По закону организация обязана уничтожить персональные данные физлиц, если цель обработки их сведений завершилась. Сделать это необходимо в течение 30 дней (ч. 4 ст. 21 Федерального закона от 27.07.2006 № 152-ФЗ). Но удалить данные недостаточно — надо зафиксировать это документально. Однако в настоящий момент порядок уничтожения не определен, поэтому организации ее разрабатывают сами. С 1 марта 2023 года ситуация изменится — оформлять акты об уничтожении персданных потребуется по правилам Роскомнадзора. Процедура будет зависеть от того, использует ли организация средства автоматизации. Если обрабатываете персданные вручную, можете подтвердить уничтожение актом. Если автоматизированно — акт нужно будет подписать электронной подписью.