Акт об уничтожении персональных данных: штрафы

Статус обязательный документ при уничтожении персональных данных
Основание ст. 21 Федерального закона о персональных данных (положения о прекращении и уничтожении) и приказ РКН № 179
Публичность внутренний документ, доступ ограничен ответственным лицам и членам комиссии
Кто утверждает комиссия по уничтожению персональных данных или назначенное ответственное лицо организации
Ответственный ответственный за организацию обработки персональных данных в организации
Сроки исполнения законные сроки: прекращение неправомерной обработки - 3 раб. дня; при достижении цели или отзыве - 30 дней; требование прекратить - 10 раб. дней; при невозможности уничтожения - блокирование и уничтожение в течение 6 месяцев
Обновлено июль 2026

01 Назначение

Акт об уничтожении персональных данных

Назначение и область применения. Акт фиксирует факт и способ уничтожения конкретных носителей и электронных записей с персональными данными, подлежащих удалению в организации. Применяется при прекращении обработки в связи с достижением цели, отзыве согласия, требовании контролирующего органа или выявлении неправомерной обработки. Доступ к акту ограничен членам комиссии и ответственному за организацию обработки.

Обязательные реквизиты акта. В акте указывают дату и место составления, наименование организации, состав комиссии или ответственное лицо, перечень уничтоженных носителей и объём электронных записей, способ и место утилизации, ссылка на основание уничтожения и подписи участников. Оформление должно позволять однозначно установить, что конкретно и когда уничтожено, и кем подтверждено.

Процедура подготовки, сроки и утверждение. Инициатор - ответственное лицо за обработку персональных данных; далее формируют комиссию или действует назначенное ответственное лицо, составляют опись подлежащих уничтожению записей, проводят уничтожение и оформляют акт с указанием способа утилизации. Сроки прекращения обработки и уничтожения данных определяются федеральным законодательством и при необходимости требуют блокирования вместо уничтожения на предусмотренный срок.

Типичные ошибки и контрольные точки при внедрении. Частые ошибки - отсутствие описи носителей, неполные реквизиты акта, отсутствие подтверждения способа утилизации, несоблюдение процессных сроков и хранение копий без правового обоснования. При внедрении проверяйте соответствие описи и акта, полноту реквизитов и подписей, документальное подтверждение способа утилизации и соблюдение установленных законодательством сроков.

Раскрыть полностью

02 Ответственность

Ответственность за незаконную обработку при нарушениях порядка уничтожения персональных данных

ч. 1 ст. 13.11 КоАП

Юридическое лицо 150 000 - 300 000 ₽
Должностное лицо 50 000 - 100 000 ₽
Физическое лицо (гражданин) 10 000 - 15 000 ₽

Отсутствие или неправильное оформление Акта об уничтожении персональных данных повышает риск привлечения по ч. 1 ст. 13.11 КоАП за обработку, не предусмотренную законом. Коротко о сроках, установленных 152-ФЗ: прекращение неправомерной обработки - 3 рабочих дня; при достижении цели обработки или отзыве согласия - 30 дней; требование прекратить обработку - 10 рабочих дней; при невозможности уничтожить данные сразу допускается блокирование с окончательным уничтожением не позднее чем за 6 месяцев. Приказ РКН от 28.10.2022 подтверждает требование оформлять акт как документальное подтверждение уничтожения. Типичные ошибки операторов: отсутствие данных об ответственном лице и составе комиссии, отсутствие указания способа уничтожения, отсутствие подписей и дат, несоблюдение установленных сроков.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Собрание распространённых наименований акта, который фиксирует факт и способ уничтожения носителей и записей с персональными данными, обязательные реквизиты и подтверждения.

Акт об уничтожении персональных данных
Акт уничтожения персональных данных
Акт об уничтожении носителей персональных данных
Акт списания и уничтожения документов с персональными данными
Подтверждение уничтожения персональных данных
Акт комиссии об уничтожении персональных данных
Акт уничтожения персональных данных работника
Акт удаления персональных данных из информационной системы
Акт уничтожения данных

04 Обязательное содержание

Чеклист содержимого Акта об уничтожении персональных данных

Короткий список разделов и сведений, которые должны быть в акте, чтобы он фиксировал факт и порядок уничтожения персональных данных и удовлетворял требованиям контроля.

Реквизиты акта Заголовок, регистрационный номер или ссылка на журнал учета, дата и место составления, основание уничтожения (указать закон или приказ организации). Эти реквизиты позволяют однозначно идентифицировать операцию уничтожения.
Состав комиссии и ответственные лица ФИО, должности и полномочия членов комиссии или назначенного ответственного лица, кто утвердил акт, их подписи и печати при наличии; указать контакт для связи при проверке.
Перечень уничтожаемых персональных данных и носителей Категории данных, количество записей, идентификаторы файлов или реестров, тип и серийные номера носителей, где применимо, с явной разбивкой по позициям для учета и последующей сверки.
Метод и подтверждение уничтожения Описан примененный способ уничтожения (физическое уничтожение, обезличивание, иное), точная дата и время операции, данные оператора услуги по уничтожению при привлечении третьих лиц, акт о выполнении с подписями и указанием свидетелей.
Учёт копий, резервных носителей и действия при невозможности уничтожения Опись всех копий и резервных копий с указанием мест хранения, описание принятых мер по удалению или блокированию данных и ссылка на установленный срок блокирования при невозможности немедленного уничтожения.
Хранение акта и ограничение доступа Место хранения акта, срок хранения записи акта в организации, перечень лиц с правом доступа и порядок предоставления копий уполномоченным проверяющим или внутренним аудиторам.

05 Применимость

Кому и когда нужен Акт об уничтожении персональных данных

Краткое руководство о том, в каких случаях организации требуется оформлять акт об уничтожении персональных данных, кто его утверждает и какие типовые сценарии попадают под обязанность фиксации уничтожения.

Кому нужен акт Операторам персональных данных, индивидуальным предпринимателям и их филиалам, а также ответственному за организацию обработки и комиссии по уничтожению. Акт предназначен для внутренней фиксации факта и порядка уничтожения, доступ к документу ограничен ответственными лицами и членами комиссии.
Когда акт обязателен Акт обязателен при фактическом уничтожении персональных данных как подтверждение прекращения обработки и уничтожения в установленные законом сроки; документ используют для внутреннего контроля и при проверках регулятора.
Типовые сценарии и применимые сроки Прекращение неправомерной обработки - фиксация и уничтожение в срок не более трёх рабочих дней; прекращение при достижении цели или при отзыве согласия - не более тридцати дней; требование третьего лица прекратить обработку - не более десяти рабочих дней; при невозможности немедленного уничтожения - блокирование и уничтожение не позднее шести месяцев.
Публичность и доступ к акту Акт - внутренний документ. Хранится и предоставляется ограниченному кругу лиц: ответственному за обработку, членам комиссии по уничтожению и иным уполномоченным сотрудникам в рамках контроля и проверки регулятора.
Кто утверждает акт Акт утверждает комиссия по уничтожению персональных данных либо назначенное руководителем организации ответственное лицо; для малых операторов ответственность может быть возложена на единственного ответственного за организацию обработки.
Границы применения и сопутствующие документы Акт фиксирует факт уничтожения персональных данных. Если уничтожение сопряжено со списанием материальных носителей, их утилизацией или передачей на склад утилизации, оформляйте акт вместе с сопроводительными ведомостями и документами списания по внутренним регламентам.
Роль акта при проверках регулятора Акт служит доказательством исполнения обязанностей оператора по прекращению обработки и уничтожению данных в установленные сроки и учитывается при инспекциях со стороны регулятора; при необходимости акт дополняют иными подтверждающими записями согласно внутренним требованиям контроля.

06 Нормативная база

Нормы, применимые к Акту об уничтожении персональных данных

ч. 7 ст. 5 152-ФЗ хранение персональных данных допускается не дольше, чем того требует цель обработки; акт об уничтожении служит документальным основанием для прекращения хранения и фиксирует, что цель обработки утрачена либо достигнута, и на этой основе инициировано уничтожение или обезличивание
ч. 3 ст. 21 152-ФЗ при выявлении неправомерной обработки обязанность организации - прекратить таковую не позднее трёх рабочих дней; акт должен фиксировать дату и время выявления, дату прекращения обработки и предпринятые меры по исключению дальнейшей обработки
ч. 4 ст. 21 152-ФЗ при достижении цели обработки организация обязана обеспечить уничтожение или обезличивание данных не позднее тридцати дней; акт подтверждает соблюдение этого срока, описывает объём уничтоженных данных и указывает ответственных за операцию
ч. 5 ст. 21 152-ФЗ в случае отзыва согласия на обработку персональных данных организация обязана прекратить обработку и обеспечить уничтожение данных в срок не более тридцати дней; акт фиксирует поступление отзыва, принятые решения и дату уничтожения
ч. 5.1 ст. 21 152-ФЗ требование субъекта о прекращении обработки подлежит исполнению в течение десяти рабочих дней; акт должен отражать порядок рассмотрения требования, дату его получения и сроки выполнения процедур по прекращению обработки или уничтожению
ч. 6 ст. 21 152-ФЗ если фактическое уничтожение данных невозможно в установленные сроки, допускается их блокирование с последующим уничтожением не позднее шести месяцев; акт должен содержать обоснование невозможности немедленного уничтожения, указать меры блокирования и план дальнейших действий
приказ РКН № 179 от 28.10.2022 приказ подтверждает, что акт является формой документального подтверждения уничтожения данных; для акта важны содержание, подписи ответственных и наличие ссылок на подтверждающие материалы, акт используется при проверках и аудите соблюдения правил уничтожения

08 Внедрение

Внедрение и оформление - Акт об уничтожении персональных данных

Пошаговая инструкция от принятия решения об уничтожении до хранения акта и организации внутреннего контроля. В каждом шаге указаны исполнитель и конкретный результат на выходе.

1. Принятие решения и назначение ответственных Решение о необходимости уничтожения принимает руководство, назначается комиссия или ответственное лицо с указанием состава, сроков и полномочий. Результат: приказ или распоряжение 'О создании комиссии по уничтожению персональных данных' и запись о назначении в журнале распоряжений.
2. Подготовка перечня и обоснований Ответственный собирает и верифицирует материалы: перечень записей и носителей, источники хранения, правовые основания обработки и предложения по способу уничтожения. Результат: документ 'Перечень персональных данных для уничтожения' с указанием места хранения, основания и предложенного способа, подписанный ответственным.
3. Проведение процедуры комиссией Комиссия выполняет физическое или техническое уничтожение в соответствии с выбранным способом, фиксирует дату, время, участников и примененные методы. Результат: рабочая запись с описанием операций и черновой вариант Акта об уничтожении персональных данных.
4. Оформление и утверждение акта Ответственный и председатель комиссии проверяют заполнение всех реквизитов акта, наличие подписей членов комиссии и регистрируют документ. Результат: утвержденный 'Акт об уничтожении персональных данных' с подписью ответственного и записью в журнале уничтожений.
5. Хранение записей и организация контроля Копия утвержденного акта, перечень уничтоженных записей и протокол заседания комиссии помещаются в папку для внутреннего контроля; фиксируется лицо и срок хранения материалов для проверяющего. Результат: папка 'Уничтожение ПДн / год' с записью о передачи материалов службе контроля и планом последующей проверки.

09 Актуализация

Поводы для составления и обновления Акта об уничтожении персональных данных

Акт составляется по конкретному событию. Обновлять нужно не только сам акт, но и сопроводительные процедуры: типовую форму, состав комиссии, порядок фиксации уничтожения в резервных копиях и журнале учета.

Истечение установленного срока хранения по реестру Плановый повод: категория данных в реестре достигла предусмотренного срока хранения. При таком событии инициируют подготовку перечня на уничтожение, проверку наличия копий и резервов и назначают комиссию для оформления акта. В документе фиксируют ссылки на записи в реестре и действия с резервными копиями. внести запись в реестр на удаление, проверить резервные копии, назначить комиссию для составления акта
Отзыв согласия субъекта или требование прекратить обработку Событие запускает обязанность организации выполнить процедуру уничтожения по установленным срокам. Регистрируют обращение, формируют перечень данных и проводят уничтожение в сроки, указанные в нормативных актах. зарегистрировать обращение, подготовить перечень данных для уничтожения, провести комиссию и оформить акт
Выявлена неправомерная обработка персональных данных При обнаружении фактов обработки, не соответствующей целям или требованиям закона, организация обязана немедленно прекратить неправомерную обработку и в пределах установленных сроков оформить уничтожение. Проверяют причины, объём затронутых данных и принимают меры по блокированию или уничтожению с отражением в акте. зафиксировать инцидент, прекратить обработку, собрать комиссию для акта и описать предпринятые меры по блокированию и уничтожению
Инцидент безопасности или компрометация данных Утечка, несанкционированный доступ или иное нарушение безопасности требует немедленной оценки необходимости уничтожения копий и зафиксирования результата в акте. При проверке учитывают наличие и состояние резервных копий, логи доступа и доказательства уничтожения. созвать комиссию, провести инвентаризацию затронутых носителей и резервов, оформить акт с указанием доказательств уничтожения
Изменение состава комиссии или способов уничтожения Кадровые изменения у членов комиссии либо смена технического метода уничтожения (физическое разрушение, перезапись, удаление из облака и т.п.) требуют обновления типовой формы акта и приказа о составе комиссии, а также пересмотра шаблонов подтверждения уничтожения. обновить типовую форму акта и приказ о составе комиссии, пересмотреть образцы подтверждений уничтожения и журналы учета

10 Проверка

Инспектор проверит

Документы и материалы проверки, подтверждающие факт уничтожения персональных данных, соблюдение сроков и законность процедуры.

Вопрос 01 «Предъявите акт об уничтожении персональных данных и сопроводительные документы.»
Вопрос 02 «Предъявите подтверждения соблюдения установленных законом сроков уничтожения.»
Вопрос 03 «Предъявите подтверждение применённого способа уничтожения и участие комиссии.»
Вопрос 04 «Предъявите подтверждения блокирования и порядок хранения при невозможности немедленного уничтожения.»
Вопрос 05 «Предъявите документы о назначении ответственных и внутреннем порядке уничтожения.»

Инспектор при проверке, может запросить:

акт об уничтожении персональных данных; протокол заседания комиссии по уничтожению персональных данных (при наличии); приказ или распоряжение об утверждении комиссии или о назначении ответственного лица; реестр уничтоженных записей или перечень уничтоженных материалов
журналы и отметки о датах прекращения обработки и уничтожения; план-график уничтожения или служебные записки с указанием дат прекращения обработки; сообщения об отзыве согласия при наличии
акт об уничтожении с указанием способа уничтожения и перечня носителей; подписи членов комиссии и ответственного лица; записи в журнале утилизации материальных носителей или другого регистрационного журнала
приказ или распоряжение о блокировании данных или учетных записей; записи журнала блокировок и план последующего уничтожения в пределах установленного срока
приказ о назначении ответственного за организацию обработки персональных данных; приказ об утверждении состава комиссии по уничтожению персональных данных; внутренний регламент или инструкция по порядку уничтожения данных

11 Экспертная позиция

Ключевой риск и практическая рекомендация

Неочевидный, но частый риск - акт фиксирует сам факт уничтожения, но не даёт воспроизводимой цепочки доказательств: какие конкретно носители уничтожены, каким способом, кем и какие резервные копии затронуты. В акт включайте идентификаторы носителей и ссылку на запись в реестре, способ и методику уничтожения, состав комиссии или ответственное лицо, список затронутых резервов и третьих лиц, а также перечень прилагаемых подтверждений (протокол комиссии, фотодокументация, сертификат подрядчика, журналы операций). Если немедленное уничтожение невозможно, акт должен отражать применённую меру блокирования и план окончательного уничтожения в рамках установленного законом срока. Проверяйте согласованность акта с данными инвентаризации и реестра, а также наличие подписей и сопроводительных доказательств в соответствии с требованиями контролирующего органа.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по Акту об уничтожении персональных данных

Акт утверждает комиссия по уничтожению персональных данных или назначенное ответственное лицо организации. В тексте акта укажите состав комиссии или сведения об уполномоченном сотруднике, подписи ответственных и дату утверждения.

Заказать акт об уничтожении персональных данных в комплекте документов

Закажите подготовку акта об уничтожении персональных данных и его включение в комплект локальных нормативных актов организации. В комплекте: адаптированная форма акта с обязательными реквизитами и образцом заполнения, приказ об уничтожении, журнал учёта уничтожения, инструкция по методам и фиксации, а также комплект доказательств для проверки: приказ, URL, скриншоты, логи доступа. Оформление под комиссию или назначенное ответственное лицо и сопровождение внедрения.

Заказать акт и комплект документов

Акт об уничтожении персональных данных