Человек вправе отозвать согласие на обработку своих персональных данных (ч. 2 ст. 9 152-ФЗ). После отзыва оператор прекращает обработку, которая велась на основании этого согласия, и уничтожает данные, если их хранение больше не требуется для целей обработки. Срок — не более тридцати дней с даты поступления отзыва, с оговорками ч. 5 ст. 21 152-ФЗ: например, если иное предусмотрено договором с этим человеком.
Отзыв согласия не всегда останавливает всю работу с данными человека. Если для обработки есть другое основание из пунктов 2–11 части 1 статьи 6, части 2 статьи 10 или части 2 статьи 11 152-ФЗ, её можно продолжить без согласия. Поэтому сначала выясните, на что именно человек давал согласие и на чём держится остальная обработка.
Если данные обрабатывает подрядчик по вашему поручению, прекращение обработки и уничтожение данных у него обеспечиваете вы. Ниже — порядок действий, чем отзыв отличается от других обращений и бланк отзыва для гражданина.
Что именно отозвал человек
Согласие — одно из оснований обработки персональных данных из ч. 1 ст. 6 152-ФЗ. Кроме него закон называет, например, исполнение договора с человеком и выполнение обязанностей, которые закон возлагает на оператора. У одной компании данные одного клиента часто обрабатываются для нескольких целей и на разных основаниях: заказ — по договору, бухгалтерия — по закону, рассылка — по согласию.
Отзыв касается обработки, основанием которой было отозванное согласие. Поэтому первый шаг — найти само согласие: для какой цели оно давалось, какие данные в нём перечислены, когда и как человек его дал. Если человек пишет «отзываю все согласия», проверьте каждую цель, где основанием было согласие.
Если из письма непонятно, о каком согласии речь, уточните это у человека. Пока вы разбираетесь, срок уже идёт: закон отсчитывает его с даты поступления отзыва.
Когда обработку можно продолжить после отзыва
Закон прямо разрешает продолжить обработку без согласия, если для неё есть другое основание: «оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11» (ч. 2 ст. 9 152-ФЗ).
Продолжить можно только ту обработку, для которой такое основание действительно есть: например, исполнение договора с клиентом или обязанности работодателя по Трудовому кодексу. Как это выглядит для форм на сайте и для работников, разобрано в статьях «Согласие на обработку персональных данных на сайте: когда оно нужно форме и счётчику» и «Нужно ли согласие на обработку персональных данных при приёме на работу».
Наш совет: в ответе на отзыв сообщите человеку, какую обработку вы прекратили и какую продолжаете. Понятный ответ снижает риск повторных обращений и жалоб.
Порядок действий и сроки
Общий срок — не более тридцати дней с даты поступления отзыва (ч. 5 ст. 21 152-ФЗ). Норма делает оговорки, в том числе на случай, когда иное предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является человек, или иным соглашением между оператором и человеком. Порядок по шагам:
- Зафиксируйте дату, когда отзыв поступил к вам. От неё считается тридцатидневный срок.
- Найдите согласие, которое отозвано, и цели, для которых оно давалось.
- Для каждой цели проверьте, есть ли другое основание обработки из ч. 2 ст. 9 152-ФЗ. Где его нет, обработку нужно прекратить.
- Прекратите обработку на основании согласия: исключите человека из рассылок, из сегментов CRM, из выгрузок партнёрам — везде, где данные использовались для этой цели.
- Уничтожьте данные, хранение которых больше не требуется для целей обработки. Данные, нужные для обработки по другому основанию, уничтожать не нужно.
- Если уничтожить данные в срок нельзя, заблокируйте их и уничтожьте в срок не более шести месяцев, если иной срок не установлен федеральными законами (ч. 6 ст. 21 152-ФЗ).
- Оформите подтверждение уничтожения. При обработке без средств автоматизации — акт об уничтожении. При обработке с использованием средств автоматизации, а также при смешанной обработке — акт и выгрузка из журнала регистрации событий в информационной системе персональных данных (приказ Роскомнадзора от 28.10.2022 № 179). Акт и выгрузку храните три года с момента уничтожения.
- Ответьте человеку: что прекращено, что уничтожено и что продолжается по другому основанию.
Для согласия на распространение персональных данных действует отдельное правило. Передача (распространение, предоставление, доступ) таких данных должна быть прекращена в любое время по требованию человека (ч. 12 ст. 10.1 152-ФЗ). Само согласие на распространение перестаёт действовать с момента, когда требование поступило оператору (ч. 13 ст. 10.1 152-ФЗ), а не по истечении тридцати дней из ч. 5 ст. 21.
Наш совет: если данные остались, например, в резервных копиях, которые нельзя почистить точечно, запишите причину блокирования и дату, к которой данные будут уничтожены. Так при проверке будет видно, почему данные не уничтожены в первые тридцать дней. Подходит ли конкретный случай под ч. 6 ст. 21 152-ФЗ, оценивается по обстоятельствам.
Если данные обрабатывает подрядчик
Отзыв приходит к вам как к оператору, но данные могут лежать у подрядчика: в облачной CRM, у сервиса рассылок, у бухгалтерии на аутсорсе. Если подрядчик работает по вашему поручению, закон возлагает на вас обязанность обеспечить прекращение обработки и уничтожение данных у него (ч. 5 ст. 21 152-ФЗ). Блокирование, если уничтожить в срок нельзя, вы тоже обеспечиваете у подрядчика (ч. 6 ст. 21 152-ФЗ).
На практике это значит: передать подрядчику указание, что именно прекратить и уничтожить, и получить от него подтверждение. Закон считает срок с даты поступления отзыва (ч. 5 ст. 21 152-ФЗ). Отдельного срока на переписку с подрядчиком в нём нет, поэтому мы исходим из того, что она укладывается в те же тридцать дней. Удобнее, когда порядок таких указаний заранее прописан в договоре с подрядчиком.
Если подрядчик использует данные в своих целях, он не обработчик по вашему поручению, а самостоятельный оператор. Тогда стоит разобраться, на каком основании вы передавали ему данные и не было ли это основание тем самым согласием, которое человек отозвал.
Отзыв согласия, требование прекратить обработку и запрос сведений
Письма от людей об их данных выглядят похоже, но закон задаёт для них разные сроки и разные действия. Определяйте вид обращения по содержанию, а не по заголовку письма.
| Обращение | Что сделать и в какой срок | Норма |
|---|---|---|
| Отзыв согласия | Прекратить обработку на основании согласия и уничтожить данные, хранение которых больше не требуется, — не более тридцати дней с даты поступления отзыва, с оговорками нормы | ч. 5 ст. 21 152-ФЗ |
| Требование прекратить обработку | Прекратить обработку — не более десяти рабочих дней с даты получения требования; срок можно продлить не более чем на пять рабочих дней, направив мотивированное уведомление. Не применяется в случаях п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 152-ФЗ | ч. 5.1 ст. 21 152-ФЗ |
| Запрос сведений о своих данных | Сообщить о наличии данных и дать возможность ознакомиться с ними — при обращении либо в течение десяти рабочих дней с даты получения запроса; продление — не более чем на пять рабочих дней с мотивированным уведомлением | ч. 1 ст. 20 152-ФЗ |
Если в одном письме человек и отзывает согласие, и требует прекратить обработку, наш совет — отвечать на каждую часть по её норме и ориентироваться на более короткий срок.
Чтобы такие письма не терялись, в компании нужен понятный порядок работы с обращениями: кто их принимает, где регистрирует и кто отвечает. Какие ещё документы и меры требует закон, собрано в статье «Документы по 152-ФЗ».
Бланк отзыва согласия
Этот раздел — для тех, кто хочет сам отозвать согласие на обработку своих данных.
Закон о персональных данных не устанавливает обязательной формы отзыва согласия, поэтому специальный бланк не обязателен: можно написать оператору заявление своими словами. Если согласие давалось в письменной форме, в нём должен быть указан способ отзыва (п. 8 ч. 4 ст. 9 152-ФЗ). Если вы отзываете согласие на распространение персональных данных, укажите в требовании фамилию, имя, отчество (при наличии), контакт для связи — телефон, адрес электронной почты или почтовый адрес — и перечень данных, обработку которых нужно прекратить (ч. 12 ст. 10.1 152-ФЗ).
Направьте отзыв оператору — компании или предпринимателю, которым вы давали согласие. Адрес ищите в самом согласии или в политике обработки персональных данных оператора. Ниже — текст бланка: его можно скопировать и заполнить. Вместо пометок в квадратных скобках впишите свои сведения. Абзац о данных, разрешённых для распространения, заполняйте, если отзываете такое согласие. Подпись ставьте, если её требует способ отзыва, указанный в согласии. Тот же бланк в PDF и DOCX — по ссылкам в конце статьи.
- Оператору: [указать: наименование и адрес оператора].
- От: [указать: фамилия, имя, отчество (при наличии)]. Контакт для ответа: [указать: телефон, адрес электронной почты или почтовый адрес].
- Сведения, по которым оператор может найти мои данные (если есть): [указать: адрес электронной почты, указанный при даче согласия, номер договора или заказа].
- Отзываю согласие на обработку моих персональных данных, данное [указать: дата, если известна] для цели: [указать: цель обработки или «все согласия, данные оператору»].
- При отзыве согласия на обработку персональных данных, разрешённых для распространения, требую прекратить передачу (распространение, предоставление, доступ) следующих персональных данных: [указать: перечень персональных данных].
- Прошу прекратить обработку и уничтожить персональные данные, обработка которых осуществлялась на основании этого согласия.
- Если после отзыва согласия обработка моих персональных данных будет продолжена по иному законному основанию, прошу сообщить мне об этом и указать это основание.
- Дата: [указать: дата]. Подпись: [указать: подпись, если применимо].
Бланк содержит просьбу прекратить обработку и уничтожить данные, которые обрабатывались на основании отозванного согласия. Учтите: оператор может продолжить обработку, если у него есть другое основание из закона (ч. 2 ст. 9 152-ФЗ). Отзыв останавливает обработку по согласию, а данные, нужные, например, для исполнения вашего договора, могут остаться у оператора.
Что сделать
- Определите, кто в компании принимает обращения о персональных данных и где фиксируется дата их поступления.
- Соберите в одном месте тексты согласий, которые вы берёте, с целями и перечнем данных: без этого отзыв не с чем сверить.
- Для каждой цели, где основание — согласие, запишите, где лежат данные: CRM, рассылки, таблицы, подрядчики.
- Проверьте, есть ли в договорах с подрядчиками порядок, по которому вы даёте им указание прекратить обработку и уничтожить данные.
- Подготовьте шаблон акта об уничтожении и узнайте, как получить выгрузку из журнала событий в ваших системах.
- Разведите в порядке работы с обращениями три вида писем: отзыв согласия, требование прекратить обработку и запрос сведений, — у них разные сроки.
- Пройдите быструю проверку, чтобы увидеть, какие ещё требования 152-ФЗ относятся к вашей ситуации.
Нормы
- ч. 2 ст. 9 152-ФЗпо действующему тексту ИПС на 26.10.2026
- ч. 2 и п. 8 ч. 4 ст. 9, ч. 12 и 13 ст. 10.1 152-ФЗпо действующему тексту ИПС на 27.10.2026
- ч. 1 ст. 6 152-ФЗпо действующему тексту ИПС на 26.10.2026
- ч. 5 ст. 21 152-ФЗпо действующему тексту ИПС на 26.10.2026
- ч. 5.1 ст. 21 152-ФЗпо действующему тексту ИПС на 26.10.2026
- ч. 6 ст. 21 152-ФЗпо действующему тексту ИПС на 26.10.2026
- ч. 1 ст. 20 152-ФЗпо действующему тексту ИПС на 26.10.2026
- п. 1 Требований к подтверждению уничтожения персональных данных (приказ Роскомнадзора от 28.10.2022 № 179)действует с 01.03.2023 до 01.03.2029
- пп. 2 и 7 Требований к подтверждению уничтожения персональных данных (приказ Роскомнадзора от 28.10.2022 № 179)действует с 01.03.2023 до 01.03.2029
- п. 8 Требований к подтверждению уничтожения персональных данных (приказ Роскомнадзора от 28.10.2022 № 179)действует с 01.03.2023 до 01.03.2029