Сколько хранить согласие на обработку персональных данных?

Прямого срока в 152-ФЗ нет: закон требует хранить данные не дольше, чем нужно для целей обработки (статья 5, часть 7), а не задает цифру в годах. На практике согласие хранят все время, пока обрабатываете данные, и еще около 3 лет после — это общий срок исковой давности по статье 196 ГК РФ, на случай спора или проверки.

Само согласие — это не разовая бумажка для галочки, а доказательство, что вы вправе были обрабатывать данные конкретного человека. Пока с ним работаете (шлете рассылку, ведете в CRM, обслуживаете как клиента), согласие действует и хранить его нужно. Как только человек его отозвал или перестал быть клиентом и данные удалены, минимальный след все равно стоит оставить: дату, IP-адрес, текст самого согласия или хеш формы — на случай, если Роскомнадзор или сам пользователь спросит, на каком основании данные вообще собирали.

На сайтах с формами заявок это обычно фиксируют автоматически: при отправке лида в отдельный лог пишутся IP, время и факт согласия, отдельно от самих персональных данных клиента. Тогда даже если контакт из CRM давно удален, подтверждение того, что человек сам поставил галочку, остается.

Отдельный случай — согласие на бумаге при трудоустройстве сотрудника или в договоре с подрядчиком: там сроки другие и регулируются трудовым и архивным законодательством, а не веб-формой. Это уже не про сайт, а про кадровый документооборот.