Как отозвать согласие на обработку персональных данных и что должен сделать оператор
Субъект персональных данных вправе в любой момент отозвать ранее предоставленное согласие и не обязан объяснять причины. Но для бизнеса получение такого заявления не всегда означает, что все сведения нужно немедленно удалить.
Оператор должен определить, какие операции выполнялись именно на основании отозванного согласия, есть ли другие законные основания для продолжения обработки и в каких системах, архивах и сервисах находятся связанные данные.
Именно поэтому корректный процесс отзыва это не только юридический документ. Он должен быть связан с CRM, личным кабинетом, маркетинговыми платформами, подрядчиками и фактическим удалением или прекращением использования данных.
Можно ли отозвать согласие на обработку персональных данных
Да. Такое право закреплено в части 2 статьи 9 Федерального закона № 152-ФЗ.
Универсальной обязательной формы отзыва закон не устанавливает.
Из обращения должно быть понятно, кто его направляет, какому оператору оно адресовано, какое именно согласие отзывается, к какой цели или обработке относится отзыв и как связаться с заявителем.
Если для конкретной ситуации закон требует письменного согласия, в самом согласии должен быть определен способ его отзыва, если иное не предусмотрено законом.
Поэтому первый шагом будет просмотр документа, который субъект подписывал или подтверждал первоначально.
Где искать порядок отзыва
Самый очевидный источник — текст согласия.
Там может быть указан email, почтовый адрес, личный кабинет или другой канал. Если оператор предусмотрел конкретный способ обращения, использовать его удобнее: так проще подтвердить получение и связать заявление с нужным согласием.
Контактная информация может находиться и в политике обработки персональных данных. Политика не заменяет само согласие, но часто содержит адрес для обращений субъектов, сведения об ответственном подразделении и общий порядок реализации прав.
У цифровых сервисов управление согласиями иногда вынесено в личный кабинет.
Но здесь важно отличать юридический отзыв от обычной настройки интерфейса. Отключение push-уведомлений, закрытие баннера или отказ от одного типа писем не всегда означает отзыв согласия на всю связанную обработку.
Механизм должен позволять однозначно установить, какое именно согласие прекращает действовать.
Что указать в заявлении
Оператору нужно достаточно информации, чтобы найти конкретное согласие и связанные с ним данные.
Но это не означает, что субъект должен отправлять максимальный набор идентификаторов на всякий случай.
Например, копия паспорта нужна далеко не для каждого обращения. Объем идентифицирующей информации должен быть соразмерен задаче и риску исполнения требования постороннего лица.
Базовый образец отзыва согласия
Заявление об отзыве согласия на обработку персональных данных
Кому: [наименование оператора]
[адрес оператора]
[электронная почта]
От: [ФИО]
[контактные данные]
[сведения, позволяющие определить аккаунт, договор, обращение или ранее выданное согласие]
Я, [ФИО], в соответствии с частью 2 статьи 9 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» отзываю ранее предоставленное мною согласие на обработку персональных данных.
Согласие было предоставлено [дата или примерный период] в связи с [сервис, договор, форма, мероприятие или иной процесс].
Отзыв относится к обработке персональных данных в целях [цель, если известна].
Прошу прекратить обработку персональных данных, осуществляемую на основании указанного согласия, и при отсутствии других законных оснований обеспечить уничтожение персональных данных в предусмотренный законодательством срок.
Информацию о результатах рассмотрения прошу направить по адресу: [email или почтовый адрес].
Дата
Подпись / ФИО
Если человек предоставил компании несколько разных согласий, желательно прямо указать, какое из них он отзывает.
Например, субъект может прекратить согласие на рекламные сообщения, не затрагивая обработку, необходимую для исполнения действующего договора.
Что происходит после получения отзыва
Для оператора это не должно быть механическим действием «найти контакт в CRM и удалить».
Сначала нужно установить, какие именно процессы опирались на отозванное согласие и есть ли у соответствующей обработки другое законное основание.
Если другого основания нет, оператор прекращает обработку, обеспечивает ее прекращение у привлеченного обработчика и уничтожает данные, если их сохранение больше не требуется.
По общему правилу такой срок не должен превышать 30 дней с даты получения отзыва.
Но проверять придется весь контур: информационные системы, бумажные документы, архивы, CRM, маркетинговые платформы и сервисы подрядчиков.
Если формы согласий, порядок их учета и фактическая обработка давно не сверялись, аудит соответствия 152-ФЗ помогает увидеть, где юридический документ уже расходится с реальным процессом.
Проверьте, доходит ли отзыв до всех систем
Б-152 может проверить формы согласий, порядок их учета, роли подразделений и фактическое прекращение обработки в системах и у подрядчиков.
Отзыв не всегда означает удаление всех данных
Часть 2 статьи 9 152-ФЗ позволяет продолжать отдельную обработку после отзыва согласия, если существует другое предусмотренное законом основание.
Например, организация может быть обязана хранить определенные документы в силу налогового, бухгалтерского, трудового или другого законодательства.
Другой типичный сценарий — клиент отказывается от рекламной рассылки.
Маркетинговое использование email прекращается, но сведения о заключенном договоре компания может продолжать хранить в установленных пределах на другом правовом основании.
То есть оператор продолжает обработку не потому, что игнорирует отзыв, а потому, что конкретная операция больше не зависит от согласия.
Именно поэтому в хорошо выстроенной модели каждое согласие желательно связывать с конкретной целью, а не использовать универсальную формулировку «на обработку всех данных для любых целей».
Чем отзыв согласия отличается от требования прекратить обработку
Это близкие, но разные механизмы.
Отзыв согласия прекращает действие конкретного согласия как правового основания.
Требование прекратить обработку по части 5.1 статьи 21 непосредственно направлено на прекращение обработки персональных данных. По общему правилу такое требование исполняется не более чем за 10 рабочих дней. Срок можно продлить максимум еще на пять рабочих дней при направлении субъекту мотивированного уведомления.
Требование об удалении или уничтожении связано с устранением данных при наличии предусмотренных законом условий.
Отказ от рекламной рассылки прекращает маркетинговую коммуникацию.
Требование прекратить распространение касается ранее опубликованных персональных данных.
В одном обращении человек может объединить несколько требований.
Поэтому оператору важно не просто зарегистрировать письмо под общим названием «отзыв», а определить правовую природу каждой части обращения и применимый срок исполнения.
Для рекламы действует отдельная логика
Статья 15 152-ФЗ и статья 18 Закона № 38-ФЗ «О рекламе» предусматривают предварительное согласие субъекта для продвижения товаров, работ и услуг посредством средств связи.
По требованию субъекта такую обработку необходимо прекратить немедленно.
Поэтому отказ от рекламных сообщений нельзя оставлять в общей очереди обращений, если рассылка продолжает работать.
При этом один и тот же email может использоваться одновременно в разных процессах.
Например, адрес нужен для исполнения договора и отдельно включен в маркетинговую базу. Отказ от рекламы прекращает вторую цель, но не обязательно требует удаления email из всех информационных систем.
Отдельно регулируется распространение персональных данных
Для ПДн, которые субъект разрешил распространять, действует статья 10.1 152-ФЗ.
Такое согласие оформляется отдельно.
Оно может использоваться, например, для публикации на сайте ФИО, должности, места работы, фотографии, неанонимного отзыва или информации о победителе конкурса.
Субъект вправе потребовать прекратить передачу, распространение, предоставление или доступ к таким данным.
В требовании указываются ФИО при наличии, контактная информация и перечень персональных данных, распространение которых должно быть прекращено.
Согласие прекращает действовать с момента получения требования оператором.
Если ранее опубликованные сведения распространяет другое лицо с нарушением требований статьи 10.1, оно должно прекратить соответствующие действия в течение трех рабочих дней после получения требования либо в срок, определенный судом.
Где компании чаще всего ошибаются
Одна из распространенных проблем — непонятно, какое именно согласие отозвано.
У одного человека могут одновременно существовать согласия на рекламу, участие в программе лояльности, размещение фотографии и нахождение в кадровом резерве. Если из обращения невозможно определить предмет, его стоит уточнить у субъекта, а не оставлять без исполнения.
Вторая проблема — согласия существуют отдельно от информационных систем.
Компания хранит документы, но не знает, где именно используется основанная на них информация. В результате юридически отзыв зарегистрирован, а фактическая обработка продолжается.
Третья — отсутствие связи с подрядчиками.
Если часть обработки поручена внешнему сервису, оператор должен обеспечить прекращение соответствующих операций и у него. Такой механизм лучше заранее закреплять в договорном контуре.
Четвертая — интерфейс делает отзыв неоправданно сложным. Пользователя заставляют искать скрытую настройку, проходить дополнительные этапы или многократно подтверждать действие. Такие интерфейсные решения иногда называют dark patterns. Термин напрямую не используется в 152-ФЗ, но интерфейс не должен лишать человека реальной возможности реализовать свое право.
И еще одна распространенная ошибка — считать удаление аккаунта и отзыв согласия одной операцией.
Удаление учетной записи может не затронуть договоры, архивы, резервные копии или системы подрядчиков. А отзыв одного согласия, наоборот, не всегда требует закрытия аккаунта целиком.
Что должен сделать оператор после получения отзыва
Здесь удобнее сохранить последовательность действий.
- Зарегистрировать обращение и дату получения.
- Идентифицировать заявителя без избыточного сбора ПДн.
- Установить конкретное согласие и связанные с ним цели.
- Определить операции, которые основываются именно на нем.
- Проверить наличие других законных оснований.
- Прекратить обработку там, где таких оснований нет.
- Передать необходимую информацию привлеченным обработчикам.
- Обеспечить уничтожение данных в предусмотренных законом случаях.
- Зафиксировать выполнение требования.
- При необходимости сообщить субъекту результат.
Если внутри компании этот процесс приходится каждый раз восстанавливать вручную, имеет смысл отдельно актуализировать документы и процедуры по 152-ФЗ.
Реестр согласий особенно важен, когда целей становится много
Проблема быстро масштабируется, если один человек участвует сразу в нескольких процессах компании.
Email может одновременно находиться в CRM, системе рассылок, договорной базе и личном кабинете. Для каждой операции могут использоваться разные основания.
В такой ситуации простого списка «согласие получено / не получено» уже недостаточно.
Нужно понимать связь:
субъект → цель → основание → согласие → система → подрядчик → статус отзыва.
Privacy Box помогает систематизировать сведения о privacy-процессах, целях, системах и ответственных, чтобы изменения и отзывы не приходилось связывать вручную через несколько таблиц.
Настройте процесс до первого сложного обращения
Если согласия собирают несколько подразделений или они используются в разных информационных системах, лучше заранее определить владельцев процесса, маршрутизацию обращений и доказательства исполнения.
Частые вопросы
Можно ли отозвать согласие в любое время?
Да. Такое право закреплено частью 2 статьи 9 152-ФЗ. Объяснять причину не требуется.
Обязательно ли подписывать отзыв электронной подписью?
Универсального требования использовать электронную подпись для любого отзыва нет.
Нужно учитывать предусмотренный в согласии способ, требования к конкретной форме и необходимость достоверно определить заявителя.
Можно ли отправить отзыв по электронной почте?
Да, если такой способ предусмотрен оператором либо позволяет достоверно установить отправителя и содержание обращения.
В спорной ситуации желательно иметь подтверждение отправки и получения.
Нужно ли сразу удалить все данные?
Нет.
Сначала оператор устанавливает, существуют ли другие законные основания. Если они есть, соответствующие сведения могут продолжать обрабатываться в необходимых пределах.
Какой срок уничтожения после отзыва?
По общему правилу — не более 30 дней с момента получения отзыва, если сохранение данных больше не требуется и отсутствует другое правовое основание.
Можно ли отозвать только одно согласие?
Да.
Например, субъект может отказаться от маркетинговых сообщений, не затрагивая обработку, необходимую для действующего договора.
Кнопка «Отписаться» считается отзывом согласия?
Зависит от того, какую функцию она выполняет.
Она может прекращать конкретную рассылку, но не обязательно означает отзыв согласия на всю связанную обработку.
Что делать, если компания продолжает использовать данные?
Стоит убедиться, что обращение получено, и запросить правовое основание дальнейшей обработки.
Если она продолжается неправомерно, субъект может обратиться в Роскомнадзор или суд.
Главное
Отзыв согласия прекращает конкретное правовое основание, но не обязательно всю обработку персональных данных.
Для субъекта важно ясно указать, какое согласие отзывается, и выбрать канал, позволяющий подтвердить получение заявления.
Для оператора задача сложнее: нужно найти все связанные процессы, определить другие основания, прекратить нужные операции не только у себя, но и у обработчиков, а при необходимости уничтожить данные.
Поэтому зрелый процесс отзыва согласий измеряется не качеством шаблона заявления, а тем, насколько быстро компания может провести требование через весь жизненный цикл данных — от CRM и маркетинга до архивов и подрядчиков.