Как обработать отзыв согласия на обработку персональных данных: порядок и шаблон ответа

Заявление об отзыве согласия на обработку персональных данных приходит обычно в худший из возможных дней: в разгар рассылки, в момент, когда база уже загружена в новый сервис, или сразу после того, как юрист ушёл в отпуск.

Я за 17 лет в корпоративном ИТ и аудите видела, как处理 такие письма кладут в общую папку "разобрать позже", и потом компания объясняет проверяющим, почему данные человека обрабатывались полгода после отзыва.

Разберу порядок действий и дам шаблон ответа, который можно взять и применить в тот же день.

Сначала о правовой рамке, коротко и без пересказа всего закона.

Отзыв согласия регулируется статьёй 9 Федерального закона 152-ФЗ: субъект персональных данных вправе отозвать согласие в любой момент, и с момента отзыва оператор обязан прекратить обработку данных, которая велась на основании этого согласия.

Ключевое слово здесь "на основании": законных оснований для обработки несколько, и согласие лишь одно из них.

Почему отзыв нельзя просто положить в папку

Согласие в системе закона устроено как добровольная сделка: человек дал разрешение, человек его снял. Пока разрешение действовало, обработка была правомерной; после отзыва та же самая обработка становится неправомерной. Разница в основании, на котором вы их держите.

Отзыв часто означает удаление данных, если обработка велась только на основании согласия, а закон требует уничтожать всё, что обрабатывалось на этом основании.

Уничтожать приходится только те данные и ту обработку, которые держались исключительно на согласии.

Скажем, имя и телефон клиента нужны для исполнения договора поставки, и отзыв согласия на рассылку не обязывает вас удалять их из учётной системы, но обязывает немедленно вычеркнуть человека из рекламной базы.

Спрос на эту тему устойчивый: на 01.10.2026 в поиске Дзена по запросу "отзыв согласия на обработку персональных данных" нашлось 20 материалов, охват набрали 5, у самого читаемого 73374 просмотра.

Люди ищут порядок действий и образец, и в большинстве статей находят пересказ закона без ответа на главный вопрос оператора: что конкретно сделать в понедельник утром, когда письмо уже лежит во входящих.

Порядок действий оператора

Первый шаг, с которого всё начинается: зафиксируйте дату получения отзыва. Именно эта дата запускает сроки, и именно её вы будете называть в ответе и, если дойдёт до проверки, в объяснениях.

Дата на входящем документе, отметка в почтовой системе, штамп канцелярии, подойдут любые доказуемые способы, главное, чтобы дата совпадала с моментом получения письма.

Второй шаг: проверьте личность заявителя. Отзыв должен исходить от того самого человека, чьи данные вы обрабатываете, либо от его законного представителя.

Если заявление пришло по электронной почте с адреса, который есть в вашей базе, этого обычно достаточно; если адрес неизвестен, запросите подтверждение личности в рамках порядка, который описан в вашей политике обработки данных.

На этом этапе частая ошибка: оператор, боясь проверки, требует паспортные данные и нотариальные доверенности от каждого заявителя, что избыточно и само по себе выглядит как издевательство.

Третий шаг: сверьте, какие данные и для каких целей вы обрабатываете по этому человеку. Здесь нужен честный взгляд на свои системы: рассылка, аналитика, реклама, профилирование, передача партнёрам.

По каждой цели ответьте себе на один вопрос: держится ли эта обработка только на согласии. Если да, обработку прекращаете, данные уничтожаете, о чём делаете запись. Если есть другое законное основание, обработка в этих пределах продолжается.

Четвёртый шаг: уведомите тех, кому вы передавали данные. Если согласие было основанием передачи данных третьим лицам, например сервису рассылок или рекламной площадке, об отзыве нужно сообщить и им, чтобы данные не жили дальше уже без всякого основания. Пятый шаг: направьте ответ заявителю по шаблону, о нём ниже.

Сроки. Статья 21 закона 152-ФЗ обязывает оператора прекратить обработку и уничтожить данные в течение 30 дней с даты получения отзыва, если другой срок не установлен законом; ответ на обращение субъекта даётся в течение 10 рабочих дней с возможностью продления ещё на 5 рабочих дней при направлении мотивированного уведомления.

Я советую укладываться в 10 рабочих дней на всё: письмо, уничтожение, уведомления третьих лиц, ответ. Тридцать дней это потолок закона, ориентиром для внутренней работы должна быть рабочая неделя.

Когда можно отказать, а когда нельзя

Отказать в приёме отзыва нельзя: согласие добровольно, и момент его отзыва определяет человек. Отказать можно в прекращении конкретной обработки, если она ведётся по законному основанию, пережившему отзыв. Это и есть главная развилка, от которой зависит текст вашего ответа.

Пример механики. Человек отзывает согласие на обработку персональных данных, при этом остаётся вашим действующим клиентом с подписанным договором.

Данные для исполнения договора, бухгалтерии, налоговой отчётности вы обрабатывать продолжаете, потому что этого требует закон и договор, а вот из рекламных баз и аналитических профилей его вычёркиваете полностью.

В ответе честно разделяете одно и другое: что прекратили и уничтожили, что продолжаете обрабатывать и на каком основании. Такой ответ не выглядит как отписка.

Отдельно про маркетинг, потому что здесь ломается чаще всего.

Прямые договоры, которые человек заключил на рассылку, отзыв согласия не разрывает автоматически: их расторгают отдельным заявлением, и часто человек пишет отзыв согласия, имея в виду "отпишите меня от всего".

В ответе корректно подсказать разницу и предложить способ отключить рассылку, это снимает следующий конфликт.

Частые ошибки, которые я встречаю на проверках

Первая: ответ на отзыв пишут шаблонной фразой "ваше обращение рассмотрено" без перечня уничтоженного и без дат. Такой ответ не доказывает ничего.

Вторая: уничтожают всё подряд, включая данные, которые обязаны хранить по закону, и через год не могут подтвердить сделку перед налоговой.

Третья: забывают уведомить третьих лиц, и данные человека продолжают обрабатываться в сервисе рассылок уже нелегально, хотя сам оператор формально чист.

Четвёртая: не ведут журнал отзовов, и при проверке не могут показать, когда получали заявления и что делали. Журнал решает это одной таблицей: дата получения, заявитель, что уничтожено, кому направлены уведомления, дата ответа.

Возьмите шаблон, подставьте свои данные в квадратные скобки. Он покрывает обе ветки развилки: полное прекращение обработки и продолжение по законным основаниям, ненужную ветку удалите.

Возьмите шаблон, подставьте свои данные в квадратные скобки. Он покрывает обе ветки развилки: полное прекращение обработки и продолжение по законным основаниям, ненужную ветку удалите.

Кому: [ФИО заявителя] Адрес: [почтовый адрес или электронная почта заявителя] От: [наименование оператора], [адрес, ИНН/ОГРН]

Ответ на заявление об отзыве согласия на обработку персональных данных от [дата заявления], полученное [дата получения оператором].

Настоящим сообщаем, что согласие на обработку персональных данных, данное вами [дата согласия], отозвано, и с даты получения вашего заявления обработка персональных данных, осуществлявшаяся на основании данного согласия, прекращена.

Персональные данные, обрабатывавшиеся исключительно на основании отозванного согласия, уничтожены [дата уничтожения], а именно: [перечень категорий данных]. Уничтожение зафиксировано [реквизиты записи журнала].

Уведомление об отзыве согласия направлено лицам, которым персональные данные передавались на основании согласия: [перечень получателей, при отсутствии строку удалить].

Обработка следующих данных продолжается на законных основаниях, независимых от согласия: [категории данных] в целях [цели] на основании [договор, требование закона, ссылка на норму].

Обращаем внимание, что действие прямых договоров на информационную рассылку отзыв согласия не прекращает; для их расторжения направьте заявление способом, указанным в договоре.

Настоящий ответ дан в срок, установленный частью 5 статьи 21 Федерального закона от 27.07.2006 N 152-ФЗ.

[Должность уполномоченного лица] [ФИО], [подпись, дата]

Три вещи, которые превращают этот шаблон в документ: реальная дата получения и уничтожения; конкретный перечень уничтоженных категорий данных; подпись лица, уполномоченного на обработку данных, с реквизитами приказа, если такой приказ у вас есть.

Если отзовов становится больше, чем ваш сотрудник успевает обработать вручную, эту рутину можно передать боту: приём заявления, фиксация даты, автоматическая проверка по базе, черновик ответа по шаблону, запись в журнал. Посмотреть, как устроена проверка процессов и документов, можно здесь: аудит персональных данных по 152-ФЗ PROMAREN.

Вопросы, которые задают чаще всего

Сколько времени есть у оператора на ответ по закону?

По статье 21 закона 152-ФЗ данные, обрабатывавшиеся только на основании согласия, уничтожаются в течение 30 дней с даты получения отзыва, если законом не установлен другой срок.

Ответ на обращение субъекта направляется в течение 10 рабочих дней, с возможностью продления ещё на 5 рабочих дней по объективным причинам и с уведомлением заявителя о продлении.

Может ли оператор отказать человеку в отзыве согласия?

В самом отзыве отказать нельзя, потому что согласие добровольно и отзывается в любой момент. Отказать можно только в прекращении конкретной обработки, если у оператора есть законное основание, которое переживает отзыв: исполнение договора, требование закона, защита прав в суде, и это основание нужно назвать в ответе заявителю.

Нужно ли уведомлять третьих лиц об отзыве согласия?

Да, если данные передавались получателям на основании согласия. После отзыва передавать согласие нельзя, а получатели обязаны прекратить обработку, поэтому оператор направляет им уведомление и фиксирует это в журнале.

Проверьте полномочия представителя: доверенность или законное представительство, как это описано в вашей политике обработки данных, и если они подтверждены, обработайте отзыв в общем порядке от имени субъекта.

Если полномочия не подтверждены, запросите документы, при этом срок ответа считается с даты получения отзыва, поэтому запрос лучше отправлять в первые дни.

Проверьте полномочия представителя: доверенность или законное представительство, как это описано в вашей политике обработки данных.

Если полномочия подтверждаются, отзыв обрабатывается в общем порядке от имени субъекта; если нет, запросите документы, при этом срок ответа считается с даты получения отзыва, поэтому запрос лучше отправлять в первые дни.

Что проверить у себя уже сегодня

Найдите вашу политику обработки персональных данных и проверьте, описан ли в ней порядок отзыва согласия: куда человек пишет заявление, каким способом подтверждает личность, в какой срок получает ответ.

Затем проверьте, ведётся ли журнал отзовов, и если его нет, заведите таблицу с колонками: дата получения, заявитель, перечень уничтоженного, уведомления третьим лицам, дата ответа.

И последнее: положите шаблон ответа туда, где его найдёт сотрудник, который первым откроет письмо с отзывом, потому что именно он определяет, уложитесь ли вы в срок.

Случались ли у вас ситуации, когда после отзыва согласия приходила проверка, и к чему она цеплялась сильнее всего?

Новые разборы выходят в моём канале: t.me/promaren.