Отзыв согласия и удаление персональных данных: сроки и обязанности оператора
Человек написал «отзываю согласие и требую удалить мои данные» — и у компании включается несколько разных сроков одновременно. Разбираем, чем отзыв согласия отличается от требования прекратить обработку и от запроса о данных, в какие сроки нужно ответить, что удалять нельзя по другим законам и какими документами подтверждается уничтожение.
Четыре разных обращения, которые постоянно путают
Письмо от человека может содержать сразу всё: «предоставьте мои данные, отзываю согласие, прекратите обработку, удалите всё». Юридически это четыре самостоятельных требования с разными сроками и разными последствиями. Сначала разложите обращение на составляющие — иначе легко нарушить срок по одному из них, ответив вовремя по другому.
| Обращение | Что обязан сделать оператор | Срок и норма |
|---|---|---|
| Запрос о наличии данных и ознакомление с ними | Сообщить, обрабатываются ли данные, и предоставить сведения в доступной форме | 10 рабочих дней, продление до 5 рабочих дней с мотивированным уведомлением — ч. 3 ст. 14, ч. 1 ст. 20 |
| Отзыв согласия | Прекратить обработку, которая держалась на согласии, и уничтожить данные, если их хранение больше не требуется | 30 дней — ч. 5 ст. 21 |
| Требование прекратить обработку | Прекратить обработку, кроме случаев, когда она ведётся по иным основаниям | 10 рабочих дней, продление до 5 — ч. 5.1 ст. 21 |
| Требование уточнить, заблокировать или уничтожить данные | Заблокировать на время проверки, затем уточнить или уничтожить | Уточнение — 7 рабочих дней; прекращение неправомерной обработки — 3 рабочих дня — ч. 1–3 ст. 21 |
Сроки по статьям 14, 20 и по частям 2, 3 и 5.1 статьи 21 считаются в рабочих днях, а сроки уничтожения по частям 4 и 5 статьи 21 — в календарных. Путаница в этом месте — самая частая причина формального просрочивания.
Что на самом деле означает отзыв согласия
Согласие — лишь одно из оснований обработки. Если оно отозвано, оператор по части 2 статьи 9 вправе продолжить обработку без согласия, когда есть другое основание из пунктов 2–11 части 1 статьи 6: исполнение договора, стороной которого является человек, исполнение обязанности, возложенной законом, защита жизни и здоровья, осуществление правосудия и так далее.
«Клиент отозвал согласие — значит, компания обязана стереть о нём всё и немедленно».
Прекращается та обработка, которая держалась на согласии: как правило, это рассылки, маркетинговые профили, аналитика. Данные, необходимые для исполнения действующего договора и для исполнения обязанностей, возложенных на компанию законом, продолжают обрабатываться на другом основании. Уничтожению по части 5 статьи 21 подлежат данные, хранение которых больше не требуется для целей обработки, — и на это даётся 30 дней.
Практический разбор ситуации: клиент интернет-магазина отзывает согласие. Компания убирает его из рассылок и рекламных сегментов, но сведения о совершённых заказах остаются в бухгалтерском учёте, потому что этого требует законодательство о бухучёте, а не согласие клиента. Ответ человеку должен именно так и звучать: что прекращено, что сохранено и на каком основании.
Сроки одной таблицей
| Ситуация | Срок | Норма |
|---|---|---|
| Предоставить сведения по запросу | 10 рабочих дней (+5 с мотивированным уведомлением) | ч. 3 ст. 14, ч. 1 ст. 20 |
| Прекратить обработку по требованию субъекта | 10 рабочих дней (+5) | ч. 5.1 ст. 21 |
| Уточнить неточные данные | 7 рабочих дней с даты представления сведений | ч. 2 ст. 21 |
| Прекратить неправомерную обработку | 3 рабочих дня с даты выявления | ч. 3 ст. 21 |
| Уничтожить, если правомерность обеспечить невозможно | 10 рабочих дней с даты выявления | ч. 3 ст. 21 |
| Уничтожить после отзыва согласия | 30 дней | ч. 5 ст. 21 |
| Уничтожить по достижении цели обработки | 30 дней | ч. 4 ст. 21 |
| Если уничтожить в срок невозможно | Блокирование и уничтожение не позднее 6 месяцев | ч. 6 ст. 21 |
| Уведомить Роскомнадзор об утечке | 24 часа о факте, 72 часа о результатах расследования | ч. 3.1 ст. 21 |
Что удалять нельзя
Право человека на удаление ограничено обязанностями компании по другим законам. Отказ в этой части законен, но его нужно мотивировать — назвать основание и срок хранения.
Обращения субъектов закрываются процессом: маршрут по системам, шаблоны ответов, журнал сроков, акты об уничтожении. Мы описываем этот процесс под конкретные системы компании и оформляем во внутренние документы — разработка документов для сайта и компании. Проверить, где сейчас теряются сроки и данные, можно аудитом по 152-ФЗ.
Чем подтверждается уничтожение данных
Ответить «мы всё удалили» недостаточно: часть 7 статьи 21 отсылает к требованиям Роскомнадзора, а они установлены приказом от 28.10.2022 № 179, который действует с 1 марта 2023 года по 1 марта 2029 года. Состав подтверждающих документов зависит от того, как ведётся обработка.
Акт по пункту 3 Требований должен содержать десять сведений: наименование и адрес оператора; данные лица, обрабатывавшего сведения по поручению, если такое поручение было; сведения о субъекте, чьи данные уничтожены; ФИО, должность и подпись тех, кто уничтожил данные; перечень категорий уничтоженных данных; наименование материального носителя с количеством листов; наименование информационной системы, из которой данные удалены; способ уничтожения; причину; дату. Акт, подписанный электронной подписью, равнозначен бумажному. Выгрузка из журнала содержит сведения о субъекте, категориях данных, системе, причине и дате; если чего-то в ней нет — недостающее вносится в акт.
Акт об уничтожении и выгрузка из журнала хранятся три года с момента уничтожения данных. Это тот самый документ, который просят предъявить, когда человек жалуется, что его данные «всё ещё где-то есть».
Как выстроить процесс
Ошибки, которые дорого стоят
Данные действительно удалили, но акта нет. Подтвердить факт нечем, а требования к подтверждению установлены нормативно.
По требованию клиента стёрли сведения, которые компания обязана хранить по бухгалтерскому или архивному законодательству. Нарушение одного закона в попытке исполнить другой.
Из своей CRM данные удалены, а в рассылочном сервисе и у колл-центра остались. Перед субъектом отвечает оператор, а не исполнитель.
Ответ на запрос отправлен на 12-й календарный день — в рабочих днях срок ещё не истёк, но уверенности в этом у компании не было. Бывает и наоборот: 30 дней на уничтожение ошибочно считают рабочими.
Обращение осталось без ответа в расчёте, что человек не пойдёт дальше. Именно такие обращения чаще всего превращаются в жалобу в Роскомнадзор — и в проверку, которая находит остальное.
Непредоставление информации субъекту — от 40 000 до 80 000 ₽ для юрлица (ч. 4 ст. 13.11 КоАП), невыполнение требования об уточнении, блокировании или уничтожении — от 50 000 до 90 000 ₽, а повторно — от 300 000 до 500 000 ₽ (ч. 5 и 5.1). Разбор остальных составов — в материале о штрафах по 152-ФЗ.
Частые вопросы об отзыве согласия и удалении данных
В какой форме человек может отозвать согласие?
Сколько времени есть на ответ?
Обязаны ли удалить всё после отзыва согласия?
Нужно ли составлять акт при каждом удалении?
Что делать, если данные остались в резервных копиях?
Можно ли отказать в удалении?
Связанные материалы
Процесс работы с обращениями — под ваши системы
Описываем маршрут обращения, сроки и ответственных, готовим формы ответов и акты об уничтожении, увязываем всё с политикой, согласиями и договорами с подрядчиками.