Дата подготовки:  г.

Содержание статьи

1. Правовая база
2. Когда необходимо подавать уведомление
3. Что должно содержать уведомление
4. Порядок подачи в Роскомнадзор
5. Требования к уничтожению персональных данных
6. Ответственность за нарушение
7. Рекомендации и лучшие практики
8. Шаблон уведомления
9. Часто задаваемые вопросы

Правовая база

Основные нормативные акты, регулирующие процесс прекращения обработки и уничтожения персональных данных в России:

• Федеральный закон № 152‑ФЗ «О персональных данных» (в редакции от 2024 г.)
• Часть 35.1 статьи 21 этого закона – перечень случаев, когда оператор обязан уничтожить персональные данные.
• Постановление Правительства РФ от  № 345 «Об утверждении Положения о порядке уведомления о прекращении обработки персональных данных».
• Приказы ФСТЭК и Роскомнадзора, уточняющие технические требования к уничтожению данных.

Согласно ч. 35.1 ст. 21 152‑ФЗ оператор обязан уничтожить персональные данные, если:

• Срок их обработки истёк и продление не предусмотрено;
• Данные были получены с нарушением закона;
• Объект персональных данных (например, клиент) отозвал согласие на их обработку;
• Данные стали ненужными для целей, указанных в уведомлении о начале обработки;
• Иные основания, предусмотренные законодательством.

Когда необходимо подавать уведомление

Уведомление о прекращении обработки и уничтожении персональных данных подаётся в следующих случаях:

1. По окончании установленного срока хранения данных;
2. После отзыва субъектом согласия, если согласие было единственным основанием обработки;
3. При ликвидации организации‑оператора или передаче её прав и обязанностей другому оператору;
4. В случае прекращения выполнения договора, в рамках которого данные обрабатывались;
5. При обнаружении нарушений, требующих немедленного прекращения обработки.

Что должно содержать уведомление

Согласно требованиям Роскомнадзора, уведомление должно включать:

• Наименование и контактные данные оператора (полное юридическое название, ИНН, ОГРН, адрес, телефон, электронная почта).
• Дата прекращения обработки (конкретный день, когда обработка была остановлена).
• Перечень категорий персональных данных, подлежащих уничтожению (например, ФИО, ИНН, паспортные данные, контактные телефоны и т.д.).
• Основания прекращения обработки (ссылка на ч. 35.1 ст. 21 152‑ФЗ, договор, отзыв согласия и др.).
• Методы и сроки уничтожения (какие технические средства использовались, когда завершилось уничтожение).
• Ответственное лицо, которое контролирует процесс уничтожения (ФИО, должность).
• Подтверждение, что все копии, резервные копии и копии в облачных хранилищах также уничтожены.
• Подпись уполномоченного представителя и печать (если применяется).

Порядок подачи в Роскомнадзор

Процедура подачи уведомления выглядит следующим образом:

1. Подготовка документа в соответствии с пунктом 3.
2. Заполнение электронной формы на портале Роскомнадзора (раздел «Уведомления» → «Прекращение обработки»).
3. Прикрепление к форме сканированного оригинала уведомления (PDF, не менее 300 dpi).
4. Отправка формы. После отправки система генерирует регистрационный номер и подтверждение о получении.
5. В течение 30 календарных дней Роскомнадзор проверяет корректность уведомления и, при необходимости, запрашивает дополнительные сведения.
6. После подтверждения соответствия оператор получает письмо‑подтверждение о том, что уведомление принято и действие считаеться завершённым.

Важно: если оператор не успел уничтожить данные до даты подачи уведомления, он обязан указать в заявке план-график окончательного уничтожения и приложить подтверждающие документы.

Требования к уничтожению персональных данных

Уничтожение должно соответствовать техническим и организационным требованиям, установленным ФСТЭК и Роскомнадзором:

Методы уничтожения

• Физическое уничтожение носителей: шрединг, резка, плавка, измельчение.
• Электронное стирание: многократное перезаписывание (не менее 3‑х проходов) с использованием сертифицированных программ.
• Уничтожение в облаке: запрос у провайдера о полной и безвозвратной очистке хранилища, подтверждённый актом.

Документирование процесса

1. Составление акта уничтожения (дата, метод, количество уничтоженных носителей, ФИО ответственного).
2. Подпись ответственного лица и руководителя организации.
3. Хранение акта в архиве организации не менее 3 лет (для возможных проверок).

Сроки

Согласно ч. 35.1 ст. 21 152‑ФЗ, уничтожение должно быть завершено в течение 30 дней с момента прекращения обработки, если иное не установлено договором или иными нормативными актами.

Ответственность за нарушение

Нарушения в сфере прекращения обработки и уничтожения персональных данных влекут за собой:

• Административный штраф – от 5 000 руб. до 500 000 руб. для юридических лиц (максимальный размер штрафа за систематические нарушения может достигать 1 000 000 руб.).
• В случае неуведомления о прекращении обработки – штраф до 300 000 руб. (ч. 35.1 ст. 21 152‑ФЗ).
• При отказе от уничтожения – штраф от 100 000 руб. до 500 000 руб. за каждый случай.
• Возможность приостановления деятельности оператора до устранения нарушений.

Кроме административных мер, субъекты персональных данных могут требовать возмещения вреда в гражданском порядке.

Рекомендации и лучшие практики

• Внедрить внутреннюю политику «Прекращение обработки и уничтожение персональных данных», утвердив её на уровне руководства.
• Регулярно проводить аудит хранилищ данных, чтобы своевременно выявлять устаревшие сведения.
• Использовать автоматизированные инструменты для отслеживания сроков хранения и автоматического формирования уведомлений.
• Обучать персонал, отвечающий за обработку и уничтожение данных, правилам работы с конфиденциальной информацией.
• Сохранять копии всех актов и подтверждений (в электронном и бумажном виде) в надёжном архиве.
• При работе с облачными сервисами – заключать дополнительные соглашения с провайдерами о полном удалении данных.

Шаблон уведомления

УВЕДОМЛЕНИЕ О ПРЕКРАЩЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ И ИХ УНИЧТОЖЕНИИ

Наименование оператора: _________________________________
 ИНН / ОГРН: ___________________________________________
 Юридический адрес: ______________________________________
 Телефон, e‑mail: ________________________________________

Дата прекращения обработки: ____________________________

Основание прекращения обработки (указать нормативный акт):
 ______________________________________________________

Перечень категорий персональных данных, подлежащих уничтожению:
 ⎼ ФИО

 ⎼ Дата рождения
 ⎼ ИНН
 ⸺ Паспортные данные
 ⎼ Контактные телефоны
 ⎼ Электронные адреса
 ⸺ Иные (указать) _________________________________

Методы уничтожения:
 ⸺ Физическое (шрединг) – количество носителей: ____
 ⸺ Электронное стирание (3‑кратное перезаписывание) – программное обеспечение: ____
 ⎼ Облачные хранилища – запрос у провайдера (дата): ____

Срок завершения уничтожения: ____________________________

Ответственное лицо за процесс уничтожения:
 ФИО: ______________________________________
 Должность: _________________________________
 Подпись: ___________________________________

Приложения:
 ⸺ Акт уничтожения № ____ от ____ (подписан)
 ⎼ Копия подтверждения от облачного провайдера
 ⎼ Регистрационный номер в системе Роскомнадзора: ____________

_____________________________
(Подпись уполномоченного представителя)

Часто задаваемые вопросы

Нужно ли подавать уведомление, если данные уже уничтожены?

Да. По закону оператор обязан уведомить Роскомнадзор о прекращении обработки и уничтожении персональных данных независимо от того, завершён процесс уничтожения до подачи уведомления или нет.

Можно ли использовать один документ для уведомления о прекращении обработки и об уничтожении?

Да. В уведомлении можно объединить обе части, но необходимо чётко указать даты и методы уничтожения, а также приложить соответствующие акты.

Как доказать, что данные в резервных копиях также уничтожены?

В акте уничтожения следует указать перечень всех резервных копий (тип носителя, дата создания) и метод их уничтожения. При работе с облачными сервисами – приложить подтверждение от провайдера о полном удалении резервных копий.

Какие сроки хранения актов об уничтожении?

Согласно требованиям ФСТЭК, акты необходимо хранить минимум 3 года после завершения процесса уничтожения.

Что делать, если в течение 30 дней после подачи уведомления Роскомнадзор запросил дополнительные сведения?

Необходимо в срок предоставить требуемую информацию (копии актов, технические детали методов уничтожения, журналы доступа). Игнорирование запроса может привести к увеличению штрафа.