Сколько хранить данные клиентов и когда их удалять по 152-ФЗ

«Удалите мои данные», а вы не знаете, где они лежат

Клиент пишет в мессенджер: «Удалите мой номер и переписку». Вы стираете карточку в CRM и считаете вопрос закрытым. Но тот же номер лежит в таблице заявок, в письме от формы на сайте, в истории бота, в выгрузке для рассылки и в ночной копии. Через месяц ему приходит рассылка.

Обратная ситуация тоже частая: заявкам пять лет, половина людей давно не клиенты. Старые данные не приносят денег, но при утечке считаются: штрафы в КоАП зависят от числа затронутых людей.

Что говорит закон простыми словами

Часть 7 статьи 5 152-ФЗ: хранить данные в форме, позволяющей определить человека, нужно не дольше, чем этого требуют цели обработки, если срок не установлен федеральным законом или договором, стороной которого является человек. Когда цели достигнуты или потребность отпала, данные уничтожают или обезличивают, если иное не предусмотрено законом. Фиксированного срока вроде «три года» здесь нет: срок вытекает из цели, и определяете его вы. Сверил с текстом на КонсультантПлюс, редакция от 26.07.2026.

Сроки на действия по статьям 14 и 21:

• цель достигнута: прекратить обработку и уничтожить данные до 30 дней;
• человек отозвал согласие: прекратить обработку и, если хранить данные для целей обработки больше не нужно, уничтожить до 30 дней;
• человек требует прекратить обработку: 10 рабочих дней, плюс до 5 рабочих дней при мотивированном уведомлении;
• обработка неправомерна: остановить за 3 рабочих дня, уничтожить за 10 рабочих дней;
• человек запросил, какие данные у вас есть и как долго они хранятся: ответить за 10 рабочих дней, плюс до 5.

Если удалить в срок невозможно, данные блокируют и уничтожают не позднее чем через шесть месяцев. Отзыв согласия не всегда означает полное удаление: при наличии других оснований, например договора или обязанности по закону, обработку можно продолжить (часть 2 статьи 9). Про отзыв согласия и про само согласие есть отдельные разборы.

Два слоя: данные клиента и документы бизнеса

Сроки хранения документов задают другие законы, и 152-ФЗ их не отменяет.

Исковая давность по статье 196 ГК три года, не дольше десяти лет со дня нарушения. Хранить документы она не обязывает, но объясняет, зачем держать договор и переписку, пока возможна претензия. Фамилия клиента в бухгалтерском документе хранится столько, сколько требует закон. Заявку «перезвоните мне» после ответа без причины держать нельзя, причину нужно записать.

Как составить таблицу хранения за вечер

Шаг 1. Выпишите места, где лежат данные: CRM, таблицы, почта, мессенджеры и бот, форма на сайте, телефоны сотрудников, резервные копии.

Шаг 2. Для каждого набора данных напишите цель: «перезвонить по заявке», «выполнить заказ», «сдать отчётность».

Шаг 3. Поставьте срок. Есть норма, берите её срок. Нормы нет, срок выбираете вы и должны уметь его объяснить.

Шаг 4. Напишите, кто и как удаляет: руками раз в квартал, скриптом или настройкой сервиса.

Пример строк. Сроки для заявок и переписки мои, это не норма закона.

Сроки должны совпадать с политикой и уведомлением в Роскомнадзор: клиент вправе спросить срок хранения, а в уведомлении есть поле о сроке или условии прекращения обработки.

Что важно учесть

Удаление подтверждают документом. По приказу Роскомнадзора № 179 это акт об уничтожении, а при обработке в программе ещё и выгрузка из журнала событий. Акты и выгрузки хранятся три года. Приказ действует до 1 марта 2029 года.

Резервные копии. Официального разъяснения регулятора о копиях я не нашёл. Шесть месяцев из части 6 статьи 21 касаются случаев, когда сразу удалить нельзя, а как применять их к копиям, уточняйте у юриста. Я закладываю в таблицу срок ротации копий и пишу его в политику. Про копии подробнее здесь. Отдельных сроков для мессенджеров я в законе не нашёл, работает та же логика цели.

Штрафы по КоАП (статья 13.11, редакция от 04.08.2026). Невыполнение в срок требования об уничтожении данных: для ИП от 20 до 40 тысяч рублей, для юрлиц от 50 до 90 тысяч. За утечки (части 12 - 15 той же статьи) штраф зависит от числа затронутых людей и идентификаторов, для юрлиц доходит до миллионов рублей, а за повторные нарушения считается от оборота. Пороги и суммы по каждой части смотрите в тексте статьи, здесь я их не привожу. С 30 мая 2025 действуют штрафы, введённые законом 420-ФЗ. Что делать при утечке, описано здесь.

Что менялось. С 1 сентября 2025 согласие оформляют отдельно от других документов. Закон от 26.07.2026 № 265-ФЗ, судя по названию, касается статьи 12 о передаче данных за границу, а статьи 5 и 21 не менял. Закон от 07.07.2025 № 200-ФЗ вступает в силу 1 марта 2027 года, что в нём, я не проверял.

Что можно сделать уже сейчас

1. Составьте список мест, где лежат данные клиентов, и заполните таблицу хотя бы для заявок, заказов и переписки.

2. Сверьте сроки с политикой на сайте и записью в реестре операторов.

3. Заведите заготовку ответа на «удалите мои данные» и календарь: 30 дней на удаление, 10 рабочих дней на ответ.

4. Если разбирать базы некому, помощь с проверкой и документами описана на странице юридической защиты бизнеса.

Частые вопросы

Можно ли хранить базу клиентов на всякий случай?

Закон привязывает хранение к цели. Если цели нет и нет нормы, требующей хранить, оснований держать данные нет.

Клиент отозвал согласие, а у нас договор. Всё удалять?

Не всё. Рассылки прекращают, а документы, нужные по закону или договору, хранят по их срокам. Свой случай покажите юристу.

Нужен ли акт на каждое удаление?

Подтверждение оформляют по приказу № 179. В форме акта предусмотрены несколько субъектов, так что один акт может закрыть пакет данных.

Коротко о главном

Срок хранения данных клиента задаёт цель обработки. Бухгалтерские, налоговые документы и договоры идут по своим нормам. Таблица «что храним, зачем, сколько, как удаляем» и акты уничтожения закрывают основную часть вопросов.

Хотите, чтобы я посмотрел, где у вас лежат данные клиентов, и помог собрать таблицу сроков? Напишите мне в Telegram слово «СРОКИ».