152-ФЗ • ОТЗЫВ СОГЛАСИЯ • УДАЛЕНИЕ ДАННЫХ • CRM • АКТУАЛЬНО НА 4 АВГУСТА 2026 ГОДА
Отзыв согласия на обработку персональных данных не означает, что оператор обязан мгновенно стереть вообще все сведения о человеке. Нужно прекратить именно ту обработку, которая держалась на согласии, проверить другие законные основания, остановить ненужную обработку у подрядчиков и подтвердить уничтожение данных там, где их дальнейшее хранение не требуется.
Главное: отзыв согласия, требование прекратить обработку и отказ от рекламы — юридически разные ситуации с разными сроками. Для обычного отзыва применяется срок до 30 дней, для отдельного требования прекратить обработку — 10 рабочих дней, а прямой маркетинг по требованию субъекта должен быть прекращён немедленно.
Клиент, сотрудник или пользователь отозвал согласие?
Можно быстро определить, что именно нужно прекратить, какие данные удалить из CRM и у подрядчиков, а какие сведения компания вправе продолжить хранить по закону или договору. Это особенно важно, если в одном обращении одновременно содержатся отзыв, требование об удалении и запрет на маркетинг.
+7 (909) 928-13-29 · kurnevartem@ya.ru
Общий кластер по этой теме — персональные данные и 152-ФЗ. Для бизнеса, которому нужно проверить документы и фактические процессы, релевантна услуга юридического сопровождения по персональным данным.
Часть 2 статьи 9 Федерального закона № 152-ФЗ позволяет субъекту отозвать ранее данное согласие. Но этот же закон допускает продолжение обработки без согласия, если у оператора имеется самостоятельное основание, предусмотренное законом.
Поэтому после получения отзыва нельзя автоматически выбирать между двумя крайностями — «удалить всё» или «ничего не менять». Нужно разложить обработку по целям и основаниям: маркетинг, договор, бухгалтерский архив, судебная защита, кадровые обязанности, работа CRM и другие процессы.
Если человек пишет одновременно «отзываю согласие» и «требую прекратить обработку», безопаснее сразу остановить все операции, для которых очевидно нет другого основания, и отдельно провести проверку того, что компания обязана или вправе сохранить.
По части 5 статьи 21 Закона № 152-ФЗ после отзыва согласия оператор должен прекратить обработку и, если сохранение данных больше не требуется для целей обработки, уничтожить их не позднее 30 дней с даты поступления отзыва.
Это относится и к обработчикам по поручению: оператор обязан обеспечить прекращение соответствующей обработки у CRM, хостинга, колл-центра и иных лиц, если они работают с данными от его имени.
30 дней — это предельный срок исполнения, а не разрешение ещё месяц использовать данные для рекламы. Если отдельную операцию нужно прекратить сразу, не стоит ждать окончания 30-дневного периода.
Отзыв прекращает согласие как основание, но не отменяет другие основания, предусмотренные законом.
Часть данных может продолжать обрабатываться, например, когда:
При этом нельзя сохранять весь CRM-профиль под видом необходимости хранить один договор или акт. Данные нужно разделять по целям и оставлять только тот объём, для которого есть реальное основание.
Маркетинговое профилирование и другие операции, основанные только на согласии, прекращаются. Но договор, акт, платёжные документы и часть переписки могут сохраняться в установленном законом или договором объёме для подтверждения исполнения обязательств и защиты прав.
Если трудовые отношения не возникли и иного основания хранить резюме в кадровом резерве нет, данные следует удалить. Кандидата также нужно исключить из будущих подборов и рассылок, которые были основаны на согласии.
Работодатель всё равно продолжает обрабатывать сведения, которые обязан вести по трудовому, налоговому и другому законодательству. Но дополнительные операции, которые держались исключительно на добровольном согласии, нужно прекратить.
Часть 5.1 статьи 21 Закона № 152-ФЗ устанавливает самостоятельное право субъекта потребовать прекращения обработки. По такому требованию оператор должен прекратить соответствующую обработку не позднее 10 рабочих дней.
Срок может быть продлён максимум ещё на пять рабочих дней, но только при направлении субъекту мотивированного уведомления с причинами продления.
Исключения сохраняются для случаев, когда закон допускает обработку без согласия. Поэтому мотивированный ответ особенно важен, если компания продолжает хранить договорный, бухгалтерский или иной обязательный архив.
Для прямого продвижения товаров, работ и услуг действует специальная статья 15 Закона № 152-ФЗ. Если субъект требует прекратить такую обработку, оператор обязан сделать это немедленно.
Поэтому нельзя продолжать рекламные SMS, email, звонки или сообщения в мессенджерах, ссылаясь на общий 30-дневный срок.
CRM — одна из главных зон риска. Перевести карточку в статус «не звонить» может быть недостаточно, если система продолжает использовать данные в других сценариях.
Нужно проверить:
Если CRM, колл-центр или облачный сервис обрабатывает данные по поручению, оператор должен обеспечить прекращение обработки и у такого лица. Общие требования к этому механизму раскрыты в разделе сопровождения по 152-ФЗ.
Закон учитывает ситуацию, когда технически невозможно физически уничтожить персональные данные сразу во всех резервных копиях.
В таких случаях применяется блокирование: данные не должны использоваться в обычных бизнес-процессах, а уничтожение должно произойти в предусмотренный законом срок. По части 6 статьи 21 он может составлять не более шести месяцев, если иной срок не установлен федеральным законом.
Формула «бэкапы хранятся бессрочно» для системы персональных данных является плохой практикой. Нужен определённый цикл хранения, перезаписывания и невозможности штатного использования отозванных данных.
На 2026 год порядок подтверждения уничтожения регулируется приказом Роскомнадзора от 28.10.2022 № 179.
Запись сотрудника в CRM «удалено по просьбе клиента» сама по себе не заменяет установленный порядок доказательства уничтожения.
Практически — да. Письменный ответ фиксирует исполнение и снижает риск дальнейшей жалобы или спора.
В ответе стоит указать:
Если обращение сложнее обычного отзыва и содержит требования предоставить сведения, уничтожить данные или объяснить цели обработки, компания должна оценивать его как полноценный запрос субъекта. В спорных ситуациях полезно заранее подготовить позицию, а при жалобе регулятору — обратиться к юристу по Роскомнадзору.
Оператору проще исполнять отзыв, если публичные документы сразу описывают понятный порядок. На сайте отдельно действуют политика обработки персональных данных и согласие на обработку персональных данных.
Политика объясняет общую систему обработки, а согласие является самостоятельным волеизъявлением пользователя. Одно не заменяет другое, в том числе при описании порядка отзыва.
Если человек ранее дал специальное согласие на обработку персональных данных, разрешённых для распространения, применяется статья 10.1 Закона № 152-ФЗ.
По требованию субъекта передача, распространение, предоставление и доступ к таким данным должны быть прекращены. В предусмотренных законом случаях срок прекращения может составлять три рабочих дня.
Если компания после отзыва продолжает обработку, основанную исключительно на согласии, может возникнуть вопрос о неправомерной обработке персональных данных по статье 13.11 КоАП РФ.
Дополнительный состав возможен при неисполнении требований об уточнении, блокировании или уничтожении данных в предусмотренных законом случаях. Конкретная квалификация зависит от текста обращения и действий оператора.
Кроме административной ответственности субъект может требовать защиты своих прав и компенсации морального вреда в порядке статьи 24 Закона № 152-ФЗ.
Нет. Удаляются данные, для которых больше нет цели и иного законного основания. Документы, которые необходимо хранить по закону или договору, могут оставаться в необходимом объёме.
Нет. Для обычного отзыва — до 30 дней. Для требования прекратить обработку — 10 рабочих дней с возможностью мотивированного продления ещё максимум на пять рабочих дней. Для прямого маркетинга — немедленно.
Это возможно только при отдельном обосновании и минимизации. Практически сохраняется минимальный идентификатор, необходимый именно для исполнения запрета на контакт, без полного маркетингового профиля.
Нет. Если CRM является обработчиком по поручению, оператор должен обеспечить прекращение соответствующей обработки и у неё.
Это новая ситуация. Для новой заявки определяется новое правовое основание. Старое отозванное согласие автоматически не восстанавливается.
Да, если это необходимо для подтверждения исполнения обязанности оператора и защиты его прав. Но такой архив должен быть минимальным и отделён от обычного маркетинга.
Умная перелинковка по кластеру
• Персональные данные — основной информационный кластер по 152-ФЗ.
• Юрист по персональным данным и 152-ФЗ — аудит процессов и документов оператора.
• Юрист по Роскомнадзору — жалобы субъектов, запросы, проверки и административные риски.
• Политика обработки персональных данных — публичное описание порядка обработки и прав субъектов.
• Согласие на обработку персональных данных — действующий документ сайта с порядком отзыва.
Отзыв согласия — это не автоматическая команда «стереть всё» и не право компании ещё 30 дней использовать данные как раньше. Нужно разделить цели и основания, оперативно остановить незаконную обработку, сохранить только юридически необходимый минимум и подтвердить удаление остального.
Лучше всего подготовиться к отзыву заранее: разделить договорный архив и маркетинг в CRM, настроить работу с подрядчиками, определить жизненный цикл резервных копий и закрепить внутренний порядок исполнения обращений субъектов.
Нужно подготовить ответ субъекту и проверить удаление данных?
Проверю текст обращения, правовые основания хранения, CRM, подрядчиков, резервные копии и документы об уничтожении. По итогам можно подготовить мотивированный ответ и внутренний алгоритм исполнения.
+7 (909) 928-13-29 · kurnevartem@ya.ru
АВТОР
Юрист по персональным данным и цифровым проектам. Помогаю операторам выстраивать работу с отзывами согласий, запросами субъектов, CRM, подрядчиками и требованиями Роскомнадзора.