Отзыв согласия на обработку персональных данных

Каждый день тысячи россиян подписывают согласие на обработку своих персональных данных — при трудоустройстве, оформлении кредита, регистрации в интернет-магазине. Но мало кто знает, что это согласие можно отозвать в любой момент. Для работодателей и предпринимателей это означает конкретные обязательства: получить заявление, зафиксировать его, прекратить обработку в установленные сроки — и всё это документально подтвердить при возможной проверке.

Проблема в том, что большинство малых предприятий не имеют чёткого регламента работы с такими заявлениями. Одни игнорируют их, надеясь на авось. Другие пытаются составить ответ «на ходу», не понимая, какие действия обязательны по закону, а какие — лишь желательны. В результате компания рискует получить штраф от Роскомнадзора или жалобу в суд — и не иметь никаких доказательств того, что отреагировала правомерно.

В этой статье мы разберём, что такое отзыв согласия на обработку персональных данных, как правильно оформить заявление, какие реквизиты обязательны, что происходит после его получения и как не допустить типичных ошибок, за которые проверяющие назначают санкции.

---

Правовая основа: что говорит закон об отзыве согласия

Право отозвать согласие на обработку персональных данных закреплено в Федеральном законе № 152-ФЗ «О персональных данных» от 27 июля 2006 года. Это основополагающий нормативный акт в данной сфере, и именно он устанавливает права субъекта данных и обязанности оператора.

📎 Ч. 2 ст. 9 Федерального закона № 152-ФЗ: «Субъект персональных данных вправе отозвать своё согласие на обработку персональных данных. В случае отзыва субъектом персональных данных согласия на их обработку оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона.»

Это означает следующее: как только человек подал заявление об отзыве, оператор (то есть работодатель или любая другая организация, обрабатывающая данные) обязан прекратить обработку тех сведений, на которые распространялось согласие. Исключение — ситуации, когда для продолжения обработки есть иное законное основание: исполнение договора, требование закона, защита жизни или здоровья и т. д.

В сфере трудовых отношений дополнительно применяются нормы Трудового кодекса РФ: статья 86 ТК РФ устанавливает общие принципы обработки персональных данных работника, статья 88 — условия их передачи третьим лицам. Работник вправе в любой момент потребовать уточнения, блокировки или уничтожения своих данных, если они обрабатываются незаконно или являются неполными.

⚠️ Важно: Отзыв согласия не означает автоматического удаления всех данных о человеке. Если обработка ведётся на ином законном основании (например, для исполнения трудового договора или по требованию налогового законодательства), оператор вправе её продолжать даже после получения заявления.

---

Когда работник или клиент вправе подать заявление об отзыве

Право на отзыв согласия возникает у субъекта данных в любой момент — без объяснения причин и без каких-либо ограничений по сроку. Это безусловное право, которое нельзя ограничить договором или внутренним регламентом организации.

На практике заявление об отзыве чаще всего подают в следующих ситуациях:

• При увольнении — бывший работник хочет, чтобы его данные не использовались в маркетинговых или иных целях после прекращения трудовых отношений
• При расторжении договора с клиентом — физическое лицо отказывается от услуг и требует прекратить рассылки, хранение профиля, передачу данных партнёрам
• При обнаружении нарушений — человек узнал, что его данные передаются третьим лицам без его ведома
• При смене позиции — субъект данных просто изменил своё решение, что является достаточным основанием
• В ходе судебного или административного спора — для ограничения доступа оппонента к определённым сведениям

📋 Пример: Менеджер Иван уволился из компании и через месяц обнаружил, что получает на личную почту корпоративные рассылки. Он направил бывшему работодателю заявление об отзыве согласия на обработку персональных данных в части email-маркетинга. Компания была обязана исключить его адрес из рассылок в течение 30 дней.

Важно понимать: отзыв согласия распространяется только на те виды обработки, которые осуществлялись именно на основании этого согласия. Если данные обрабатываются по нескольким основаниям одновременно, отзыв не прекращает обработку автоматически по всем из них.

---

Обязательные реквизиты заявления об отзыве согласия

Закон № 152-ФЗ не устанавливает строгой унифицированной формы для такого заявления. Однако для того чтобы документ имел юридическую силу и был однозначно воспринят оператором, он должен содержать ряд обязательных элементов.

Обязательные реквизиты заявления:

1. Наименование адресата — полное официальное название организации-оператора или ФИО индивидуального предпринимателя
2. Сведения о заявителе — фамилия, имя, отчество субъекта данных, паспортные данные или иной идентифицирующий документ, контактные данные
3. Указание на документ-основание — реквизиты ранее подписанного согласия (дата, номер, если присваивался) либо описание обстоятельств, при которых согласие было дано
4. Конкретный объём отзыва — какие именно данные и какие виды обработки субъект просит прекратить (сбор, хранение, передача третьим лицам, использование в рекламных целях и т. д.)
5. Требование об уничтожении или блокировке данных — если субъект этого требует отдельно
6. Дата подачи заявления — принципиально важный реквизит, поскольку с момента получения заявления оператором начинает течь срок исполнения
7. Подпись заявителя — личная (при подаче в бумажном виде) или квалифицированная электронная подпись (при подаче в электронном виде)

⚠️ Важно: Заявление без идентификации заявителя (например, анонимное обращение) оператор вправе оставить без рассмотрения. Однако если личность субъекта можно установить иными способами (например, по адресу электронной почты, зафиксированному в базе), рекомендуется всё же обработать такое обращение во избежание жалобы в Роскомнадзор.

Необязательные, но желательные элементы:

• Способ подтверждения исполнения (запрос письменного уведомления от оператора)
• Указание на норму закона (ч. 2 ст. 9 Федерального закона № 152-ФЗ)
• Срок, в течение которого заявитель ожидает ответа

---

Порядок действий оператора после получения заявления

Получение заявления об отзыве согласия запускает строго определённую последовательность действий со стороны оператора. Нарушение этого порядка — прямой путь к административной ответственности.

Шаг 1. Зафиксировать дату получения. Заявление должно быть зарегистрировано в журнале входящей корреспонденции с присвоением даты и номера. Именно от этой даты отсчитывается срок исполнения — 30 календарных дней согласно ч. 5 ст. 21 Федерального закона № 152-ФЗ.

Шаг 2. Проверить основания для продолжения обработки. Оператор обязан установить, есть ли иное законное основание для продолжения обработки данных, указанных в заявлении. Это могут быть: исполнение договора, обязанность по закону, защита жизненно важных интересов и т. д.

Шаг 3. Прекратить обработку (или её часть). Если иных оснований нет — обработку необходимо прекратить полностью. Если основания имеются — прекратить только ту часть обработки, которая велась исключительно на основании согласия.

Шаг 4. Уничтожить или обезличить данные. По общему правилу, после прекращения обработки данные подлежат уничтожению или обезличиванию в тот же 30-дневный срок. Исключение — случаи, когда законодательство предписывает хранить определённые сведения (например, бухгалтерские документы, кадровые документы с установленными сроками хранения).

Шаг 5. Уведомить субъекта данных. Оператор обязан сообщить заявителю о принятых мерах. Уведомление направляется в письменной или электронной форме.

📎 Ч. 5 ст. 21 Федерального закона № 152-ФЗ: «Оператор обязан прекратить обработку персональных данных или обеспечить её прекращение (в случае если обработка осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки, уничтожить персональные данные или обеспечить их уничтожение в срок, не превышающий тридцати дней с даты поступления указанного отзыва.»

---

Типичные ошибки работодателей при работе с отзывами согласий

Практика проверок Роскомнадзора показывает, что большинство нарушений в этой сфере носят системный характер и связаны не со злым умыслом, а с элементарной неорганизованностью процессов.

Ошибка 1. Отсутствие регистрации входящего заявления. Компания получает заявление по электронной почте, сотрудник читает его и... ничего не делает. Нет регистрации — нет доказательства того, что документ вообще поступил и когда именно. При проверке это трактуется как нарушение.

Ошибка 2. Нарушение 30-дневного срока. Самая распространённая ошибка. Компании либо не знают о сроке, либо затягивают исполнение в надежде, что заявитель забудет. Роскомнадзор при проверке обращает на это внимание в первую очередь.

Ошибка 3. Полное уничтожение данных при наличии законных оснований для их хранения. Противоположная ошибка — получив заявление, компания в панике удаляет все данные о работнике, включая те, которые обязана хранить по закону (например, сведения для пенсионного учёта или начисления НДФЛ).

Ошибка 4. Не уведомить субъекта данных об исполнении. Закон обязывает оператора сообщить о принятых мерах. Молчание в ответ на заявление — нарушение, даже если фактически всё было сделано правильно.

Ошибка 5. Продолжение обработки после отзыва без правового основания. Самое серьёзное нарушение. Компания продолжает рассылки, передаёт данные партнёрам или использует сведения для иных целей, хотя единственным основанием было то самое отозванное согласие.

Ошибка 6. Отсутствие формы заявления для субъекта данных. Хорошая практика — разработать типовую форму заявления об отзыве согласия и разместить её на сайте или выдавать по запросу. Многие компании этого не делают, что осложняет взаимодействие с субъектами данных.

⚠️ Важно: За нарушение требований к обработке персональных данных предусмотрена административная ответственность по ст. 13.11 КоАП РФ. Штраф для юридических лиц составляет от 60 000 до 100 000 рублей за каждый факт нарушения. При повторном нарушении — до 500 000 рублей. Для ИП суммы ниже, но также ощутимы: от 20 000 до 40 000 рублей.

---

Что проверяют инспекторы Роскомнадзора

Плановые и внеплановые проверки Роскомнадзора в части персональных данных становятся всё более систематическими. Знать, что именно ищут инспекторы, — значит понимать, к чему готовиться.

На что обращают внимание при проверке:

• Наличие политики в отношении персональных данных — документ должен быть актуальным, размещённым на сайте (если он есть) и соответствовать реальным процессам компании
• Наличие форм согласий — инспекторы изучают, соответствуют ли подписанные согласия требованиям ст. 9 Закона № 152-ФЗ (добровольность, информированность, конкретность)
• Порядок обработки заявлений об отзыве — есть ли регламент, кто ответственный, как фиксируются входящие обращения
• Журнал учёта — как регистрируются заявления, какие сроки проставлены, есть ли отметки об исполнении
• Факты уничтожения данных — акты об уничтожении или обезличивании персональных данных после истечения сроков обработки
• Передача данных третьим лицам — наличие договоров поручения обработки с контрагентами (колл-центрами, облачными сервисами, маркетинговыми агентствами)
• Уведомление Роскомнадзора — зарегистрирована ли организация как оператор персональных данных в реестре

📋 Пример: При проверке небольшого интернет-магазина инспекторы обнаружили, что на сайте есть форма сбора данных, но отсутствует ссылка на политику конфиденциальности и не предусмотрена возможность отзыва согласия. Дополнительно выяснилось, что за два года не поступило ни одного заявления об отзыве — что само по себе насторожило проверяющих: либо их действительно не было, либо компания их игнорировала и не регистрировала. По итогам проверки было вынесено предписание об устранении нарушений и назначен штраф.

Для малого бизнеса и ИП особенно важно выстроить базовый документооборот в сфере персональных данных ещё до того, как придёт проверка. Платформы вроде Bejure позволяют хранить все кадровые документы в единой защищённой системе: архив доступен в любой момент, и при проверке нужный документ можно предъявить за считанные секунды — без поиска по папкам и звонков уволившемуся кадровику.

---

Образец заявления об отзыве согласия: структура и рекомендации

Ниже приведена рекомендуемая структура заявления, которую можно адаптировать под конкретную ситуацию.

---

Генеральному директору ООО «Название организации» Иванову И. И.

от Петровой Марины Сергеевны, паспорт: серия __ № ________, выдан ________________________, проживающей по адресу: ___________________________________, тел.: _____________________, e-mail: _____________________

ЗАЯВЛЕНИЕ об отзыве согласия на обработку персональных данных

Я, Петрова Марина Сергеевна, ранее предоставившая ООО «Название организации» согласие на обработку моих персональных данных (дата подписания согласия: ..____), в соответствии с частью 2 статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» настоящим отзываю ранее данное согласие на обработку следующих персональных данных:

• фамилия, имя, отчество;
• дата рождения;
• адрес электронной почты;
• номер мобильного телефона.

Прошу прекратить обработку указанных персональных данных в части: направления информационных и рекламных рассылок, передачи данных третьим лицам в маркетинговых целях.

Прошу уничтожить обрабатываемые персональные данные в течение 30 дней с момента получения настоящего заявления и направить мне письменное уведомление об исполнении по указанному адресу электронной почты.

Дата: ..____ Подпись: _______________/ Петрова М. С.

---

⚠️ Важно: Это рекомендуемая структура, а не жёстко регламентированная форма. Заявление может быть составлено в свободной форме — главное, чтобы из него однозначно следовало, кто, что и у кого отзывает.

Рекомендации по способу подачи:

• Лично в офис с отметкой о принятии на втором экземпляре — наиболее надёжный способ
• Заказным письмом с уведомлением — почтовое уведомление подтверждает дату получения
• По электронной почте — допустимо, если это предусмотрено политикой оператора; рекомендуется запросить подтверждение о прочтении
• Через форму на сайте оператора — если такая форма предусмотрена

Шаблоны из интернета зачастую не учитывают актуальных поправок к Закону № 152-ФЗ и не адаптированы под конкретный тип деятельности. Документы, разработанные для платформы Bejure, актуализируются при изменении законодательства и сопровождаются финансовой гарантией — это принципиально иной уровень защиты по сравнению с файлом в формате Word, скачанным из случайного источника.

---

Часто задаваемые вопросы

Можно ли отозвать согласие устно — по телефону или при личной встрече?

Закон не запрещает устное обращение, однако на практике оно лишено доказательной силы. Ни субъект данных, ни оператор не смогут подтвердить факт отзыва и его дату. Настоятельно рекомендуется оформлять заявление в письменном виде — бумажном или электронном — с фиксацией даты подачи.

Обязан ли работодатель уничтожить данные уволенного работника после отзыва согласия?

Не всегда. Если обработка части данных продолжается на ином законном основании (например, сведения о заработной плате хранятся в целях налогового учёта, трудовые договоры — в соответствии с требованиями об архивном хранении), работодатель вправе сохранять эти данные вне зависимости от отзыва. Уничтожению подлежат только те сведения, которые обрабатывались исключительно на основании отозванного согласия.

Что делать, если оператор проигнорировал заявление об отзыве согласия?

Субъект данных вправе обратиться с жалобой в Роскомнадзор (через портал pd.rkn.gov.ru) или непосредственно в суд с требованием прекратить незаконную обработку и возместить причинённый вред. Роскомнадзор рассматривает жалобы бесплатно и вправе провести внеплановую проверку оператора.

Каков срок хранения заявления об отзыве согласия у оператора?

Законом конкретный срок не установлен, однако рекомендуется хранить заявления не менее 3 лет — это стандартный срок исковой давности по гражданским делам. Если существует риск судебного спора, документы разумно хранить дольше.

Может ли оператор отказать в приёме заявления об отзыве согласия?

Нет. Право на отзыв согласия — безусловное, и оператор не вправе отказать в его приёме. Единственное, что оператор может сделать, — это разъяснить, что часть обработки будет продолжена на ином правовом основании. Любой отказ принять заявление является нарушением Закона № 152-ФЗ и основанием для жалобы в Роскомнадзор.

---

Заключение

Отзыв согласия на обработку персональных данных — это не экзотическая юридическая конструкция, а рабочий инструмент, которым пользуются всё больше людей. Для бизнеса это означает одно: нужен чёткий, задокументированный порядок работы с такими заявлениями.

Подведём итог ключевых требований:

• Срок реагирования — 30 календарных дней с даты получения заявления
• Обработка прекращается только в той части, которая велась на основании согласия
• Оператор обязан уведомить субъекта данных о принятых мерах
• За нарушения предусмотрены штрафы по ст. 13.11 КоАП РФ — до 500 000 рублей при повторных нарушениях
• Документы об исполнении необходимо хранить и быть готовым предъявить их при проверке

Выстроить правильный документооборот в сфере персональных данных — задача, которую не стоит откладывать до первой проверки. Чем раньше в компании появятся корректные формы согласий, регламент работы с отзывами и понятная система хранения документов, тем меньше рисков и больше уверенности при любом контакте с регулятором.