Прекращение обработки при ликвидации компании
Ликвидация юридического лица порождает обязанности, которые часто остаются за рамкой типового чек-листа ликвидатора. Оператор ПДн обязан до завершения ликвидационных процедур уничтожить персональные данные, отозвать поручения обработчикам, снять согласия и направить уведомление в РКН. Если этого не сделать — требования ФЗ-152 продолжают действовать вплоть до момента исключения из ЕГРЮЛ, а риск проверки не исчезает. Эта инструкция описывает последовательность действий для юриста, сопровождающего ликвидацию компании-оператора ПДн.
Шаг 1. Установите статус компании как оператора ПДн и объём обработки
До начала процедуры уничтожения данных необходимо зафиксировать: какие категории ПДн обрабатывает компания, на каком правовом основании, в каких системах и у каких обработчиков по поручению. Без этого невозможно определить порядок уничтожения и список уведомлений.
Проверьте реестр РКН — находится ли компания в нём в качестве оператора (pd.rkn.gov.ru). Если уведомление по ст. 22 ФЗ-152 было подано, это подтвердит перечень заявленных целей и категорий данных. Если компания не уведомляла РКН — это само по себе нарушение по ч. 10 ст. 13.11 КоАП (штраф 100 000–300 000 ₽), которое следует учесть при планировании.
Составьте реестр информационных систем ПДн (ИСПДн): CRM, кадровые системы, бухгалтерия, сайт, облачные сервисы, корпоративная почта. По каждой — зафиксируйте категорию данных (общие, специальные по ст. 10, биометрические по ст. 11), число субъектов, правовое основание обработки и наименование обработчиков по договорам поручения.
Шаг 2. Расторгните договоры с обработчиками и прекратите поручения
Если компания передавала обработку ПДн третьим лицам по договорам поручения (ст. 6 ч. 3 ФЗ-152) — облачным провайдерам, аутсорсерам расчёта заработной платы, колл-центрам, маркетинговым платформам — необходимо расторгнуть эти договоры и потребовать от обработчиков уничтожить переданные данные.
Направьте каждому обработчику письменное уведомление о прекращении поручения с указанием срока уничтожения ПДн (как правило, 7–30 дней в зависимости от условий договора). Запросите подтверждение уничтожения — акт или письмо с описанием применённых методов. Это снимает с ликвидируемого оператора ответственность за дальнейшую обработку у третьих лиц.
Сопровождаете ликвидацию компании-оператора ПДн?
Юристы DATUM помогут составить полный реестр ИСПДн, подготовить уведомление о прекращении обработки по форме Приказа РКН № 180 и собрать комплект ОРД для закрытия статуса оператора. Ошибка в уведомлении — штраф до 300 000 ₽ по ч. 1 ст. 13.11 КоАП.
Собрать ОРД под ключОтветим за 2 часа · +7 (983) 510-38-76 · info@vitveteam.ru
Как уничтожить персональные данные при ликвидации компании?
Уничтожение ПДн — ключевое процедурное действие. Ст. 21 ФЗ-152 обязывает оператора уничтожить данные при достижении целей обработки или при прекращении деятельности. Порядок уничтожения зависит от носителя: цифровые данные — безвозвратное удаление из всех систем и резервных копий; бумажные носители — физическое уничтожение (шредирование) с составлением акта.
Уничтожение оформляется актом произвольной формы, содержащим: дату, перечень уничтоженных массивов (баз данных, файлов, носителей), применённые методы, состав комиссии и подписи её членов. Акт хранится в ликвидационном деле до завершения процедуры.
Исключение: часть данных может быть передана правопреемнику (при реорганизации) или сохранена для исполнения требований архивного законодательства. Личные дела работников хранятся 75 лет (типовой срок); первичные бухгалтерские документы с ПДн — 5 лет. Эти данные передаются на хранение в государственный или муниципальный архив до окончательного исключения компании из ЕГРЮЛ.
Шаг 4. Направьте уведомление о прекращении обработки в РКН
После уничтожения данных (или одновременно с последним этапом уничтожения) необходимо направить в Роскомнадзор уведомление о прекращении обработки ПДн. Форма установлена Приказом РКН № 180 от 28.10.2022. Подача — через личный кабинет на pd.rkn.gov.ru с использованием УКЭП или через ЕСИА.
Срок — 10 рабочих дней с момента фактического прекращения обработки (ч. 7 ст. 22 ФЗ-152). Нарушение срока квалифицируется по ч. 10 ст. 13.11 КоАП — штраф для юрлица 100 000–300 000 ₽. При этом юрлицо продолжает нести ответственность до исключения из ЕГРЮЛ, поэтому уведомление следует подавать до завершения ликвидации.
Шаг 5. Проверьте статус согласий и политики конфиденциальности
С 01.09.2025 согласие на обработку ПДн оформляется отдельным документом (ФЗ-156 от 24.06.2025). При ликвидации это означает: если компания действовала после указанной даты, все ранее полученные согласия, включённые в текст договора или политики, формально не соответствуют требованиям ст. 9 ФЗ-152 — это дополнительный риск при проверке в ходе ликвидации.
Однако при прекращении обработки вопрос переоформления согласий теряет практическое значение: данные уничтожаются, обработка прекращается. Важно другое — зафиксировать, что на момент обработки основание было (пусть и формально некорректным документом), а уничтожение проведено до прекращения юрлица. Это снижает риск претензий субъектов после ликвидации.
Политика конфиденциальности (ст. 18.1 ч. 2 ФЗ-152) должна оставаться опубликованной на сайте до полного прекращения его работы. После исключения из ЕГРЮЛ сайт, как правило, прекращает работу вместе с прекращением хостинга — этого достаточно. Если сайт передаётся третьим лицам, убедитесь, что политика удалена или заменена актуальной для нового оператора.
Если вы юрист и компания уже в стадии ликвидации — проверьте, подано ли уведомление в РКН. Срок — 10 рабочих дней с момента прекращения обработки, пропуск влечёт штраф до 300 000 ₽ по ч. 10 ст. 13.11 КоАП.
Заказать аудит 152-ФЗТиповые ситуации при ликвидации оператора ПДн
Ситуация 1. Компания в реестре РКН, но уведомление о прекращении не подано. Ликвидатор забыл направить уведомление о прекращении обработки. Компания исключена из ЕГРЮЛ, но числится в реестре операторов как действующий оператор. Доказательства: отсутствие записи в реестре о прекращении, открытые персональные данные на прекратившем работу сайте. Вероятный исход: при поступлении жалобы субъекта или плановой проверке РКН — протокол по ч. 10 ст. 13.11, штраф в диапазоне сотни тысяч рублей. Стратегия: подавать уведомление следует до исключения из ЕГРЮЛ — до этого момента юрлицо правоспособно и несёт ответственность.
Ситуация 2. Данные работников переданы в архив без разграничения по срокам хранения. В архив направлен весь массив кадровых ПДн без разделения на документы с 75-летним и 5-летним сроками хранения. Основание обработки в архиве не определено. Вероятный исход: при проверке архивной организации как обработчика — отсутствие поручения на обработку по ст. 6 ч. 3 ФЗ-152, что квалифицируется по ч. 1 ст. 13.11. Стратегия: перед передачей в архив составить акт с разграничением по срокам хранения и заключить договор поручения обработки ПДн с архивной организацией.
Ситуация 3. Компания не уведомляла РКН о начале обработки. Небольшая организация никогда не подавала уведомление по ст. 22 ФЗ-152, считая себя освобождённой от этой обязанности. При ликвидации выясняется, что исключения (ч. 2 ст. 22) не применимы — компания обрабатывала данные клиентов для маркетинговых целей. Стратегия: на стадии ликвидации подать уведомление о прекращении обработки — это не устраняет ответственность за предшествующее нарушение, но снижает риск дополнительных претензий за продолжение обработки после принятия решения о ликвидации.
Что подготовить юристу при ликвидации оператора ПДн
- Реестр ИСПДн с перечнем категорий ПДн, систем, обработчиков и правовых оснований обработки
- Уведомления обработчикам о расторжении договоров поручения и требования об уничтожении данных
- Акты уничтожения ПДн на цифровых и бумажных носителях с подписями ликвидационной комиссии
- Уведомление о прекращении обработки в РКН по форме Приказа № 180 (срок — 10 рабочих дней)
- Договор с архивной организацией и акт передачи ПДн с разграничением по срокам хранения
Как это применяется на практике
Кейс 1. Компания-оператор (Сибирский ФО, начало 2026) в ходе добровольной ликвидации обратилась к юристам для закрытия статуса оператора ПДн. Реестр ИСПДн включал 4 системы, 3 обработчика (CRM в облаке, бухгалтерский аутсорсер, HR-платформа). Уведомления обработчикам направлены в день принятия решения о ликвидации; акты уничтожения получены в течение 14 дней; уведомление в РКН подано на 8-й рабочий день. РКН направил подтверждение об исключении из реестра операторов. Ликвидация завершена без штрафов и предписаний.
Кейс 2. В деле о ликвидации торговой компании (Центральный ФО, осень 2025) ликвидатор не уведомил РКН о прекращении обработки. После исключения из ЕГРЮЛ субъект направил жалобу на продолжение хранения его данных в CRM-системе, доступной через сохранившийся поддомен. Арбитражный суд региона констатировал, что ответственность за нарушение ст. 22 ФЗ-152 несут лица, контролировавшие компанию до ликвидации. Дело направлено на рассмотрение по существу в рамках субсидиарных требований. Стратегия в аналогичных ситуациях: закрывать цифровую инфраструктуру и подавать уведомление в РКН до момента исключения из ЕГРЮЛ. ⚠️ Конкретный номер дела и точная дата — менеджер уточняет при публикации.
Услуги DATUM по теме
- Комплект ОРД под ключ — уведомление о прекращении обработки, акты уничтожения, договоры с обработчиками
- Аудит соответствия 152-ФЗ — проверка полноты ОРД перед ликвидацией и выявление рисков
- DPO-аутсорсинг — ведение функции ответственного по ст. 22.1 на период ликвидационных процедур
Частые вопросы
1. Какие документы должны быть у оператора ПДн при ликвидации?
При ликвидации оператор обязан располагать: реестром ИСПДн с описанием категорий и оснований обработки, актами уничтожения ПДн на всех носителях, подтверждениями от обработчиков об уничтожении переданных данных, уведомлением о прекращении обработки в РКН по форме Приказа РКН № 180 и документами, подтверждающими его подачу. Для ПДн с длительными сроками хранения — документы о передаче в архив с указанием правового основания.
2. Как составить политику обработки ПДн при ликвидации?
На стадии ликвидации переработка политики не требуется: она должна оставаться опубликованной до фактического прекращения сайта или иного общедоступного ресурса. По ст. 18.1 ч. 2 ФЗ-152 политика должна содержать цели, принципы, категории субъектов и данных, меры защиты. После прекращения деятельности сайт закрывается, политика снимается — этого достаточно. Если ресурс передаётся третьим лицам, политика заменяется документом нового оператора.
3. Кого назначить ответственным по ст. 22.1 на период ликвидации?
На период ликвидационных процедур функция ответственного за организацию обработки ПДн (ст. 22.1 ФЗ-152) возлагается на одного из членов ликвидационной комиссии или на привлечённого специалиста по договору аутсорсинга. Это лицо подписывает акты уничтожения, направляет уведомления обработчикам и подаёт уведомление в РКН. Отсутствие назначенного ответственного — нарушение ст. 22.1, фиксируемое при проверке РКН.
4. Можно ли использовать шаблон политики из интернета?
Шаблон из открытых источников допустим как исходная точка, но не как готовый документ: он не учитывает фактический перечень систем, категорий данных и обработчиков конкретной компании. По ст. 18.1 ФЗ-152 политика должна соответствовать реальной деятельности оператора. При проверке РКН несоответствие политики фактической обработке — самостоятельное основание для протокола по ч. 3 ст. 13.11 (штраф до 60 000 ₽).
5. Какие согласия нужны после 01.09.2025?
С 01.09.2025 по ФЗ-156 от 24.06.2025 согласие на обработку ПДн оформляется отдельным документом, не включённым в текст договора, оферты или иного документа. При ликвидации компании, действовавшей после этой даты: если данные клиентов обрабатывались на основании согласий, включённых в договоры, формально это нарушение ст. 9 ФЗ-152. Однако уничтожение данных при ликвидации прекращает обработку и снимает длящийся характер нарушения. Переоформление согласий на стадии ликвидации нецелесообразно — важнее корректно провести уничтожение и уведомление РКН.
6. Что делать, если компания обрабатывала специальные категории ПДн?
Специальные категории ПДн (ст. 10 ФЗ-152) — данные о здоровье, судимостях, политических или религиозных взглядах — требуют повышенного внимания при уничтожении. Акт уничтожения должен содержать явное указание на уничтожение именно этих категорий. Если специальные ПДн хранились в МИС или иной специализированной системе — к уничтожению данных привлекается лицо, ответственное за ИБ. При передаче в архив специальные ПДн, как правило, не передаются — они уничтожаются в полном объёме.
Итог
Прекращение обработки при ликвидации компании — самостоятельная процедура, которая требует шести последовательных действий: инвентаризации ИСПДн, расторжения договоров с обработчиками, уничтожения данных, передачи необходимого в архив, направления уведомления в РКН и закрытия цифровой инфраструктуры. Каждое из этих действий имеет законодательную привязку и документируется. Нарушение любого из них создаёт основание для протокола по ст. 13.11 КоАП — до завершения ликвидации.
Практика DATUM включает сопровождение прекращения статуса оператора ПДн при ликвидации: составление реестра ИСПДн, подготовку актов уничтожения, уведомление РКН по форме Приказа № 180 и формирование ликвидационного ОРД.
12 декабря 2026 года