Разоблачаем миф о сроке обработки персональных данных
В последнее время в медиапространстве распространяется тезис о том, что более «нельзя указывать срок обработки персональных данных до достижения цели обработки или отзыва согласия».
Подобные утверждения, к сожалению, часто возникают на волне повышенного внимания к теме персональных данных и роста штрафов. Эта ситуация привлекла множество неспециалистов, которые, не обладая глубокими знаниями законодательной базы и не анализируя правоприменительную практику, тиражируют подобные ошибки.
Реальная причина таких заблуждений — поверхностное, вырванное из контекста прочтение закона, без системного анализа его норм.
Правовые основания: системный анализ 152-ФЗ
Открываем ФЗ № 152-ФЗ «О персональных данных». Обращаемся к ст. 5, в которой законодатель закрепил основные принципы обработки персональных данных. Обработка должна ограничиваться достижением конкретных, заранее определённых и законных целей. Именно этот принцип является ключевым для определения срока обработки.
Далее, п. 4 ч. 1 ст. 6 закона прямо устанавливает, что обработка персональных данных допустима, если она необходима для достижения целей, предусмотренных законом. Таким образом, законодатель прямо увязывает правомерность обработки с достижением заявленных целей.
Срок обработки, указанный оператором в документе (например, в политике или согласии), является производным от этой цели и не может её превышать.
Указание формулировки «до достижения целей обработки» является не нарушением, а прямым следствием принципа, установленного ст. 5 Закона. Это корректная и законная практика, которая подтверждается позицией Роскомнадзора и сложившейся судебной практикой.
Следовательно, заявления о невозможности использования такой формулировки не только ошибочны, но и демонстрируют фундаментальное непонимание системной связи норм внутри самого закона.
Далее также обратимся к конкретным нормам закона. Ч. 4 ст. 21 152-ФЗ прямо устанавливает, что обработка персональных данных подлежит прекращению при достижении её целей. В этой же норме законодатель установил обязанность оператора уничтожить данные в данном случае или при отзыве согласия субъектом.
Закон допускает установление иного, конкретного срока договором с субъектом, однако фундаментальным и первостепенным основанием для прекращения обработки остаётся именно достижение заявленной цели.
Позиция регулятора: разъяснения Роскомнадзора и срок обработки персональных данных
Данный подход полностью подтверждают Рекомендации Роскомнадзора от 21.07.2017, где в качестве условий прекращения обработки регулятор указал:
- Достижение целей обработки;
- Истечение срока действия согласия или его отзыв субъектом.
Кроме того, РКН рекомендует осуществлять хранение данных в течение времени, необходимого для целей их обработки. Под исключение попадают случаи, когда закон или договор устанавливают конкретный срок.
Требование конкретности: о чем на самом деле ст. 9 ФЗ-152?
Важное значение имеет толкование требования о конкретности согласия, закреплённого в ст. 9 152-ФЗ. Это требование распространяется на состав данных, цели и перечень действий с ними. Однако он не обязывает оператора указывать точную календарную дату истечения срока действия согласия.
Указание срока в формулировке «до достижения целей обработки» полностью соответствует духу и букве закона. Это делает срок обработки объективно определённым и логически связанным с правовым основанием всей деятельности оператора.
Таким образом, системный анализ норм позволяет проследить чёткую законодательную логику:
- Базовый (по умолчанию) срок обработки привязан к её цели или моменту отзыва согласия;
- Исключительный срок — конкретный период — может быть установлен договором или иным федеральным законом.
Указание в согласии фиксированной календарной даты вместо привязки к цели создаёт для оператора значительные риски:
- Риск избыточной обработки: если цель достигнута раньше указанной даты, продолжение хранения данных становится неправомерным;
- Риск недостижения цели: если срок согласия истёк, а цель ещё не достигнута (например, действует договор), оператор лишается правового основания для обработки, необходимой для его исполнения.
Следовательно, формулировка «до достижения целей обработки» не только правомерна, но и является наиболее корректной с точки зрения комплаенса. Она обеспечивает строгое соответствие действий оператора принципам закона.
Судебная практика: подтверждение правомерности подхода
Отдельного внимания заслуживает сложившаяся судебная практика, которая подтверждает данный подход. При оценке правомерности определения срока обработки суды, наряду с нормами 152-ФЗ, руководствуются ст. 190 ГК РФ.
Данная норма устанавливает, что срок может определяться не только календарной датой, но и указанием на событие, которое должно неизбежно наступить.
Именно таким событием является «достижение целей обработки персональных данных», если оператор эти цели четко и конкретно сформулировал в согласии субъекта или в договоре.
Суды признают подобную формулировку правомерной и соответствующей требованиям законодательства. Поскольку она отвечает критерию определенности: цель обработки зафиксировали, а её достижение (или недостижение) можно объективно установить и проверить.
В настоящее время по этому вопросу сложилась единообразная судебная практика, есть и свежие решения, например:
- Апелляционное определение СК по административным делам Первого апелляционного суда общей юрисдикции от 08 октября 2020 г. по делу N 66а-4412/2020, Решение Тверского областного суда от 13 июля 2020 г. по делу N 3а-94/2020;
- Апелляционное определение СК по гражданским делам Тульского областного суда от 13 марта 2024 г. по делу N 33-755/2024;
- Решение Арбитражного суда Тверской области от 5 декабря 2024 г. по делу N А66-3104/2024.
Таким образом, системное толкование 152-ФЗ в совокупности с нормами ГК РФ и позицией регулятора формирует непротиворечивую правовую позицию. Указание срока действия согласия в привязке к цели обработки является юридически корректным и предпочтительным с точки зрения минимизации рисков для оператора.
Ключевой прецедент: анализ решения по делу № А42-342/2017
Важным подтверждением данной позиции является устоявшаяся судебная практика, формировавшаяся с 2017 года. Одним из знаковых для профессионального сообщества стало решение по делу № А42-342/2017. Оно прошло все судебные инстанции, включая Арбитражный суд Северо-Западного округа (постановление от 21.11.2017 № Ф07-11732/17) и Верховный Суд РФ (определение от 05.03.2018 № 307-КГ18-101), поддержавшие правомерность определения срока действием согласия до его отзыва.
Ключевые выводы Тринадцатого арбитражного апелляционного суда (постановление от 27.07.2017 № 13АП-12966/17) остаются актуальными и наглядно демонстрируют применяемый судами подход:
«Закон не предусматривает указания в согласии конкретного срока, в течение которого оно действует, предельный срок действия такого согласия также не установлен законодателем. <…> срок действия согласия <…> заканчивается моментом востребования — письменным отзывом…
Таким образом, срок действия согласий субъектов персональных данных на их обработку в любом случае ограничен действием самого субъекта <…> в связи с чем указанный срок можно квалифицировать сроком, определяющим момент востребования. Указанное не противоречит общим правилам определения сроков <…> (статья 190 Гражданского кодекса Российской Федерации)».
Суд особо подчеркнул, что требование указывать точную календарную дату в подобных случаях не только избыточно, но и часто невозможно для оператора. Ведь оператор объективно не может предугадать действия субъекта данных (например, дату увольнения работника).
Данная правовая позиция применима не только к срокам «до отзыва согласия», но и в полной мере распространяется на формулировку «до достижения целей обработки».
Срок считается определённым, если его указали через событие, которое неизбежно наступит и делает дальнейшую обработку бесцельной и незаконной. Таким событием может быть как отзыв согласия, так и достижение целей обработки.
Это также опровергает распространённое заблуждение о необходимости жёсткой привязки к календарной дате.
Итоги по срокам обработки персональных данных
В качестве вывода отметим, что представленная позиция является не умозрительной. Она подтверждена комплексным анализом законодательства, разъяснений регулятора и устойчивой судебной практикой.
Все решения, которые мы разрабатываем для наших клиентов, базируются на этой глубокой проработке правового поля. Мы принципиально не включаем в документы положения, не имеющие юридического обоснования. Поскольку наша первоочередная задача — не следовать мимолетным «трендам», а обеспечивать реальную правовую безопасность бизнеса.
Остались вопросы или требуется профессиональная оценка ваших документов в сфере персональных данных? Мы готовы предоставить консультацию, которая основана на знании закона и практики его применения.
Автор: Марина Новицкая, юрист и управляющий партнер юридической компании «Итербиум»
Если вам нужна консультация по вопросам персональных данных
Для связи пишите в чат обратной связи на сайте либо на электронную почту firma@iterbium.ru или звоните по телефону +7 (499) 113-13-98
Работаем онлайн!
Если вы находитесь в другом городе или стране — это не проблема. В компании всё организовано для того, чтобы вы могли получать профессиональную помощь юриста в сфере персональных данных.
Подробнее о наших услугах здесь.
