В современном мире защита персональных данных (ПДн) стала одной из ключевых задач для организаций любой формы собственности. Одним из обязательных элементов этого процесса является правильное оформление и хранение запросов субъектов ПДн – тех лиц, к которым относятся персональные данные. В статье рассмотрим, какие требования предъявляются к срокам хранения таких запросов в Российской Федерации, какие нормативные акты регламентируют этот процесс и как выстроить практику, отвечающую требованиям закона.
Что считается запросом субъекта ПДн?
Согласно Федеральному закону № 152‑ФЗ «О персональных данных» субъект ПДн имеет право:
- получить информацию о том, какие его данные обрабатываются;
- получить копию своих персональных данных;
- требовать уточнения, блокирования или уничтожения данных, если они являются неполными, устаревшими или получены незаконным путем;
- получить сведения о целях обработки и о получателях данных;
- направить претензию или жалобу в уполномоченный орган (Роскомнадзор).
Любой из перечисленных пунктов оформляется в виде официального запроса (письма, электронного письма, формы в личном кабинете и т.д.).
Нормативно‑правовая база, регулирующая срок хранения запросов
2.1 Федеральный закон 152‑ФЗ
Закон не устанавливает прямой срок хранения запросов, однако в Статье 10 говорится о том, что оператор обязан вести документацию, подтверждающую выполнение требований субъектов ПДн. Эта документация должна храниться в течение срока, установленного другими нормативными актами.
2.2 Федеральный закон 59‑ФЗ «Об архивном деле»
Согласно п. 5 ч. 1 ст. 5 59‑ФЗ, документы, связанные с выполнением прав субъектов ПДн, относятся к архивным документам и подлежат хранению минимум 5 лет после завершения их выполнения, если иное не установлено отраслевыми нормативами.
2.3 Приказы Роскомнадзора
Постановлением от 28 декабря 2022 г. № 408 «Об утверждении Положения о порядке обработки и защите персональных данных» уточнено, что:
- операторы обязаны фиксировать дату получения запроса;
- документировать действия, предпринятые в ответ на запрос;
- хранить такие записи не менее 5 лет после закрытия запроса.
2.4 Сравнение с GDPR (ЕС)
В Европейском регламенте GDPR срок хранения записей о запросах субъектов ПДн также составляет минимум 2 года после их выполнения. Российское законодательство задаёт более строгий срок – 5 лет, что следует учитывать при работе с международными клиентами.
Практический срок хранения запросов
Исходя из вышеуказанных нормативов, рекомендуется придерживаться следующего графика:
- Срок выполнения запроса – в большинстве случаев оператор обязан ответить в течение 30 календарных дней со дня получения запроса (можно продлить до 90 дней при наличии сложностей).
- Срок хранения исходного запроса – минимум 5 лет с момента закрытия (получения окончательного ответа).
- Срок хранения сопроводительной документации (решения, протоколы, скриншоты переписки) – также 5 лет после завершения обработки.
Если запрос относится к категории «особых категорий данных» (например, сведения о здоровье), срок хранения может быть увеличен до 10 лет в соответствии с требованиями отраслевого законодательства (медицинская документация, банковская тайна и т.п.).
Как организовать хранение запросов в компании
4.1 Технические решения
- Электронный журнал запросов – централизованная система (CRM, DMS) с полями: дата получения, способ получения (email, бумажный), содержание запроса, ответственный, дата исполнения, статус.
- Хранение в защищённом виде – шифрование данных, ограниченный доступ (роль‑based access control), журнал аудита доступа.
- Бэкапы – резервное копирование архивов запросов минимум раз в месяц, хранение копий в отдельном месте.
4.2 Организационные меры
- Назначить ответственного за обработку запросов (специалист по защите данных, DPO).
- Разработать политику хранения запросов, включающую сроки, способы уничтожения (шифрованное удаление) после истечения срока.
- Проводить ежегодные аудиты соответствия требованиям 152‑ФЗ и 59‑ФЗ.
4.3 Уничтожение устаревших записей
По истечении установленного срока (5 лет) записи подлежат безопасному уничтожению. Рекомендуется использовать:
- Для электронных файлов – полное перезаписывание (multiple overwrite) или специализированные утилиты Secure Delete.
- Для бумажных документов – уничтожение в шреддере (микросрез) с последующей утилизацией.
Часто задаваемые вопросы (FAQ)
5.1 Какой срок хранения запросов обязателен, если в компании уже существует внутренний регламент с более коротким сроком?
Внутренний регламент не может противоречить требованиям закона. Если внутренний срок короче 5 лет, он считается недействительным – следует хранить запросы минимум 5 лет.
5.2 Нужно ли хранить запросы, полученные через социальные сети?
Да. Любой запрос, который можно отнести к заявлению субъекта ПДн, подлежит регистрации и хранению в соответствии с теми же сроками, независимо от канала получения.
5.3 Можно ли объединять запросы в один архивный файл?
Можно, но при этом необходимо обеспечить возможность отдельного доступа к каждому запросу и его метаданным (дата, статус, ответственный). Архивный файл должен быть защищён от несанкционированного доступа.
Соблюдение сроков хранения запросов субъектов персональных данных – ключевой элемент комплаенса в сфере защиты ПДн. На основании ФЗ‑152, ФЗ‑59 и нормативных актов Роскомнадзора, организации обязаны сохранять всю документацию, связанную с запросами, минимум 5 лет после их закрытия. При этом важно обеспечить:
- Точное документирование всех этапов обработки запроса;
- Безопасное хранение и ограниченный доступ к архивам;
- Регулярный аудит и корректное уничтожение устаревших записей.
Внедрение описанных практик поможет не только избежать штрафных санкций, но и укрепить доверие клиентов к компании как к надёжному хранителю их персональных данных.
Если у вас возникли дополнительные вопросы по организации процесса хранения запросов, обратитесь к специалисту по защите данных (DPO) или к юридическому отделу, отвечающему за соблюдение требований 152‑ФЗ.
Дата публикации: