кадровые документы работника, созданные после 2003 года | Архивное законодательство | 50 лет от года увольнения | Кадровый архив, доступ по списку |
| Резюме кандидата, не принятого на работу | Согласие кандидата | Обычно 6 месяцев, если в согласии не указано иное | Удалить или обезличить до статистики подбора |
| Аудиозапись телефонного разговора | Цель «контроль качества и разбор споров» | 60–180 суток | Автоудаление в телефонии и на стороне подрядчика |
| Расшифровка разговора и резюме в карточке | Цель «подтверждение договорённостей» | Срок жизни самой карточки | Остаётся в карточке, аудио удаляется раньше |
| Запись с камер видеонаблюдения | Цель «сохранность имущества и разбор инцидентов» | 30 суток | Перезапись по кругу |
| Согласие субъекта и запись о его получении | Доказательство основания обработки | Срок обработки плюс срок исковой давности | Хранится дольше самих данных, отдельным журналом |
| Данные подписчика рассылки | Действует до отзыва согласия | До отзыва, ревизия базы раз в год | Удалить из всех сегментов, а не только из списка рассылки |
| Журналы доступа к системам | Цель «расследование инцидентов» | 12 месяцев | Архивировать, не удалять раньше срока |
| Данные пропускной системы: имя и время прохода | Цель «контроль доступа на объект» | 12 месяцев | Обезличить до статистики посещаемости |
| Резервные копии баз | Цель «восстановление после сбоя» | 30–90 суток по глубине | Ротация; точечное удаление внутри копии не делается |
Две строки в этой таблице требуют пояснения. Согласие хранится дольше самих данных — иначе в споре нечем подтвердить основание, на котором вы их обрабатывали; как устроен рабочий текст и что логировать в момент получения, разбирали в материале про согласие на обработку данных. А резюме кандидатов — самая частая находка при обследованиях: они лежат в почте рекрутера годами и не входят ни в один график, хотя это отдельная категория со своим сроком, разобранная в материале про персональные данные кандидатов.
Конфликт: клиент требует удалить, бухгалтерия обязана хранить
Это главный практический тупик темы, и решается он не выбором одной стороны, а разделением данных на три группы. Отказать целиком неправильно, удалить всё невозможно — значит, ответ должен быть честно составным.
- 1Что удаляется полностью
Всё, что держалось на согласии и на маркетинговых целях: подписка на рассылку, сегменты, профиль в системе персонализации, история просмотров, номер в списках обзвона. Здесь основание отпало вместе с отзывом согласия, и хранить нечего.
- 2Что обезличивается
История заказов и обращений, нужная для аналитики и для расчёта показателей. Из строки убираются имя, телефон, адрес и любые идентификаторы, остаются дата, сумма, состав и источник. Формально это уже не персональные данные, и отчётность не рассыпается.
- 3Что остаётся и почему
Первичные документы, договоры, кассовые чеки, кадровые документы — всё, что вы обязаны хранить по другим законам. Их сохранение не нарушает права клиента, но требует объяснения: в ответе прямо называется основание и срок, по истечении которого документ будет уничтожен.
- 4Что делать с резервными копиями
Копии не переписывают ради одного клиента: это создаёт больший риск, чем решает. Рабочий механизм — короткий срок жизни копий, реестр требований об удалении и правило: если копия разворачивается, к ней сразу применяется накопленный список удалений. Так требование исполняется фактически, а не на бумаге.
Формулировка «мы всё удалили» опасна ровно тем, что она неправда: через год этот же человек находит себя в акте выполненных работ или получает документ из архива. Рабочий ответ состоит из трёх частей — что удалено, что обезличено и что сохранено с указанием основания и срока. Такой ответ занимает пять строк, снимает большинство претензий и не создаёт обязательства, которое вы не сможете выполнить. Точные формулировки согласуйте с юристом один раз и дальше используйте как шаблон.
Горизонтальная лента времени с точками слева направо: «0 — заявка с сайта», «+6 месяцев — если сделки не было, контакты обезличены», «сделка — карточка живёт по сроку договора», «закрытие договора и расчётов — начало отсчёта», «+5 лет — первичные документы уходят в архив с ограниченным доступом», «уничтожение по акту». Под лентой отдельная короткая дорожка «маркетинговая часть: до отзыва согласия» и ещё одна «аудиозапись разговора: 180 суток», обе заметно короче основной. Подпись внизу: «одна карточка — несколько сроков». Чертёжный стиль, подписи по-русски.
Как это работает технически и во что обходится ручной разбор
График хранения без настройки — документ для папки. Работающая версия состоит из трёх частей: правило в системе, которое обезличивает записи по дате; журнал, в который пишется каждый прогон; и ежегодная сверка, подтверждающая, что удалилось именно то, что должно было. Запускает правило не человек, а расписание — иначе первый же занятой месяц ломает регламент.
Теперь обратная сторона — во что обходится отсутствие графика. В модельной компании приходит около 40 требований в год: отзывы согласия, просьбы удалить данные, обращения бывших сотрудников. Без графика каждое такое обращение превращается в поиск по всем системам, выгрузкам и папкам, потому что никто не знает, где ещё лежат следы этого человека.
Столбиковая диаграмма из двух столбцов с горизонтальной линией отсечки. Левый столбец выше, подписан «Ручной разбор — 132 000 ₽/год, 60 часов». Правый ниже, подписан «С графиком хранения — 29 260 ₽/год, 13,3 часа». Между ними скоба с подписью «экономия 102 740 ₽ в год». Горизонтальная пунктирная линия на уровне 99 700 ₽ подписана «разовая настройка графика». Внизу строка исходных данных: «40 требований в год, ставка инженера 2 200 ₽/час». Чертёжный стиль, подписи по-русски.
В модельной компании из 26 000 карточек 17 800 старше пяти лет и не связаны ни с одним действующим договором. После обезличивания в базе остаётся 8 200 карточек с персональными данными. Меняется не только объём хранения: число субъектов — это параметр, от которого считается тяжесть последствий при утечке, и уменьшение базы втрое уменьшает и цену худшего сценария. Порядок величин по ответственности разбирали в материале про штрафы за нарушение 152-ФЗ.
Что несём юристу
Инженер настраивает правило и показывает, что оно отработало. Юрист отвечает за то, какой именно срок вписан в приказ и почему. Четыре вопроса ниже стоит задать один раз, с готовым черновиком графика на руках: подготовленная консультация укладывается в час по ставке 4 500 ₽/час.
- 1Проверьте наш график хранения построчно: какие сроки следуют из закона, какие мы обязаны обосновать целью и где мы ошиблись в точке отсчёта? Приложите таблицу из 14 строк — правится обычно три-четыре.
- 2Как должен выглядеть ответ клиенту на требование об удалении, если часть данных мы обязаны сохранить? Нужен шаблон из трёх частей, который сотрудник поддержки заполняет за пять минут, а не пересказ нормы.
- 3Чем подтверждается уничтожение: достаточно ли выгрузки из журнала прогонов или нужен акт, и что в нём должно быть? Ответ определяет, что именно инженер настраивает в системе.
- 4Обязаны ли мы хранить резюме кандидатов и записи разговоров дольше, чем предполагает наша цель, и на каком основании? Это две категории, где практика расходится сильнее всего.
Черновик графика на 14 строк, перечень мест обработки, ответ системы на запрос «самая старая запись по каждой категории», текст действующей политики, форму согласия и список подрядчиков, у которых тоже лежат ваши данные. Пять из шести артефактов собирает инженер за день. Без них юрист начинает с инвентаризации, и вы оплачиваете её по ставке 4 500 ₽/час вместо 2 200 ₽/час.
Когда график не нужен, а срок стоит увеличить
Тема сроков легко превращается в кампанию по тотальной зачистке, а это не всегда полезно бизнесу. Три ситуации, в которых полноценный график избыточен, и две, в которых срок честно стоит увеличить.
- Компания до 15 человек с одной CRM и без кадрового архива. Хватит приказа на страницу с четырьмя строками и двух настроек: срок хранения записей разговоров и правило обезличивания старых заявок. Полноценный график здесь займёт те же 38 часов и опишет то, что и так помещается в голове.
- Проект вообще не касается людей: планирование производства по номенклатуре, прогноз спроса по обезличенным продажам, учёт оборудования. Убедитесь, что в контуре нет карточки клиента, и на этом остановитесь.
- График составлялся меньше года назад, состав систем не менялся. Достаточно обновить две строки — подрядчиков и выгрузки: они устаревают быстрее всего.
- Срок стоит увеличить, если у вас длинный цикл сделки: в проектном и промышленном сбыте повторный контакт через год-полтора — норма, и полугодовой срок по заявкам режет живую воронку. Но увеличение оформляется целью «повторное обращение по длинному циклу» и записывается в график, а не остаётся привычкой.
- Срок стоит увеличить и там, где вы обязаны доказывать свою правоту: спорные отрасли с претензиями по качеству и срокам. Здесь запись разговора и переписка — доказательство, и 180 суток обоснованнее, чем 60. Как обосновывается срок именно по записям, разбирали в материале про запись разговоров и хранение по закону.
И про устойчивость. График хранения живёт около года: появляется новый сервис, меняется подрядчик, кто-то заводит выгрузку для нового отчёта. Поддержание — 4–6 часов в квартал у того же ответственного, который вёл инвентаризацию. Компания, у которой график актуален, отвечает на требование клиента за двадцать минут и не тратит два дня на археологию — а на проверке показывает не намерение, а журнал прогонов с датами. Общий список обязанностей, в который это встраивается, разобран в материале про обязанности оператора персональных данных.
Срок хранения — это не про то, когда данные исчезнут. Это про то, сможете ли вы через год объяснить, почему они всё ещё у вас.
