Как отозвать согласие на обработку персональных данных
Субъект имеет право в любой момент отозвать свое согласие на обработку персональных данных, что закреплено на законодательном уровне. Однако, при получении подобного заявления многие компании, от ИП до крупных организаций, теряются: непонятно, обязаны ли они выполнять требование, в какой срок, и что произойдет, если его проигнорировать.
В этой статье разбираем, как работает отзыв согласия на обработку ПДн с точки зрения бизнеса: когда вы обязаны прекратить обработку и как выстроить внутренний процесс, чтобы не получить предписание от Роскомнадзора.
Содержание
Что такое согласие на обработку ПДн и что происходит при его отзыве?
Согласием называют официальное разрешение субъекта, то есть физического лица, на обработку его персональных данных оператором в лице компании, индивидуального предпринимателя, другого гражданина. Такое согласие является правовым основанием, по которому компания работает с ПДн клиента, соискателя, работника. Без него или другого правового основания любая работа с персональными данными незаконна.
Когда человек оставляет заявку на сайте, регистрируется в программе лояльности или подписывает договор с галочкой «согласен на обработку ПДн», он передает компании право использовать свою личную информацию. Это и есть согласие по смыслу 152-ФЗ «О персональных данных».
Исходя из норм закона, к ПДн относится любая информация, которая прямо или косвенно позволяет идентифицировать человека, например: имя и телефон, адрес электронной почты, IP-адрес, история покупок или сведения о здоровье. Тот, кто их собирает и использует, становится оператором ПДн и берет на себя полный объем обязанностей, установленных 152-ФЗ.
Но согласие — не единственное основание для обработки персональных данных. Статья 6 закона №152-ФЗ допускает обработку и без него: для исполнения договора, по требованию закона, в целях защиты жизненно важных интересов субъекта и в ряде других случаев. Но на практике большинство коммерческих компаний работает именно на основании согласия, особенно когда речь идет о маркетинге, рассылках и передаче ПДн партнерам.
Важный момент: согласие должно быть конкретным, информированным и однозначным. Размытая формулировка «согласен на любую обработку в любых целях» юридически уязвима. Роскомнадзор при проверке оценивает не только факт наличия согласия, но и его содержание. Если вы сомневаетесь в правильности оформления согласий, наши юристы проведут правовой аудит вашего сайта и проверят все формы сбора ПДн на соответствие 152-ФЗ.
Когда можно отозвать согласие на обработку ПДн?
Субъект персональных данных вправе отозвать свое согласие в любой момент и без объяснения причин. Но это не всегда означает, что компания обязана немедленно прекратить обработку ПДн.
Право на отзыв согласия закреплено в статье 9 закона №152-ФЗ и является императивной нормой, то есть стороны не могут договориться об ином. Никакой пункт в договоре или пользовательском соглашении не может лишить человека этого права.
Однако важно разделять право на отзыв согласия и обязанность оператора прекратить обработку как в самом согласии, так и в политике конфиденциальности оператора.
Когда клиент отзывает согласие, оператор должен проверить, есть ли другое законное основание продолжать работу с этими ПДн. Если есть, то обработка продолжается, но уже не в связи с выданным ранее согласием, а на ином основании, предусмотренном законом.
| Ситуация | Обязан ли оператор прекратить обработку? | Основание |
| Клиент отписался от рекламной рассылки | Да, немедленно | Нет иного законного основания для маркетинга |
| Клиент требует удалить ПДн, но у него есть активный кредит | Нет | Обработка необходима для исполнения договора (п. 5 ч. 1 ст. 6 152-ФЗ) |
| Бывший сотрудник требует удалить его ПДн | Частично | Часть ПДн хранится по требованию налогового, архивного и трудового законодательства |
| Пациент отозвал согласие в медклинике | Частично | Медицинская документация хранится по срокам, установленным Минздравом |
| Покупатель интернет-магазина потребовал удалить аккаунт | Да, если нет открытых заказов и долгов | При наличии споров или незакрытых обязательств обработка продолжается |
| Субъект участвует в судебном споре с компанией | Нет | Обработка необходима для участия в судопроизводстве (ст. 6 ч. 1 п. 3 152-ФЗ) |
| ПДн обрабатываются по прямому требованию федерального закона | Нет | Законная обязанность оператора вне зависимости от согласия |
Как бизнесу принять отзыв и что сделать дальше
После получения заявления об отзыве согласия необходимо соблюдать определенный алгоритм действий. Важно правильно зафиксировать факт получения, проверить основания для дальнейшей обработки и уложиться в установленные законом сроки.
Шаг 1. Принять и зафиксировать заявление
Субъект вправе подать заявление любым удобным способом: через форму на сайте, лично или письмом. Закон не устанавливает обязательную форму для субъекта. Для компании это означает, что нужно выстроить внутренний процесс приема таких заявлений, то есть зафиксировать дату получения, присвоить входящий номер и направить заявителю подтверждение. Именно с даты получения начинается отсчет законного срока.
Пропишите во внутреннем регламенте, положении о персональных данных и политике конфиденциальности, какие каналы связи являются официальными для приема отзывов, например, укажите конкретный адрес электронной почты. Это сделает порядок отзыва прозрачным и понятным для субъекта, а также позволит вам не пропускать обращения субъектов. Следует учитывать, что устный звонок на горячую линию без фиксации в системе является юридически спорной ситуацией для обеих сторон.
Шаг 2. Проверить основания для дальнейшей обработки
После получения заявления ответственное лицо проверяет, на каком основании компания обрабатывает ПДн этого субъекта и что можно продолжать делать без согласия. Персональные данные делятся на три группы: подлежат уничтожению, продолжают обрабатываться на ином законном основании, блокируются на период внутреннего анализа оснований для дальнейшей обработки. Если речь идет о данных сотрудника, работодатель должен отдельно учесть обязательные сроки хранения по трудовому, налоговому и архивному законодательству.
Роскомнадзор в случае проведения проверки запросит документальное подтверждение этого анализа.
Шаг 3. Уничтожить ПДн в срок и задокументировать
Статья 21 закона №152-ФЗ устанавливает конкретные сроки: прекратить обработку и уничтожить ПДн необходимо в течение 30 дней с даты поступления отзыва. Если уничтожить данные в этот срок технически невозможно, оператор обязан незамедлительно заблокировать их, а затем уничтожить в течение 6 месяцев (ч.5–6 ст. 21 152-ФЗ). Важно: блокировка в таком случае происходит немедленно, а уничтожение — не позднее 6 месяцев.
Факт уничтожения следует подтвердить документально: актом, записью в журнале обработки ПДн или иным внутренним документом. РКН вправе запросить это подтверждение. Без него компания не сможет доказать, что выполнила требование, даже если персональные данные фактически были удалены. Например, банк обязан документировать уничтожение данных заёмщика после закрытия кредитного договора.
Шаг 4. Уведомить субъекта
Несмотря на то, что в законе не указана прямая обязанность оператора по уведомлению субъекта об уничтожении ПДн или о причинах продолжения обработки, мы рекомендуем так сделать. Это будет служить для субъекта ПДн и Роскомнадзора дополнительным подтверждением прекращения обработки (ст. 21 152-ФЗ). Достаточно короткого письма с указанием, какие ПДн уничтожены, а какие продолжают обрабатываться на ином законном основании.
Ответственность за нарушение требований об отзыве согласия
За игнорирование отзыва согласия или нарушение сроков уничтожения персональных данных компании грозят административные штрафы.
Поправки (Федеральный закон №420-ФЗ), вступившие в силу 30 мая 2025 года, кратно увеличили санкции, а за повторные нарушения введена отдельная, значительно более жесткая ответственность.
| Нарушение | Штраф для юридических лиц |
| Обработка ПДн в случаях, не предусмотренных законом (ч.1 ст. 13.11 КоАП РФ) | от 150 000 до 300 000 руб. |
| Повторное нарушение — обработка ПДн в случаях, не предусмотренных законом (ч. 1.1. ст. 13.11 КоАП РФ) | от 300 000 до 500 000 руб. |
| Обработка без обязательного письменного согласия, когда оно требуется (ч.2 ст. 13.11 КоАП РФ) | от 300 000 до 700 000 руб. |
| Повторная обработка без обязательного письменного согласия (ч. 2.1. ст. 13.11 КоАП РФ) | от 1 000 000 до 1 500 000 руб. |
| Невыполнение требования об уничтожении ПДн в установленный срок (ч. 5 ст. 13.11 КоАП РФ) | от 50 000 до 90 000 руб. |
| Повторное нарушение в виде невыполнения требования об уничтожении ПДн в установленный срок (ч. 5.1. ст. 13.11 КоАП РФ) | от 300 000 до 500 000 руб. |
Помимо наложения административной ответственности со стороны РКН, субъект ПДн вправе требовать возмещения морального вреда в судебном порядке и такие иски все чаще удовлетворяются. Статья 24 закона №152-ФЗ прямо предусматривает: моральный вред возмещается независимо от возмещения имущественного ущерба.
Роскомнадзор инициирует проверку как по жалобе субъекта, так и самостоятельно, в рамках плановых и внеплановых контрольных мероприятий. При этом именно компания обязана доказать, что обработка ПДн велась законно, а требование об отзыве было исполнено в срок.
Заключение
При получении заявления об отзыве согласия от клиента важно действовать строго в рамках порядка, установленного законом. Необходимо зафиксировать дату, проверить наличие других оснований для обработки, уничтожить ПДн в обозначенный срок и задокументировать их уничтожение. Нужна помощь в разработке регламента работы с отзывами или подготовке внутренних локальных актов? Наши специалисты возьмут на себя полный комплект документации и выстроят процесс так, чтобы каждый отзыв обрабатывался без риска предписаний со стороны РКН.
Ответы на вопросы
-
Обязана ли компания удалить все персональные данные после отзыва согласия?
Нет. Отзыв согласия не означает автоматического удаления всех ПДн. Если у оператора есть иное законное основание для обработки, например, исполнение договора или требование закона, то ПДн продолжают храниться. Уничтожаются только те, для обработки которых не осталось правового основания.
-
В какой срок оператор обязан уничтожить ПДн после отзыва?
По общему правилу уничтожить ПДн нужно в течение 30 календарных дней. Если технически сделать это в такой срок невозможно, ПДн блокируют и уничтожают не позднее чем через 6 месяцев.
-
Может ли компания проигнорировать отзыв согласия?
Нет. Это императивная норма 152-ФЗ, которую нельзя ограничить ни договором, ни пользовательским соглашением. Однако оператор вправе продолжить обработку части ПДн, если для этого есть иное законное основание.
-
Что будет, если проигнорировать заявление об отзыве?
Сначала наступает ответственность за неуничтожение данных в срок — ч. 5 ст. 13.11 КоАП: штраф для юридического лица 50 000–90 000 рублей, при повторном нарушении (ч. 5.1) — 300 000–500 000 рублей.
Если при этом обработка ПДн продолжается без законного основания, добавляются штрафы по ч. 1 (незаконная обработка без надлежащего правового основания, в том числе согласия) — 150 000–300 000 рублей и в определенных случаях по ч. 2 (обработка без обязательного письменного согласия) — 300 000–700 000 рублей. При повторных нарушениях суммы кратно выше. Все составы применяются одновременно и независимо друг от друга.
-
Нужно ли уведомлять субъекта об уничтожении его ПДн?
В законе такого требования нет, но мы рекомендуем уведомить — например, ответом на электронное письмо субъекта, в котором содержалось его заявление об отзыве согласия.
-
Как компании подтвердить, что ПДн уничтожены?
Актом об уничтожении персональных данных или записью в журнале обработки ПДн. Роскомнадзор вправе запросить этот документ при проверке, и без него компания не сможет доказать факт исполнения требования. Образец акта можно запросить у юриста или использовать методические рекомендации Роскомнадзора.
-
Распространяется ли отзыв согласия на биометрические данные?
Да, и здесь требования жестче. Биометрия обрабатывается только на основании письменного согласия (ст. 11 152-ФЗ). При его отзыве оператор обязан прекратить обработку, если нет прямого указания в федеральном законе на иное.
-
Обязана ли компания удалить все персональные данные после отзыва согласия?
Нет. Отзыв согласия не означает автоматического удаления всех ПДн. Если у оператора есть иное законное основание для обработки, например, исполнение договора или требование закона, то ПДн продолжают храниться. Уничтожаются только те, для обработки которых не осталось правового основания.
-
В какой срок оператор обязан уничтожить ПДн после отзыва?
По общему правилу уничтожить ПДн нужно в течение 30 календарных дней. Если технически сделать это в такой срок невозможно, ПДн блокируют и уничтожают не позднее чем через 6 месяцев.
-
Может ли компания проигнорировать отзыв согласия?
Нет. Это императивная норма 152-ФЗ, которую нельзя ограничить ни договором, ни пользовательским соглашением. Однако оператор вправе продолжить обработку части ПДн, если для этого есть иное законное основание.
-
Что будет, если проигнорировать заявление об отзыве?
Сначала наступает ответственность за неуничтожение данных в срок — ч. 5 ст. 13.11 КоАП: штраф для юридического лица 50 000–90 000 рублей, при повторном нарушении (ч. 5.1) — 300 000–500 000 рублей.
Если при этом обработка ПДн продолжается без законного основания, добавляются штрафы по ч. 1 (незаконная обработка без надлежащего правового основания, в том числе согласия) — 150 000–300 000 рублей и в определенных случаях по ч. 2 (обработка без обязательного письменного согласия) — 300 000–700 000 рублей. При повторных нарушениях суммы кратно выше. Все составы применяются одновременно и независимо друг от друга.
-
Нужно ли уведомлять субъекта об уничтожении его ПДн?
В законе такого требования нет, но мы рекомендуем уведомить — например, ответом на электронное письмо субъекта, в котором содержалось его заявление об отзыве согласия.
-
Как компании подтвердить, что ПДн уничтожены?
Актом об уничтожении персональных данных или записью в журнале обработки ПДн. Роскомнадзор вправе запросить этот документ при проверке, и без него компания не сможет доказать факт исполнения требования. Образец акта можно запросить у юриста или использовать методические рекомендации Роскомнадзора.
-
Распространяется ли отзыв согласия на биометрические данные?
Да, и здесь требования жестче. Биометрия обрабатывается только на основании письменного согласия (ст. 11 152-ФЗ). При его отзыве оператор обязан прекратить обработку, если нет прямого указания в федеральном законе на иное.
Руководитель юридического отдела
8 лет опыта
более 300 выигранных дел
Комментарии