Алгоритм действий компании при отзыве согласия:
- Принять заявление субъекта — в письменной или электронной форме.
- Зарегистрировать обращение во внутренней системе (журнал входящей корреспонденции, CRM и т. п.).
- Проанализировать основания обработки:
- если данные обрабатывались только на основании согласия (например, рассылка, реклама) → обработку прекратить и данные уничтожить/обезличить;
- если обработка основана на законе или договоре (кадровый учёт, налоговая отчётность, бухгалтерия) → данные можно продолжить хранить и использовать в установленных пределах.
- Уведомить субъекта о прекращении обработки или о законных основаниях продолжения (срок — до 30 дней).
- Документально зафиксировать действия (акт уничтожения данных, отметка в личном деле, запись в журнале).
Обоснование по законодательству
- Ст. 9 ФЗ-152, ч. 5 — субъект вправе отозвать согласие, оператор обязан прекратить обработку, если нет иных оснований.
- Ст. 5 ФЗ-152 — данные должны храниться не дольше, чем этого требуют цели обработки.
- Ст. 21 ФЗ-152 — оператор обязан обеспечивать соблюдение прав субъектов.
- Ст. 14 ФЗ-152 — субъект имеет право требовать уничтожения данных, обрабатываемых незаконно или избыточно.
Практика проверок Роскомнадзора
Компания не прекратила рекламную рассылку после отзыва согласия клиентом. Роскомнадзор оштрафовал за незаконную обработку ПДн.
В банке клиент отозвал согласие, но учреждение продолжило хранить его данные в кредитной истории. Проверка подтвердила правомерность: хранение требовалось законом, а не согласием.
Важный нюанс
Отзыв согласия не освобождает организацию от хранения данных, если это прямо предписано законом:
- кадровые документы (хранятся по Трудовому кодексу и архивному законодательству до 75 лет);
- бухгалтерские документы (ФЗ «О бухгалтерском учёте», срок хранения — не менее 5 лет);
- налоговые документы (Налоговый кодекс).
Рекомендации и выводы
Организации при отзыве согласия нужно:
- Проверить основания обработки и прекратить её, если они отсутствуют.
- Уничтожить или обезличить данные, которые обрабатывались только на основании согласия.
- Продолжить хранение тех данных, которые нужны по закону или договору.
- Зафиксировать действия документально и уведомить субъекта.
- Прописать порядок действий при отзыве согласия в комплекте документов по 152-ФЗ.
Компания ICTech поможет вашей организации разработать регламент действий при отзыве согласий, подготовить формы актов и уведомлений, а также встроить процесс в пакет документов по ФЗ-152. Это позволит законно работать с персональными данными и быть готовыми к проверкам Роскомнадзора.
