Отзыв согласия на обработку персональных данных: что обязан сделать оператор

Кто-то из клиентов, подписчиков рассылки или бывших сотрудников присылает письмо: прошу отозвать согласие на обработку персональных данных, удалите мои данные из базы. С этого момента у оператора идет отсчет срока, но не на все данные сразу: часть действительно нужно уничтожить, часть можно и нужно оставить на других законных основаниях, а часть работы вообще не имеет отношения к отзыву согласия, хотя выглядит похоже - например, обычная отписка от рассылки. Разберем, что по закону обязан сделать оператор персональных данных при получении отзыва согласия и на чем чаще всего ошибаются.

Закон 152-ФЗ о персональных данных отдельно регулирует ситуацию, когда согласие уже дано, а потом отозвано. Из статьи 9 и статьи 21 закона следует три вещи: субъект вправе отозвать согласие в любой момент и в любой форме, подтверждающей факт обращения, оператор обязан отреагировать в конкретный срок, а часть обработки в некоторых случаях законно продолжается и после отзыва на других основаниях. Дальше по порядку: как принять заявление об отзыве согласия, что успеть сделать за отведенный срок, когда данные можно не удалять и как вести учет таких обращений, чтобы не потеряться в переписке.

Что считается отзывом согласия на обработку персональных данных и как его подать

Специальной формы для отзыва закон не устанавливает. Как и само согласие, отзыв должен быть выражен так, чтобы факт обращения можно было подтвердить: письменное заявление, обращение через форму на сайте, сообщение из личного кабинета, письмо на адрес электронной почты, указанный оператором в политике обработки персональных данных. Все это варианты, которые в равной степени годятся.

Отдельный случай - устный звонок в поддержку с просьбой перестать обрабатывать данные. Формально это тоже отзыв согласия, но без фиксации оператору сложно доказать сам факт обращения и точную дату, от которой считать срок на исполнение. Разумная практика - просить сотрудника поддержки задокументировать обращение в тикете с указанием даты, канала и содержания просьбы, а еще лучше - попросить клиента продублировать просьбу письменно. Если позже дело дойдет до жалобы в РКН, дата получения отзыва - первое, что проверяет инспектор.

Отдельно стоит развести отзыв согласия и обращения другого рода: жалобу на качество услуги, просьбу удалить аккаунт, которая не всегда означает удалить все данные, просьбу больше не звонить, которая может касаться только одного канала связи. Формулировка обращения имеет значение: чем конкретнее субъект описывает, чего он хочет, тем проще оператору понять объем обязанностей. Если из текста неясно, идет ли речь обо всех данных или только о части, разумно уточнить это у обратившегося, а не трактовать заявление по максимуму или по минимуму на свое усмотрение.

Как должен выглядеть сам бланк согласия и что в нем стоит заранее прописать про право на отзыв, мы разбирали в статье про форму согласия на обработку персональных данных - для оператора это чек-лист, что должно быть готово заранее, чтобы отзыв потом обрабатывался без сюрпризов.

Заявление об отзыве согласия: что должно быть в тексте и как его принять

В заявлении об отзыве согласия достаточно, чтобы субъект ясно выразил намерение прекратить обработку и было понятно, кто обращается. Полного повторения паспортных реквизитов закон не требует. Оператору для работы с обращением нужны по сути три вещи: контакт, по которому можно связаться в ответ, указание на то, чьи данные и в каком объеме отзываются, и дата обращения.

Сложность в другом - в идентификации. Если письмо приходит с адреса, который есть в базе, тот самый email, на который клиент регистрировался или подписывался, сомнений в личности обычно не возникает. Если обращение приходит с незнакомого адреса или через мессенджер, а в тексте указаны чужие персональные данные - фамилия и телефон другого человека, - оператору стоит запросить подтверждение личности прежде чем что-либо удалять. Ошибка возможна в обе стороны: удалить данные по чужой просьбе, которая на самом деле не от субъекта, так же плохо, как отказать в законном отзыве под надуманным предлогом.

Требовать нотариально заверенную доверенность или усиленную квалифицированную подпись для простого отзыва согласия избыточно и не основано на законе, если только речь не идет об обращении от представителя субъекта, где полномочия действительно нужно проверить. Для рядового отзыва хватает разумной проверки: соответствие контакта, соответствие данных, отсутствие явных признаков того, что за клиента пишет кто-то посторонний.

Отдельный спорный момент: субъект пишет примерно так - отзываю согласие, но из рассылки просто уберите, остальное можно оставить. Это частичный отзыв, а не полный, хотя по формулировке не всегда легко понять объем требования. Однозначного правила, как трактовать нечеткую формулировку, закон не дает - разумнее не додумывать за субъекта, а прямо переспросить, что именно он имеет в виду, и зафиксировать ответ.

30 дней на прекращение обработки после отзыва согласия

Порядок описан в части 5 статьи 21 закона 152-ФЗ. С даты поступления отзыва оператор обязан прекратить обработку персональных данных и, если их дальнейшее хранение не требуется для целей, ради которых они собирались, уничтожить данные или обеспечить их уничтожение - в срок, не превышающий тридцати дней с момента получения отзыва. Если обработка велась через подрядчика по поручению, обеспечить уничтожение обязан оператор: подрядчик выполняет это по его указанию.

Прекратить обработку и уничтожить - не одно и то же, и разница важна на практике. Прекратить активное использование данных - перестать звонить, писать, показывать рекламу, передавать третьим лицам - нужно как можно быстрее, в разумный срок после получения отзыва, а не откладывать до последнего, тридцатого дня. Тридцать дней закон дает на техническую сторону: данные могут храниться в нескольких системах одновременно - на сайте, в CRM, в резервных копиях, у подрядчиков, - и завершить удаление по всем контурам за один день физически сложно. Именно поэтому дату получения отзыва нужно фиксировать сразу и точно: от нее считается весь срок.

Порядок и сроки ответа на отзыв в целом похожи на общий порядок работы с запросом субъекта персональных данных - разница в основном в конкретном действии, которое требуется совершить. Если в компании уже есть отработанный процесс на входящие обращения субъектов, дополнить его пунктом про отзыв согласия проще, чем выстраивать с нуля.

Оговорка о том, что иное может быть предусмотрено договором, - источник частых споров. На практике это означает: если субъект и оператор договором прямо предусмотрели другой порядок хранения данных после отзыва, например для гарантийных обязательств, оператор вправе на него ссылаться. Но такое условие должно быть закреплено в самом договоре заранее, а не придумываться постфактум, когда уже пришел отзыв.

Если персональные данные к моменту отзыва уже были переданы третьим лицам - партнеру, подрядчику, рекламной платформе, - обязанность добиться прекращения обработки и там тоже лежит на операторе, а не перекладывается на субъекта. На практике это самая трудоемкая часть 30-дневного срока: разослать уведомления получателям данных и проконтролировать, что они действительно остановили обработку, а не просто получили письмо.

Факт уничтожения данных имеет смысл зафиксировать документально, отдельно от переписки с субъектом - актом уничтожения персональных данных с датой, перечнем данных и подписью ответственного. Это тот документ, который в первую очередь спросит инспектор при проверке. Одного письма в переписке о том, что данные удалены, недостаточно, если по факту при проверке данные в базе все еще находятся.

Когда обработка законно продолжается и после отзыва согласия

Здесь чаще всего и происходит путаница. Часть 2 статьи 9 закона прямо говорит: субъект вправе отозвать согласие, но это не обязывает оператора прекращать обработку полностью, если для нее есть другое законное основание помимо согласия - в частности, основания из части 1 статьи 6 закона, которые касаются исполнения договора и обязанностей, возложенных на оператора другими законами, а также отдельные основания для специальных категорий данных и биометрии.

На практике это выглядит так. Покупатель интернет-магазина отозвал согласие на обработку персональных данных для маркетинговых рассылок - оператор обязан немедленно перестать присылать рекламные письма. Но у того же покупателя есть оформленный заказ, и данные из этого заказа - имя, адрес доставки, сумма покупки - нужны для исполнения договора и хранятся в бухгалтерских документах в силу требований налогового законодательства о сроках хранения первичных документов. Отзыв согласия на рассылку этих данных не затрагивает: они обрабатываются не по согласию, а по другому основанию.

Похожая ситуация с бывшими сотрудниками. Согласие, которое человек когда-то подписывал при трудоустройстве, можно отозвать, но кадровые документы - трудовой договор, приказы, сведения для отчетности - работодатель обязан хранить определенные сроки в силу трудового и архивного законодательства, а не по доброй воле сотрудника. Отзыв согласия здесь не отменяет обязанность работодателя как оператора хранить документы.

Похожая логика работает и в медицине: пациент отзывает согласие на обработку персональных данных для сайта клиники, но сама медицинская карта хранится в силу законодательства об охране здоровья граждан отдельный установленный срок, который отзыв согласия не сокращает. Оператору важно различать, где заканчивается согласие как основание для обработки и начинается обязанность хранить документы по другой норме.

Самозанятый, который ведет базу клиентов в блокноте или excel-таблице, часто уверен, что раз нет юрлица, требования его не касаются. Это не так: оператором персональных данных признается любое лицо, которое их обрабатывает, включая ИП и самозанятых, и отзыв согласия для него работает по тем же правилам, что и для компании - разница только в масштабе базы, а не в объеме обязанностей.

Из этого следует практический вывод: получив отзыв, нужно смотреть не на формальный факт отзыва согласия, а на то, какие именно цели обработки этим согласием были покрыты и есть ли для части данных другое основание, не связанное с согласием субъекта. Что можно хранить про запас и на какой срок, разбирали отдельно в статье про сроки обработки персональных данных - там же объясняется, почему не стоит писать в тексте согласия, что срок хранения не ограничен, и рассчитывать, что это снимет вопрос сроков.

Как оператору реагировать на отзыв согласия: порядок действий по шагам

Универсального регламента закон не дает, но из требований статей 9 и 21 складывается рабочий порядок, которого можно придерживаться в компании любого масштаба.

1. Зарегистрировать обращение с точной датой поступления - в журнале, тикет-системе или CRM. Именно от этой даты считаются 30 дней.
2. Проверить, что обращение действительно от субъекта персональных данных или его законного представителя, сверив контакт с данными в базе; при сомнениях запросить подтверждение.
3. Определить, каких именно целей обработки касается отзыв: всех данных субъекта или только части, например рассылок.
4. Проверить, есть ли основания продолжать обработку оставшейся части данных без согласия, и зафиксировать, какие именно и по какой норме.
5. Прекратить активную обработку - рассылки, звонки, показ рекламы, передачу третьим лицам - в той части, где оснований продолжать нет.
6. Уничтожить данные либо обеспечить их уничтожение подрядчиком, если обработка велась по поручению, в пределах отведенного срока.
7. Уведомить подрядчиков и других лиц, которым данные передавались, о необходимости прекратить обработку в соответствующей части.
8. Ответить субъекту - коротко подтвердить, что именно сделано, а что и на каком основании продолжает обрабатываться.
9. Внести результат в журнал учета отзывов согласий.

Пропуск любого из этих шагов не критичен сам по себе, но каждый пропущенный шаг - это либо риск не уложиться в срок, либо риск не суметь потом подтвердить, что срок был соблюден.

CRM, рассылки и рекламные кабинеты: где отзыв согласия ломается на практике

В теории удалить данные по одному контакту просто. На практике данные одного клиента к моменту отзыва обычно живут в нескольких системах сразу: на сайте, в CRM, в сервисе рассылок, в рекламных кабинетах, иногда в бухгалтерской программе. Большинство CRM не имеют кнопки, которая одним действием полностью уничтожает персональные данные контакта - есть удаление карточки, но связанные сделки, комментарии менеджеров и история звонков нередко остаются в архиве, а не удаляются физически.

Мы уже разбирали, где чаще всего ломается интеграция CRM с сайтом с точки зрения закона о персональных данных - применительно к отзыву согласия те же слабые места дают о себе знать снова: данные успели утечь в третий сервис, о существовании которого через год никто уже не помнит, будь то сервис аналитики, телефонии или внешний скрипт формы.

С рассылками отдельная путаница: отписку от письма по ссылке в футере часто принимают за полноценный отзыв согласия, и наоборот. Это разные вещи. Отписка - отказ от одного канала коммуникации, формально она не обязывает оператора уничтожать данные и прекращать обработку в остальных целях. Отзыв согласия на обработку персональных данных - требование более широкое, и реагировать на него нужно по правилам статьи 21, а не простой отметкой об отписке от рассылки.

Отдельная зона риска - рекламные кабинеты. Списки email и телефонов, загруженные для настройки look-alike аудиторий или ретаргетинга, при отзыве согласия тоже нужно актуализировать: удалить контакт из загруженной аудитории в кабинете, а не только из собственной базы. Про эту часть маркетологи забывают чаще всего, потому что хеш номера в рекламном кабинете визуально не похож на персональные данные.

Если у оператора есть запись звонков через IP-телефонию, отзыв согласия распространяется и на них: сами разговоры и их расшифровки тоже персональные данные, и хранить их бессрочно после того, как цель обработки прекращена, оператор не вправе, даже если технически архив звонков никто специально не чистит.

Отдельная головная боль - резервные копии. Полностью вычистить данные одного человека из всех бэкапов физически не всегда возможно быстро, особенно если бэкап делается целиком базой раз в сутки или в неделю. Практичный подход - зафиксировать в журнале, что данные удалены из рабочей базы, а резервные копии, где они еще остаются, будут перезаписаны в рамках обычного цикла ротации, и не хранить бэкапы дольше технически необходимого срока.

Журнал учета отзывов согласий: что туда вносить

Отдельного обязательного бланка такого журнала закон не устанавливает, но вести его - не самодеятельность, а способ доказать, что 30-дневный срок соблюдается системно, а не от случая к случаю. При проверке РКН именно журнал, а не переписка по разным почтовым ящикам, дает быстрый и понятный ответ на вопрос, сколько отзывов поступило и что с ними сделали.

Даже в компании из нескольких человек такой журнал можно вести в обычной таблице. Смысл не в форме, а в том, чтобы дата отзыва и дата фактического исполнения были зафиксированы рядом и не терялись среди прочей переписки.

Вести журнал можно и без специального программного обеспечения - общей таблицы, доступной ответственным сотрудникам, достаточно на старте. Важнее не инструмент, а дисциплина: запись должна появляться в день поступления отзыва, а не задним числом перед проверкой, когда восстановить точные даты по памяти уже невозможно.

Частые ошибки операторов при обработке отзыва согласия

• Игнорировать обращение только потому, что оно пришло не по установленной форме, хотя закон не требует специальной формы заявления об отзыве согласия.
• Путать отзыв согласия с обычной отпиской от рассылки и на этом успокаиваться, оставляя данные без изменений во всех остальных системах.
• Удалить данные из одной системы, например с сайта, и забыть про CRM, бухгалтерию, сервис рассылок и рекламные кабинеты, где та же информация хранится отдельно.
• Не проверять личность обратившегося и удалять чужие данные по анонимной просьбе - или наоборот, отказывать в законном отзыве, требуя документы, которые закон для этого не предусматривает.
• Не фиксировать точную дату получения отзыва, из-за чего позже невозможно доказать, что срок в 30 дней действительно был соблюден.
• Отказывать в отзыве целиком, хотя обоснованно можно прекратить только часть обработки, а остальное законно продолжается на другом основании.
• Не уведомлять подрядчиков, которым данные передавались по поручению, и оставлять обработку на их стороне без изменений, хотя проконтролировать это обязан оператор.

Что сделать оператору прямо сейчас

Если процесс работы с отзывом согласия в компании нигде не описан, разумно навести порядок до того, как придет первое реальное обращение, а не после.

• Проверить, что в политике обработки персональных данных и в тексте согласия прямо указано право на отзыв и конкретный канал, куда его направлять.
• Назначить ответственного, который принимает такие обращения, ведет их учет и считает срок от даты поступления.
• Завести журнал учета отзывов - таблицы из предыдущего раздела достаточно, чтобы начать.
• Проверить на практике, может ли CRM и сервис рассылок полностью удалить данные одного контакта, а не только пометить его неактивным.
• Прописать короткий шаблон ответа субъекту, чтобы не составлять письмо заново при каждом обращении.
• Свериться со специалистом по персональным данным, какие данные компания вправе хранить после отзыва по другим основаниям - это тот момент, где ошибка обходится дороже консультации.

Если формы на сайте, текст согласия и техническая часть с приемом обращений пока существуют разрозненно или вообще не настроены, с этого и стоит начать. Доработкой документов и форм под требования 152-ФЗ занимается 152fzpro.ru.