Отзыв согласия на обработку ПДн

Часть 2 статьи 9 закона 152-ФЗ формулирует право отозвать согласие без каких-либо условий: субъекту не нужно объяснять причину, доказывать нарушение со стороны оператора или ссылаться на истечение какого-либо срока. Согласие, данное добровольно, точно так же добровольно и отзывается.

Ограничение касается не самого права на отзыв, а его последствий. Если у оператора помимо согласия есть другое законное основание для обработки тех же данных — исполнение действующего договора с субъектом, прямая обязанность, возложенная законом, — отзыв согласия не прекращает обработку в объёме этого основания. Например, отзыв согласия на рекламную рассылку не обязывает банк перестать хранить данные клиента, которые нужны для исполнения кредитного договора.

Отзыв согласия также не имеет обратной силы: он не делает незаконной обработку, которая велась до момента отзыва на основании этого согласия. Он прекращает обработку на будущее.

Порядок отзыва должен быть указан в самом тексте согласия — это требование п. 7 ч. 4 ст. 9 закона 152-ФЗ. Если оператор указал конкретный способ — письменное заявление на почтовый адрес, форма на сайте, обращение через личный кабинет, — стоит следовать именно этому порядку: так проще доказать факт обращения и его дату.

Если порядок в согласии не указан или указан неполно, отзыв можно оформить в свободной письменной форме и направить его оператору любым способом, который позволяет подтвердить факт отправки и получения:

1. заказным письмом с описью вложения и уведомлением о вручении;
2. по электронной почте, указанной оператором для официальных обращений, с запросом подтверждения получения;
3. через форму обратной связи на сайте оператора, сохранив скриншот или письмо-подтверждение отправки;
4. лично, с отметкой о приёме на втором экземпляре.

В заявлении об отзыве стоит указать: ФИО субъекта, реквизиты, по которым оператор сможет его идентифицировать в своей базе, ссылку на ранее данное согласие, если она известна, и прямое требование прекратить обработку и уничтожить данные.

После получения отзыва оператор обязан прекратить обработку персональных данных, ранее основанную на этом согласии. Сроки уничтожения данных, если для их дальнейшего хранения не осталось другого законного основания, установлены ст. 21 закона 152-ФЗ.

Практические шаги оператора:

• проверить, есть ли иное основание для дальнейшей обработки части данных — если да, обработка в этом объёме продолжается, а в остальном прекращается;
• прекратить использование данных для цели, указанной в отозванном согласии, — например, немедленно исключить контакт из базы для рекламной рассылки;
• уничтожить данные или их часть, не имеющую иного основания для хранения, в срок, установленный ст. 21 закона 152-ФЗ;
• зафиксировать факт отзыва и принятые меры во внутреннем журнале учёта обращений субъектов персональных данных — это упрощает подтверждение исполнения обязанности при последующей проверке.

Молчание или формальная отписка без фактического прекращения обработки не освобождает оператора от обязанности — она возникает с момента получения отзыва, а не с момента ответа на него.

Самая частая жизненная ситуация — отзыв согласия на рекламную и информационную рассылку, когда письма или сообщения продолжают приходить спустя недели после отзыва. Здесь стоит различать две вещи: техническую задержку исполнения и фактический отказ прекратить обработку.

Если оператор действительно снял субъекта с рассылки, но одно-два письма пришли по инерции из-за особенностей работы рассылочного сервиса, это, как правило, не образует самостоятельного нарушения — важно, чтобы обработка прекратилась в разумный срок. Если же рассылки продолжаются систематически спустя значительный срок после отзыва, это указывает на то, что оператор не исполнил свою обязанность.

Субъекту стоит фиксировать даты получения писем после отзыва — они пригодятся как доказательство, если придётся обращаться с жалобой. Операторам, со своей стороны, разумно вести журнал отзывов и сверять с ним базы рассылки на регулярной основе, а не полагаться на разовое ручное удаление контакта.

Если оператор проигнорировал отзыв согласия или продолжает обработку данных без законного основания, у субъекта есть два основных пути защиты права: обращение в Роскомнадзор как уполномоченный орган по защите прав субъектов персональных данных, и обращение в суд.

Жалоба в Роскомнадзор подаётся в свободной форме, с приложением копии отозванного согласия, самого заявления об отзыве и доказательств его направления оператору — переписки, почтовых уведомлений, скриншотов. Роскомнадзор вправе провести проверку и, если нарушение подтвердится, привлечь оператора к административной ответственности по ст. 13.11 КоАП РФ, которая предусматривает ответственность за нарушение законодательства о персональных данных, включая обработку без законного основания.

Обращение в суд уместно, если субъект понёс убытки или моральный вред из-за продолжающейся незаконной обработки — например, при систематических назойливых рассылках или использовании данных вопреки прямому отзыву. Перед обращением в суд разумно сначала направить оператору письменную претензию с требованием прекратить обработку — это укрепляет позицию при последующем споре.

Если оператор не реагирует на отзыв согласия:

• зафиксируйте факт и дату направления отзыва — почтовое уведомление, скриншот, переписку;
• направьте оператору письменную претензию с требованием прекратить обработку;
• подайте жалобу в Роскомнадзор с приложением копии согласия, отзыва и доказательств его направления;
• при наличии убытков или морального вреда обращайтесь в суд.