Хранить нельзя удалять: где поставить запятую в сроках хранения персональных данных?

Сколько можно хранить персональные данные?

Короткий ответ: ровно столько, сколько нужно для цели сбора, и ни днём больше. GDPR не устанавливает конкретных сроков, но требует, чтобы данные удалялись, как только цель достигнута. Это как взять книгу в библиотеке: вы держите её, пока читаете, а потом возвращаете. Забыли вернуть? Штраф.

Принцип минимизации: не копите лишнего

Статья 5(1)(e) GDPR гласит: данные должны храниться в форме, позволяющей идентифицировать субъектов, не дольше, чем это необходимо. На практике это значит, что если вы собрали email для рассылки, а человек отписался — удаляйте адрес. Не храните «на всякий случай» — это прямой путь к штрафу.

Исключения: когда хранить можно дольше

Есть легальные причины для продления сроков: выполнение юридических обязательств (например, налоговый учёт — 5-10 лет), судебные разбирательства или архивирование в общественных интересах. Но даже в этих случаях срок должен быть чётко определён в политике обработки данных.

Как определить свой срок хранения?

Проведите аудит: для каждой категории данных запишите цель сбора, срок достижения цели и дату удаления. Например, данные клиента для исполнения договора — хранить до окончания договора плюс срок исковой давности (обычно 3 года). После — удалить. Просто? На бумаге — да. На практике — как чистка зубов: все знают, что надо, но многие ленятся.

Подробнее о сроках хранения читайте в статье 5 GDPR.

FAQ