Пошаговый порядок удаления персональных данных по запросу субъекта с учётом новых сроков | Марина Погодина, PROMAREN
Удаление персональных данных в РФ в 2026 — это уже не про «нажать delete», а про сроки, акты и логи. Ошибиться легко, особенно когда запрос прилетает в чат ночью, а регламента нет. Я собрала в одной статье живой порядок действий, реальные сроки и типичные грабли — без запугиваний, но с КоАП и 152-ФЗ под рукой.
Обновлено: 7 февраля 2026
Время чтения: 13-15 минут
- Что такое удаление персональных данных
- Как удалить данные по запросу на практике
- Зачем вообще заморачиваться с удалением
- Какие сроки удаления данных сейчас действуют
- Типичные ошибки операторов и как их обойти
В начале 2026 я поймала себя на мысли: половина проверок, куда меня зовут как консультанта, ломается не на политике конфиденциальности. А на простом вопросе субъекта: «Удалите мои данные». Запрос вроде короткий, а компания сразу уходит в позу «мы посмотрим и ответим позже», потому что нет ни сценария, ни понимания, что именно и в какой момент нужно уничтожить.
Кофе к этому моменту обычно уже остыл, айтишники открывают свои бэкапы, юристы достают 152-ФЗ, а бухгалтер вспоминает, что по налогам еще пять лет хранить. И вот в этой какофонии нужно родить нормальный процесс: чтобы и право на удаление данных соблюсти, и под 152-ФЗ, 115-ФЗ и здравый смысл не подложить мину. Про метрики и автоматизацию расскажу по дороге, сначала разберемся с базой.
Что такое удаление персональных данных на языке 152-ФЗ
Три из пяти компаний в РФ пока путают удаление персональных данных с «мы скрыли карточку в CRM». А по 152-ФЗ это именно уничтожение, когда восстановление информации объективно невозможно, и если Роскомнадзор попросит — вы сможете подтвердить факт и дату.
Если совсем по-простому: удаление персональных данных — это финальная точка обработки, в которой ваши ИТ-системы, архивы и блокноты перестают содержать идентифицируемую информацию о человеке, а вы можете это доказать не словами, а документами. Не «мы обещаем, что стерли», а акты, логи, отметки в журнале и понятный порядок действий, который совпадает с вашими локальными нормативными актами.
Как закон о данных описывает удаление
По состоянию на февраль 2026 картина такая: 152-ФЗ, плюс подзаконка Роскомнадзора, требуют удалять данные, когда достигнуты цели обработки, истекли сроки хранения или субъект отозвал согласие, а также если данные обрабатывали незаконно. Важный нюанс, который часто теряют — закон о данных не привязан к кнопке в одной системе, он про весь контур: CRM, рассылки, сервис-деск, бэкапы, Excel на рабочем столе маркетолога.
С 1 марта 2023 действует приказ Роскомнадзора №179 — он ввел обязательный акт об уничтожении, где вы описываете, какие сведения стерты, из какой ИСПДн и каким способом. Хранить этот акт нужно три года, это такой «чек» для контролера: нет акта — нет доказательства, что удаление персональных данных вообще было. И тут начинаются вопросы к архитектуре и автоматизации, но до этого мы еще дойдем.
Чем удаление отличается от блокировки и обезличивания
На практике компании иногда, чтобы не спорить с бизнесом, подменяют удаление блокировкой или обезличиванием. Блокировка — это когда вы временно прекращаете обработку персональных данных, но физически они еще есть в системе и могут вернуться в работу. Обезличивание — когда из набора убираются идентификаторы, и восстановить личность человека уже нельзя, зато аналитика по массиву все еще возможна.
Это означает, что у вас в регламентах должны честно существовать три разных процесса: блокируем, когда разбираемся с жалобой; обезличиваем, когда нужны данные для статистики; и уже отдельно уничтожаем, когда право на забвение и сроки хранения не оставляют других вариантов. В PROMAREN мы в таких случаях рисуем простую схему в Miro: три стрелки, три результата, и сразу падает количество ошибок при ответах на запросы субъектов, потому что людям есть на что опереться, а не придумывать на ходу.
Как только внутри компании появляется ясность, что именно считается уничтожением, следующий логичный шаг — превратить абстрактное «мы удаляем» в конкретный порядок действий по запросу живого человека. Тут начинается самое интересное, потому что теория 152-ФЗ встречается с вашим helpdesk и реальными базами.
Как удалить данные по запросу без паники и ручного героизма
По опыту проектов PROMAREN, если один раз нормально описать путь запроса субъекта — от письма «удалите мои данные» до акта — время обработки падает с 2-4 часов до 20-30 минут. То есть вместо хаоса у вас появляется сценарий, который можно и автоматизировать, и делегировать.
Классическая точка входа в 2025-2026 — это не заказное письмо, а форма на сайте или письмо на общий email. Человек в свободной форме пишет, что хочет удалить данные, иногда прикладывает скрины из Яндекс или Google, где видит свои контакты. Дальше много кто делает одну и ту же ошибку: кидает это юристу «посмотри», а тот теряет письмо в бесконечной переписке. Лучше заранее описать, кто первый принимает заявку и как ее фиксирует.
Как подать заявку на удаление данных и что сделать оператору
С точки зрения субъекта все просто: он вправе обратиться к оператору с требованием удалить данные, если они неточные, устаревшие, обрабатываются незаконно или цели обработки уже достигнуты. По ГК не нужна волшебная формулировка, достаточно «Прошу удалить мои персональные данные, ранее предоставленные через сайт, в связи с…» и указать канал связи. Важно, чтобы оператор умел эту заявку принять и не спорил с формой.
Внутри компании работает иной порядок: заявку регистрируют (в helpdesk, CRM или хотя бы в Excel, если совсем без автоматизации), назначают ответственного и срок. Хорошая практика — завести отдельный тип обращения «Запрос субъекта ПДн», чтобы потом быстро вытаскивать историю по проверкам. Я поняла, что без нормальной регистрации любые разговоры про соблюдение 152-ФЗ превращаются в «нам кажется, что мы все сделали», а это вообще не то, что любит Роскомнадзор.
Порядок действий при удалении личной информации внутри контура
Дальше включается уже не юрист, а связка ИБ+ИТ+бизнес. Нужно понять, где конкретно лежат данные этого человека: CRM, email-рассылки, сервисный чат, диск с договорами, мессенджеры. Здесь отлично выстреливает старая добрая инвентаризация ИСПДн: если вы когда-то сели и честно описали, какие системы что хранят, сейчас себе сильно облегчите жизнь, потому что не придется угадывать.
Я часто вижу работающую схему из нескольких шагов: сначала выгрузить перечень систем, где могут быть данные субъекта, потом проставить в каждой статус «на удаление», дальше инициировать физическое уничтожение (вплоть до перезаписи блоков на диске) и сразу сгенерировать акт. Для части этого пути уже есть довольно удобные сценарии автоматизации — про n8n и Make.com я подробно писала в разделе про кейсы автоматизации.
- В CRM (1С, amoCRM, Bitrix24) помечаем карточку как «запрос на удаление» и запускаем автоматический workflow.
- Интеграция через n8n или Make.com собирает все связанные сущности: сделки, задачи, письма, записи в рассылках.
- Скрипт в ИСПДн обнуляет поля или удаляет записи в соответствии с регламентом, логируя операцию.
- Шаблон в документообороте формирует акт уничтожения с датой, основанием и списком систем.
- Субъекту автоматически уходит письмо с подтверждением и ссылкой на краткое описание процедуры.
Такой сценарий можно собрать по-разному: кто-то использует подход PROMAREN с централизованным оркестратором, кто-то стартует с простого скрипта в CRM. Но логика везде одна — минимум ручного труда, максимум фиксируемых шагов. И вот тут, когда порядок уже описан, становится понятно, почему вопрос сроков нельзя оставлять «как получится».
Почему в 2026 критично удалять персональные данные вовремя
Сейчас не удалить данные по запросу — это не только нарушить право на забвение, но и попасть под штраф до 90 тысяч рублей и в публичный реестр инцидентов. А публичность в истории про интернет конфиденциальность бьет больнее, чем сама сумма штрафа.
С 2025 по начало 2026 мы видим интересный сдвиг: клиенты стали реально читать уведомления об обработке данных, пользоваться формами запросов и писать в AI-поисковики, чтобы те помогли составить жалобу. По данным Роскомнадзора, число обращений по персональным данным растет каждый год, а регулятор усиливает надзор через новые рекомендации и проверки (методички лежат на официальном сайте, я часто отсылаю к ним заказчиков).
Юридические и репутационные последствия «мы как-нибудь потом»
Юридически картина довольно жесткая: КоАП РФ, статья 13.11, части 5 и 7 — это как раз про невыполнение обязанностей оператора в части обработки и удаления данных. Не ответили на запрос, затянули со сроками, не смогли подтвердить уничтожение — привет, протокол и штраф. Если зайти на правовые системы вроде КонсультантПлюс, там десятки дел, где компании наказали буквально за «не представили доказательств».
Репутация страдает тише, но дольше. В 2025 у одного e-commerce клиента PROMAREN около 15 % негативных отзывов в соцсетях и на маркетплейсах касались именно обращения с данными: «удалите телефон», «я отписался, а вы пишете». После внедрения прозрачной процедуры удаления и понятной формы запроса мы увидели падение этого типа жалоб почти вдвое за полгода, и это без единого маркетингового жеста — просто люди перестали злиться.
Как AI-поисковики и платформы повышают ставки
Январь 2026 принес еще один тренд: AI-поисковики начали массово предлагать пользователям шаблоны писем по праву на забвение и удаление данных. Человек спрашивает «как удалить данные из сервиса Х», получает не только инструкцию, но и текст обращения, который остается лишь вставить в email или форму. Запросы становятся более юридически выверенными, а значит, и игнорировать их сложнее.
Плюс крупные платформы уровня Яндекс и Google уже давно живут с отдельными процедурами на деиндексацию и удаление по праву на забвение, и пользователи переносят ожидания отсюда на локальные сервисы. «Почему поисковик отвечает за пару дней, а ваша компания молчит третью неделю?» — типичный вопрос в переписке с поддержкой, который я видела в нескольких проектах. И это как раз аргумент в пользу того, чтобы не откладывать разработку адекватных сроков удаления где-нибудь «на потом» (нет, лучше скажу иначе) — это вопрос выживания бренда в цифровой среде.
Все это подводит к практическому вопросу: хорошо, допустим, мы согласны удалять, согласны фиксировать, но в какие конкретно сроки это нужно сделать, чтобы не ловить риски по закону и не сводить с ума ИТ.
Какие сроки удаления данных сейчас действуют и как с ними жить
Сроки выполнения запроса на удаление данных по 152-ФЗ разбросаны по разным нормам, но в рабочем виде это 7, 10 и 30 дней плюс отдельные истории с блокировкой до 6 месяцев. Если уложиться не получается, закон предлагает временную блокировку, но это не вечная отсрочка, а максимум полгода с объяснениями.
Я в какой-то момент просто села и собрала себе мини-таблицу по ситуациям, потому что путаница «где 7 дней, а где 30» начинала подводить на проектах. Сейчас она есть почти в каждом регламенте, который мы делаем для клиентов, — и там же всегда рядом ссылка на 152-ФЗ и приказы Роскомнадзора, чтобы было понятно, откуда цифры.
Основные сценарии и их регламентированные сроки
По данным 152-ФЗ и разъяснений Роскомнадзора (их можно найти в письмах на официальном сайте регулятора), картина в 2026 году выглядит так: если субъект дает доказательства недостоверности или незаконности обработки — оператор обязан проверить и удалить данные в течение 7 рабочих дней. Если неправомерная обработка выявлена самим оператором и исправить ее нельзя — на уничтожение отводится до 10 рабочих дней.
Если речь про отзыв согласия или достижение целей обработки, то закон допускает до 30 дней на удаление, но и тут не стоит тянуть до последнего — Роскомнадзор не очень любит формальный подход «мы же уложились в 30-й день». Отдельный сюжет — блокировка данных, когда полное удаление временно невозможно: здесь дается 3 рабочих дня на блокировку и до 6 месяцев на окончательное решение. И да, все это нужно не просто сделать, а еще и корректно зафиксировать в актах и логах.
Ситуация Срок обработки Что фиксируем Запрос субъекта с доказательствами 7 рабочих дней Заявка, проверка, акт уничтожения Выявлена незаконная обработка 10 рабочих дней Журнал инцидента, блокировка, акт Отзыв согласия / цель достигнута 30 календарных дней Отзыв, решение, уничтожение или обезличивание Временная невозможность удаления 3 дня на блокировку + до 6 мес. Причина, срок, статус блокировки
Исключения вроде банков по 115-ФЗ или операторов, обязанных хранить логи связи по 126-ФЗ, лучше сразу выписать отдельно, чтобы сотрудники не мучались вопросом «почему этим удаляем, а этим нет». Здесь хорошо помогают краткие памятки на внутреннем портале и небольшие разборы в корпоративном чате, я в таких случаях часто подключаюсь уже как внешний тренер через канал PROMAREN.
Как встроить сроки в автоматизацию и реальные процессы
Цифры сами по себе не спасают, если они не зашиты в процессы. В начале 2025 я видела кейс, где в регламенте стояли все правильные 7 и 30 дней, но в жизни заявки на удаление обрабатывались по 45-60 дней просто потому, что не было ответственного и напоминаний. Итог — проверка, предписание, нервная переписка с регулятором.
Хорошо работает связка «регламент + система учета». В том же n8n можно сделать простую схему: при регистрации запроса ставить дедлайн в зависимости от типа ситуации, слать напоминания ответственным и ругаться в общий чат, если срок подходит к концу. В CRM удобно заводить статусы «новый запрос — в проверке — удалено — отказано», чтобы в любой момент видеть, что застряло. Честная архитектура под 152-ФЗ начинается именно с того, что сроки перестают быть абстрактными и превращаются в конкретные поля и таймеры.
И как только вы начинаете опираться на эти сроки в автоматизации, всплывает следующая группа проблем — типичные ошибки, из-за которых даже при формальном соблюдении дат компания все равно выглядит плохо и перед клиентом, и перед регулятором.
Типичные ошибки операторов и как их обойти без лишнего драматизма
Самые дорогие ошибки в удалении данных — не технические, а организационные: не туда пришла заявка, никто не понял, что это запрос субъекта, акт подписали задним числом, а бэкап с «удаленной» информацией лежит себе тихо на NAS. Роскомнадзор в актах проверок это хорошо видит, поверьте.
Я раньше думала, что главное — выбрать правильный софт для wipe дисков, после 8 проектов поняла — критичнее выстроить голову процесса. То есть кто что делает, как фиксирует и кто потом отвечает, если что-то пошло не так. Сама по себе утилита удаления файлов не спасает, если маркетолог продолжает выгружать базы в личный ноутбук и хранить их годами.
Где чаще всего ломается процесс удаления персональных данных
Типичные грабли довольно похожи от компании к компании. Во-первых, «удалили из основной базы — забыли про кэши, тестовые среды и рассылки». Во-вторых, «акт об уничтожении сделали один общий раз в квартал», хотя по приказу №179 он должен быть привязан к конкретному факту удаления. И в-третьих, любимое: запросы в чаты поддержки не считаются официальными, хотя именно оттуда чаще всего и прилетают обращения в 2026.
Здесь работает простое правило: данные не уходят за контур и удаляются по одному и тому же сценарию во всех системах, где они могли появиться. Для этого понадобится одна-две сессии инвентаризации, где вы честно выписываете и «серые» места: боковые Excel, резервные копии у подрядчиков, тестовые стенды. В одном проекте мы нашли «временный» CSV с клиентами на диске маркетинга, который жил там уже третий год, — формально все удаляли из CRM, а по факту право на забвение не работало.
Инструменты, которые помогают не забыть ни одну точку
Тут нет волшебного единственного сервиса, но есть хороший набор, который в 2025-2026 показывает себя стабильно. Для учета и маршрутизации запросов — CRM или helpdesk, иногда достаточно и базового модуля задач. Для автоматизации шагов между системами — n8n или Make.com, они честно тянут за собой все связки «сайт — CRM — рассылка». Для генерации актов — шаблоны в Диадоке, 1С или даже в Google Docs, если компания поменьше.
На уровне ИБ можно добавить утилиты безопасного стирания (Kaspersky, штатные средства ОС, специализированные инструменты для СХД) и периодическое тестовое восстановление, чтобы убедиться, что удаление действительно необратимо. В одном клиентском проекте мы за счет такой связки сократили время обработки запроса с 3 часов ручной сверки до 15 минут работы сценария в n8n и быстрой проверки юристом. Хотела сделать идеально ха-ха сделала работающе — и этого в 90 % случаев достаточно, чтобы и регулятор, и клиенты были спокойнее 🙂
- Проведите инвентаризацию ИСПДн и «серых» хранилищ, где может лежать личная информация.
- Опишите единый сценарий удаления: кто принимает запрос, кто инициирует уничтожение, кто подписывает акт.
- Внедрите автоматизацию между ключевыми системами, чтобы не зависеть от ручных напоминаний.
- Настройте метрики: срок обработки запроса, количество ошибок, доля автоматических актов.
- Раз в полгода делайте «контрольную закупку» — тестовый запрос на удаление от сотрудника или подрядчика.
Когда вся эта конструкция встает на место, удаление персональных данных перестает быть страшной историей «про Роскомнадзор» и превращается в понятный сервисный процесс. А дальше уже можно думать, как встроить его в ваши AI-проекты, RAG-агентов и прочую красоту, чтобы сначала не потерять доверие пользователя, а уже потом удивлять его автоматизацией.
Когда процесс удаления данных наконец начинает работать на вас
Удаление персональных данных звучит как что-то «штрафное», но по факту это просто еще один сервисный процесс компании. Если он описан, автоматизирован и привязан к срокам, он экономит нервы юристам, время ИТ и добавляет несколько очков к доверию пользователей. В проектах PROMAREN я вижу одно и то же: как только в компании появляется прозрачный порядок удаления, снижается количество конфликтов и «грязных» кейсов, которые плохо заканчиваются для бренда.
Автоматизация без архитектуры — это хаос с красивым интерфейсом, а архитектура обработки и удаления данных как раз и дает ощущение, что вы контролируете свой контур, а не живете в постоянном режиме тушения пожаров. Да, потребуется несколько вечеров с 152-ФЗ, приказом №179 и схемами в Miro, но потом все это превращается в понятные сценарии, которые можно доверить системе, а не держать в голове одного уставшего юриста.
Обо мне. Марина Погодина, основательница PROMAREN и AI Governance & Automation Lead. С 2024 года помогаю в РФ строить автоматизацию на n8n, Make.com, Cursor, внедряю AI-агентов. Пишу в блоге и канале.
Если хочется разложить именно ваш процесс удаления персональных данных — от формы запроса до акта в 1С — я иногда разбираю такие кейсы на примерах в канале PROMAREN. А для тех, кто готов идти дальше с автоматизацией, на сайте PROMAREN есть подборка материалов по n8n, Make.com и «лендингам на Cursor» с интеграцией, например лендинг на Cursor и тестовый доступ к боту для генерации контента.
Что ещё важно знать про удаление данных
Можно ли удалить персональные данные без акта об уничтожении
Формально удалять данные без акта нельзя: приказ Роскомнадзора №179 прямо требует фиксировать факт уничтожения персональных данных документально. Акт нужен и при плановом удалении по сроку хранения, и при удалении по запросу субъекта. Без него оператор не сможет доказать выполнение обязанности по 152-ФЗ, и при проверке регулятор воспримет это как отсутствие подтверждения удаления, что уже тянет на нарушение и риск штрафа по статье 13.11 КоАП РФ.
Что делать, если данные есть в бэкапах и на резервных серверах
Удаление данных из боевой системы не означает мгновенное исчезновение из резервных копий, и закон это учитывает. Обычно операторы прописывают в регламентах, что данные в бэкапах хранятся до истечения срока жизни копии и не возвращаются в продуктив, кроме аварий. При этом новые бэкапы уже создаются без удаленных записей. Главное — зафиксировать этот подход в локальных актах и не использовать резервные копии для «отката» удалений по запросу субъекта.
Можно ли отказать субъекту в удалении персональных данных
Отказать можно, но только когда у оператора есть законная обязанность продолжать обработку данных, например хранение по 115-ФЗ или налоговым требованиям. В таком случае оператор должен письменно объяснить причины отказа и указать нормы закона, на которые он опирается. Важно не молчать и не игнорировать запрос: даже при отказе обязанность рассмотреть обращение и дать мотивированный ответ в срок сохраняется, иначе жалоба в Роскомнадзор почти гарантирована.
Как связаны право на забвение и удаление данных у оператора
Право на забвение чаще всего вспоминают применительно к поисковикам Яндекс и Google, где по запросу убирают ссылки из выдачи. Но удаление данных у оператора — другая история: здесь речь уже не о деиндексации, а об уничтожении самих записей в системах компании. Пользователь может сначала попросить убрать результаты поиска, а затем отдельно обратиться к владельцу сайта или сервиса с требованием удалить его персональные данные, и это будет два разных юридических процесса.
Нужно ли учитывать AI-поисковики при работе с запросами на удаление
AI-поисковики становятся промежуточным слоем между пользователем и вашими ресурсами, но операторами по 152-ФЗ остаются компании, которые фактически собирают и хранят персональные данные. Удаление результатов генерации само по себе не заменяет уничтожение исходных данных в ваших системах. При этом такие сервисы могут помогать пользователям формулировать запросы и жалобы, поэтому поток обращений становится более структурированным, и процессы внутри компании должны быть к этому готовы.