Акт уничтожения персональных данных: образец и чек-лист 2026

Подписать акт недостаточно: сначала нужно доказать законное основание прекращения хранения, охватить бумажные носители, рабочие системы, выгрузки, подрядчиков и резервные копии, а затем сформировать подтверждение в форме, зависящей от способа обработки.

Махаева Ольга

Эксперт по кадрам, трудовому законодательству, юрист, член Национального союза кадровиков. Преподаватель курса «Защита персональных данных»

Сначала подтвердите основание уничтожения

Закон о персональных данных требует прекращать обработку и уничтожать данные в предусмотренных случаях, но одновременно допускает продолжение хранения, когда существует иное законное основание или обязательный срок. Поэтому команда не начинает с кнопки удаления: она проверяет цель, основание, договор, согласие, спор и специальные требования к архиву.

Создайте заявку на уничтожение: категория субъектов, цель, система, набор данных, причина, применимый срок, юридическая проверка и владелец. Если часть данных ещё нужна для другой цели, разделите набор и права доступа, а не уничтожайте всё или не сохраняйте всё «на всякий случай».

Почему один акт не закрывает жизненный цикл

Курс «Специалист по персональным данным» связывает цели, основания, уведомления, локальные акты, доступы, поручение обработки, безопасность и реагирование. Уничтожение является финальным этапом управляемого жизненного цикла, а не отдельной канцелярской операцией.

Шаблон статьи помогает зафиксировать процедуру, но не определяет срок хранения за организацию. Трудовые, налоговые, бухгалтерские, архивные и судебные требования проверяются по конкретному документу и ситуации.

Определите реальный объём данных

Перечислите не только основную информационную систему. Данные могут находиться в кадровой программе, CRM, почте, сетевой папке, системе заявок, локальной выгрузке, мобильном устройстве, бумажном деле и у обработчика. Для каждого места укажите владельца, формат и способ удаления.

Ищите производные копии: экспорт для анализа, вложение письма, скан, тестовую базу, архив обмена и локальную таблицу. Не обещайте абсолютное отсутствие байтов во всех технических слоях, если резервное копирование не позволяет выборочное удаление. Вместо этого документируйте изоляцию, срок перезаписи и невозможность штатного использования данных.

Проверьте запреты и приостановки

До уничтожения убедитесь, что набор не охвачен обязательным хранением, судебным спором, проверкой, расследованием инцидента или внутренним legal hold. Такое ограничение должно иметь владельца, основание, срок пересмотра и минимальный объём данных.

Запрет не означает возвращение к свободному использованию. Ограничьте обработку целями хранения и защиты прав, сократите доступ и зафиксируйте дату повторной оценки. Бессрочная пометка без владельца создаёт новое нарушение принципа ограничения хранения.

Форма подтверждения зависит от способа обработки

Требования Роскомнадзора к подтверждению уничтожения различают неавтоматизированную и автоматизированную обработку. Для неавтоматизированной обработки подтверждением служит акт. Для автоматизированной — выгрузка из журнала регистрации событий в информационной системе. При смешанной обработке нужны оба элемента.

Это важная практическая граница: акт комиссии не доказывает техническое удаление из системы, а строка журнала не подтверждает уничтожение бумажного дела. Пакет должен соответствовать фактическому контуру.

Образец структуры акта

Название документа не важнее содержания. Не вставляйте в акт полный массив уничтожаемых данных, если для доказательства достаточно категорий и идентификаторов: сам акт также становится документом с персональными данными и требует защиты.

Что проверить в выгрузке журнала

Выгрузка должна позволять связать событие с субъектом или набором данных, информационной системой, основанием, датой и исполнителем в объёме, предусмотренном требованиями. Зафиксируйте способ получения, целостность файла и место хранения подтверждения.

Не создавайте журнал задним числом из ручной таблицы, если система фактически не фиксировала операцию. В таком случае сначала оцените недостаток контроля, сохраните доступные технические доказательства и настройте регистрируемую процедуру на будущее.

Резервные копии: не обещайте невозможного

Резервная копия может быть неизменяемой и не поддерживать выборочное удаление без разрушения целостности. Опишите цикл хранения и перезаписи, ограничьте восстановление, запретите обычное использование данных из резервной копии и предусмотрите повторное уничтожение после восстановления рабочей среды.

Такой подход не является автоматическим разрешением хранить копии бессрочно. Архитектура резервирования, сроки и риски должны быть согласованы с требованиями оператора. Если система не позволяет исполнять обязанности, это предмет технического плана улучшения.

Если данные находятся у обработчика

Проверьте поручение обработки, договорные обязанности, перечень систем, субобработчиков, сроки и форму подтверждения. Оператору нужен не общий ответ «удалено», а доказательство, сопоставимое с его заявкой и требованиями к способу обработки.

Сверьте идентификатор запроса, объём, дату и исключения. Если подрядчик сохраняет данные по собственному правовому основанию, роли и цели должны быть разделены. Молчаливое сохранение копии после завершения поручения недопустимо маскировать актом оператора.

Рабочий маршрут процедуры

1. Зарегистрировать основание и набор данных.
2. Проверить иные основания хранения и приостановки.
3. Построить карту систем, носителей, копий и обработчиков.
4. Назначить исполнителей и способ уничтожения для каждого места.
5. Выполнить операции и собрать технические подтверждения.
6. Провести контрольный поиск по идентификаторам.
7. Оформить акт и выгрузку в зависимости от контура.
8. Защитить пакет подтверждения и обновить реестр обработки.

Если контрольный поиск находит копию, процедура не «почти завершена». Запишите место, причину, дополнительное действие и повторите проверку.

Документы вокруг уничтожения

Основания, сроки и роли закрепляются в положении о персональных данных. Источник согласия и возможность его отзыва проверяйте по материалу про согласие на обработку.

Кто видит набор до уничтожения, показывает матрица доступа; владельца процесса закрепляет приказ об ответственном. Для внешнего исполнителя отдельно проверьте поручение обработки персональных данных.

Контроль качества пакета

• Основание уничтожения связано с конкретной целью и набором.
• Проверены обязательные сроки и действующие ограничения.
• Карта охватывает бумагу, рабочие системы, выгрузки и подрядчиков.
• Форма подтверждения соответствует способу обработки.
• Дата и состав совпадают в акте, журнале и заявке.
• Резервные копии имеют контролируемый режим и срок перезаписи.
• Сам пакет подтверждения защищён и доступен для проверки.

Типичные ошибки

• Уничтожать по окончании согласия, не проверяя другое основание.
• Подписывать акт до фактических технических операций.
• Забывать почту, выгрузки и тестовые копии.
• Использовать один акт для автоматизированного контура без журнала.
• Включать в подтверждение избыточные персональные данные.
• Считать общий ответ подрядчика достаточным доказательством.
• Хранить резервные копии бессрочно без режима ограничения.
• Не обновлять реестр целей и систем после завершения процедуры.

Матрица сроков хранения

Свяжите категорию документа, персональные данные, цель обработки, правовое основание, минимальный и максимальный срок, событие начала отсчёта и источник нормы. Отдельно укажите владельца решения и дату следующего пересмотра. Одна общая фраза «хранить по закону» не позволяет исполнить удаление.

Если документ служит нескольким целям, зафиксируйте каждую связь. Завершение маркетинговой цели не обязательно прекращает хранение бухгалтерского документа, но доступ и использование должны соответствовать оставшемуся основанию. Матрица помогает отделить набор, подлежащий уничтожению, от ограниченно сохраняемого.

Идентифицируйте набор без создания новой копии

Заявка должна достаточно точно находить данные по субъекту, периоду, системе и категории. При этом не стоит выгружать весь массив в приложение к акту. Используйте внутренние идентификаторы, диапазоны записей и контрольные хэши там, где это уместно и не создаёт лишней обработки.

До операции проверьте ложные совпадения: однофамильцев, общие почтовые адреса, семейные аккаунты и объединённые карточки. Ошибочное удаление данных другого субъекта не исправляется хорошим актом. Для массовой процедуры сначала тестируют выборку.

Уничтожение бумажных носителей

Составьте перечень дел, коробок или листов, проверьте отсутствие обязательного хранения и передайте носители исполнителю по контролируемому маршруту. Способ должен исключать восстановление содержания с учётом чувствительности: простого разрыва документа часто недостаточно.

Если уничтожает специализированная организация, сохраните договор, акт передачи, условия безопасности и итоговое подтверждение. Не оставляйте мешки или контейнеры без контроля между изъятием из архива и фактическим уничтожением. Сверьте количество и идентификаторы на входе и выходе.

Удаление из рабочих систем

Определите, что делает команда: логическое удаление записи, обезличивание, перезапись файла, криптографическое стирание или физическое уничтожение носителя. Выбранный способ должен приводить к невозможности восстановить содержание в смысле применимых требований, а не только скрывать карточку из интерфейса.

Проверьте поисковый индекс, вложения, историю версий, экспорт, очередь интеграции и локальные кеши приложения, если они входят в управляемый контур. Системный администратор фиксирует команды и журналы, а владелец процесса подтверждает правильный набор.

Контрольный поиск после операции

Используйте заранее определённые идентификаторы и ищите их в тех же системах и хранилищах, которые вошли в карту. Проверка выполняется другим сотрудником или по отдельному сценарию, чтобы исполнитель не подтверждал сам себя. Результат прикладывается к заявке.

Найденная ссылка может вести на уже недоступный объект, а отсутствие результата — не доказывать уничтожение резервной копии. Поэтому поисковый тест дополняет, но не заменяет журнал и сведения о носителях. Для каждого исключения записывают причину и последующее действие.

Спор, запрос или инцидент

Если данные связаны с претензией, судебным спором, проверкой или расследованием безопасности, обычный календарь уничтожения может быть временно приостановлен. Решение принимает уполномоченная функция на конкретном основании и только для необходимого объёма.

Доступ к сохранённым данным ограничивают, использование для иных целей запрещают, а дату пересмотра фиксируют. После снятия ограничения процедура возобновляется. Нельзя бессрочно сохранять весь массив под общей формулировкой «вдруг понадобится».

Храните доказательство безопасно

Пакет подтверждения содержит сведения об операторе, субъектах или их категориях, системах и исполнителях, поэтому сам требует разграничения доступа, целостности и срока хранения. Назначьте место, формат, владельца и резервирование, исключив возможность незаметной замены акта или журнала.

Свяжите акт с исходной заявкой и реестром целей. Проверяющий должен видеть, почему набор уничтожен, где искали копии, кто выполнил операцию и какие ограничения остались. Отдельная папка без индекса быстро превращается в архив, который невозможно доказательно использовать.

Сделайте уничтожение регулярным процессом

Настройте очередь по событиям: истечение срока, закрытие договора, завершение цели, подтверждённый запрос субъекта или вывод системы из эксплуатации. Перед каждым циклом автоматически или вручную формируется список кандидатов, который проходит правовую и техническую проверку.

Измеряйте возраст просроченных задач, долю наборов без владельца, количество найденных копий и время получения подтверждения от обработчика. Рост очереди показывает не проблему акта, а разрыв в реестре целей, архитектуре или распределении ответственности.

Обезличивание или уничтожение

Замена имени псевдонимом не всегда прекращает статус персональных данных, если связь можно восстановить или субъект остаётся определимым. До выбора обезличивания оцените цель, доступные ключи, риск повторной идентификации и необходимость сохранить аналитическую ценность.

Если цель требует именно уничтожения, обратимое маскирование не является заменой. Если допустимо дальнейшее использование обезличенных данных, метод и контроль ключей документируют отдельно, не утверждая абсолютную анонимность без проверки.

Вывод информационной системы

Перед отключением системы составьте карту данных, законных сроков, экспортов, интеграций, журналов и резервных копий. Нужные записи мигрируют с проверкой полноты, ненужные уничтожают по утверждённой процедуре, а старый доступ блокируют.

Факт выключенного сервера не доказывает уничтожение. Диски, виртуальные снимки, облачные образы и тестовые копии получают отдельное решение. Итоговый акт связывают с техническим планом вывода и перечнем носителей.

Данные бывших работников

Увольнение завершает часть целей, но не отменяет обязательное хранение кадровых, расчётных и иных документов. Разделите активные сервисные данные, которые больше не нужны, и документы, сохраняемые по специальным нормам. Доступ к оставшемуся массиву сокращают.

Проверьте почту, пропуска, биометрию при наличии, фотографии, профиль на сайте, заявки и локальные копии руководителя. Один кадровый архив не описывает весь цифровой след работника.

Отчётность по процессу уничтожения

Показывайте количество задач по сроку, просрочку, системы без технического подтверждения, ответы обработчиков и повторно найденные копии. Метрика не должна поощрять быстрое удаление без правовой проверки, поэтому скорость сочетают с полнотой доказательства.

Для каждого системного разрыва назначьте улучшение: обновить реестр, доработать журнал, изменить экспорт или пересмотреть резервирование. Руководитель видит не персональные данные, а состояние процесса и критические исключения.

Проведите пробное уничтожение

До массового цикла выберите небольшой безопасный набор и пройдите весь маршрут: основание, карта мест, операция, журнал, акт и контрольный поиск. Пробный запуск показывает, какие системы не дают требуемого подтверждения и где роли расходятся с документами.

Результаты оформляют как дефекты процесса, устраняют и повторяют тест. Только после этого масштабируют процедуру. Так организация снижает риск одновременно потерять нужные документы и сохранить данные без основания.

Правовая граница образца

Действующий закон определяет основания и обязанности оператора, а официальные требования к подтверждению — форму доказательства в зависимости от автоматизации. Перед процедурой проверяйте текущие редакции и специальные сроки хранения.

Образец не является утверждённым бланком. Он не заменяет правовую оценку основания, техническую проверку информационной системы и договорный контроль обработчика. При споре или инциденте объём сохранения доказательств согласуется отдельно.

Практика вместо теории

Управляйте персональными данными от цели до уничтожения

Курс «Специалист по персональным данным» помогает выстроить реестр целей, документы, доступы, работу с обработчиками и контроль завершения обработки. Образец акта полезен только внутри этой системы.

Смотреть программу

Вопросы и ответы

• Всегда ли после отзыва согласия данные уничтожают?

  Нет. Сначала проверяют, существует ли другое законное основание и обязательный срок хранения. Если его нет, применяется соответствующая процедура прекращения и уничтожения.

• Достаточно ли акта комиссии?

  Для автоматизированной обработки требования предусматривают выгрузку из журнала событий, а при смешанной обработке — сочетание подтверждений. Один акт не доказывает весь контур.

• Что делать с резервной копией?

  Документировать ограничение использования, срок перезаписи и порядок повторного удаления после восстановления. Конкретная архитектура и срок требуют отдельной оценки.

• Нужно ли перечислять людей поимённо?

  Подтверждение должно позволять идентифицировать охваченный набор в требуемом объёме, но не стоит создавать избыточную новую копию персональных данных в самом акте.

• Кто отвечает, если удаляет подрядчик?

  Оператор организует и контролирует исполнение поручения; договор и подтверждение подрядчика должны позволять доказать объём и факт операции.

По теме