Хранение, обезличивание и уничтожение ПД

Не прекращает обработку

Обезличивание

способ минимизации обработки и обеспечения конфиденциальности ПД. Оно само является обработкой (п.3 ст.3 152-ФЗ), а его результат остается ПД

Уничтожение или удаление

уничтожение необратимо, удаление изымает данные из системы или с носителя с возможностью восстановления

Блокирование

временное прекращение обработки, кроме обработки, необходимой для уточнения ПД

Архивирование

перевод документов в режим архивного хранения по 125-ФЗ с собственными сроками и порядком уничтожения

Следствие: обезличивание в ответ на требование субъекта об уничтожении или на отзыв согласия требование не исполняет, а указывать его способом уничтожения в акте Роскомнадзор не разрешает

п.8 ст.3 152-ФЗ

Уничтожение

действия, в результате которых невозможно восстановить содержание ПД в ИСПД и (или) уничтожаются материальные носители ПД

письмо АРБ от 02.12.2011 № 5

Удаление

изъятие ПД из ЭВМ с сохранением возможности их восстановления. Легального определения нет, Минцифры понимает удаление как исключение данных с носителя или из ИС

п.7 ст.3, ч.2 ст.21 152-ФЗ

Блокирование

временное прекращение обработки ПД, за исключением случаев, когда обработка необходима для уточнения ПД

• Операция с ПД
• Обратимость
• Длительность
• Доступ
• ЭВМ / бумага

• Уничтожение
• необратимо*
• постоянно
• невозможен
• да / да

• Удаление
• обратимо
• постоянно или временно
• невозможен
• да / нет

• Блокирование
• обратимо
• временно
• возможен
• да / да

Работа

Оперативное хранение

данные используются и изменяются, доступ без дополнительных ограничений

Архив

Архивное хранение

данные не используются и заблокированы, доступ по специальной процедуре

Уничтожение

Окончание хранения

подтверждение для ПД с указанием отдельных субъектов, для архивных сведений без их указания

Режим ПД

152-ФЗ

ч.7 ст.5, ч.7 ст.21 152-ФЗ, приказ Роскомнадзора от 28.10.2022 № 179

уничтожение по достижении целей обработки

акт и выгрузка из журнала со сведениями о субъектах

Архивный режим

125-ФЗ

п.2 ч.1 ст.4, ч.5 ст.14 125-ФЗ, приказы Росархива от 20.12.2019 № 236 и от 31.07.2023 № 77

длительные сроки хранения документов

уничтожение без сведений о субъектах

нет явной обязанности уведомлять об инцидентах

Важно: режим 152-ФЗ перестает применяться к документам только после оформленной процедуры передачи в архив, а по истечении архивного срока их уничтожают по правилам архивного дела

п.9 ст.3 152-ФЗ

Обезличивание

действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПД конкретному субъекту

обратимо по конструкции: с дополнительной информацией данные приводятся к исходному виду

хеш-функция не обезличивает, а служит средством криптографической защиты (письмо Роскомнадзора от 01.06.2023 № 08-45913)

Не способ прекращения обработки

по мнению Минцифры и Роскомнадзора это способ обработки и обеспечения конфиденциальности, который снижает идентифицирующий потенциал ПД

Условие 1. Основание

согласие субъекта на обезличивание или иное основание из ч.1 ст.6 152-ФЗ

Условие 2. Метод

метод или комбинация методов из закрытого перечня приказа Роскомнадзора от 19.06.2025 № 140

Методы приказа № 140 с 01.09.2025

• введение идентификаторов
• изменение состава или семантики

• декомпозиция
• перемешивание
• обобщение, новый метод

Идентификационные данные

Прямые идентификаторы на месте

прямые идентификаторы нетронуты или частично маскированы, косвенные нетронуты

Псевдонимные данные

Прямые идентификаторы скрыты

прямые идентификаторы удалены или изменены, косвенные нетронуты

Анонимные данные

Идентификаторов нет

все идентификаторы удалены, чтобы разорвать связь данных с человеком

1

Псевдонимизация

введение случайных идентификаторов, хеширование, шифрование

2

Анонимизация через обобщение

агрегирование (обобщение) значений

3

Анонимизация через рандомизацию

добавление шума, перестановка данных или удаление атрибутов

4

Обобщение и рандомизация

сочетание нескольких техник

В российском праве: хеширование и шифрование в закрытый перечень приказа № 140 не входят, понятия анонимизации в законе нет, и Роскомнадзор оценивает любое преобразование как обезличивание

vs

Общий режим

Приказ Роскомнадзора от 19.06.2025 № 140

заменил приказ № 996 от 05.09.2013, действует с 01.09.2025

обязателен для всех операторов, которые обезличивают ПД по своим основаниям, а не только для госорганов

закрытый перечень: четыре метода, к которым в дополнение допускается обобщение (агрегация)

локальные акты, оценка достаточности метода, раздельное хранение массивов и ключа, учет операций

результат остается ПД и по конструкции обратим

Режим составов данных

Ст.13.1 152-ФЗ и ПП-1154 от 01.08.2025

ст.13.1 введена 233-ФЗ от 08.08.2024, режим действует с 01.09.2025

только по адресному требованию Минцифры в случаях из перечня Правительства (ПП-538 от 24.04.2025)

пять методов ПП-1154: введение идентификаторов, изменение состава или семантики, декомпозиция, перемешивание, преобразование

оператор исключает сведения ограниченного доступа, составы не формируются из спецкатегорий, кроме сведений о здоровье, и биометрии

результат передается в ГИС "Единая информационная платформа национальной системы управления данными"

Важно: для всех операторов обязательны требования к обезличиванию, а не само обезличивание. Обезличить ПД оператор обязан по требованию Минцифры и при обработке в статистических или исследовательских целях без согласия (п.9 ч.1 ст.6)

• Ступень
• Данные
• Прямые идентификаторы
• Косвенные идентификаторы
• Техника

• Беспрепятственная идентификация
• идентификационные
• ФИО: Мунтян Алексей Витальевич, СНИЛС: 123-456-789 01
• возраст: 39 лет, IP-адрес: 192.168.0.1
• техники не используются

• Деперсонификация
• идентификационные
• ФИО: Мунтян А. В., СНИЛС: 123-456-789 01
• возраст: 39 лет, IP-адрес: 192.168.0.1
• редуцирование ФИО

• Усиленная деперсонификация
• идентификационные
• ФИО: Мунтян А. В., СНИЛС: *****67890
• возраст: 39 лет, IP-адрес: 192.168.0.1
• маскирование СНИЛС

• Псевдонимизация
• псевдонимные
• ФИО: 5L7T-LX619Z, СНИЛС: *****67890
• возраст: 39 лет, IP-адрес: 192.168.0.1
• искусственный идентификатор (псевдоним) вместо ФИО

• Усиленная псевдонимизация
• псевдонимные
• ФИО: 5L7T-LX619Z, СНИЛС: d5efe83e
• возраст: 39 лет, IP-адрес: 192.168.0.1
• защита СНИЛС хешированием

• Деидентификация
• псевдонимные
• удалены
• возраст: 30-40 лет, IP-адрес: 252.112.1.90
• удаление прямых идентификаторов, обобщение возраста, замена IP-адреса

• Анонимизация
• анонимные
• удалены
• удалены
• удаление косвенных идентификаторов и добавление шума

ПД хранятся не дольше, чем этого требуют цели обработки, и уничтожаются по достижении целей или при утрате необходимости в них (ч.7 ст.5)

• Цель достигнута
• достигнуты цели обработки ПД и (или) истекли максимальные сроки хранения

• Цель не нужна
• утрачена необходимость в достижении целей обработки ПД

• Сведения субъекта
• субъект подтвердил, что ПД незаконно получены или не нужны для цели обработки

• Неправомерность
• невозможно обеспечить правомерность обработки ПД

• Отзыв согласия
• субъект отозвал согласие, а сохранение ПД для целей обработки больше не требуется

• Исковая давность
• истекли сроки исковой давности по правоотношениям, в рамках которых шла обработка

• Ликвидация
• ликвидация или некоторые формы реорганизации оператора

Сроки 152-ФЗ

• 7 раб. дн.
• Сведения субъекта, ч.3 ст.20

ПД незаконно получены или не нужны для цели

• 10 раб. дн.
• Неправомерная обработка, ч.3 ст.21

обеспечить правомерность невозможно

• 10+5 раб. дн.
• Требование субъекта, ч.5.1 ст.21

о прекращении обработки ПД

• 30 дней
• Достижение цели, ч.4 ст.21

или утрата необходимости в ее достижении

• 30 дней
• Отзыв согласия, ч.5 ст.21

если ПД больше не нужны для целей

• 6 месяцев
• Блокирование, ч.6 ст.21

если своевременно уничтожить ПД невозможно

Давность и учет

3 месяца

трудовые споры, в том числе о моральном вреде за нарушение правил обработки ПД работника, ч.1 ст.392 ТК

1 год

споры о невыплате зарплаты и о возмещении ущерба работником, ст.392 ТК

3 года

общая исковая давность (ст.196 ГК) со дня, когда узнали о нарушении (ст.200 ГК), для договора ориентир его прекращение

5 лет

для первичных учетных документов после отчетного года (ст.29 402-ФЗ) и налоговых (ст.23-24 НК), по страховым взносам 6 лет

Иные сроки

например более 5 лет, если срок проходит тест "почему именно такой?"

График уничтожения

• фактический срок
• желаемый срок
• законный срок

• установленный срок
• триггеры и периоды

Карта данных

по каждой категории ПД фиксирует все места хранения, срок, триггер и способ уничтожения

Срок в настройках

срок из локального акта должен быть настроен в самой системе, иначе записи живут до заполнения диска

Базы данных

• основные и резервные
• разработки
• тестирования

логирования

Резервные копии

восстановление из копии возвращает уничтоженные записи, поэтому его сверяют с журналом исполненных уничтожений

Журналы

перезапись логов с ПД, по позиции Роскомнадзора от 27.08.2025, подтверждают по приказу № 179

Риск: записи с истекшим сроком, оставшиеся в резервных копиях, тестовых средах и журналах, при утечке увеличивают число затронутых субъектов и тяжесть ответственности

п.5 ч.14, ч.15 ст.3

Отзыв согласия

субъект отозвал согласие на обработку биометрических ПД

п.6 ч.14, ч.15 ст.3

Требование субъекта

об уничтожении биометрических ПД и (или) векторов ЕБС

ч.14 ст.4, ч.3 ст.26

Размещение в ЕБС

биометрические ПД уничтожаются в информационных системах организаций

ч.7 ст.14, п.3 ч.1 и ч.2 ст.15

10 суток вне ЕБС

истек срок хранения биометрических ПД для рассмотрения обращений субъектов

ч.15 ст.16

Запрос оператора ЕБС

мотивированный запрос об уничтожении векторов ЕБС

п.6 ч.2 ст.8, п.7 ч.8 ст.5

Запрос уполномоченного органа

мотивированный запрос Роскомнадзора к оператору ЕБС или регионального сегмента

Вне ЕБС: по истечении срока хранения организация, осуществляющая аутентификацию, уничтожает биометрические ПД средствами защиты, прошедшими оценку соответствия, с функцией автоматического уничтожения по истечении заданного срока (ч.2 ст.15)

Акт об уничтожении ПД

наименование или ФИО и адрес оператора

наименование или ФИО и адрес обработчика при поручении обработки

ФИО или иные идентификаторы субъектов, ПД которых уничтожены

ФИО, должности и подписи уничтоживших, подпись собственноручная или электронная

перечень категорий уничтоженных ПД

наименование и число листов носителя при неавтоматизированной обработке

наименование ИСПД при автоматизированной обработке

способ уничтожения

причина уничтожения

дата уничтожения

Выгрузка из журнала регистрации событий в ИСПД

Пять сведений

выгружается при уничтожении ПД в ИСПД

ФИО или иные идентификаторы субъектов

перечень категорий уничтоженных ПД

наименование ИСПД

причина уничтожения

дата уничтожения

Порядок: акт составляют при уничтожении и на материальных носителях, и в ИСПД, одной выгрузки мало (письмо Роскомнадзора от 15.03.2023 № 08-21165). Недостающие в выгрузке сведения вносят в акт, оба документа хранят 3 года

• ?
• Заменяет ли выгрузка из журнала акт?

нет, выгрузка подтверждает уничтожение ПД, обрабатываемых с использованием средств автоматизации, и не подменяет необходимость составить акт

• ?
• Куда вносить то, чего нет в выгрузке?

сведения, которые технически нельзя реализовать в выгрузке из журнала регистрации событий, отражают в акте об уничтожении

• ?
• Обязательны ли ФИО субъектов в акте?

да, если ФИО субъектов есть у оператора

• ?
• Когда в акте указывают иную информацию?

когда ФИО субъекта у оператора нет: тогда приводят конкретные идентификаторы (атрибуты), относящиеся к лицу

• ?
• Действует ли приказ для архивных документов?

нет, он не распространяется на хранение, комплектование, учет и использование документов Архивного фонда РФ и других архивных документов

Шаблон 1

Акт об уничтожении (прекращении обработки) ПД

комиссия из председателя и двух членов отбирает ПД, цели обработки которых достигнуты или утратили необходимость

таблица из 9 граф: носитель, его тип и регистрационный номер, ФИО субъекта, категории ПД, ИСПД, способ и причина уничтожения

носители сверяют с актом, уничтожают или возвращают для повторного использования и списывают с журналов учета

Шаблон 2

Акт об уничтожении материальных носителей с ПД

перечень носителей, например письменных согласий, выносят в электронный файл

файл идентифицируют по имени, размеру в байтах и хеш-суммам по алгоритмам MD5 и SHA-1

файл записывают на компакт-диск, который хранится вместе с актом

Также: акт допустимо составить в электронной форме и подписать любым видом электронной подписи (письмо Роскомнадзора от 27.12.2022 № 08-115265), а хеш служит контролю целостности и обезличиванием не является

При определении сроков хранения актов об уничтожении персональных данных и выгрузки из журнала регистрации событий в информационной системе персональных данных следует руководствоваться пунктом 8 Требований, что не противоречит части 1 статьи 21.1 Закона об архивном деле

Росархив, письмо от 16.10.2024 № Р/П-448

Вопрос

1

п.8 приказа № 179 требует хранить акт и выгрузку 3 года с момента уничтожения, а Перечень ТУАД (приказ Росархива № 236) таких документов не упоминает

• 2
• считать ли 3 года архивным сроком и сколько хранить документы после него

Почему так

• 1
• приказ № 179 не распространяется на документы архивного хранения (п.2 ч.2 ст.1 152-ФЗ)

• 2
• акты и выгрузки не включены в проект ведомственного перечня Роскомнадзора

Локальный акт

Выбор за оператором

оператор определяет способы уничтожения ПД и фиксирует порядок в локальном акте, а способ каждой операции указывает в акте об уничтожении

проверка одна: содержание не восстанавливается доступными нарушителю средствами

Бумажные носители

вымарывание или удаление данных

разрезание носителя

сжигание носителя

измельчение носителя

сдача на утилизацию вторсырья

Машинные носители

механическое уничтожение носителя

стирание данных штатным ПО

стирание специализированным ПО или устройствами

нарушение функциональных возможностей носителя

сдача на утилизацию вторсырья

В ИСПД: для машинных носителей п.3.1 ч.2 ст.19 152-ФЗ требует СЗИ с функцией уничтожения и оценкой соответствия

01

Порядок и основание

локальные акты по правилам работы с документами Архивного фонда, основание - акт о выделении документов к уничтожению

02

Бумажные носители

шредирование или иной способ, исключающий восстановление содержания, с отметками в учетных формах

03

Электронные документы

сертифицированные устройства уничтожения, нарушение целостности носителя либо удаление остаточной информации

Обязательно

Госсектор

ФОИВ, органы по атомной энергии и космической деятельности и подведомственные им организации (п.1.1). Порядок определяет руководитель (п.1.5), нарушители отвечают (п.1.8)

Рекомендация

Остальные

органы субъектов и МСУ, госучреждения, ГУП, МУП, юрлица с госучастием и иные юрлица (п.3 постановления), ответственности за неисполнение нет

Для ПД: документы ДСП обычно содержат ПД, поэтому в госсекторе к приказу № 179 и п.3.1 ч.2 ст.19 152-ФЗ добавляется порядок ПП-1233, а для бизнеса это ориентир и возможное требование госзаказчика

233-ФЗ от 08.08.2024

П.3.1 ч.2 ст.19 152-ФЗ

безопасность ПД обеспечивается применением для уничтожения ПД прошедших в установленном порядке процедуру оценки соответствия СЗИ, в составе которых реализована функция уничтожения информации

• 1
• Только автоматизация

требование не распространяется на обработку ПД без использования средств автоматизации

• 2
• Мера безопасности

это мера ст.19, а не мера по выполнению обязанностей оператора (ст.18.1) и не обязанность по надлежащему уничтожению (ст.21)

• 3
• Вне компетенции

Минцифры и Роскомнадзор не отнесли вопрос к своей компетенции

• 4
• Ответственность

невыполнение квалифицируется по ст.13.12 КоАП, а не по ст.13.11

Надзор: п.33 проверочного листа (приказ Роскомнадзора от 24.12.2021 № 253) проверяет лишь организационные меры по ч.1 ст.19, технические меры по ч.2 ст.19 Роскомнадзор не проверяет. Форму листа меняет проект Роскомнадзора от 03.08.2026

Полагаем, что вопрос, поставленный в Вашем обращении, относится к компетенции указанных федеральных органов исполнительной власти

Роскомнадзор, письмо от 12.09.2024 № 08-377683, о ФСБ России и ФСТЭК России

Роскомнадзор

контроль и надзор за выполнением мер ст.19 152-ФЗ осуществляют ФСБ и ФСТЭК в пределах полномочий

Минцифры

письмом № П25-21859-ОГ от 10.09.2024 перенаправило обращение по принадлежности (ч.3 ст.8 59-ФЗ)

Что в законе

ФСБ и ФСТЭК контролируют меры ст.19 в государственных ИСПД (ч.8 ст.19), в иных системах только по решению Правительства (ч.9 ст.19)

• 1
• Выбор СЗИ

оператор выбирает СЗИ по актам ФСБ и ФСТЭК, принятым во исполнение ч.4 ст.19 152-ФЗ (п.4 ПП-1119 от 01.11.2012)

• 2
• Когда нужна оценка соответствия

для всех уровней защищенности СЗИ с оценкой соответствия применяют, когда они необходимы для нейтрализации актуальных угроз (пп."г" п.13 ПП-1119, п.4 приказа ФСТЭК от 18.02.2013 № 21)

• 3
• Форма оценки

государственный контроль (надзор), испытания, регистрация, подтверждение соответствия, приемка и ввод в эксплуатацию объекта или иная форма (ч.3 ст.7 184-ФЗ)

• 4
• Расхождение регуляторов

ФСТЭК допускает СЗИ с оценкой соответствия в формах 184-ФЗ, ФСБ - только СЗИ, сертифицированные по требованиям ФСТЭК и ФСБ

Раздел 4 приложения к приказу № 21

ЗНИ.8 - единственная мера уничтожения

уничтожение (стирание) или обезличивание ПД на машинных носителях при их передаче между пользователями, в сторонние организации для ремонта или утилизации, а также контроль уничтожения (стирания) или обезличивания

машинные носители - средства обработки (хранения) ПД и съемные машинные носители ПД (п.8.4 приказа № 21)

vs

ФСТЭК России

Любая форма оценки соответствия

письмо от 04.10.2024 № 240/24/4419

меру ЗНИ.8 реализуют только СЗИ с функцией уничтожения (стирания), прошедшие оценку соответствия в любой из форм 184-ФЗ

такие СЗИ обязательны, когда нужны для нейтрализации актуальных угроз по ПП-1119 и приказу № 21

ФСБ России, 8 Центр

Только сертифицированные СЗИ

письмо от 05.10.2024 № 149/7/2/6-2076

уничтожать ПД можно только СЗИ с функцией уничтожения, сертифицированными по требованиям ФСТЭК и ФСБ

использование иных средств для уничтожения ПД не допускается

если имеющиеся средства не подходят, их разработку можно заказать у лицензиатов

Выбор: оператору вне госсектора без СКЗИ ориентиром служит позиция ФСТЭК, а применяющему СКЗИ и госсектору безопаснее сертифицированное средство, которое закрывает обе позиции

ПО, ООО "Код Безопасности"

Secret Net Studio

функция уничтожения данных безвозвратно затирает всю информацию, включая таблицу разделов, логические тома, файловые объекты и остаточную информацию, на локальных дисках защищаемого компьютера, кроме системного, и на подключенных сменных носителях

TERRIER версия 3.0

ПО, АО "ЦБИ-сервис". Программа поиска и гарантированного уничтожения информации на дисках, средство защиты и контроля эффективности СЗИ, сертифицированное ФСТЭК России

Прибой Модуль-3.5

ПАК, ООО "Компьютерные сервисные устройства"

Стек-НС3

ПАК, ООО "Анна"

Astra Linux Special Edition

пример ОС с механизмом гарантированного уничтожения: очищает освобождаемую внешнюю память, чтобы удаленные файлы нельзя было восстановить

В Astra Linux Special Edition для предотвращения утечки конфиденциальных данных при восстановлении удаленных файлов реализована очистка освобождаемой внешней памяти

• Состояние файла
• Блоки метаданных
• Блоки данных
• Итог

• Файл с данными
• индексные дескрипторы указывают на блоки данных
• конфиденциальные данные
• данные доступны

• Обычное удаление
• метаданные помечаются как неиспользуемые
• конфиденциальные данные остаются на месте
• можно восстановить

• Гарантированное уничтожение
• метаданные помечаются как неиспользуемые
• блоки данных перезаписываются другой информацией
• восстановить нельзя

Вывод: пока блоки данных не перезаписаны, удаление файла средствами ОС остается удалением, а не уничтожением по п.8 ст.3 152-ФЗ