Право на отзыв согласия на обработку персональных данных: как его реализует человек и что обязан сделать оператор

Согласие на обработку персональных данных можно отозвать в любой момент — это право субъекта закреплено в части 2 статьи 9 152-ФЗ. Форму отзыва закон не устанавливает: достаточно обращения, из которого понятно, кто и от чего отказывается. После получения отзыва у оператора есть не более 30 дней (часть 5 статьи 21 152-ФЗ), чтобы прекратить обработку и уничтожить данные, — если только он не вправе продолжать её на другом основании, например для исполнения договора, и если иное не предусмотрено договором с субъектом. Если в том же письме есть отдельное требование прекратить обработку, на прекращение даётся уже 10 рабочих дней (часть 5.1 статьи 21). Для маркетинговых рассылок срок жёстче: прекратить их нужно немедленно.

Проверить бесплатно, есть ли на вашем сайте согласие в формах и куда ведёт ссылка на политику ←

Что такое отзыв согласия и где он закреплён?

Согласие — самое распространённое, но не единственное основание обработки персональных данных. Для обычных данных все основания перечислены в части 1 статьи 6 152-ФЗ, и согласие стоит в этом списке первым; для специальных категорий и биометрии свои перечни — часть 2 статьи 10 и часть 2 статьи 11. Отличие согласия от остальных оснований в том, что оно зависит от воли человека: он дал его сам и сам может забрать.

Часть 2 статьи 9 152-ФЗ формулирует это прямо: согласие на обработку персональных данных может быть отозвано субъектом. Той же нормой установлено, что после отзыва оператор вправе продолжить обработку без согласия при наличии оснований из пунктов 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 152-ФЗ. Отсюда главная мысль, которую стоит удержать: отзыв согласия — это не «удалите всё обо мне», а «я больше не разрешаю обрабатывать данные на основании моего согласия». Что произойдёт с данными дальше, зависит от того, были ли у оператора другие основания.

Само право на отзыв безусловно: часть 2 статьи 9 152-ФЗ не ставит его в зависимость от договора или текста согласия, и безотзывных согласий закон не предусматривает. Формулировка «согласие даётся бессрочно и не подлежит отзыву» противоречит норме и на оператора не работает. А вот срок, за который оператор обязан отреагировать, договором изменить можно: часть 5 статьи 21 152-ФЗ применяет свои 30 дней, «если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных». Отдельно: для согласия в письменной форме пункт 8 части 4 статьи 9 прямо требует указать способ его отзыва, а после 156-ФЗ, с 1 сентября 2025 года, согласие должно быть оформлено отдельно от иных информации и документов, которые подписывает субъект, и быть конкретным и информированным. Отдельный бумажный документ для этого не обязателен — галочка с собственным текстом согласия условию «отдельно от иных информации» отвечает; объяснить, как согласие отозвать, оператору выгодно заранее. Как теперь выглядит согласие целиком, разобрано в статье «Образец согласия на обработку персональных данных».

В какой форме можно отозвать согласие?

Закон молчит о форме отзыва, и это молчание — в пользу субъекта. Часть 1 статьи 9 152-ФЗ возлагает на оператора обязанность доказать факт получения согласия, но как должен выглядеть отказ от него, норма не устанавливает. Практика сложилась такая:

• Письмо на почтовый адрес оператора — самый формальный способ, подходит для конфликтных ситуаций: есть дата отправки и подтверждение вручения.
• Сообщение на электронную почту, указанную в политике обработки как адрес для обращений субъектов. Для большинства сайтов это основной канал.
• Форма или кнопка в личном кабинете — если оператор её предусмотрел. Для пользователя это удобнее всего, для оператора — проще всего учитывать.
• Через представителя по доверенности — например, родитель за ребёнка или юрист за клиента.

Оператор вправе убедиться, что обращается именно тот человек, чьи данные он обрабатывает, — иначе отзыв станет способом удалить чужую учётную запись. Но проверка должна быть соразмерной. Если согласие давалось галочкой при регистрации по электронной почте, то и отзыв с той же электронной почты подтверждает личность достаточно. Прямого запрета требовать скан паспорта, нотариальное заверение или личный визит в 152-ФЗ нет — реквизиты документа, удостоверяющего личность, часть 3 статьи 14 требует указывать в запросе сведений об обработке, а не в отзыве согласия. Но пункт 8 части 4 статьи 9 обязывает оператора назвать способ отзыва при получении письменного согласия, и способ, который сложнее самого согласия, эту обязанность не закрывает. Требование прийти в офис за отзывом галочки — риск спора с регулятором, а не безопасный порядок.

Чтобы отзыв не превращался в переписку на месяц, в тексте обращения полезно указать четыре вещи: кто обращается (имя и контакт, по которому оператор его знает), какое согласие отзывается (на что именно: рассылка, обработка в целом, передача партнёрам), дату и просьбу подтвердить исполнение. Субъект не обязан объяснять причину.

Что обязан сделать оператор после получения отзыва?

Здесь закон уже конкретен. Статья 21 152-ФЗ описывает последовательность действий и сроки.

Обратите внимание на отсчёт: 30 дней считаются с даты поступления отзыва, а не с момента, когда оператор его прочитал или передал ответственному. Письмо, которое три недели лежало в общей почте, эти три недели уже потратило.

И ещё на одну вещь, которую операторы упускают чаще всего. Реальное письмо почти никогда не звучит как «отзываю согласие» и только. Обычно в нём сразу есть «и прекратите обработку моих данных» — а это уже требование по части 5.1 статьи 21, и срок по нему вдвое короче: 10 рабочих дней, а не 30. Тридцать дней остаются на уничтожение. Считать по одному более комфортному сроку — типовая ошибка.

Уничтожение должно быть подтверждено документально. Приказ Роскомнадзора №179 устанавливает требования к подтверждению: при обработке без средств автоматизации — акт об уничтожении, при автоматизированной обработке — акт плюс выгрузка из журнала регистрации событий информационной системы. Что должно быть в акте и сколько его хранить, подробно разобрано в статье «Акт об уничтожении персональных данных».

Отдельного письма-ответа именно на отзыв согласия часть 5 статьи 21 152-ФЗ не требует. Но стоит различать обращения: если оператор уничтожал данные по части 3 статьи 20 (сведения неполные, неточные, незаконно полученные, не нужные для цели), он обязан уведомить субъекта о внесённых изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц; часть 3 статьи 21 требует уведомить об устранении нарушений или об уничтожении при неправомерной обработке. Да и в «чистом» случае молчание — плохая стратегия: человек, не получивший ответа, идёт с жалобой в Роскомнадзор, и тогда объяснять, что данные на самом деле были уничтожены в срок, придётся уже регулятору. Короткое подтверждение с датой исполнения закрывает вопрос.

Когда оператор вправе продолжить обработку без согласия?

Это самая частая точка конфликта, и закон здесь на стороне здравого смысла. Часть 2 статьи 9 152-ФЗ разрешает продолжить обработку после отзыва при наличии оснований из пунктов 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 152-ФЗ. Перечень закрытый — это важно для последней строки таблицы. Типовые случаи для сайта:

Важная оговорка: основание должно реально существовать и входить в перечень части 2 статьи 9, а не подбираться задним числом. Именно поэтому строка про резервные копии выглядит так, как выглядит: «данные лежат в бэкапе, а бэкап — это обязанность по статье 19» звучит убедительно, но статьи 19 в закрытом перечне нет, и аргументом перед регулятором она не станет. «Законный интерес оператора» — тоже не универсальный ключ. Он работает, когда интерес конкретен (взыскать долг, ответить на претензию) и не нарушает прав субъекта. Желание продолжать слать рекламу тому, кто от неё отказался, законным интересом не является — часть 2 статьи 15 152-ФЗ прямо требует прекратить такую обработку немедленно по требованию.

Хорошая практика — при получении отзыва письменно зафиксировать, какие данные и на каком основании оператор оставляет, а какие уничтожает. Этот документ пригодится и субъекту в ответе, и регулятору при проверке. Сроки хранения данных покупателя после сделки разобраны в статье «Возврат товара и хранение персональных данных покупателя».

Чем отзыв согласия отличается от отписки и от требования об удалении?

Три обращения, которые в письмах пользователей выглядят одинаково, а по закону различаются и сроком, и последствиями.

Средняя строка — место, где чаще всего ошибаются обе стороны. Часть 3 статьи 20 152-ФЗ разводит два случая с одним и тем же семидневным сроком: неполные, неточные или неактуальные данные оператор уточняет, а уничтожает только незаконно полученные и не необходимые для заявленной цели. Права потребовать удаления устаревших данных за семь рабочих дней у субъекта нет — есть право потребовать их актуализации.

Отписка от рекламы — самое узкое из трёх действий: она касается только продвижения. Отзыв согласия шире, но затрагивает лишь то, что держалось на согласии. Требование об удалении — самое сильное, но и его оператор вправе отклонить при наличии законных причин хранить данные. Подробно о последнем — в статье «Право на удаление персональных данных».

Практическое следствие для оператора: если согласия на разные цели собраны раздельно, как требует запрет пакетного согласия, исполнить отзыв просто — снимается конкретная галочка. Если же на регистрации стояла одна галочка «на всё», отзыв её снимает целиком, и оператору придётся доказывать, что данные для доставки заказа он обрабатывает по договору, а не по согласию. Как разделять согласия, разобрано в статье «Пакетное согласие: почему одна галочка на всё запрещена».

Как выстроить приём отзывов на сайте?

Отзыв согласия — не экзотика, а регулярный поток: отписки, удаление аккаунтов, просьбы «не звоните мне». Если процесс не описан, каждое обращение решается вручную и с опозданием. Минимальный набор, который закрывает требования закона:

1. Канал для обращений в политике обработки. Адрес электронной почты и почтовый адрес для обращений субъектов, а также описание порядка отзыва: для письменного согласия способ отзыва — обязательный реквизит по пункту 8 части 4 статьи 9 152-ФЗ, для остальных согласий — то, что избавит от переписки.
2. Один ответственный. Тот, кто по статье 22.1 152-ФЗ отвечает за организацию обработки, или назначенный сотрудник. Отзыв, попавший в общий ящик, должен оказаться у него в тот же день.
3. Журнал обращений. Дата поступления, от кого, что отозвано, что сделано и когда. Это единственное доказательство соблюдения 30 дней.
4. Регламент «что остаётся». Заранее описанный перечень: какие данные и на каком основании хранятся после отзыва, с указанием сроков. Тогда ответ субъекту не сочиняется каждый раз заново.
5. Техническая реализация. Отписка от рассылки — по ссылке в каждом письме, без входа в аккаунт. Отзыв согласия на обработку в целом — форма в личном кабинете или письмо. Уничтожение — с актом и выгрузкой из журнала системы.
6. Подрядчики. Данные, переданные сервису рассылок, CRM или колл-центру по поручению, должны быть уничтожены и у них. Обязанность подтвердить уничтожение стоит закрепить в договоре поручения.

Одна тонкость — идентификация. Отзыв через форму в личном кабинете подтверждает личность самим фактом входа. Отзыв письмом с незнакомого адреса — нет. В этом случае разумно ответить на тот контакт, который есть в базе, и попросить подтвердить обращение оттуда. Это не отказ и не затягивание, но и времени на неё меньше, чем кажется: если в письме есть требование прекратить обработку, считать нужно от 10 рабочих дней части 5.1 статьи 21, а не от 30 дней части 5.

Что грозит за игнорирование отзыва?

Продолжение обработки после отзыва при отсутствии других оснований — это обработка в случаях, не предусмотренных законом, то есть часть 1 статьи 13.11 КоАП. Эта часть работает для всех категорий нарушителей — граждан, должностных лиц, предпринимателей и организаций; от статуса зависит размер штрафа, а не состав. Если отозвано письменное согласие на обработку специальных категорий данных или биометрии, состав может перейти в часть 2 той же статьи.

А вот часть 5 статьи 13.11 к этой ситуации не относится, хотя её сюда постоянно подтягивают. Её диспозиция закрыта перечнем: невыполнение в срок требования субъекта об уточнении, блокировании или уничтожении данных, которые неполны, устарели, неточны, незаконно получены или не нужны для заявленной цели. При отзыве согласия отпадает основание обработки, а не пригодность данных, — это другое нарушение и другая норма.

Продолжение рекламных рассылок после отказа квалифицируется ещё и по статье 14.3 КоАП как нарушение закона о рекламе: для рекламы, распространяемой по сетям электросвязи, это часть 4.1 статьи 14.3, а такие дела ведёт ФАС параллельно с Роскомнадзором.

Размеры санкций по каждому составу собраны в статье «Штрафы Роскомнадзора за персональные данные в 2026 году». Здесь важнее другое: обращение гражданина — источник сведений, на которых контрольный орган может назначить внеплановое мероприятие по 248-ФЗ. Само по себе оно основанием не является: основание — сведения о причинении вреда или индикатор риска, а внеплановая проверка в период действующих ограничений ещё и согласуется с прокуратурой. Но чаще всего жалоба заканчивается не проверкой, а наблюдением за сайтом без взаимодействия — и тогда смотрят и политику, и формы, и запись в реестре операторов.

Что из этого видно снаружи?

Регулятор и сам субъект видят не ваш регламент, а сайт. Три вещи проверяются без всякого запроса:

• есть ли в политике обработки порядок отзыва согласия и контакт для обращений;
• собирает ли форма согласие так, что его можно отозвать по частям, — или одной галочкой «на всё»;
• открывается ли политика по ссылке из формы, а не ведёт на 404 или на главную.

Бесплатный скан на rkn-ok.ru показывает эту внешнюю часть: какие формы собирают данные, есть ли в них согласие и работает ли ссылка на политику. Регламент приёма отзывов он не заменит, но покажет, с чем субъект столкнётся, когда захочет своим правом воспользоваться.

Что читать дальше

• Право на удаление персональных данных — когда оператор обязан уничтожить данные и когда вправе отказать
• Статья 15 152-ФЗ: маркетинговая обработка и рассылки — согласие на продвижение и немедленное прекращение
• Штрафы за нарушение прав субъектов персональных данных — составы статьи 13.11 КоАП по обращениям субъектов

Источники: Федеральный закон №152-ФЗ «О персональных данных» — статьи 6, 9 (части 1, 2, пункт 8 части 4), 10, 11, 14, 15 (часть 2), 19, 20 (часть 3), 21 (части 3, 5, 5.1, 6), 22.1; Федеральный закон №38-ФЗ «О рекламе» — часть 1 статьи 18; приказ Роскомнадзора от 28.10.2022 №179 о требованиях к подтверждению уничтожения персональных данных; КоАП РФ — статья 13.11 (части 1, 2, 5), часть 4.1 статьи 14.3; Федеральный закон №248-ФЗ о государственном контроле.