Удаление персональных данных с сайта - это не одна операция, а несколько: нужно убрать запись из основной базы, CRM или базы сайта, из всех резервных копий, до которых дотягивается ротация бэкапов, а также из подключенных сервисов - почтовой рассылки, счетчиков аналитики, платежной системы, если данные передавались туда.
По запросу субъекта данные удаляются в срок до 10 рабочих дней, который можно продлить не более чем на 5 рабочих дней с уведомлением заявителя о причине. Если запроса не было, а данные просто больше не нужны для цели, ради которой собирались, например клиент отписался от рассылки, их удаляют в срок до 30 дней.
Простого скрытия записи в интерфейсе админки недостаточно - если данные остаются в базе, они продолжают обрабатываться с точки зрения закона. Нужно физическое удаление записи или ее полная деперсонализация, обезличивание, после которой по оставшимся данным нельзя определить конкретного человека.
После завершения стоит письменно подтвердить клиенту, что данные удалены, и зафиксировать сам факт обращения и удаления внутри компании: дата запроса, дата исполнения, из каких систем удалили. Это пригодится, если тот же вопрос впоследствии задаст уже Роскомнадзор.