Отзыв согласия на обработку данных: как это работает на практике
Коротко. Отзыв согласия на обработку персональных данных — это письменное или иное фиксируемое уведомление оператору о том, что пользователь больше не разрешает обрабатывать свои данные на основании ранее выданного согласия. По 152-ФЗ оператор обязан прекратить обработку и, если хранение не нужно для иных законных целей, уничтожить данные — как правило, в срок до 30 дней. Но если данные обрабатывались не только по согласию, а ещё и по другому законному основанию (трудовой договор, закон о бухучёте, налоговый учёт), отзыв согласия не остановит именно эту часть обработки — и это ключевая деталь, которую чаще всего упускают.
Отзыв согласия на обработку данных: как это работает на практике
Что такое отзыв согласия на обработку данных
Отзыв согласия — это одностороннее действие субъекта персональных данных, которым он сообщает оператору о прекращении действия ранее данного согласия на обработку. Право на отзыв закреплено в статье 9 Федерального закона № 152-ФЗ «О персональных данных»: согласие может быть отозвано в любой момент, если иное не предусмотрено законом.
Важно различать два разных, хотя и связанных, вопроса:
- отзыв согласия — это отказ именно от той обработки, которая велась на основании согласия;
- право на удаление данных — отдельное право, которое может, но не обязательно должно, следовать за отзывом.
Эти понятия пересекаются, но не совпадают: можно отозвать согласие и потребовать удаления, а можно отозвать согласие на один вид обработки (например, на рассылку или на аналитику активности), оставив саму учётную запись и обязательные данные без изменений.
Когда согласие вообще требуется
Отзывать можно только то, что было дано добровольно. Закон выделяет несколько законных оснований для обработки персональных данных (статья 6 152-ФЗ), и согласие — лишь одно из них, хотя и самое известное. Среди других оснований:
- исполнение договора, стороной которого является субъект данных;
- исполнение обязанностей, возложенных на оператора законом (например, трудовым или налоговым);
- реализация функций, полномочий и обязанностей, предусмотренных законодательством.
Отсюда практический вывод: если данные обрабатываются не по согласию, а по одному из этих оснований, отзыв согласия юридически ничего не меняет для этой части обработки — оператор обязан обработку продолжить, потому что она уже не зависит от воли субъекта. Это особенно заметно в трудовых отношениях: работодатель обрабатывает часть данных сотрудника (табель, зарплата, отчётность в фонды) не потому, что сотрудник когда-то согласился, а потому, что этого требует Трудовой и Налоговый кодексы. Тема того, какие именно данные работодатель обязан собирать и на каком основании, подробно разобрана в статье про согласие на обработку данных сотрудника — она хорошо дополняет этот материал, если вопрос стоит именно в контексте работы.
А вот обработка, которая существует «сверх» обязательного минимума — например, необязательная аналитика активности, персонализированные уведомления, добровольные программы благополучия — почти всегда строится именно на согласии, и вот её отзыв прекращает полностью и сразу.
Что обязан сделать оператор после отзыва
Получив уведомление об отзыве, оператор обязан:
- Прекратить обработку персональных данных, для которой отзыв применим, — то есть больше не собирать новые данные и не использовать уже собранные для тех целей, что были заявлены при получении согласия.
- Уничтожить персональные данные, если их дальнейшее хранение не требуется для целей обработки, — в срок, не превышающий 30 дней с даты поступления отзыва, если иной срок не установлен договором с субъектом или федеральным законом.
- Либо, если немедленное уничтожение невозможно, обеспечить блокирование соответствующих данных на период уничтожения — за исключением случаев, когда обработка данных необходима по другому законному основанию.
Это порядок по умолчанию для «чистого» согласия. На практике формулировка «не превышающий 30 дней» — верхняя граница, а не рекомендуемый срок: добросовестный оператор в норме реагирует быстрее, особенно если технически удаление не требует ручной работы.
Форма отзыва: что действительно нужно указать
Закон не устанавливает жёсткой формы отзыва согласия — важно, чтобы намерение было выражено ясно и было зафиксировано (иначе спор об самом факте отзыва становится доказательственной проблемой для обеих сторон). На практике в заявлении об отзыве целесообразно указать:
| Элемент | Зачем нужен |
|---|---|
| ФИО и данные, идентифицирующие субъекта | чтобы оператор нашёл именно вашу запись |
| Дата и номер ранее данного согласия (если есть) | сузить объём обработки, который отзывается |
| Формулировка отзыва | однозначно показать, что согласие отзывается, а не изменяется |
| Способ подачи (почта, email, форма в личном кабинете) | подтверждает дату и факт отправки |
| Требование об уничтожении данных (если оно нужно отдельно) | иначе оператор может ограничиться прекращением обработки без удаления |
Отдельная формулировка про уничтожение важна, потому что формально отзыв согласия и требование удалить данные — не всегда одно и то же действие, даже если по факту приводят к одному результату. Чёткое заявление снимает эту неоднозначность.
Частные случаи: медицинские и биометрические данные
Отзыв согласия на обработку данных, отнесённых к специальным категориям — в первую очередь к медицинским данным о состоянии здоровья и к биометрическим данным (отпечатки, изображение лица, голос) — работает по той же статье 9 152-ФЗ, но требует большей внимательности в двух моментах:
- Основание сбора чаще жёстче. Обработка биометрии для идентификации, как правило, требует отдельного, явно оформленного согласия — и его отзыв должен приводить к прекращению именно этого способа идентификации, а не абстрактной «обработки данных» вообще.
- Хранение может регулироваться отдельно. Для медицинских данных нередко действуют дополнительные требования по срокам хранения медицинской документации, которые могут не совпадать с общим 30-дневным ориентиром для персональных данных, — здесь заявление об отзыве стоит адресовать именно тому оператору, который вёл конкретную обработку, а не в общую службу поддержки.
Как это применимо к рабочему мониторингу
В контексте учёта рабочего времени и аналитики продуктивности вопрос отзыва согласия почти всегда сводится к разделению обработки на обязательную и добровольную часть — то же разделение, что описано выше на уровне закона. Является ли мониторинг сотрудников законным вообще и на каких условиях — отдельный и более широкий вопрос, который разбирает статья «Законно ли следить за сотрудниками в России»: там показано, что законность контроля держится на уведомлении, согласии там, где оно требуется, и ограничении рамками рабочих целей.
Для инструментов класса DevPace практический вывод из всего вышесказанного такой: там, где аналитика активности строится на добровольном согласии сотрудника (например, дополнительные категории аналитики сверх обязательного табеля), отзыв согласия должен реально прекращать сбор именно этих данных — а не просто скрывать их из интерфейса при том, что сбор продолжается на сервере. Это стоит уточнять у поставщика инструмента до внедрения, а не постфактум, когда сотрудник уже подал заявление об отзыве.
Что делать, если оператор не реагирует
Если после отзыва согласия оператор продолжает обработку данных или не отвечает в разумный срок, у субъекта есть несколько последовательных шагов:
- Повторное письменное обращение с фиксацией даты и способа отправки (заказное письмо, электронная форма с подтверждением, электронная почта с уведомлением о доставке).
- Обращение к оператору данных внутри организации (если это работодатель — как правило, к HR-департаменту или к должностному лицу, ответственному за обработку персональных данных).
- Жалоба в Роскомнадзор — уполномоченный орган по защите прав субъектов персональных данных, который рассматривает обращения о нарушениях 152-ФЗ и может выдать оператору предписание.
- Обращение в суд, если нарушение привело к ущербу или если административного реагирования оказалось недостаточно.
Отдельно стоит вопрос о том, что именно должно быть удалено технически, а не только юридически прекращено — это разобрано в материале «Отзыв согласия — это удаление данных, а не галочка в настройках»: там речь именно про то, какие категории записей должны исчезнуть из систем оператора, а какие могут законно остаться (например, для целей бухгалтерской отчётности).
Частые вопросы
Можно ли отозвать согласие устно? Закон не требует письменной формы как единственно возможной, но устное заявление сложно доказать, если оператор позже станет утверждать, что отзыва не было. На практике лучше использовать письменную форму или форму, дающую подтверждение отправки — электронную форму личного кабинета, письмо с уведомлением, email с запросом подтверждения получения.
За какой срок оператор обязан удалить данные? Ориентир — не более 30 дней с момента получения отзыва, если иной срок не установлен договором или федеральным законом. Если данные обрабатывались и по другому законному основанию помимо согласия, срок и объём удаления касаются только той части, что держалась именно на согласии.
Что будет, если после отзыва согласия данные продолжают использовать? Это нарушение 152-ФЗ, которое можно оспорить через письменную претензию оператору, жалобу в Роскомнадзор или обращение в суд. Наличие фиксированной даты и способа отправки отзыва существенно упрощает доказывание факта нарушения.
Отзыв согласия автоматически удаляет учётную запись? Не обязательно. Отзыв касается именно обработки, основанной на согласии. Если у оператора есть отдельное законное основание хранить учётную запись (например, действующий трудовой договор), сама запись может остаться — удаляется или прекращается только та обработка, что зависела от согласия.
Нужно ли объяснять причину отзыва согласия? Нет, закон не требует указывать причину — право на отзыв не обусловлено объяснением мотивов. Причину можно указать по желанию, но она не влияет на обязанность оператора выполнить отзыв.
Как отзыв согласия работает в отношении медицинских или биометрических данных? По той же статье 9 152-ФЗ, но стоит адресовать заявление именно тому оператору, который вёл конкретную обработку — так как для отдельных категорий данных (например, медицинской документации) действуют собственные требования к срокам хранения, которые не всегда совпадают с общим ориентиром для персональных данных.
Итог
Отзыв согласия на обработку персональных данных — это конкретное юридическое действие с понятной процедурой: уведомить оператора, получить прекращение обработки и, как правило, уничтожение данных в срок до 30 дней. Но у него есть чёткая граница действия — оно останавливает только ту обработку, что держалась именно на согласии, и не отменяет обработку, основанную на других законных обязанностях оператора. Перед тем как подавать заявление об отзыве, полезно понять, к какой именно части данных оно применимо — это экономит время и снимает бессмысленные ожидания от результата.
Смотрите также
- Кому принадлежат данные о вашей работе — какие данные вообще собираются при учёте рабочего времени и на каком основании.
- Учёт рабочего времени сотрудников: способы, риски и выбор системы — как выбрать систему мониторинга, не нарушающую права сотрудников.
Опубликовано: 7 августа 2026 г.