Отзыв согласия на обработку персональных данных: что делать оператору

152-ФЗ • ОТЗЫВ СОГЛАСИЯ • УДАЛЕНИЕ ДАННЫХ • CRM • АКТУАЛЬНО НА 4 АВГУСТА 2026 ГОДА

Отзыв согласия на обработку персональных данных не означает, что оператор обязан мгновенно стереть вообще все сведения о человеке. Нужно прекратить именно ту обработку, которая держалась на согласии, проверить другие законные основания, остановить ненужную обработку у подрядчиков и подтвердить уничтожение данных там, где их дальнейшее хранение не требуется.

Главное: отзыв согласия, требование прекратить обработку и отказ от рекламы — юридически разные ситуации с разными сроками. Для обычного отзыва применяется срок до 30 дней, для отдельного требования прекратить обработку — 10 рабочих дней, а прямой маркетинг по требованию субъекта должен быть прекращён немедленно.

Клиент, сотрудник или пользователь отозвал согласие?

Можно быстро определить, что именно нужно прекратить, какие данные удалить из CRM и у подрядчиков, а какие сведения компания вправе продолжить хранить по закону или договору. Это особенно важно, если в одном обращении одновременно содержатся отзыв, требование об удалении и запрет на маркетинг.

Позвонить Telegram WhatsApp MAX

+7 (909) 928-13-29 · kurnevartem@ya.ru

Общий кластер по этой теме — персональные данные и 152-ФЗ. Для бизнеса, которому нужно проверить документы и фактические процессы, релевантна услуга юридического сопровождения по персональным данным.

Отзыв согласия не всегда означает полное удаление всех данных

Часть 2 статьи 9 Федерального закона № 152-ФЗ позволяет субъекту отозвать ранее данное согласие. Но этот же закон допускает продолжение обработки без согласия, если у оператора имеется самостоятельное основание, предусмотренное законом.

Поэтому после получения отзыва нельзя автоматически выбирать между двумя крайностями — «удалить всё» или «ничего не менять». Нужно разложить обработку по целям и основаниям: маркетинг, договор, бухгалтерский архив, судебная защита, кадровые обязанности, работа CRM и другие процессы.

Отзыв согласия, требование прекратить обработку и отказ от рекламы — разные режимы

Обычный отзыв согласия	до 30 дней	Прекратить обработку на согласии; при отсутствии необходимости и иного основания — уничтожить данные
Требование прекратить обработку	10 рабочих дней	Прекратить обработку, кроме прямо предусмотренных законом исключений
Прямой рекламный маркетинг	немедленно	Остановить рекламные звонки, письма, SMS и иные прямые контакты
Данные, разрешённые для распространения	с момента требования; в специальных случаях — 3 рабочих дня	Прекратить распространение, предоставление и доступ

Если человек пишет одновременно «отзываю согласие» и «требую прекратить обработку», безопаснее сразу остановить все операции, для которых очевидно нет другого основания, и отдельно провести проверку того, что компания обязана или вправе сохранить.

Пошаговый алгоритм после получения отзыва

Зарегистрировать обращение с точной датой и временем поступления.
Убедиться, что обращение относится к нужному субъекту и не приводит к удалению данных другого человека.
Определить конкретное согласие и цели, которых касается отзыв.
Разделить операции по основаниям: согласие, договор, закон, защита прав и иные основания.
Остановить операции, которые больше не имеют правового основания.
Исключить человека из рекламных и маркетинговых сценариев.
Направить команды CRM, колл-центру, сервису рассылок и другим обработчикам.
Уничтожить данные, которые больше не нужны.
Зафиксировать уничтожение по требованиям Роскомнадзора.
Подготовить обоснование тех данных, которые продолжают храниться без согласия.

Когда данные нужно уничтожить в течение 30 дней

По части 5 статьи 21 Закона № 152-ФЗ после отзыва согласия оператор должен прекратить обработку и, если сохранение данных больше не требуется для целей обработки, уничтожить их не позднее 30 дней с даты поступления отзыва.

Это относится и к обработчикам по поручению: оператор обязан обеспечить прекращение соответствующей обработки у CRM, хостинга, колл-центра и иных лиц, если они работают с данными от его имени.

30 дней — это предельный срок исполнения, а не разрешение ещё месяц использовать данные для рекламы. Если отдельную операцию нужно прекратить сразу, не стоит ждать окончания 30-дневного периода.

Когда компания может сохранить часть данных после отзыва

Отзыв прекращает согласие как основание, но не отменяет другие основания, предусмотренные законом.

Часть данных может продолжать обрабатываться, например, когда:

это необходимо для исполнения действующего договора или действий по инициативе субъекта до его заключения;
хранение требуется бухгалтерским, налоговым, трудовым, архивным или иным законодательством;
данные нужны для судебного или арбитражного процесса либо исполнения судебного акта;
обработка действительно необходима для осуществления прав и законных интересов оператора или третьего лица и не нарушает права субъекта;
публикация или раскрытие прямо предусмотрены законом.

При этом нельзя сохранять весь CRM-профиль под видом необходимости хранить один договор или акт. Данные нужно разделять по целям и оставлять только тот объём, для которого есть реальное основание.

Пример: клиент отозвал согласие после оказания услуги

Маркетинговое профилирование и другие операции, основанные только на согласии, прекращаются. Но договор, акт, платёжные документы и часть переписки могут сохраняться в установленном законом или договором объёме для подтверждения исполнения обязательств и защиты прав.

Пример: кандидат отозвал согласие на хранение резюме

Если трудовые отношения не возникли и иного основания хранить резюме в кадровом резерве нет, данные следует удалить. Кандидата также нужно исключить из будущих подборов и рассылок, которые были основаны на согласии.

Пример: работник отозвал согласие работодателю

Работодатель всё равно продолжает обрабатывать сведения, которые обязан вести по трудовому, налоговому и другому законодательству. Но дополнительные операции, которые держались исключительно на добровольном согласии, нужно прекратить.

Если человек отдельно требует прекратить обработку

Часть 5.1 статьи 21 Закона № 152-ФЗ устанавливает самостоятельное право субъекта потребовать прекращения обработки. По такому требованию оператор должен прекратить соответствующую обработку не позднее 10 рабочих дней.

Срок может быть продлён максимум ещё на пять рабочих дней, но только при направлении субъекту мотивированного уведомления с причинами продления.

Исключения сохраняются для случаев, когда закон допускает обработку без согласия. Поэтому мотивированный ответ особенно важен, если компания продолжает хранить договорный, бухгалтерский или иной обязательный архив.

Рекламные звонки и рассылки нужно остановить немедленно

Для прямого продвижения товаров, работ и услуг действует специальная статья 15 Закона № 152-ФЗ. Если субъект требует прекратить такую обработку, оператор обязан сделать это немедленно.

Поэтому нельзя продолжать рекламные SMS, email, звонки или сообщения в мессенджерах, ссылаясь на общий 30-дневный срок.

Что делать с CRM после отзыва

CRM — одна из главных зон риска. Перевести карточку в статус «не звонить» может быть недостаточно, если система продолжает использовать данные в других сценариях.

Нужно проверить:

активную карточку клиента и дубли по телефону или email;
маркетинговые сегменты и автоматические воронки;
задачи менеджеров и колл-центра;
синхронизацию с телефонией и мессенджерами;
сервис email- и SMS-рассылок;
экспортированные Excel/CSV-списки и локальные таблицы;
доступ внешних подрядчиков;
резервные копии и сроки их технологического удаления.

Если CRM, колл-центр или облачный сервис обрабатывает данные по поручению, оператор должен обеспечить прекращение обработки и у такого лица. Общие требования к этому механизму раскрыты в разделе сопровождения по 152-ФЗ.

Что делать с резервными копиями

Закон учитывает ситуацию, когда технически невозможно физически уничтожить персональные данные сразу во всех резервных копиях.

В таких случаях применяется блокирование: данные не должны использоваться в обычных бизнес-процессах, а уничтожение должно произойти в предусмотренный законом срок. По части 6 статьи 21 он может составлять не более шести месяцев, если иной срок не установлен федеральным законом.

Формула «бэкапы хранятся бессрочно» для системы персональных данных является плохой практикой. Нужен определённый цикл хранения, перезаписывания и невозможности штатного использования отозванных данных.

Как подтвердить уничтожение персональных данных

На 2026 год порядок подтверждения уничтожения регулируется приказом Роскомнадзора от 28.10.2022 № 179.

при неавтоматизированной обработке подтверждением выступает акт об уничтожении персональных данных;
при автоматизированной обработке используются акт об уничтожении и выгрузка из журнала регистрации событий в информационной системе;
подтверждающие документы должны содержать предусмотренные приказом сведения и храниться установленный срок.

Запись сотрудника в CRM «удалено по просьбе клиента» сама по себе не заменяет установленный порядок доказательства уничтожения.

Нужно ли отвечать человеку на отзыв

Практически — да. Письменный ответ фиксирует исполнение и снижает риск дальнейшей жалобы или спора.

В ответе стоит указать:

дату получения отзыва;
какая обработка прекращена;
из каких систем удалены данные;
какие подрядчики получили команду на прекращение обработки;
какие сведения продолжают храниться;
конкретное правовое основание и срок такого хранения;
контакт для дополнительных требований субъекта.

Если обращение сложнее обычного отзыва и содержит требования предоставить сведения, уничтожить данные или объяснить цели обработки, компания должна оценивать его как полноценный запрос субъекта. В спорных ситуациях полезно заранее подготовить позицию, а при жалобе регулятору — обратиться к юристу по Роскомнадзору.

Политика и согласие должны заранее предусматривать отзыв

Оператору проще исполнять отзыв, если публичные документы сразу описывают понятный порядок. На сайте отдельно действуют политика обработки персональных данных и согласие на обработку персональных данных.

Политика объясняет общую систему обработки, а согласие является самостоятельным волеизъявлением пользователя. Одно не заменяет другое, в том числе при описании порядка отзыва.

Специальный случай: данные, разрешённые для распространения

Если человек ранее дал специальное согласие на обработку персональных данных, разрешённых для распространения, применяется статья 10.1 Закона № 152-ФЗ.

По требованию субъекта передача, распространение, предоставление и доступ к таким данным должны быть прекращены. В предусмотренных законом случаях срок прекращения может составлять три рабочих дня.

Какие риски, если отзыв проигнорировать

Если компания после отзыва продолжает обработку, основанную исключительно на согласии, может возникнуть вопрос о неправомерной обработке персональных данных по статье 13.11 КоАП РФ.

Дополнительный состав возможен при неисполнении требований об уточнении, блокировании или уничтожении данных в предусмотренных законом случаях. Конкретная квалификация зависит от текста обращения и действий оператора.

Кроме административной ответственности субъект может требовать защиты своих прав и компенсации морального вреда в порядке статьи 24 Закона № 152-ФЗ.

Чек-лист для оператора

есть единый канал приёма отзывов и требований;
обращения регистрируются с точной датой;
сотрудники отличают отзыв согласия от требования прекратить обработку;
для каждой цели зафиксировано правовое основание;
CRM позволяет отключить маркетинг отдельно от обязательного архива;
подрядчикам можно быстро направить команду на удаление или блокирование;
резервные копии имеют понятный срок жизни;
уничтожение подтверждается по приказу Роскомнадзора № 179;
хранение после отзыва обосновано конкретным основанием;
ответ субъекту отражает реальное исполнение.

Типичные ошибки

продолжать рекламные звонки ещё 30 дней;
удалить email из рассылки, но оставить телефон в автоворонке;
стереть договорные документы, хотя их хранение требуется по закону;
сохранить весь профиль клиента из-за необходимости хранить один акт;
не направить команду CRM, колл-центру или другому обработчику;
игнорировать резервные копии и локальные выгрузки;
не оформлять доказательства уничтожения;
требовать нотариально удостоверенный отзыв без законной необходимости;
не отличать отзыв согласия от специального требования прекратить обработку;
ссылаться на «законные интересы» без оценки необходимости и баланса прав.

FAQ

Нужно удалить абсолютно все данные после отзыва?

Нет. Удаляются данные, для которых больше нет цели и иного законного основания. Документы, которые необходимо хранить по закону или договору, могут оставаться в необходимом объёме.

Срок всегда 30 дней?

Нет. Для обычного отзыва — до 30 дней. Для требования прекратить обработку — 10 рабочих дней с возможностью мотивированного продления ещё максимум на пять рабочих дней. Для прямого маркетинга — немедленно.

Можно оставить телефон в стоп-листе, чтобы больше не звонить?

Это возможно только при отдельном обосновании и минимизации. Практически сохраняется минимальный идентификатор, необходимый именно для исполнения запрета на контакт, без полного маркетингового профиля.

Если данные в CRM, достаточно удалить карточку у себя?

Нет. Если CRM является обработчиком по поручению, оператор должен обеспечить прекращение соответствующей обработки и у неё.

Что если человек позже снова оставил заявку?

Это новая ситуация. Для новой заявки определяется новое правовое основание. Старое отозванное согласие автоматически не восстанавливается.

Можно хранить сам отзыв и доказательства исполнения?

Да, если это необходимо для подтверждения исполнения обязанности оператора и защиты его прав. Но такой архив должен быть минимальным и отделён от обычного маркетинга.

Умная перелинковка по кластеру

• Персональные данные — основной информационный кластер по 152-ФЗ.

• Юрист по персональным данным и 152-ФЗ — аудит процессов и документов оператора.

• Юрист по Роскомнадзору — жалобы субъектов, запросы, проверки и административные риски.

• Политика обработки персональных данных — публичное описание порядка обработки и прав субъектов.

• Согласие на обработку персональных данных — действующий документ сайта с порядком отзыва.

Вывод

Отзыв согласия — это не автоматическая команда «стереть всё» и не право компании ещё 30 дней использовать данные как раньше. Нужно разделить цели и основания, оперативно остановить незаконную обработку, сохранить только юридически необходимый минимум и подтвердить удаление остального.

Лучше всего подготовиться к отзыву заранее: разделить договорный архив и маркетинг в CRM, настроить работу с подрядчиками, определить жизненный цикл резервных копий и закрепить внутренний порядок исполнения обращений субъектов.

Нужно подготовить ответ субъекту и проверить удаление данных?

Проверю текст обращения, правовые основания хранения, CRM, подрядчиков, резервные копии и документы об уничтожении. По итогам можно подготовить мотивированный ответ и внутренний алгоритм исполнения.