Отзыв согласия на обработку персональных данных порядок и сроки

Клиент пишет «отзываю согласие, удалите мои данные», и у компании запускается отсчёт жёстких сроков. Закон отвёл оператору тридцать дней на прекращение обработки и уничтожение данных после отзыва, а для отдельного требования о прекращении обработки всего десять рабочих дней. Просрочка превращается в нарушение. При этом отзыв согласия не всегда означает полное удаление, в ряде случаев оператор вправе продолжать обработку. Разбираем, как это устроено и где проходят границы.

Право отозвать согласие

Основание права на отзыв заложено прямо в законе. Часть 2 статьи 9 Федерального закона от 27.07.2006 N 152-ФЗ устанавливает, что согласие на обработку персональных данных может быть отозвано субъектом. Это безусловное право, и оператор не может его заблокировать или поставить условием.

Форма отзыва логически вытекает из требований к согласию. По части 4 статьи 9 письменное согласие должно включать способ его отзыва. То есть оператор обязан заранее сказать субъекту, как именно отзывать согласие. Если способ предусмотрен документом, субъект пользуется им. Если нет, отзыв возможен в любой форме, позволяющей подтвердить волеизъявление.

Что происходит после отзыва

Главное заблуждение состоит в том, что отзыв согласия автоматически стирает все данные. Это не так. Часть 2 статьи 9 прямо предусматривает, что в случае отзыва согласия оператор вправе продолжить обработку персональных данных без согласия субъекта при наличии оснований, указанных в пунктах со второго по одиннадцатый части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 закона.

Это означает простую вещь. Если кроме согласия у оператора есть другое законное основание обрабатывать конкретные данные, обработка по этому основанию продолжается даже после отзыва. Например, данные, необходимые для исполнения договора, или данные, которые оператор обязан хранить в силу закона, не уничтожаются только потому, что человек отозвал согласие на маркетинг. Уходит то, что держалось исключительно на согласии.

Бремя доказывания снова на операторе. По части 3 статьи 9 именно оператор обязан доказать либо получение согласия, либо наличие иного основания обработки. Поэтому при продолжении обработки после отзыва оператор должен чётко зафиксировать, какое именно основание он применяет к каждой категории данных.

Сроки прекращения обработки и уничтожения

Ключевые сроки задаёт статья 21 Федерального закона N 152-ФЗ. Часть 5 этой статьи устанавливает, что при отзыве субъектом согласия оператор обязан прекратить обработку данных или обеспечить её прекращение, а если сохранение данных более не требуется для целей обработки, уничтожить данные в срок, не превышающий тридцати дней с даты поступления отзыва. Исключения предусмотрены для случаев, когда обработка опирается на договор, стороной, выгодоприобретателем или поручителем по которому является субъект, на иное соглашение с субъектом, либо когда оператор вправе обрабатывать данные без согласия по закону.

То есть тридцатидневный срок это предельный, а не желательный. Внутри него оператор обязан и остановить обработку по отозванному основанию, и уничтожить данные, если их хранение более не оправдано целью.

Отдельно стоит часть 5.1 статьи 21. Она регулирует ситуацию, когда субъект обращается к оператору с требованием о прекращении обработки персональных данных. В этом случае оператор обязан прекратить обработку в срок, не превышающий десяти рабочих дней с даты получения требования, за исключением случаев, перечисленных в пунктах со второго по одиннадцатый части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 закона. Этот срок может быть продлён, но не более чем на пять рабочих дней, если оператор направит субъекту мотивированное уведомление с указанием причин продления. Часть 5.1 введена Федеральным законом от 14.07.2022 N 266-ФЗ.

Здесь видна авторская тонкость, которую упускают многие. Отзыв согласия и требование о прекращении обработки это два разных инструмента субъекта с разными сроками. Отзыв согласия запускает тридцатидневный срок по части 5. Требование о прекращении обработки запускает десятидневный рабочий срок по части 5.1. Грамотно составленное обращение клиента может опираться на оба.

Когда уничтожить нельзя сразу

Часть 6 статьи 21 предусматривает ситуацию, когда уничтожить данные в установленный срок технически невозможно. В этом случае оператор осуществляет блокирование данных или обеспечивает их блокирование и обеспечивает уничтожение в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами. Часть 6 действует в редакции Федерального закона от 14.07.2022 N 266-ФЗ.

Блокирование это не лазейка, чтобы тянуть время. Это исключение для реальной технической невозможности, и оно не отменяет обязанности в итоге уничтожить данные.

На что смотрит надзор

При проверке реакции на отзыв внимание идёт по таким точкам. Зафиксирована ли дата поступления отзыва. Уложился ли оператор в тридцатидневный срок по части 5 статьи 21. Если речь о требовании прекратить обработку, соблюдён ли десятидневный рабочий срок по части 5.1. Обоснованно ли оператор продолжил обработку части данных, то есть сослался ли он на конкретное иное основание, а не просто проигнорировал отзыв. Уничтожены ли данные, которые более не нужны для цели.

Частые ошибки выглядят так. Оператор считает отзыв необязательным к исполнению и продолжает рассылку. Оператор не фиксирует дату поступления отзыва и теряет точку отсчёта срока. Оператор путает тридцатидневный срок отзыва с десятидневным рабочим сроком требования о прекращении. Оператор продолжает обработку всех данных без указания, на каком именно ином основании. Оператор бесконечно держит данные в блокировке вместо уничтожения, игнорируя шестимесячный предел по части 6.

Конкретный пример

Фитнес-клуб получил от бывшего клиента письмо «отзываю согласие на обработку моих персональных данных и на рекламу». У клуба есть согласие на маркетинг и есть данные о расчётах по абонементу. После отзыва клуб обязан в срок не более тридцати дней прекратить обработку, державшуюся на согласии, то есть остановить рассылку и удалить маркетинговый профиль, если он больше не нужен. При этом данные о расчётах, которые клуб обязан хранить в силу закона, продолжают обрабатываться по иному основанию, и это правомерно по части 2 статьи 9. Если бы клиент дополнительно направил требование именно о прекращении обработки, по части 5.1 статьи 21 у клуба было бы десять рабочих дней с возможным продлением на пять рабочих дней при мотивированном уведомлении.

Частые вопросы

Значит ли отзыв согласия, что компания обязана удалить все мои данные. Не всегда. По части 2 статьи 9 оператор вправе продолжить обработку без согласия, если есть иное законное основание, например договор или прямое предписание закона. Уничтожению подлежит то, что держалось только на согласии и более не нужно для цели.

Сколько времени у оператора после отзыва. По части 5 статьи 21 срок прекращения обработки и уничтожения не превышает тридцати дней с даты поступления отзыва. Если же субъект направил отдельное требование о прекращении обработки, по части 5.1 срок составляет десять рабочих дней с возможным продлением не более чем на пять рабочих дней при мотивированном уведомлении.

Что делать, если данные технически нельзя удалить сразу. По части 6 статьи 21 оператор блокирует данные и обеспечивает их уничтожение в срок не более шести месяцев, если иной срок не установлен федеральными законами. Бессрочное хранение в блокировке недопустимо.

Грамотная обработка отзыва это не только удаление, но и разбор, какие данные можно сохранить и на каком основании. Мы помогаем выстроить регламент реагирования на отзывы и требования, корректно разделить основания обработки и уложиться в сроки. Подробнее об услуге и контактах.