Оператор обязан уничтожить персональные данные субъекта (или обеспечить их уничтожение):

• при представлении субъектом персональных данных (или его представителем) сведений, подтверждающих, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, — в течение 7 рабочих дней со дня представления таких сведений (ч. 1 ст. 14, ч. 3 ст. 20 Закона N 152-ФЗ);
• при выявлении неправомерной обработки персональных данных, если невозможно обеспечить ее правомерность, — в течение 10 рабочих дней с даты выявления неправомерной обработки персональных данных (ч. 3 ст. 21 Закона N 152-ФЗ);
• при достижении цели обработки персональных данных — в течение 30 дней с даты достижения цели обработки персональных данных (ч. 4 ст. 21 Закона N 152-ФЗ);
• при отзыве субъектом персональных данных согласия на обработку его персональных данных, если их сохранение более не требуется для целей обработки персональных данных, — в течение 30 дней с даты поступления указанного отзыва (ч. 5 ст. 21 Закона N 152-ФЗ);
• при обращении субъекта персональных данных с требованием о прекращении обработки персональных данных — в срок не более 10 рабочих дней со дня получения такого требования, за исключением отдельных случаев. Данный срок может быть продлен, но не более чем на 5 рабочих дней (ч. 5.1 ст. 21 Закона N 152-ФЗ).

Однако при достижении цели обработки персональных данных и при отзыве субъектом персональных данных согласия на обработку его персональных данных может применяться другой срок для уничтожения персональных данных субъекта, если (ч. 7 ст. 5, ч. 4, 5 ст. 21 Закона N 152-ФЗ):

• он предусмотрен договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
• он предусмотрен иным соглашением между оператором и субъектом персональных данных;
• если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законом N 152-ФЗ или другими федеральными законами.

Стоит отметить, что передача (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по требованию субъекта персональных данных. Исключение — обработка персональных данных в целях выполнения возложенных законодательством РФ на государственные органы, муниципальные органы, а также на подведомственные таким органам организации функций, полномочий и обязанностей (ч. 12, 13, 15 ст. 10.1 Закона N 152-ФЗ). Таким образом, общий срок уничтожения персональных данных оператором при достижении цели обработки персональных данных, а также при отзыве субъектом персональных данных согласия на обработку его персональных данных составляет 30 дней с даты достижения цели обработки персональных данных или с даты поступления указанного отзыва.

В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в ч. 3 — 5.1 ст. 21 Закона N 152-ФЗ, оператор блокирует такие персональные данные и обеспечивает уничтожение персональных данных в срок не более чем 6 месяцев, если иной срок не установлен федеральными законами (ч. 6 ст. 21 Закона N 152-ФЗ).

Порядок оформления факта уничтожения персональных данных

Документальное оформление факта уничтожения персональных данных в том числе при достижении цели обработки персональных данных либо при отзыве согласия на их обработку осуществляется в соответствии с Требованиями к подтверждению уничтожения персональных данных, утвержденными Приказом Роскомнадзора от 28.10.2022 N 179 (далее — Требования) (ч. 7 ст. 21 Закона N 152-ФЗ).

Персональные данные уничтожаются комиссией (иным должностным лицом), созданной (уполномоченным) на основании приказа оператора. Приказ составляется в произвольной форме. В нем указывается состав комиссии — председатель и ее члены (например, начальник кадровой службы, главный бухгалтер, руководители структурных подразделений, секретарь организации и пр.), цель создания комиссии, функции, сроки ее работы, какие персональные данные и на каких носителях (бумажных, электронных) подлежат уничтожению, способы уничтожения персональных данных на бумажных носителях (электронных носителей) и другие необходимые сведения.

Комиссия должна определить и составить перечень документов, подлежащих уничтожению, согласно установленным законодательством срокам (в частности, Законом N 152-ФЗ, Федеральным законом от 22.10.2004 N 125-ФЗ «Об архивном деле в Российской Федерации», Приказом Росархива от 20.12.2019 N 236, другими определяющими случаи и особенности обработки персональных данных федеральными законами).

Составленный комиссией перечень документов (носителей), подлежащих уничтожению, должен быть сверен с записями в акте о прекращении обработки персональных и на указанных документах (носителях).

Способами уничтожения персональных данных, определяемыми и утверждаемыми оператором, могут быть:

• для бумажных носителей персональных данных — разрезание, гидрообработка, сжигание, механическое уничтожение (например, пропуск документов через шредер, имеющий 5-ю или 6-ю степень измельчения);
• для электронных носителей — стирание на устройстве гарантированного уничтожения информации, физическое уничтожение микросхем диска и т.п.

Затем осуществляется непосредственное уничтожение персональных данных на документах (носителях) без возможности их восстановления.

В зависимости от метода обработки персональных данных различают несколько способов подтверждения факта уничтожения персональных данных (п. п. 1, 2, 7 Требований):

• если персональные данные обрабатывались оператором без использования средств автоматизации, документом, подтверждающим уничтожение персональных данных, является акт об уничтожении персональных данных;
• если персональные данные обрабатывались оператором с использованием средств автоматизации, документами, подтверждающими уничтожение персональных данных, являются акт об уничтожении персональных данных и выгрузка из журнала регистрации событий в информационной системе персональных данных;
• если персональные данные обрабатывались оператором одновременно с использованием средств автоматизации и без использования средств автоматизации, документами, подтверждающими уничтожение персональных данных, являются акт об уничтожении персональных данных и выгрузка из журнала регистрации событий.

Более подробно с данным материалом Вы можете ознакомиться в СПС КонсультантПлюс

Вопрос: Каков порядок уничтожения персональных данных оператором при достижении цели обработки персональных данных либо при отзыве согласия на их обработку? (Консультация эксперта, 2026) {КонсультантПлюс}