Что такое отзыв согласия на обработку персональных данных и когда его можно оформить
Отозвать согласие на обработку персональных данных может любой человек, чьи данные вы обрабатываете, — клиент, подписчик рассылки, посетитель, оставивший заявку через форму на сайте. Сделать это можно в любой момент: без объяснения причин и без вашего разрешения. Право на отзыв согласия закреплено в ч. 2 ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (действующая редакция от 24.06.2025).
Речь не только о паспортных данных или биометрии. Отозвать можно согласие на обработку самых обычных сведений — имени, телефона, e-mail, — которые человек оставил в форме заявки на сайте. Что именно закон относит к персональным данным, разбираем отдельно в статье «Что считается персональными данными».
У темы отзыва согласия всегда два адресата. Первый — субъект персональных данных, который решил отозвать своё согласие и не знает, что будет дальше. Второй — оператор, то есть владелец сайта или бизнес, который получил такое заявление и обязан на него отреагировать по закону. Дальше в статье фокус именно на обязанностях оператора: что нужно сделать, в какие сроки и чего делать не нужно.
Отозвали согласие — данные удалят мгновенно? Главное заблуждение
Самое частое заблуждение о том, как работает отзыв согласия: «отозвал — значит, всё обо мне немедленно удалят». На практике это не так, и разочарование потом бьёт по обеим сторонам — и по человеку, ожидавшему полного удаления, и по бизнесу, который либо перестраховался и удалил лишнее, либо, наоборот, не удалил то, что был обязан.
Закон прямо разрешает оператору продолжить обработку без согласия, если для этого есть другое законное основание. Дословно: оператор вправе продолжить обработку персональных данных «при наличии оснований, указанных в пунктах 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11» 152-ФЗ (ч. 2 ст. 9). Проще говоря: согласие — не единственное законное основание обрабатывать данные, просто самое частое.
Для малого и среднего бизнеса чаще всего актуален один пункт — п. 5 ч. 1 ст. 6: исполнение договора, стороной которого является сам субъект. Если человек отозвал согласие на рассылку или общую обработку в CRM, но у вас с ним есть незакрытый заказ, действующий договор или гарантийные обязательства — данные, нужные именно для их исполнения, продолжать обрабатывать можно и нужно.
Важно: отзыв согласия не означает автоматическое и полное удаление всех данных. Если продолжать обработку «по привычке», не проверив, есть ли другое законное основание, легко нарушить закон сразу в обе стороны — либо незаконно хранить лишнее, либо удалить то, что обязаны хранить по другому закону (подробности — в следующем разделе).
Сроки после отзыва согласия: 30 дней на прекращение обработки, до 6 месяцев на уничтожение
Основной срок для оператора — 30 календарных дней с даты поступления отзыва. За это время нужно закрыть две разные задачи, и путать их нельзя.
- Прекратить обработку персональных данных — обязанность безусловная: 30 дней, и точка (ч. 5 ст. 21 152-ФЗ).
- Уничтожить сами данные — обязанность условная: только если «сохранение персональных данных более не требуется для целей обработки» (та же ч. 5 ст. 21). Если основание хранить данные ещё есть — см. следующий раздел — уничтожать их немедленно не нужно.
Что если технически уничтожить данные за 30 дней невозможно — например, они лежат в резервных копиях или в базе подрядчика? Закон даёт легальный «предохранитель»: данные нужно заблокировать и уничтожить в срок не более 6 месяцев, если иной срок не установлен другими федеральными законами (ч. 6 ст. 21 152-ФЗ).
И ещё один нюанс, о котором часто забывают: сам факт уничтожения данных нужно подтверждать по требованиям Роскомнадзора (ч. 7 ст. 21 152-ФЗ). Практический вывод — не просто «удалить и забыть», а зафиксировать это документально: актом или логом с датой.
| Обязанность оператора | Срок | Норма |
|---|---|---|
| Прекратить обработку персональных данных | 30 календарных дней | ч. 5 ст. 21 152-ФЗ |
| Уничтожить данные, если хранить больше не для чего | 30 календарных дней | ч. 5 ст. 21 152-ФЗ |
| Если уничтожить сразу технически нельзя — блокировка и уничтожение | до 6 месяцев | ч. 6 ст. 21 152-ФЗ |
| Отдельно: если это не отзыв, а прямое требование прекратить обработку | 10 рабочих дней | ч. 5.1 ст. 21 152-ФЗ — разница разобрана ниже |
Пока разбираемся со сроками — самое время бесплатно посмотреть, что уже настроено на вашем сайте по 152-ФЗ.Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтКогда данные можно и нужно хранить дальше, несмотря на отзыв согласия
Возвращаемся к главному заблуждению из предыдущего раздела — и разбираем на конкретных примерах, что именно позволяет не удалять данные немедленно.
| Основание для хранения | Срок | Норма |
|---|---|---|
| Бухгалтерский учёт | не менее 5 лет после отчётного года | ст. 29 402-ФЗ «О бухгалтерском учёте» |
| Налоговый учёт | не менее 4 лет | ст. 23 НК РФ |
| Действующий договор или гарантийные обязательства | до исполнения обязательств | п. 5 ч. 1 ст. 6 152-ФЗ |
| Судебный спор с участием этого человека | до завершения разбирательства | п. 3, 3.1 ч. 1 ст. 6 152-ФЗ |
Честная формула для этих случаев: оператор обязан прекратить избыточную обработку — рассылки, аналитику, передачу данных третьим лицам, — но вправе и обязан хранить именно ту часть данных, ради которой есть отдельное законное основание, до истечения соответствующего срока.
Что делать, когда пришло заявление на отзыв согласия: чек-лист для сайта
Закон не требует конкретного бланка — заявление на отзыв согласия можно подать в свободной форме. Роскомнадзор даёт практическую рекомендацию: отзывать согласие лучше тем же способом, каким оно давалось. Если согласие оформлялось через форму на сайте — заявление можно принимать через ту же форму или e-mail, указанный в контактах и политике конфиденциальности.
Заявление можно подать в свободной форме — жёсткого бланка закон не требует. Главное, чтобы было понятно, кто и что именно просит прекратить обрабатывать.
- Принять заявление — тем же каналом, каким давалось согласие.
- Проверить, есть ли иное законное основание продолжать обработку (см. разделы выше — ст. 6, 10, 11 152-ФЗ).
- Прекратить избыточную обработку — рассылки, аналитику, передачу третьим лицам — в течение 30 дней.
- Уничтожить данные, если хранить больше не для чего, либо задокументировать законное основание для дальнейшего хранения.
- Зафиксировать факт исполнения — актом или логом, с датой.
Отозвать можно только то согласие, которое было получено правильно. Если на сайте вообще нет нормального чекбокса согласия на обработку персональных данных, доказать сам факт согласия — а значит, и его отзыв — сложнее для обеих сторон. Как правильно оформить чекбокс в форме заявки, разбираем в отдельной статье.
Ещё один нюанс: закон прямо обязывает указывать способ отзыва в тексте самого согласия только для письменной формы (ч. 4 ст. 9 152-ФЗ) — это узкие случаи вроде специальных категорий персональных данных или биометрии. Для обычного чекбокса на сайте прямой обязанности прописывать «как отозвать согласие» в 152-ФЗ нет. Но это разумная и распространённая практика, которая снижает и юридический риск, и число лишних обращений «а как мне отозваться».
Не путать: отзыв согласия и похожие права — cookies, рассылка, «право на забвение»
Отзыв согласия — не единственная норма, которая внешне звучит похоже на «прекратите обрабатывать мои данные». Разложим по полочкам, чтобы не перепутать сроки и обязанных лиц.
Есть отдельное «требование о прекращении обработки» — ч. 5.1 ст. 21 152-ФЗ, срок реакции короче: 10 рабочих дней, а не 30 календарных, как при отзыве согласия. Формально это другое основание обращения, хотя для бизнеса оба обращения выглядят одинаково — «не обрабатывайте больше мои данные». Безопасная логика: если человек прямо ссылается на ранее данное согласие — считайте применимой ч. 5 (30 дней); если формулирует шире, без упоминания согласия («немедленно прекратите обработку») — безопаснее реагировать по более короткому сроку.
Ещё одно смежное право — требовать уточнить, заблокировать или уничтожить данные, если они неполные, устаревшие, неточные или незаконно получены (ст. 14 152-ФЗ). Это не про отзыв согласия, а про качество и законность самих данных — другой сценарий обращения.
Отзыв согласия на cookies и аналитику (например, Яндекс Метрику) — частный случай той же логики (ч. 2 ст. 9, ч. 5 ст. 21), но механика на практике другая: обычно это делается через настройки cookie-баннера или браузера, а не через заявление в свободной форме. Подробнее — в отдельной статье про cookie-баннер по закону.
Отдельно стоит право требовать прекратить именно рекламную рассылку — оно закреплено в ст. 18 закона «О рекламе» (38-ФЗ), а не в 152-ФЗ. Это более узкий, самостоятельный случай, который мы разбираем в статье про согласие на рекламную рассылку.
И главное разграничение раздела — «право на забвение» (ст. 10.3 149-ФЗ «Об информации…»). Его часто путают с отзывом согласия, но это другой институт: обязанное лицо — оператор поисковой системы (Яндекс, Google), а не владелец сайта; предмет требования — скрытие ссылки из выдачи, а не прекращение обработки данных компанией.
| Институт | Кто обязан среагировать | Что происходит | Закон и срок |
|---|---|---|---|
| Отзыв согласия | Оператор ПДн (владелец сайта/компания) | Прекращение обработки в своей базе, при необходимости — уничтожение данных | 152-ФЗ (ч. 2 ст. 9, ч. 5 ст. 21) — 30 дней / до 6 месяцев |
| Право на забвение | Оператор поисковой системы | Скрытие ссылки из поисковой выдачи | 149-ФЗ (ст. 10.3) — 10 рабочих дней (+10 на уточнение) |
Что грозит за игнорирование отзыва согласия — и как проверить сайт
Честно: точный номер части ст. 13.11 КоАП РФ, который применяется именно к сценарию «продолжили обрабатывать данные после отзыва согласия», закон прямо не называет — юристы расходятся в трактовке, официального разъяснения Роскомнадзора по этому конкретному случаю не найдено.
Важно: точный номер части ст. 13.11 КоАП для сценария «продолжили обработку после отзыва согласия» законом прямо не назван. В зависимости от конкретных обстоятельств нарушения суммы для юрлица варьируются от 150 000–300 000 ₽ (общий состав, ч. 1) до 300 000–500 000 ₽ при повторном нарушении (ч. 5.1). Подробный разбор всех сумм — в статье «Штрафы Роскомнадзора в 2026 году».
Громких, проверяемых по первоисточникам судебных кейсов именно про игнорирование отзыва согласия малым или средним бизнесом за 2025–2026 год мы не нашли — это не значит, что риска нет, просто именная публичная практика по такому сценарию пока не тиражирована. При этом штрафы за персональные данные — не абстракция: в 2025 году, по данным ComNews со ссылкой на Роскомнадзор, только за утечки было вынесено 6 штрафов на 570 тыс. руб. при 118 зафиксированных случаях компрометации баз.
Проверьте пять признаков, что на вашем сайте отзыв согласия не работает по закону:
- В политике или тексте согласия вообще не сказано, как отозвать согласие.
- Единственный канал отзыва — бумажная почта, хотя само согласие давалось на сайте.
- Внутри компании нет ответственного, кто получает и обрабатывает такие заявления.
- Нет журнала или лога, где фиксируется факт отзыва и дата исполнения.
- При получении заявления компания продолжает обработку «по привычке» — рассылки, реклама — без проверки, есть ли ещё законное основание.
Если по итогам чек-листа не до конца понятно, как обстоят дела именно на вашем сайте, — есть более быстрый способ разобраться, чем перечитывать закон вручную: бесплатная проверка сайта на соответствие 152-ФЗ покажет, что уже настроено правильно, а что нужно доделать.