# Комиссия по уничтожению персональных данных: приказ и образец

> Источник: https://ftex.pro/blog/komissiya-po-unichtozheniyu-pdn/  
> Опубликовано: 07.10.2026  
> Раздел: Персональные данные  
> Описание: Нужна ли комиссия по уничтожению персональных данных: что требует ст. 21 и приказ РКН № 179, кто входит в состав, сроки уничтожения и образец приказа.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: закон не требует создавать комиссию по уничтожению персональных данных.** Он требует подтвердить уничтожение по правилам Роскомнадзора (ч. 7 ст. 21 закона № 152-ФЗ), а приказ № 179 называет документ, который это подтверждает: акт, а при автоматизированной обработке ещё и выгрузку из журнала событий. Комиссия — удобная практика для организации, где уничтожение идёт регулярно и в нём участвуют несколько человек. Если вы небольшая компания, акт может подписать один ответственный работник.

 

Разбор, политика, согласия и локальные акты по вашей ситуации · состав пакета называем до оплаты

 

Документы по 152-ФЗ под ваш бизнес — 9 900 ₽, правки до «принимаю» включены

 

[Собрать пакет под мой бизнес →](https://ftex.pro/dokumenty-po-152-fz/)

 

**Главное**

 

- **Комиссия не обязательна.** В ст. 21 закона и в приказе № 179 её нет. Это наша рекомендация, а не норма.
- **Обязателен порядок уничтожения.** Организации-оператору его нужно закрепить в локальных актах (п. 2 ч. 1 ст. 18.1).
- **Подтверждение — акт.** При автоматизированной обработке к нему добавляется выгрузка из журнала регистрации событий.
- **Сроки задаёт ст. 21:** 3 и 10 рабочих дней при неправомерной обработке, 30 дней при достижении цели или отзыве согласия.
- **Акты и выгрузки хранятся 3 года с момента уничтожения** (п. 8 Требований, приказ № 179).

 

## Что говорит закон об уничтожении и о комиссии

 

Закон определяет уничтожение как действия, после которых нельзя восстановить содержание данных в информационной системе и (или) уничтожаются материальные носители (п. 8 ст. 3). Хранить данные дольше, чем нужно для целей обработки, нельзя: по достижении целей данные уничтожают или обезличивают, если иное не предусмотрено федеральным законом (ч. 7 ст. 5).

 

Подтверждение уничтожения закон отдал Роскомнадзору (ч. 7 ст. 21). Его приказ № 179 действует с 1 марта 2023 года до 1 марта 2029 года. Слова «комиссия» в законе и в приказе нет. В приказе говорится о «лицах (лице), уничтоживших персональные данные», с их должностью и подписью (подп. «г» п. 3). По нашему прочтению, это допускает и одного исполнителя, и группу.

 

Опора для порядка уничтожения другая. Локальные акты оператора-юрлица должны определять «порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований» (п. 2 ч. 1 ст. 18.1). Состав мер оператор определяет сам. Поэтому комиссия — один из способов оформить этот порядок, но не единственный.

 

## Когда уничтожать: сроки из ст. 21

 

Комиссии и ответственному нужна одна таблица сроков, иначе уничтожение начинают «когда дойдут руки». Сроки из закона такие.

 

| Повод | Что делать и в какой срок | Основание |
|---|---|---|
| Выявлена неправомерная обработка | Прекратить за 3 рабочих дня; если правомерность обеспечить нельзя — уничтожить за 10 рабочих дней. Уведомить человека (и РКН, если запрос шёл от него) | ч. 3 ст. 21 |
| Достигнута цель обработки | Прекратить обработку и уничтожить данные за 30 дней, если иное не предусмотрено договором, соглашением или законом | ч. 4 ст. 21 |
| Человек отозвал согласие | Прекратить обработку и, если хранение не требуется для целей, уничтожить за 30 дней с получения отзыва | ч. 5 ст. 21 |
| Человек потребовал прекратить обработку | Прекратить обработку за 10 рабочих дней (продление до 5 рабочих дней), кроме случаев пп. 2–11 ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11. Это про прекращение, а не про уничтожение | ч. 5.1 ст. 21 |
| Уничтожить в срок нельзя | Заблокировать данные и уничтожить не позднее чем через 6 месяцев, если закон не устанавливает иной срок | ч. 6 ст. 21 |

 

О прекращении обработки подробнее в статье «[Прекращение обработки персональных данных](https://ftex.pro/blog/prekrashchenie-obrabotki-personalnyh-dannyh/)», об отзыве согласия — в статье «[Отзыв согласия на обработку персональных данных](https://ftex.pro/blog/otzyv-soglasiya-na-obrabotku-pdn/)».

 

## Когда комиссия нужна на практике

 

Всё ниже — наша рекомендация, закон этого не требует.

 

| Ситуация | Хватит одного ответственного | Лучше комиссия |
|---|---|---|
| Микрокомпания, одна-две базы, бумаги немного | Да: он решает, уничтожает и подписывает акт | Не нужна |
| Бумажные личные дела, архив, несколько подразделений | Можно, но риск ошибки выше | Да: один определяет состав, другой уничтожает, третий проверяет |
| Несколько информационных систем и подрядчиков | Нет: нужен ИТ-специалист рядом | Да: ответственный, ИТ и владелец данных |
| Массовое уничтожение после окончания курса, сезона, договоров | Нет | Да: так проще показать, что процедура соблюдена |

 

Кого включить: ответственного за организацию обработки (ст. 22.1), работника, который отвечает за системы, и руководителя подразделения, где данные обрабатывались. Три человека — удобный минимум, чтобы решения принимались не одним лицом. Ответственный по закону получает указания от исполнительного органа и подотчётен ему (ч. 2 ст. 22.1), поэтому, как правило, приказ подписывает руководитель (практика). О назначении ответственного см. статью «[Приказ о назначении ответственного за ПДн](https://ftex.pro/blog/prikaz-o-naznachenii-otvetstvennogo-za-pdn/)».

 

## Что делает комиссия, шаг за шагом

 

1. **Определяет, что подлежит уничтожению.** Событие из таблицы выше: цель достигнута, отзыв, истёк срок хранения, выявлена неправомерная обработка.
2. **Проверяет, нет ли причин хранить дольше.** Срок могут задавать закон или договор (ч. 7 ст. 5). Бухгалтерские документы, например, хранятся не менее пяти лет после отчётного года (ст. 29 закона № 402-ФЗ). Подробнее в статье «[Персональные данные в бухгалтерии](https://ftex.pro/blog/pdn-v-buhgalterii/)».
3. **Выбирает способ.** Например, бумагу — измельчением, электронные данные — удалением из системы так, чтобы содержание нельзя было восстановить. Для информационных систем в ч. 2 ст. 19 (п. 3.1) среди мер названо применение для уничтожения средств защиты информации с оценкой соответствия и функцией уничтожения; подбор таких средств — задача ИТ-специалиста, мы их не поставляем. Если на носителе есть и нужные данные, их сначала копируют, а затем уничтожают носитель; можно и вымарывать часть данных (п. 9 и 10 ПП № 687).
4. **Контролирует уничтожение** и в тот же день составляет акт.
5. **Приобщает выгрузку из журнала событий,** если данные обрабатывались в информационной системе.
6. **Передаёт акт на хранение** ответственному.

 

## Какой акт нужен и что в нём указать

 

Приказ № 179 различает три случая. Без автоматизации подтверждает акт (п. 1 Требований). С автоматизацией — акт плюс выгрузка из журнала регистрации событий в информационной системе (п. 2). При смешанной обработке нужны оба документа (п. 7), а сведения, которых не хватает в выгрузке, вносят в акт (п. 6). В акте приказ требует указать (п. 3):

 

- наименование и адрес оператора, а при обработке по поручению — и обработчика;
- ФИО субъектов или иную информацию, позволяющую определить людей, чьи данные уничтожены;
- ФИО, должность и подпись лиц, которые уничтожили данные;
- категории уничтоженных данных;
- носители с числом листов (без автоматизации) или информационную систему (с автоматизацией);
- способ, причину и дату уничтожения.

 

Акт в электронной форме, подписанный по законодательству, равнозначен бумажному (п. 4). Полный разбор акта и образец — в статье «[Акт уничтожения персональных данных](https://ftex.pro/blog/akt-unichtozheniya-personalnyh-dannyh/)».

 

## Образец приказа о создании комиссии

 

Образец, подставьте свои данные. Организация и люди вымышленные. Закон формы такого приказа не устанавливает.

 

> **ООО «Образец»**
> ПРИКАЗ № ___ от «__» __________ 20__ г.
> **О создании комиссии по уничтожению персональных данных**
> 
>  
> 
> В целях исполнения ст. 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и приказа Роскомнадзора от 28.10.2022 № 179 ПРИКАЗЫВАЮ:
> 
>  
> 
> 1. Создать комиссию по уничтожению персональных данных в составе:
> председатель —;
> члены комиссии — (ответственный за организацию обработки персональных данных); (работник, отвечающий за информационные системы); (руководитель подразделения, обрабатывающего данные).
> 
>  
> 
> 2. Комиссии: определять персональные данные и носители, подлежащие уничтожению при достижении целей обработки, отзыве согласия, истечении сроков хранения или выявлении неправомерной обработки; проверять отсутствие оснований для дальнейшего хранения; контролировать уничтожение; составлять акт об уничтожении по форме приложения № 1 с учётом п. 3 Требований, утверждённых приказом Роскомнадзора № 179; при обработке в информационной системе приобщать выгрузку из журнала регистрации событий.
> 
>  
> 
> 3. Акты и выгрузки хранить 3 года с момента уничтожения у ответственного за организацию обработки персональных данных.
> 
>  
> 
> 4. Ответственному ознакомить членов комиссии с приказом под роспись.
> 
>  
> 
> 5. Контроль за исполнением приказа оставляю за собой.
> 
>  
> 
> Директор ____________ / 
> С приказом ознакомлены:

 

Приказ утверждают и доводят до работников, см. «[Как утвердить документы по ПДн](https://ftex.pro/blog/kak-utverdit-dokumenty-po-pdn/)».

 

## ИП без работников и небольшая организация

 

У индивидуального предпринимателя комиссии, как правило, нет смысла: оператор он сам. Ответственного закон требует только от юридического лица (ч. 1 ст. 22.1). Акт при этом нужен: приказ № 179 называет оператором и физическое лицо (подп. «а» п. 3). Подпишет его сам предприниматель.

 

В небольшой организации достаточно приказа, где одним лицом назначен ответственный за уничтожение. Главное, чтобы акт и выгрузка не терялись и были под рукой, если Роскомнадзор запросит документы (ч. 4 ст. 18.1).

 

## Что бывает за просрочку

 

Отдельная санкция есть за невыполнение в срок требования человека или Роскомнадзора об уничтожении, если данные неполные, устаревшие, неточные, незаконно полученные или не нужны для цели: для организаций от 50 до 90 тысяч рублей, для ИП от 20 до 40 тысяч (ч. 5 ст. 13.11 КоАП). Отдельной части именно про просрочку уничтожения по достижении цели в статье нет; по нашему прочтению, хранение сверх срока могут оценить как обработку без законного основания (ч. 1 ст. 13.11). Общая картина санкций — в статье «[Штрафы за персональные данные](https://ftex.pro/blog/shtrafy-za-personalnye-dannye/)».

 

## Как мы помогаем

 

Порядок уничтожения — часть локальных актов оператора. В [пакете документов по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) за 9 900 ₽ юрист сначала разбирает ваш бизнес: какие данные, где хранятся, кто имеет доступ. Затем пишет документы под вашу ситуацию; правки идут, пока вы не напишете «принимаю». Нужен ли вам отдельный приказ о комиссии, решаем на разборе: состав пакета называем до оплаты. Подскажем, как ознакомить сотрудников под подпись. Если нужно держать документы актуальными, есть [сопровождение по персональным данным](https://ftex.pro/soprovozhdenie-po-pdn/): 1 990 ₽ в месяц или 19 900 ₽ в год.

 

Одним договором и по одной цене · правки включены

 

Пакет «Старт»: уведомление, документы и документы для сайта — 14 900 ₽ вместо 18 700 ₽

 

[Посмотреть пакет →](https://ftex.pro/uslugi/)

 

Остальные документы комплекта описаны в обзоре «[Документы по персональным данным: что нужно оператору](https://ftex.pro/blog/dokumenty-po-personalnym-dannym/)». Как политика связана с этим порядком, объясняет «[Политика обработки персональных данных](https://ftex.pro/blog/politika-obrabotki-personalnyh-dannyh/)».

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Закон № 152-ФЗ, ст. 3 (понятие уничтожения)](https://www.consultant.ru/document/cons_doc_LAW_61801/4f41fe599ce341751e4e34dc50a4b676674c1416/)
- [Закон № 152-ФЗ, ст. 5 (принципы обработки, ч. 7 о хранении)](https://www.consultant.ru/document/cons_doc_LAW_61801/96fbc469f91f57235cc842a85e0516a99f23dc85/)
- [Закон № 152-ФЗ, ст. 18.1 (меры оператора, локальные акты)](https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/)
- [Закон № 152-ФЗ, ст. 21 (сроки уничтожения, подтверждение)](https://www.consultant.ru/document/cons_doc_LAW_61801/d3fe43a7c415353b17faab255bc0de92bea127da/)
- [Закон № 152-ФЗ, ст. 22.1 (ответственный за организацию обработки)](https://www.consultant.ru/document/cons_doc_LAW_61801/ac39e94238689d353ef880365b6b400140aa1d2d/)
- [Приказ Роскомнадзора от 28.10.2022 № 179 (требования к подтверждению уничтожения)](https://base.garant.ru/405821247/)
- [Постановление Правительства № 687 (обработка без средств автоматизации)](https://base.garant.ru/193875/)
- [Закон № 402-ФЗ, ст. 29 (хранение документов бухгалтерского учёта)](https://www.consultant.ru/document/cons_doc_LAW_122855/eb7eaf7415d317fa9daf978473137c9209c1e1d7/)
- [КоАП РФ, ст. 13.11](https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/)

## Частые вопросы

### Обязательна ли комиссия по уничтожению персональных данных?

Нет. Статья 21 закона № 152-ФЗ и приказ Роскомнадзора № 179 комиссию не называют. Приказ говорит об акте и о лицах, уничтоживших данные. Комиссия — наша рекомендация для организаций, где уничтожение идёт регулярно.

### Сколько человек должно быть в комиссии?

Число закон не задаёт. По нашей рекомендации, нечётное и не меньше трёх, если штат позволяет: ответственный за организацию обработки, специалист по системам и руководитель подразделения. В микроорганизации можно назначить одного ответственного.

### Кто подписывает акт об уничтожении?

Приказ № 179 требует указать ФИО, должность и подпись лиц, которые уничтожили данные (подп. «г» п. 3). Если действует комиссия, подписи членов стоит предусмотреть в приказе: так видно, кто и что делал.

### Нужен ли отдельный приказ, если порядок уничтожения есть в положении?

Закон формы не устанавливает. У организации-оператора порядок уничтожения должен быть в локальных актах (п. 2 ч. 1 ст. 18.1). Отдельный приказ о комиссии нужен только если вы её создаёте. С ним проще ознакомить работников под роспись.

### В какие сроки нужно уничтожить данные?

Зависит от повода: 10 рабочих дней при неправомерной обработке, которую нельзя сделать правомерной (ч. 3 ст. 21); 30 дней при достижении цели (ч. 4) или отзыве согласия (ч. 5). Если не успеваете, данные блокируют и уничтожают не позднее чем через 6 месяцев (ч. 6).

### Сколько хранить акты об уничтожении?

По приказу № 179 акты и выгрузки из журнала хранятся 3 года с момента уничтожения. Приказ действует до 1 марта 2029 года, перед окончанием срока стоит проверить, что будет дальше.

### Нужен ли акт ИП без работников?

Да, когда вы уничтожаете данные, подтверждающий документ нужен любому оператору. Приказ № 179 предусматривает в акте и физическое лицо как оператора. Ответственного для ИП закон не требует (ст. 22.1 только для юрлица), акт подписывает сам предприниматель.

### Как оформить уничтожение части данных на носителе?

ПП № 687 допускает уничтожать часть данных вымарыванием или удалением, если носитель это позволяет (п. 10), а если нет, копируют нужное и уничтожают носитель (п. 9). Прямого исключения из требований к акту в приказе № 179 мы не нашли, поэтому по нашему прочтению акт составляют и в этом случае.

### Поможете составить порядок уничтожения и приказ?

Да, в рамках пакета документов по 152-ФЗ: 9 900 ₽, правки до вашего «принимаю» включены. Состав пакета называем после разбора, до оплаты, а нужен ли отдельный приказ о комиссии, решаем вместе. Цена в договоре не вырастет.

### Что будет, если не уничтожить данные в срок?

За невыполнение в срок требования об уничтожении данных, которые неполны, неточны, получены незаконно или не нужны для цели, организации платят от 50 до 90 тысяч рублей (ч. 5 ст. 13.11 КоАП). Для остальных случаев санкция прямо не названа, оценка зависит от обстоятельств.