Одно из частых нарушений на сайтах — хранить данные клиентов «авось пригодится», годами не очищая базы. Закон подходит к этому строго: у персональных данных должен быть срок, и собирать их нужно ровно столько, сколько требует цель. Разбираемся в двух базовых принципах 152-ФЗ.
Принцип минимизации
Статья 5 152-ФЗ требует, чтобы состав обрабатываемых данных соответствовал целям обработки и не был избыточным. То есть для каждой задачи нужно ровно столько данных, сколько действительно необходимо, — не больше. Если для обратной связи достаточно email, просить паспорт или адрес — нарушение принципа минимизации. Подробнее об этом — в статье про поля в веб-формах.
Срок хранения
Тот же принцип (статья 5) устанавливает: хранить данные можно не дольше, чем этого требуют цели обработки. Когда цель достигнута, а сохранять данные дольше не требуется законом или договором, их нужно уничтожить или обезличить (если нет иных оснований).
Откуда берутся конкретные сроки
Единого «срока хранения персональных данных» в законе нет. Срок зависит от нескольких факторов:
- цель обработки — пока она не достигнута;
- договор с клиентом и его условия;
- иные законы — например, налоговое и бухгалтерское законодательство требует хранить первичные документы несколько лет;
- согласие — если обработка идёт на основании согласия, его отзыв запускает уничтожение данных.
Уничтожение данных (статья 21)
Статья 21 152-ФЗ устанавливает порядок. При выявлении неправомерной обработки оператор обязан прекратить её или обеспечить правомерность в течение 3 рабочих дней; если правомерность обеспечить невозможно — уничтожить данные в течение 10 рабочих дней. При достижении цели обработки или отзыве согласия данные уничтожают в срок, не превышающий 30 дней, если иной срок не установлен федеральным законом, договором или соглашением сторон.
Что делать на практике
- Определите срок хранения для каждой категории данных и закрепите его в Политике.
- Не просите в формах больше полей, чем нужно для задачи.
- Настройте регулярную очистку устаревших данных.
- Реагируйте на запросы об удалении в установленные сроки.
Проверить, какие данные собирают формы вашего сайта и нет ли среди них избыточных, можно автоматически.