Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: октябрь 2026. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
Во вторник утром в общий ящик магазина приходит письмо на три строки: «Я отзываю согласие на обработку моих персональных данных. Удалите всё». Через два часа менеджер уже ответил «Хорошо, сделаем», а в CRM по-прежнему висит карточка клиента с адресом, телефоном и историей заказов. Один из заказов, кстати, ещё едет к покупателю.
Отзыв согласия на обработку персональных данных — одна из самых недооценённых ситуаций в работе оператора. Её не отрабатывают заранее, потому что «у нас такое ещё не случалось». А потом случается, и выясняется, что срок уже идёт, а кто за что отвечает, никто не знает.
Что говорит закон об отзыве согласия
Право отозвать согласие закреплено в ст. 9 152-ФЗ: субъект может сделать это в любой момент. Причины объяснять не нужно. Обязанность оператора — в ч. 5 ст. 21: прекратить обработку и уничтожить данные в срок, не превышающий 30 дней с даты, когда отзыв поступил.
Тридцать дней — это именно срок на отзыв. Не путайте его с другими. Семь рабочих дней по ст. 21 ч. 1 относятся к другой ситуации: оператор выяснил или ему доказали, что данные неполны, неточны либо обрабатываются незаконно. А 30 дней по ст. 20 ч. 3 — это срок на предоставление информации по запросу субъекта. Три срока, три разных триггера. Подробно о запросах мы писали в материале как отвечать на запросы субъектов персональных данных.
Есть и оговорка, ради которой многие вообще читают эту норму. Уничтожать данные нужно, если иное не предусмотрено договором, стороной которого является субъект, и если оператор не вправе обрабатывать их без согласия на основаниях ст. 6, 10 и 11. Иными словами, отзыв согласия не отменяет других законных оснований.
Когда обработку можно продолжить
Согласие — только одно из оснований обработки по ст. 6. Если в вашем процессе есть другое, отзыв подействует лишь на ту часть, которая держалась на согласии.
Три типовых случая.
Договор. Интернет-магазин доставляет заказ. Адрес и телефон нужны, чтобы исполнить договор купли-продажи, и пока он исполняется, основание у вас есть (ст. 6 ч. 1 п. 5). Клиент отозвал согласие в день отправки? Заказ доставляете, данные для него сохраняете.
Закон. Бухгалтерские первичные документы нужно хранить не менее пяти лет по 402-ФЗ. Кадровые документы бывшего сотрудника хранятся по перечням Росархива, и сроки там измеряются годами, а иногда десятилетиями. Налоговые и страховые обязанности тоже требуют сохранять часть сведений. Это основание из ст. 6 ч. 1 п. 2, согласие тут вообще ни при чём. О том, как считать эти сроки, подробно в статье про срок хранения и акт об уничтожении.
Законные интересы и иные основания. Например, суд или спор с клиентом: данные нужны для защиты прав. Но здесь осторожнее: ссылаться на «законный интерес» стоит, только если вы заранее зафиксировали его в документах.
Что нельзя делать при любом основании: использовать сохранённые данные для целей, которые держались только на согласии. Клиент, отозвавший согласие на рассылку, остаётся в базе заказов, но в рассылку больше не попадает. Ни завтра, ни через «не успели вычистить сегмент».
Что именно отозвано: разбираем по целям
Первая ошибка оператора — читать отзыв как «удалите всё». Клиент может отзывать конкретное согласие, а не все сразу. Поэтому первое действие по любому отзыву — выяснить, какие цели и какие данные под ним лежали.
Типичная картина у небольшого бизнеса: одно согласие на сайте покрывает и обработку заявки, и рассылку, и передачу в сервис SMS. Если вы собирали его одним чекбоксом, все цели связаны вместе, и разбираться придётся долго. Правильнее держать согласия раздельными — тогда отзыв рассылки не затрагивает договор. Как это оформить, описано в разборе про согласие на обработку персональных данных.
Отдельно про маркетинг. Ст. 15 152-ФЗ допускает обработку данных для продвижения товаров по прямым контактам только при предварительном согласии, и субъект вправе потребовать прекратить её в любой момент. Практика очевидна: отзыв «нет рассылкам» исполняется сразу, а не в течение месяца. Подробнее о механике отписки — в статье про email-маркетинг и 152-ФЗ.
И отдельно про согласие на распространение. Оно оформляется самостоятельным документом по ст. 10.1, а не по ст. 9, и действует иначе. Субъект вправе потребовать прекратить передачу и распространение данных, и действие такого согласия прекращается с момента, когда требование дошло до оператора. Если вы разместили фото клиента в соцсетях или ФИО сотрудника на сайте, снимать публикацию нужно оперативно, не дожидаясь исхода тридцатого дня.
Как принять отзыв: пошаговый порядок
Для отзыва закон не устанавливает единую форму. Он может прийти письмом на почту, заявлением, сообщением в мессенджере, звонком в поддержку. Поэтому внутренний порядок должен учитывать, что менеджер увидит его первым.
- Зафиксируйте дату и канал. Срок идёт с даты поступления отзыва. Скриншот, входящий номер, отметка в журнале — любое подтверждение. Без него вы не докажете ни соблюдение срока, ни его начало.
- Установите личность. Если отзыв пришёл с другого адреса, а не с того, который есть в базе, уточните данные. Иначе можно удалить чужую карточку или раскрыть информацию постороннему.
- Определите, что отозвано. Какие цели, какие системы. Отзывает один из трёх — рассылку, личный кабинет или всё сразу.
- Проверьте другие основания. Есть ли незавершённый договор, обязательное хранение по закону, судебный спор. Запишите результат в журнал, это ваш аргумент при проверке.
- Остановите обработку немедленно. Исключите из рассылок, закройте доступ сотрудникам, которым данные были нужны только для отозванной цели. Уничтожение может занять время, прекращение использования — нет.
- Уничтожьте то, что подлежит уничтожению. В CRM, в почте, в таблицах «на всякий случай», в резервных копиях по их циклу. Не забудьте процессоров: если вы передавали данные подрядчику по договору поручения, ему тоже нужно направить указание.
- Ответьте человеку. Письменно, коротко: что остановлено, что уничтожено, что осталось и на каком основании. Это лучший способ погасить жалобу в Роскомнадзор.
- Оформите акт и запись в журнале.
Ошибки, которые ловит проверка
Самые частые сценарии, когда отзыв превращается в штраф.
Менеджер ответил, но ничего не сделал. Ответ клиенту есть, обработка идёт. Жалоба в Роскомнадзор в таком случае почти гарантированно подтвердится: запись переписки показывает, что вы знали.
Удалили из CRM, но остались в почтовом сервисе. Рассылка продолжает работать из внешней системы, которую никто не вспомнил. Отсюда правило: к реестру обработки нужен перечень систем, куда данные попадают. Об этом в разборе про реестр обработки персональных данных.
Требовали заявление на бумаге. Человек написал в мессенджер, ему ответили «приходите в офис с паспортом». Закон такой формы для отзыва не требует, а отказ принять его в удобном канале выглядит как препятствие праву субъекта.
Нет основания для продолжения обработки, но данные не уничтожены. Здесь работает ч. 1 ст. 13.11 КоАП: обработка без правового основания — для юрлиц штраф от 150 000 до 300 000 ₽. Это не самое страшное из возможных нарушений, но проверка редко ограничивается одним пунктом.
Что делать прямо сейчас
Откройте свой реальный процесс и ответьте на три вопроса. Кто в компании первым увидит отзыв? Где лежат данные клиента, помимо CRM? Есть ли у вас письменный порядок, по которому всё это можно остановить и уничтожить за 30 дней? Если хотя бы на один вопрос ответа нет, отзыв случится раньше, чем вы подготовитесь. Хватит двух страниц внутренней инструкции, журнала отзывов и шаблона ответа.
Знаете ли вы, во скольких системах лежат данные ваших клиентов? Запустите бесплатный аудит на соответствие 152-ФЗ → Аудит покажет, какие формы и сервисы на сайте собирают данные и на каком основании, а значит, что именно придётся останавливать при отзыве.
Нормативные акты: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ст. 6, 9, 10.1, 15, 20, 21); КоАП РФ, ст. 13.11 (в редакции ФЗ № 420-ФЗ от 30.11.2024); Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте».