В какой срок оператор обязан прекратить обработку после отзыва?

По ст. 21 152-ФЗ — не позднее 30 дней с даты поступления отзыва. За это время оператор обязан прекратить обработку и уничтожить персональные данные (или обеспечить их уничтожение, если обработку ведёт третье лицо по поручению оператора), если для их хранения нет другого законного основания.

Можно ли продолжать обработку после отзыва согласия?

Да, если есть другое законное основание из ст. 6 152-ФЗ — например, исполнение договора, обязанность по бухгалтерскому или налоговому учёту, требование другого закона. Отзыв согласия закрывает только ту обработку, которая держалась именно на этом согласии, а не любую обработку данных субъекта.

Что грозит за игнорирование отзыва согласия?

Если оператор продолжает обработку после истечения 30 дней без другого законного основания, это квалифицируется как обработка без надлежащего согласия — ч. 2 ст. 13.11 КоАП, штраф для юрлиц до 700 000 ₽, при повторном нарушении — до 1 500 000 ₽.

Нужно ли субъекту объяснять причину отзыва согласия?

Нет. Закон не требует обосновывать отзыв — это безусловное право субъекта персональных данных, и оператор не вправе запрашивать причину как условие для его исполнения.

Как оператору подтвердить, что отзыв обработан?

Направить субъекту ответ о факте прекращения обработки и (если применимо) об уничтожении данных, зафиксировать дату получения заявления и дату исполнения во внутреннем журнале обращений — это основной документ, который предъявляют Роскомнадзору при проверке.

Отзыв согласия на обработку персональных данных: образец заявления и сроки оператора

Q: Как отозвать согласие на обработку персональных данных?

Направьте оператору письменное заявление об отзыве — на email, указанный в самом согласии, заказным письмом по юридическому адресу или через личный кабинет, если он предусмотрен. В заявлении укажите ФИО, дату выдачи согласия и требование прекратить обработку. Устного отзыва по телефону недостаточно — нужна фиксация с датой и временем.

Отзыв согласия на обработку персональных данных — это право, которое есть у любого человека в любой момент, без объяснения причин. Достаточно направить оператору заявление — и у компании есть ровно 30 дней, чтобы прекратить обработку и удалить данные, если для их хранения нет другого законного основания. На практике с этим путаются обе стороны: люди не знают, как правильно оформить отзыв, а бизнес — что именно обязан сделать и когда вправе отказать.

Разберём процедуру с двух сторон: как субъекту составить заявление об отзыве и как оператору выстроить регламент обработки таких обращений, не нарушив закон. Отзыв согласия — лишь одна из тем в общем разделе cookie и согласия, где мы разбираем все форматы согласий на обработку персональных данных.

Что говорит закон об отзыве согласия

Право на отзыв закреплено в ч. 2 ст. 9 152-ФЗ: субъект персональных данных может отозвать согласие в любое время. Это безусловное право — оператор не вправе требовать обоснования, устанавливать «период охлаждения» или отказывать по формальным причинам вроде «согласие давалось на определённый срок».

Дальше в дело вступает ст. 21 152-ФЗ, которая описывает уже обязанности оператора: после получения отзыва он должен прекратить обработку и, если хранение данных больше не нужно для законных целей, уничтожить их — в срок, не превышающий 30 дней с даты поступления отзыва.

Важный нюанс: отзыв согласия — это не отзыв самого факта, что у оператора когда-то были персональные данные человека. Это прекращение конкретно той обработки, которая опиралась на конкретное согласие. Если у компании есть другое законное основание продолжать обработку (например, действующий договор), отзыв согласия не обязывает удалять данные немедленно — подробнее об этом ниже.

Как отозвать согласие на обработку персональных данных: образец заявления

Закон не устанавливает жёсткую форму заявления об отзыве, но чтобы оператор не мог сослаться на «непонятное обращение», в тексте стоит указать всё необходимое.

ЗАЯВЛЕНИЕ об отзыве согласия на обработку персональных данных

Я, [ФИО полностью], зарегистрированный по адресу [адрес], ранее дал(а) согласие [наименование оператора, ОГРН/ИНН, адрес] на обработку своих персональных данных от «_» __________ 20 г.

В соответствии с ч. 2 ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» отзываю указанное согласие.

Прошу прекратить обработку моих персональных данных и уничтожить их в срок, установленный ст. 21 152-ФЗ, за исключением случаев, когда обработка предусмотрена иным законным основанием.

Прошу направить подтверждение исполнения настоящего заявления на [email/почтовый адрес для ответа].

«_» __________ 20 г. ____________ / [подпись, расшифровка] /

Заявление направляют туда же, куда указано в самом согласии как канал отзыва: обычно это email оператора или его почтовый адрес. Если такой канал не указан или недоступен — можно направить заказным письмом по юридическому адресу компании, приложив копию согласия (если она сохранилась) и данные для связи.

Устный отзыв по телефону или в разговоре с менеджером юридически слабый — нет фиксации даты, а значит, невозможно доказать, с какого момента начал течь 30-дневный срок. Отзыв всегда стоит оформлять письменно и сохранять подтверждение отправки: скриншот письма, трек-номер заказного письма или квитанцию из личного кабинета, если заявление подавалось через форму на сайте.

Если оператор не указал канал для отзыва вовсе — ни в тексте согласия, ни на сайте, — это не освобождает субъекта от права на отзыв. В таком случае заявление можно направить на любой публичный email компании (обычно указан в политике обработки персональных данных или в разделе контактов) либо заказным письмом по юридическому адресу из ЕГРЮЛ. Дата отправки в этом случае фиксируется по штампу почты или по времени отправки письма.

Что обязан сделать оператор после получения отзыва

Получив заявление, оператор проходит три обязательных шага.

Зафиксировать дату поступления. Именно с неё считаются 30 дней — не с даты составления заявления, а с даты, когда оператор его реально получил.
Прекратить обработку по этому основанию. Все процессы, которые опирались именно на отозванное согласие — рассылки, использование данных в рекламных кампаниях, передача третьим лицам по этой цели — должны остановиться.
Уничтожить данные или обеспечить их уничтожение, если для дальнейшего хранения нет другого законного основания. Если обработку по поручению оператора вело третье лицо (подрядчик, CRM-провайдер, сервис рассылок), оператор обязан обеспечить уничтожение и там — этого нельзя переложить на подрядчика молча.

Если у компании есть несколько согласий с разными целями (например, отдельно на обработку заказа и отдельно на рекламную рассылку), отзыв одного согласия не затрагивает остальные — их нужно обрабатывать по отдельности. Это прямое следствие правила о раздельных согласиях на разные цели, о котором мы писали в статье про образец согласия на обработку персональных данных.

Когда оператор вправе не удалять данные сразу

Отзыв согласия не всегда означает мгновенное и полное удаление всех данных о человеке. Ст. 6 152-ФЗ перечисляет основания обработки, не требующие согласия, — и если хотя бы одно из них применимо, оператор вправе продолжать хранить и обрабатывать данные в этой части:

исполнение договора, стороной которого является субъект (например, доставка уже оформленного заказа);
обязанности по бухгалтерскому и налоговому учёту — документы о сделках хранят установленный законом срок независимо от согласия;
иные требования федеральных законов — например, архивное хранение по отраслевому регулированию;
обработка обезличенных или статистических данных, если человека по ним больше нельзя идентифицировать.

Разница простая: отзыв согласия убирает основание «согласие», но не отменяет другие законные основания, если они есть. Оператору стоит явно объяснить это в ответе субъекту — какая часть обработки прекращена, а какая продолжается и почему.

На практике самый частый спорный случай — интернет-магазины и сервисы с подпиской. Человек отзывает согласие на обработку данных, но при этом у него есть незавершённый заказ или активный договор оказания услуг. В этой ситуации оператор вправе продолжать обработку данных, необходимых именно для исполнения договора (адрес доставки, контакты для связи), но обязан прекратить всё, что выходит за рамки договора — например, включение в базу для будущих рекламных рассылок или передачу данных партнёрам для маркетинга.

Регламент для бизнеса: как обрабатывать обращения об отзыве

Чтобы не превращать каждое обращение в разбирательство, имеет смысл заранее выстроить простой процесс:

Единая точка приёма. Канал для отзыва (email, форма в личном кабинете) должен быть указан прямо в тексте согласия — иначе субъекту физически некуда его направить, и вина за просрочку ляжет на оператора.
Журнал обращений. Фиксируйте дату получения каждого заявления и дату его исполнения — это первое, что спросит Роскомнадзор при проверке.
Проверка оснований. Прежде чем удалять всё подряд, проверьте, нет ли у компании другого законного основания для части обработки (действующий договор, налоговые документы).
Уведомление подрядчиков. Если данные передавались третьим лицам по поручению оператора (рассылки, CRM, аналитика), разошлите им команду на уничтожение и получите подтверждение.
Ответ субъекту в срок. Не дожидайтесь 30-го дня «на всякий случай» — чем раньше подтверждён факт исполнения, тем меньше риск жалобы в Роскомнадзор.

Такой регламент стоит закрепить письменно — как часть внутренней политики обработки персональных данных, наравне с другими обязательными документами. Полный список того, что должно быть оформлено у оператора, — в статье «Документы по 152-ФЗ: перечень».

Что грозит за игнорирование отзыва

Если оператор проигнорировал отзыв и продолжил обработку после истечения 30 дней без другого законного основания, это квалифицируется как обработка персональных данных без надлежащего согласия:

Нарушение	Штраф для юрлиц
Обработка ПДн без согласия / после отзыва без основания (ч. 2 ст. 13.11 КоАП)	до 700 000 ₽
Повторное нарушение	до 1 500 000 ₽

Это отдельный состав от штрафов за утечки — санкция накладывается именно за факт незаконной обработки, а не за то, что данные кому-то стали известны. Доказать нарушение просто: достаточно самого заявления об отзыве с датой и подтверждения, что обработка продолжилась после истечения срока.

Частые ошибки

Нет канала для отзыва в тексте согласия — субъекту негде подать заявление правильно, а оператор при этом всё равно рискует пропустить фактическое обращение.
Отзыв принимают устно и не фиксируют дату — потом невозможно доказать, соблюдён ли 30-дневный срок.
Удаляют данные полностью, забыв про другие основания — и теряют документы, которые обязаны хранить по налоговому законодательству.
Не уведомляют подрядчиков, которым передавали данные — обработка формально продолжается на стороне третьего лица.
Не отвечают субъекту о факте исполнения — это прямой повод для жалобы в Роскомнадзор, даже если данные реально удалены.

Большинство этих проблем не видны, пока не наступит проверка или жалоба. Быстрее всего проверить, готов ли ваш сайт к таким обращениям — от текста согласия до порядка их обработки — можно автоматически.