Сколько времени хранятся персональные данные

На вопрос, сколько хранятся персональные данные, нельзя ответить одним числом для любых сведений и любых организаций. Статья 5 152-ФЗ связывает хранение с целью обработки. Это конкретная задача, ради которой сведения о человеке собирают и используют. Организацию или лицо, которое обрабатывает сведения, здесь называю оператором. Чтобы определить допустимую продолжительность хранения у такого оператора, сначала нужно установить цель: без неё невозможно объяснить, зачем сведения всё ещё нужны и какое событие означает завершение их использования.

Правило о сроке содержится в ч. 7 ст. 5 152-ФЗ. Оно относится к хранению в форме, позволяющей определить человека, к которому относятся сведения. Пока такая возможность сохраняется, продолжительность хранения ограничена потребностями обработки. Само наличие сведений в базе ещё не объясняет, почему их можно оставлять там дальше. Удобство оператора также не заменяет конкретную цель. Если организация продолжает хранение, вопрос состоит в том, какая задача сохраняется и почему для неё по-прежнему нужны сведения, позволяющие узнать человека.

У этого правила есть прямо названные основания для установления срока: федеральный закон и договор. Однако речь не о любом договоре, который имеется у оператора. Часть 7 ст. 5 152-ФЗ указывает договор, в котором сам человек является стороной, выгодоприобретателем или поручителем. Выгодоприобретатель — тот, в чью пользу предусмотрено исполнение; поручитель отвечает за исполнение обязательства другим лицом. При этом ссылка на договор имеет смысл только с учётом участия человека в таком качестве и условия о хранении. Просто упомянуть договор недостаточно, чтобы назвать конкретную продолжительность.

Когда спрашивают, какой срок хранения персональных данных установлен законом, нужно различать общее правило и конкретный срок. В ст. 5 152-ФЗ нет единого календарного периода для всех случаев. Она допускает, что срок установлен федеральным законом, но сама не перечисляет такие периоды. Из этой статьи нельзя вывести число лет для определённого документа или базы. Точный ответ в пределах её содержания таков: хранение ограничивается целью, а установленный законом или соответствующим договором срок учитывается как предусмотренное этой нормой исключение. Приписывать статье конкретную продолжительность было бы ошибкой.

Завершение обработки связано не только с успешным выполнением задачи. Часть 7 ст. 5 152-ФЗ называет также утрату необходимости в достижении цели. Это самостоятельная ситуация: задача ещё не выполнена, но потребность в ней уже исчезла. Например, если цель сбора перестала быть нужной, нельзя объяснять дальнейшее хранение исключительно тем, что она формально не достигнута. Для обоих случаев статья предусматривает уничтожение либо обезличивание обрабатываемых сведений, если федеральным законом не предусмотрено иное. В самой этой норме отдельного количества дней на такие действия нет.

Обезличивание означает, что сведения больше не позволяют определить конкретного человека. Уничтожение предполагает прекращение существования самих обрабатываемых данных. Эти варианты названы в ч. 7 ст. 5 152-ФЗ как последствия достижения цели или исчезновения необходимости в ней. При этом окончание допустимого хранения сведений о конкретном человеке не следует автоматически описывать как обязательное уничтожение любой информации без исключений. Но и простое продолжение хранения в прежнем виде нельзя назвать обезличиванием, если связь с человеком сохраняется. Значение имеет состояние сведений, а не название действия оператора.

Вопрос о том, сколько персональных данных можно хранить, касается также их объёма. По ч. 4 и 5 ст. 5 152-ФЗ сведения должны отвечать цели, а их содержание и количество не могут быть избыточными. Даже если сама цель ещё актуальна, это не оправдывает хранение всего, что когда-то удалось собрать. Для каждого вида сведений имеет значение его связь с задачей обработки. Обоснование срока и обоснование объёма дополняют друг друга: длительность не делает лишние сведения нужными, а небольшой объём данных можно хранить лишь до достижения цели или утраты необходимости в ней, если иной срок не установлен федеральным законом или соответствующим договором.

Наконец, прежние сведения нельзя безусловно оставлять для любой новой задачи. Часть 2 ст. 5 152-ФЗ требует конкретных, заранее определённых и законных целей и запрещает обработку, несовместимую с целями сбора. Часть 6 той же статьи отдельно касается точности: оператор должен принимать меры к удалению или уточнению неполных либо неточных сведений. Ответ о допустимом хранении складывается из нескольких вопросов: сохраняется ли исходная цель, нужны ли для неё именно эти данные, установлен ли срок законом или соответствующим договором. Чтобы выяснить допустимый срок хранения, запросите у оператора цель обработки и основание срока хранения ваших данных.