Сколько хранить персональные данные - вопрос, на который закон 152-ФЗ не дает прямого ответа в виде таблицы. Нет строки «три года на анкету» или «пять лет на договор». Есть только принцип: персональные данные можно хранить не дольше, чем этого требует цель их обработки, если другой срок не установлен отдельным законом или договором. Дальше срок хранения персональных данных приходится собирать из нескольких источников сразу - Трудового кодекса, Налогового кодекса, закона о бухгалтерском учете и архивных правил Росархива.
На практике это выглядит так. Кадровик хранит трудовые договоры полвека, потому что так велит архивное законодательство, а не 152-ФЗ. Маркетолог держит базу подписчиков, пока действует их согласие на рассылку, и обязан удалить контакты, когда согласие отозвано. Бухгалтер хранит первичные документы не меньше пяти лет после отчетного года - это требование закона о бухучете, а не закона о персональных данных. Срок хранения ПДн у одной и той же компании может отличаться в разы в зависимости от того, к какому документу эти данные привязаны.
У самозанятых и небольших ИП вопрос стоит острее, потому что штат маленький, а данных клиентов в переписке и мессенджерах хватает. Самозанятый мастер маникюра хранит телефоны клиентов в заметках на телефоне, репетитор - переписку с родителями учеников в мессенджере, и часто эти данные просто накапливаются годами без всякой цели, кроме привычки не удалять. Формально к самозанятому применяются те же принципы 152-ФЗ, что и к юридическому лицу: если контакт клиента, с которым работали один раз пять лет назад, до сих пор лежит в списке рассылок, обосновать это целью обработки не получится.
Почему в законе нет единого срока хранения
Закон о персональных данных построен на принципе целевого ограничения. Смысл статьи 5 закона 152-ФЗ такой: персональные данные хранят в форме, которая позволяет определить субъекта, не дольше, чем этого требуют цели обработки, если другой срок не установлен федеральным законом или договором. Отдельно статья 21 обязывает оператора прекратить обработку и уничтожить персональные данные в течение 30 дней с момента достижения цели, если другой срок не следует из закона или соглашения с субъектом. Уничтожение - не единственный вариант: закон также допускает обезличивание персональных данных, после которого требование о сроке хранения к обезличенному массиву уже не применяется.
На практике эта норма работает как рамка, а не как таблица. Цель обработки у интернет-магазина, клиники и школы разная, и срок, который эта цель оправдывает, тоже разный. У интернет-магазина цель - оформить и доставить заказ, поэтому хранить адрес и телефон покупателя дольше срока гарантии и возможного возврата товара оснований нет, если клиент отдельно не согласился на рассылки. У клиники цель обработки данных пациента растянута на годы: медицинская документация подчиняется отдельным срокам хранения, которые устанавливает не 152-ФЗ, а нормативные акты в сфере здравоохранения.
Из каких источников собирается срок хранения
Когда компания задает вопрос «сколько хранить персональные данные», ответ приходится складывать из четырех источников.
Цель обработки
Первый и главный источник - сама цель, ради которой данные собраны. Если данные собраны для разовой услуги, срок хранения ограничен временем ее оказания плюс разумный период на случай претензий.
Срок действия согласия
Второй источник - согласие субъекта. Если в согласии указан конкретный срок его действия, хранить данные после этого срока нельзя без нового согласия. С 1 сентября 2025 года действует поправка закона 156-ФЗ от 24 июня 2025 года: согласие на обработку персональных данных должно оформляться отдельным документом, а не абзацем внутри пользовательского соглашения или оферты. Это удобный повод сразу прописать в согласии конкретный срок хранения, а не оставлять формулировку размытой.
Отраслевые нормы
Третий источник - специальные законы для конкретной категории документов: Трудовой кодекс для кадровых бумаг, Налоговый кодекс для документов, связанных с расчетом налогов, закон 402-ФЗ «О бухгалтерском учете» для бухгалтерской первички.
Архивные правила
Четвертый источник - приказ Росархива № 236 от 20 декабря 2019 года. Он устанавливает сроки хранения типовых управленческих документов, включая кадровые, и именно этот приказ определяет, что личные карточки и трудовые договоры хранятся десятилетиями, а не годами.
Если источники противоречат друг другу, приоритет получает более долгий срок, установленный отдельным законом: если архивное правило или Налоговый кодекс требуют хранить документ дольше, чем указано в согласии субъекта, оператор ориентируется на более долгий срок, а не удаляет данные по первому требованию человека. Обратная ситуация тоже возможна: если ни один специальный закон срок не регулирует, действует общий принцип из статьи 5 - хранить не дольше, чем требует цель обработки.
Кадровые документы и личные дела сотрудников
Персональные данные сотрудников - самая долгоживущая категория. Приказ Росархива № 236 относит трудовые договоры, приказы о приеме, переводе и увольнении, личные карточки и трудовые книжки к документам с длительным сроком хранения: 50 лет для документов, оформленных после 2003 года, и 75 лет для более старых. Причина не в 152-ФЗ, а в пенсионном законодательстве: по этим документам бывший сотрудник может подтверждать стаж спустя десятилетия. Что конкретно обязан хранить и оформлять работодатель, подробно разобрано в материале про обязанности работодателя по персональным данным сотрудников.
Кадровику это часто кажется избыточным на фоне логики 152-ФЗ, где хранение данных ограничено целью. Противоречия здесь нет: статья 5 закона 152-ФЗ прямо оставляет исключение для случаев, когда срок установлен отдельным федеральным законом, а для кадровых документов такой срок установлен архивным законодательством. Работодатель обязан хранить эти данные весь установленный срок, даже если сотрудник давно уволился и просит удалить его данные раньше.
Другая часть кадрового архива живет короче. Графики отпусков и табели учета рабочего времени обычно хранятся 5 лет, если в них нет данных о вредных или опасных условиях труда - тогда срок увеличивается. Резюме и анкеты соискателей, которые не были приняты на работу, отдельная история: срок для них законом прямо не установлен, и компании обычно ориентируются на срок действия согласия соискателя, указанный при подаче анкеты, либо удаляют данные через несколько месяцев после закрытия вакансии.
Уволившийся сотрудник иногда присылает запрос удалить его личные данные немедленно, ссылаясь на право отозвать согласие. Работодателю в этом случае стоит объяснить разницу: право на отзыв согласия действует для данных, которые обрабатываются на основании согласия, а трудовые документы оператор хранит по прямому указанию закона, а не по желанию сотрудника. Отказ в досрочном удалении в такой ситуации законен, если он оформлен письменно со ссылкой на приказ Росархива или норму Трудового кодекса, а не просто фразой «мы так не делаем».
Бухгалтерские и налоговые документы
Для документов, где персональные данные соседствуют с финансовой информацией - расчетно-платежные ведомости, договоры с контрагентами-физлицами, акты и счета, - срок хранения задает не 152-ФЗ, а закон 402-ФЗ «О бухгалтерском учете». Статья 29 этого закона требует хранить первичные учетные документы и регистры бухгалтерского учета не менее пяти лет после окончания отчетного года.
Налоговый кодекс добавляет свое требование: документы, необходимые для исчисления и уплаты налогов, включая данные о доходах физических лиц, нужно хранить не менее пяти лет. Для расчетных ведомостей по зарплате действует отдельное архивное правило: если в компании ведутся лицевые счета сотрудников, сами ведомости можно хранить 6 лет, а если лицевых счетов нет, ведомости приравниваются по сроку к личным карточкам и хранятся десятилетиями.
Для бухгалтера это означает, что удалить данные бывшего клиента или сотрудника из учетной системы раньше срока, установленного 402-ФЗ и Налоговым кодексом, нельзя, даже если человек прислал запрос на удаление по 152-ФЗ. В таком случае оператор вправе отказать в удалении, сославшись на прямую норму закона, обязывающую хранить документ дольше.
У ИП и самозанятых на упрощенных режимах документооборот меньше, но требование о сроке никуда не девается. Даже при работе через приложение «Мой налог» самозанятый должен быть готов подтвердить операции за прошлые периоды, если у налоговой возникнут вопросы, а значит чеки и данные о заказчиках-физлицах имеет смысл хранить не меньше тех же пяти лет, даже если формально отдельного архива в компании никто не ведет.
Маркетинговые базы, согласия клиентов и рассылки
Здесь ситуация обратная: специального закона, который задавал бы срок хранения email-адресов и телефонов для рассылок, нет. Единственный ориентир - цель обработки и срок действия согласия. Если в форме подписки срок не указан, хранить контакт можно, пока подписчик не отписался или не отозвал согласие, но при проверке Роскомнадзора отсутствие внятного срока в самом согласии - частое замечание.
На практике компании, которые собирают лиды через сайт, обычно закладывают в согласие срок 3 года с момента последней активности подписчика, а затем либо запрашивают согласие заново, либо удаляют неактивные контакты. Такой подход снижает объем базы, но и снижает риск: чем больше в базе устаревших контактов, до которых компания не может дозвониться и подтвердить их актуальность, тем сложнее объяснить инспектору, зачем эти данные вообще хранятся.
Отдельно стоят данные, собранные через формы обратной связи и заявки на консультацию. Если заявка не превратилась в сделку, срок хранения такого лида законом не определен, и компании чаще всего ориентируются на общий гражданский срок исковой давности в три года как на разумный максимум, после которого данные так и не ставшего клиентом человека теряют деловой смысл.
На практике чистка базы подписчиков часто откладывается, потому что кажется, будто лишние контакты никому не мешают. Но каждый неактивный адрес в базе на несколько тысяч записей - это либо лишний субъект, чье присутствие нужно объяснять при проверке, либо статистика, которая занижает реальную открываемость писем перед почтовыми сервисами и повышает шанс попадания рассылки в спам. Разовая ревизия базы раз в год с удалением контактов, которые не открывали письма больше года, обычно не портит продажи, зато снимает вопрос о хранении неактуальных данных.
Таблица: сроки хранения персональных данных по типам
Свести все источники в одну таблицу можно только условно - точный срок хранения ПДн в конкретной компании зависит от вида документа и наличия лицевых счетов, но общие ориентиры такие.
| Тип данных или документов | Чем установлен срок | Срок хранения |
|---|---|---|
| Трудовые договоры, приказы по личному составу, личные карточки | Приказ Росархива № 236 | 50 лет (после 2003 года) или 75 лет (документы старше) |
| Расчетно-платежные ведомости по зарплате | Приказ Росархива № 236 | 6 лет при наличии лицевых счетов, иначе 50-75 лет |
| Первичные бухгалтерские документы, регистры учета | 402-ФЗ, статья 29 | не менее 5 лет после отчетного года |
| Документы для расчета и уплаты налогов | Налоговый кодекс | не менее 5 лет |
| Согласия и базы подписчиков на рассылку | 152-ФЗ, срок в самом согласии | на практике 3 года, затем повторное согласие |
| Резюме не принятых на работу соискателей | 152-ФЗ, срок в согласии соискателя | обычно несколько месяцев после закрытия вакансии |
| Записи телефонных разговоров с клиентами | внутренний регламент оператора | на практике 3 года, если отраслевые нормы не требуют дольше |
| Заявки с форм сайта, не завершившиеся сделкой | 152-ФЗ, цель обработки | ориентир 3 года по аналогии со сроком исковой давности |
Таблица не учитывает специальные категории персональных данных - сведения о здоровье, судимости или биометрию. Для них принцип тот же: срок задает цель обработки и отраслевые нормы, но требования к защите выше, а ошибка со сроком хранения обходится дороже, потому что нарушение с такими данными чаще попадает под повышенные санкции. Если в компании есть подобные категории, таблицу стоит дополнить отдельной строкой с собственным сроком и обоснованием, а не подгонять их под общий норматив в три или пять лет.
Записи звонков, логи и технические данные
Записи телефонных разговоров - отдельная головная боль, потому что специального закона о сроке их хранения для обычного бизнеса нет. Банки и некоторые другие регулируемые отрасли обязаны хранить записи по отраслевым требованиям годами, а для интернет-магазина или салона красоты такой обязанности не существует. Компании обычно устанавливают срок сами, внутренним регламентом, и типичный выбор - 3 года, по аналогии со сроком, за который клиент теоретически может предъявить претензию.
С логами сервера, IP-адресами посетителей сайта и данными систем аналитики ситуация похожая: срок не установлен напрямую, но действует то же правило целевого ограничения. Если сайт использует счетчик аналитики, логи с IP-адресами имеет смысл хранить не дольше, чем это нужно для анализа трафика и расследования инцидентов - обычно это месяцы, а не годы. Хранить необезличенные логи посещаемости годами без внятной цели - типичная придирка при проверке, потому что обосновать такой срок целью обработки сложно.
Резервные копии баз данных с персональными данными - частый источник путаницы: бэкап, который давно должен был быть перезаписан новым, продолжает лежать на сервере годами, и формально это тоже хранение ПДн сверх срока. Правила для этого случая расписаны отдельно в материале про хранение резервных копий персональных данных.
Чем грозит хранение персональных данных дольше необходимого
Избыточное хранение - не мелкая формальность. С 30 мая 2025 года за нарушения в сфере персональных данных действуют оборотные штрафы, введенные законом 420-ФЗ от 30 ноября 2024 года, а за особо тяжелые случаи утечки предусмотрена статья 272.1 Уголовного кодекса. Само по себе превышение срока хранения не приравнивается к утечке, но напрямую увеличивает ее вероятность и последствия: чем больше устаревших, давно не нужных данных лежит на сервере, тем больше объем данных, которые может затронуть инцидент, и тем выше сумма потенциального оборотного штрафа, который считается от количества пострадавших субъектов.
При проверке Роскомнадзора избыточные сроки хранения - одно из типичных замечаний. Инспектор может задать простой вопрос: зачем на сервере до сих пор лежат резюме соискателей пятилетней давности или переписка с клиентами, которые ничего не покупали три года. Внятного ответа с опорой на цель обработки у компании чаще всего нет, и это фиксируется как нарушение принципа, закрепленного в статье 5 закона 152-ФЗ.
Есть и практическая сторона, не связанная напрямую со штрафами. База данных, которая годами не чистится от неактуальных контактов, работает хуже: письма уходят на несуществующие адреса, а конверсия рассылок падает просто из-за мертвого веса устаревших записей.
Показательный пример - клиника, у которой в архиве годами копились анкеты пациентов, переставших приходить на прием. Формально это данные о здоровье, специальная категория персональных данных с повышенными требованиями к защите, а не обычный контакт из формы заявки. Чем дольше такой архив лежит без явной цели и без актуального согласия, тем выше требования к его защите и тем сложнее будет объяснить инспектору, зачем анкета пациента десятилетней давности до сих пор в системе. Удалить или обезличить такие записи обычно дешевле, чем потом доказывать необходимость их наличия.
Где хранить персональные данные, пока не истек срок
Вопрос «где хранить персональные данные» обычно возникает не про физическое место на диске, а про требования закона к локализации. Для большинства операторов действует требование хранить и обрабатывать персональные данные граждан России на серверах, расположенных на территории России - это отдельная тема от срока хранения, но обе обязанности связаны напрямую: пока данные хранятся, они должны находиться на локализованном сервере, а зарубежный хостинг или облако без российского контура для первичного сбора не подходит.
Внутри самой инфраструктуры имеет смысл разделять данные по сроку хранения физически, а не только логически: кадровый архив с полувековым сроком - в одном хранилище с ограниченным доступом, маркетинговая база с трехлетним циклом - в другом, с настроенным автоматическим удалением неактивных записей по истечении срока. Если персональные данные хранятся на бумаге, флешках или внешних дисках, каждый такой носитель фиксируется отдельно - подробнее об этом в материале про журнал учета носителей персональных данных.
Резервные копии стоит хранить по тому же принципу, что и основные данные: если исходная запись подлежит удалению через 3 года, бэкапы с этой записью не должны переживать оригинал на неопределенный срок просто потому, что про них забыли.
Отдельный вопрос - кто имеет доступ к данным с длинным сроком хранения. Кадровый архив на 50 лет нужен бухгалтерии и отделу кадров, но не нужен маркетологу или менеджеру по продажам, и права доступа стоит настраивать по тому же принципу, что и сроки: только тем, кому это нужно для работы. Чем шире круг сотрудников с доступом к старому архиву, тем больше точек, где данные могут случайно утечь просто из-за человеческой ошибки, а не злого умысла.
Что делать: порядок действий
Разобраться со сроками хранения персональных данных в конкретной компании можно за несколько шагов, без привлечения внешних консультантов на каждом этапе.
- Разбить все категории ПДн на группы: кадровые, бухгалтерские, маркетинговые, технические логи, записи звонков.
- Для каждой группы найти основание срока - закон, приказ Росархива или собственное согласие субъекта - и зафиксировать конкретную цифру, а не общую формулировку «храним, пока нужно».
- Прописать сроки в политике обработки персональных данных и в положении об обработке персональных данных, если оно принято в компании отдельным документом.
- Указывать срок хранения прямо в тексте согласия, которое субъект видит перед тем, как поставить галочку или подписать бланк.
- Настроить регулярную ревизию баз: минимум раз в год проверять, не лежат ли в системе данные, чей срок или цель обработки уже истекли.
- Оформлять уничтожение данных по истечении срока актом, а не просто удалением строки из таблицы - образец такого документа разобран в материале про акт уничтожения персональных данных.
- Отдельно проверить резервные копии и архивные выгрузки - именно там чаще всего находят данные, которые давно должны были быть удалены.
Если в компании до сих пор нет ни одного документа, где сроки хранения персональных данных прописаны конкретно по группам, это стоит закрыть в первую очередь: без зафиксированного срока любое хранение можно трактовать как избыточное. На сайте 152fzpro.ru можно заказать доработку политики обработки персональных данных и других документов с учетом реальных сроков хранения, применимых именно к вашей компании: 152fzpro.ru.
