Сроки обработки персональных данных: как не написать в согласии бессрочно

Сроки обработки персональных данных - один из пунктов согласия, который чаще всего переносят из чужого шаблона не глядя. В типовых текстах пишут бессрочно или в течение неограниченного срока, потому что так короче и не надо думать над формулировкой. Такая фраза спокойно живет в документах годами, пока до нее не доходит внимательный инспектор Роскомнадзора или пока сам субъект не спросит, зачем компания через пять лет после разовой заявки все еще хранит его номер телефона и адрес. Срок хранения - не формальность для галочки в форме, а величина, привязанная к конкретной цели обработки: если цель исчезла, а данные остались, оператор нарушает закон вне зависимости от того, что написано в согласии на бумаге. Дальше по порядку - на какой срок дается согласие, как выбрать срок действия согласия на обработку персональных данных, чем формулировка бессрочно отличается от формулировки до отзыва и почему разница между ними дорого стоит, и что делать в момент, когда цель, ради которой собирали данные, уже достигнута.

Вопрос касается не только тех, кто формально отвечает за защиту данных в компании. Маркетолог заводит форму заявки и не думает о сроке, вебмастер копирует блок с чужого сайта вместе с формулировкой, кадровик получает согласие от нового сотрудника по шаблону пятилетней давности. В итоге срок хранения нигде не обсуждался осознанно ни разу, а на проверке этот пункт читают вслух.

Что говорит закон о сроке хранения персональных данных

Часть 7 статьи 5 152-ФЗ устанавливает принцип, простой по формулировке и неудобный на практике: хранение персональных данных должно происходить не дольше, чем этого требуют цели обработки, если срок не установлен отдельно федеральным законом или договором, стороной которого является субъект. По достижении цели или при утрате необходимости в ней данные подлежат уничтожению либо обезличиванию. Из этого следует практический вывод: оператор не может своей волей продлить хранение дольше, чем оправдано целью, просто вписав в согласие слово бессрочно. Такая формулировка не отменяет требование закона, она с ним расходится, и при проверке расхождение трактуется не в пользу оператора.

На практике цель почти всегда конечна, даже если на первый взгляд кажется постоянной. Интернет-магазин собирает имя, телефон и адрес покупателя для доставки заказа: цель - исполнение договора купли-продажи. После того как заказ доставлен, а срок предъявления претензий по качеству товара истек, хранить эти данные больше не для чего, если у оператора нет отдельного основания продолжать. Отдельным основанием бывает требование другого закона - например, обязанность хранить первичные бухгалтерские документы определенный период по налоговому законодательству. Но это уже не про согласие субъекта на обработку в маркетинговых или логистических целях, а про самостоятельную обязанность оператора как налогоплательщика, которая существует параллельно, и с исходной формулировкой согласия смешивать ее не стоит.

У кадровика вопрос выглядит иначе: согласие на обработку персональных данных сотрудник подписывает при приеме на работу, а трудовые отношения могут длиться годами и меняться - повышение, перевод, декрет. Срок в таком согласии логично привязывать не к разовому событию, а к факту трудовых отношений в целом, добавляя, что по их завершении данные хранятся еще период, установленный кадровым и архивным законодательством. Такая формулировка ближе к реальности, чем попытка угадать заранее точную дату увольнения.

Бессрочно и до отзыва согласия - разные формулировки

Вопрос, на какой срок дается согласие, встает у каждого, кто садится писать текст с нуля, и слово бессрочно кажется самым простым ответом: не нужно думать о датах и условиях, пункт закрыт раз и навсегда. Проблема в том, что бессрочно означает хранение без каких-либо условий и без привязки к событию, а значит прямо противоречит принципу ограничения хранения целью обработки. Закон не разрешает хранить данные просто потому, что оператору так удобнее вести базу.

Риск не только в теории. Чем дольше и без ограничений хранятся данные, тем больше их накапливается в базе, тем шире потенциальный ущерб при утечке и тем больше сумма оборотного штрафа, если утечка все же случится, - с 30 мая 2025 года штрафы по 152-ФЗ считаются от размера выручки оператора, а не по фиксированной шкале, и статья 272.1 УК добавляет уголовную ответственность за отдельные случаи неправомерной передачи данных. Формулировка бессрочно увеличивает эту базу без всякой пользы для бизнеса: она не помогает продавать больше, она просто держит на складе то, что давно пора было убрать.

Формулировка до отзыва согласия звучит аккуратнее и чаще встречается в свежих шаблонах, но тоже не закрывает вопрос целиком. Она привязывает окончание обработки к действию субъекта - к отзыву, а не к самой цели. Проблема в том, что многие субъекты никогда не отзывают согласие, даже давно перестав быть клиентами: заявку оставили один раз, интерес пропал, а формального отзыва никто не написал. Если цель обработки уже достигнута - заказ выполнен, договор расторгнут, обучение завершено - а отзыва не было, оператор все равно обязан прекратить обработку и уничтожить или обезличить данные. Право на отзыв не единственное основание для прекращения обработки, оно дополнительное к достижению цели, а не заменяет его.

Рабочая формулировка обычно совмещает оба элемента: конкретное событие или период, которым заканчивается обработка по достижении цели, и отдельно - право субъекта отозвать согласие раньше этого срока по собственному желанию. Пример из практики: клиника указывает в согласии, что данные обрабатываются на весь период оказания медицинских услуг и далее в течение срока хранения медицинской документации, установленного нормативными актами, и отдельно добавляет, что согласие может быть отозвано в любой момент по заявлению пациента. Это длиннее, чем одно слово бессрочно, но выдерживает проверку смысла, а не только проверку наличия пункта в тексте. Закон отдельно требует, чтобы в согласии в письменной форме была указана информация о сроке его действия и порядке отзыва: если такого пункта нет вообще, само отсутствие делает документ уязвимее, чем неудачная формулировка срока. Чем сама форма согласия отличается от текста согласия и почему это разные вещи, разобрано в материале про форму согласия на обработку персональных данных.

Как привязать срок к цели обработки

Общий принцип простой, хотя формулируется он не сразу: срок хранения равен периоду действия отношений с субъектом плюс дополнительный период, если его отдельно устанавливает другой закон или договор. На бумаге это звучит абстрактно, поэтому проще посмотреть, как принцип превращается в конкретную формулировку в разных ситуациях.

В каждом случае конечная точка не абстрактная, а привязана к событию, которое оператор способен зафиксировать и подтвердить документом: дата доставки заказа, дата увольнения, дата окончания обучения, дата оплаты последней услуги. Когда формулировка в согласии совпадает по смыслу с формулировкой цели обработки, инспектору или самому субъекту не нужно гадать, что имелось в виду под словом срок. Обратная ситуация - когда согласие говорит одно, а договор с клиентом или пункт в публичной оферте говорит другое - создает противоречие, которое проверяющий трактует не в пользу оператора, даже если по существу оператор ничего не нарушал, а просто не привел документы к единому виду. Формулировки про срок хранения в оферте разбираются подробнее в материале про персональные данные в оферте интернет-магазина: принцип для оферты и для отдельного согласия один и тот же, разница только в том, каким документом оформлен пункт и кто его подписывает.

Если цель длящаяся, как определить срок

С разовыми целями срок понятен: событие наступило, и точка отсчета найдена. Сложнее с длящимися целями - подписка на рассылку, ведение клиента в CRM, программа лояльности, партнерская база - где формального окончания отношений может не быть годами, а иногда и вовсе никогда. Фиксированной календарной даты здесь не будет, и это нормально: закон не требует именно даты, он требует ограничения хранения фактической необходимостью, а необходимость можно описать через условие, а не через число.

Рабочий подход - определить не дату, а условие: данные обрабатываются до момента, когда они перестают быть необходимыми для целей обработки, и дополнительно установить внутренний предельный период на случай, если активность субъекта прекратилась, а формального повода зафиксировать это не было. Например: подписчик рассылки три года не открывал письма и не заходил на сайт - это разумный повод считать цель обработки утраченной и прекратить хранение, даже если он не отписывался вручную и не нажимал ни одной кнопки.

Похожая логика применима и к CRM с несколькими продуктами: клиент когда-то купил один товар и больше не возвращался, но данные остаются в системе ради потенциальных будущих покупок. Здесь тоже нужен не абстрактный интерес компании к возможной сделке в будущем, а конкретный признак: например, отсутствие заказов и обращений в течение определенного числа лет, после которого данные переводятся в архив с сокращенным набором полей или удаляются вовсе.

Такой предельный период нельзя оставлять только фразой внутри согласия - его стоит закрепить внутренним документом, который описывает, кто именно и с какой периодичностью чистит базу неактивных контактов, по каким признакам контакт считается неактивным и что происходит с его данными дальше. Без этого регламента формулировка в согласии остается декларацией на бумаге, а на практике база растет бесконечно, потому что чистить ее руками никто не назначен. Какие локальные акты вообще должны быть у оператора персональных данных и куда в них вписывать подобные регламенты, разобрано в статье про локальные акты оператора персональных данных.

Когда закон требует хранить данные дольше, чем указано в согласии

Даже если субъект отозвал согласие или цель обработки в рамках отношений с ним формально закончилась, оператора может обязывать хранить часть данных дольше отдельный федеральный закон, а не согласие субъекта. Типичные примеры - первичные бухгалтерские документы, которые нужно хранить установленный срок по требованиям налогового и бухгалтерского законодательства, кадровые документы после увольнения сотрудника, которые архивное и трудовое законодательство обязывает хранить определенный период, и материалы по запросу правоохранительных органов или суда в рамках конкретного дела.

В таких случаях текст согласия не должен создавать у субъекта иллюзию, что после отзыва все его данные исчезают мгновенно и полностью. Грамотная формулировка отдельно указывает, что часть данных может храниться дольше в силу отдельных требований закона, и по возможности называет, о каких именно данных и какой категории документов идет речь - бухгалтерский учет, кадровый архив, - а не оставляет читателя гадать, что подразумевается под исключениями.

Пример: сотрудник уволился, трудовые отношения прекращены, но кадровые документы работодатель обязан хранить установленный период после увольнения независимо от того, отозвал бывший сотрудник какое-либо согласие или нет. В этом случае срок определяет не согласие субъекта и не воля оператора, а отдельная норма права, действующая параллельно с прекращением трудовых отношений. Похожая логика работает и для клиентских данных, если по договору предусмотрена ответственность сторон в течение срока исковой давности: до истечения этого срока данные могут понадобиться для защиты интересов оператора в споре, и это тоже законное основание хранить дольше формального завершения сделки.

Что делать в момент достижения цели

Когда срок наступил - период по договору истек, сотрудник уволен и срок хранения кадровых документов прошел, подписчик признан неактивным по внутреннему регламенту - у оператора два законных варианта: уничтожить данные или обезличить их, если для дальнейшего хранения нет отдельного основания из предыдущего раздела.

Уничтожение означает, что данные удаляются без возможности восстановления - из основной базы, из резервных копий, из бумажных носителей и архивных папок. Процедуру стоит фиксировать документально: кто принял решение об уничтожении, какие именно данные и каким способом уничтожены, дата операции. Форма и структура такого документа разобраны в материале про акт уничтожения персональных данных.

Обезличивание - другой путь: данные остаются в системе, но перестают быть персональными, потому что из них убирают признаки, которые позволяют определить конкретного человека. Вариант удобен, когда данные еще нужны для статистики или аналитики - например, для расчета среднего чека или сезонности спроса, - но уже не нужны в привязке к конкретной личности. Как технически провести обезличивание и когда это уместнее уничтожения, показано в статье про обезличивание персональных данных.

Практическая проблема в том, что без регулярного процесса чистки базы срок в согласии остается текстом, который никто не исполняет. При утечке или проверке всплывает база пятилетней давности, которую давно следовало почистить, - и это увеличивает объем скомпрометированных данных, а вместе с ним и потенциальный размер оборотного штрафа, который с 30 мая 2025 года считается от выручки оператора, а не фиксированной суммой, как раньше.

Срок в согласии и срок в политике обработки персональных данных - разные документы

Политика обработки персональных данных - общий документ: какие данные собираются, с какими целями, куда передаются, как долго хранятся в целом по всем категориям субъектов и видам обработки. Согласие - документ на конкретную обработку конкретного субъекта, и с 1 сентября 2025 года оно по общему правилу оформляется отдельным документом, а не пунктом внутри пользовательского соглашения, оферты или анкеты на сайте - соответствующие изменения внес 156-ФЗ от 24 июня 2025 года. Получается, что формулировка срока хранения должна появиться дважды: в общем виде - в политике, и конкретно, применительно к данному субъекту и данной цели, - в самом согласии.

Смешивать эти два документа не стоит. Если в политике написано, что данные хранятся не дольше, чем требуют цели обработки, а в отдельном согласии стоит слово бессрочно, оператор сам создает противоречие внутри собственных документов, и при разборе жалобы или в ходе проверки объяснить это противоречие бывает сложнее, чем изначально написать оба документа согласованно. Проверяющий в такой ситуации не обязан выбирать более мягкую формулировку в пользу оператора - выбирают ту, что хуже для оператора.

Типичные ошибки в формулировке срока

На практике формулировка срока чаще всего страдает от одной из нескольких повторяющихся ошибок, и большинство из них легко найти, просто перечитав свои документы внимательно.

• Слово бессрочно или срок не ограничен - прямое противоречие принципу ограничения хранения целью обработки, о котором говорит часть 7 статьи 5 152-ФЗ.
• Пункт о сроке в тексте согласия отсутствует вовсе, хотя закон требует указать и срок действия, и порядок отзыва - это отдельные обязательные сведения письменного согласия.
• Скопированный архивный срок вроде 75 лет - уместный для документов постоянного хранения в архивном деле, но не имеющий отношения к базе клиентов интернет-магазина или подписчиков email-рассылки.
• Формулировка до отзыва согласия без какой-либо привязки к цели обработки - формально обработка длится бесконечно, пока субъект сам не спохватится и не напишет заявление.
• Разные сроки в согласии, в политике обработки и в тексте договора или публичной оферты, которые прямо противоречат друг другу при сопоставлении.
• Формулировка, которая не пересматривается годами, хотя бизнес-процесс давно изменился - например, компания сменила сервис рассылок или закрыла программу лояльности, а согласие продолжает ссылаться на прежнюю, уже не существующую цель.

Отдельно стоит проверить не только формулировку, но и то, что происходит после истечения срока на практике. Часто в тексте написано верно, а в базе данных нет ни одного поля с датой сбора согласия или датой последней активности субъекта - и тогда формулировку невозможно применить технически, даже если она написана безупречно. Срок в документе и срок, который система умеет отследить и на который умеет среагировать, - разные вещи, и второе без первого бесполезно.

Что делать дальше

Разобраться со сроком проще, если пройти по формулировкам системно, а не точечно поправить одно слово в одном документе и оставить остальное как есть.

1. Собрать все места, где встречается формулировка срока, - согласие, политика, оферта, договор, форма на сайте - и свести их в один список для сверки.
2. Проверить каждую формулировку на слова бессрочно и срок не ограничен и заменить их на привязку к конкретной цели обработки.
3. Для каждой цели обработки определить конкретное событие или период, который ее завершает и который можно зафиксировать документально.
4. Учесть дополнительные сроки хранения из других законов - бухгалтерского, архивного, трудового: они могут продлевать хранение сверх основной цели, и это законно, если прописано отдельно, а не выдумано на ходу.
5. Указать в согласии не только срок, но и порядок отзыва отдельным пунктом, а не одной общей фразой на две задачи сразу.
6. Для длящихся целей завести внутренний регламент периодической проверки базы на неактивных субъектов и признаки, по которым субъект считается неактивным.
7. Оформить порядок уничтожения или обезличивания данных по истечении срока документально, актом, а не устной договоренностью внутри команды.
8. Проверить, что согласие, где это требуется по закону, оформлено отдельным документом, а не пунктом внутри другого текста на сайте.
9. Назначить ответственного за ежегодный пересмотр формулировок - без владельца процесса правки останавливаются после первого раза.

Если после ревизии формулировки в разных документах расходятся между собой, разумно исправить их вместе: согласие, политику обработки и оферту стоит проверять как единый комплект, а не по отдельности, - иначе через полгода расхождение вернется в новом месте. Если формулировки проще доверить кому-то со стороны, на 152fzpro.ru дорабатывают согласия, политику обработки и другие документы сайта под требования 152-ФЗ.