Сколько хранятся согласия на обработку персональных данных?

Закон не называет фиксированный срок одной цифрой: данные держат ровно столько, сколько нужно для цели обработки, а предельный срок оператор обязан прописать в своей политике конфиденциальности. Формулировка «храним, пока не решим иначе» не годится — это прямое нарушение принципа минимизации. На практике для обычной заявки с сайта ориентируются на три года с момента последнего контакта, это общий срок исковой давности по ГК РФ, дальше данные удаляют или обезличивают.

При нескольких формах на сайте разумно унифицировать логирование: у каждой заявки должны быть время, источник (какая именно форма или виджет) и хеш текста согласия, который видел человек. Тогда чистку можно делать выборкой по дате, а не разбирать вручную тысячи строк вслепую. Раз в год достаточно для сайта такого размера, для интернет-магазина с ежедневным потоком заявок лучше делать это раз в квартал.

Разделяйте холодные заявки, по которым сделка не состоялась, и данные состоявшихся клиентов. У вторых свои сроки хранения, завязанные на бухгалтерские и налоговые документы, и они обычно дольше трёх лет. Мешать это всё в один массив неправильно: клиентские данные нельзя удалять раньше срока, а холодные контакты, наоборот, нельзя копить бесконечно.

На проверках Роскомнадзор смотрит именно на такие висящие годами базы «на всякий случай» — это классический повод для замечания. Проще настроить автоматическую очистку по расписанию, которая обезличивает имя и телефон в старых заявках, но оставляет агрегированную статистику, чем каждый год вручную решать, что удалить.