Человек прислал заявление об отзыве согласия. Первая мысль у многих: срочно стереть его отовсюду. Вторая, у других: у нас с ним договор, значит, можно ничего не делать. Ошибочны обе. Отзыв требует быстро разобрать процесс: какие действия держались именно на согласии, а для каких есть другое законное основание.
Что говорит закон
Право отозвать согласие закреплено в части 2 статьи 9 Закона № 152-ФЗ. Там же сказано главное для бизнеса: после отзыва оператор вправе продолжить обработку без согласия, если для нее есть другое основание из статьи 6 закона. Например, исполнение договора с человеком или обязанность по закону.
Получается, отзыв убирает только одно основание, согласие. Все, что держалось на нем, нужно остановить. Все, что держится на чем-то другом, может продолжаться, но строго в пределах той цели.
Отзыв согласия и требование прекратить обработку
Это два разных обращения, хотя люди их часто смешивают.
Отзыв согласия прекращает основание, которое человек раньше дал оператору. Если часть обработки опирается на закон или договор, она продолжается в необходимых пределах.
Требование прекратить обработку рассматривают по отдельным правилам части 5.1 статьи 21. Там свой срок и свой перечень исключений, при которых оператор может продолжать обработку.
Поэтому плохи оба шаблонных ответа: «удалим все сегодня же» и «у нас договор, ничего делать не будем». Первый ломает законные процессы, например бухгалтерию. Второй ведет к жалобе.
Что сделать после получения отзыва
Порядок такой: зарегистрировать отзыв, найти согласие и связанные процессы, проверить другие основания, остановить действия без основания, дать команду подрядчикам, уничтожить ненужные данные, сохранить подтверждение и ответить человеку.
| Шаг | Что проверить |
|---|---|
| Найти согласие | Версию текста, дату, способ получения и заявленные цели |
| Определить процессы | Рассылка, личный кабинет, публикация фото, аналитика, архив |
| Проверить другие основания | Закон, договор или другое основание для конкретного действия |
| Остановить обработку | Отключить рассылку, доступ, публикацию или другой процесс, который держался на согласии |
| Подключить подрядчиков | Передать команду сервисам, которые работают по поручению |
| Подтвердить результат | Акт, журнал системы, ответ заявителю, запись во внутреннем реестре |
Ответ человеку лучше отправить даже тогда, когда закон прямо этого не требует. В нем коротко объясните, что прекращено, что и на каком основании сохраняется и до какого срока. Такой ответ закрывает большую часть будущих претензий.
Какие сроки действуют
| Ситуация | Срок |
|---|---|
| Отозвано согласие на обработку, данные больше не нужны | Прекратить обработку и уничтожить данные не позднее 30 дней с даты получения отзыва (ч. 5 ст. 21) |
| Человек требует прекратить обработку | 10 рабочих дней, продление еще на 5 с мотивированным уведомлением (ч. 5.1 ст. 21) |
| Отозвано согласие на распространение, например на публикацию фото на сайте | Согласие перестает действовать в момент получения требования, публикацию убирают сразу (ч. 12 и 13 ст. 10.1) |
| Человек требует прекратить рекламную рассылку | Немедленно (ч. 1 ст. 18 Закона «О рекламе») |
| Уничтожить в срок технически невозможно | Заблокировать и уничтожить не позднее 6 месяцев (ч. 6 ст. 21) |
Обратите внимание на рекламу. Срок в 30 дней касается уничтожения данных, а не рассылки. Закон «О рекламе» требует прекратить ее немедленно, как только человек об этом попросил. Письмо с акцией, пришедшее через неделю после отписки, вполне может стать поводом для жалобы в ФАС.
Нужно ли удалять договор и бухгалтерские документы
Не всегда. Если закон обязывает хранить документ или данные нужны для действующего договора, отзыв согласия это основание не отменяет. Но использовать сведения для новой цели без отдельного основания уже нельзя.
Пример. Клиент купил в интернет-магазине холодильник, согласился на рассылку, а через полгода отозвал согласие. Магазин останавливает рассылку и удаляет адрес из рекламной базы. Но документы о покупке и оплате остаются в бухгалтерии на установленный срок, а данные для гарантийного обслуживания сохраняются, пока действует гарантия.
Пример с работником. Сотрудник отозвал согласие на обработку данных. Работодатель продолжает вести кадровый учет, платить зарплату и сдавать отчетность: для этого согласие не требуется. А вот фото сотрудника со страницы «Команда» на сайте придется убрать, если оно размещалось по согласию.
Данные не удаляются одной кнопкой «отозвал согласие». Их разделяют по целям и основаниям и прекращают только те процессы, у которых основание пропало.
В какой форме можно отозвать согласие
Закон не устанавливает для отзыва строгую форму. На практике отзыв принимают в той же форме, в которой давалось согласие, или в форме, которая указана в политике. Если согласие давали галочкой на сайте, требовать от человека нотариальное заявление на бумаге неразумно и вызовет вопросы у регулятора.
Удобнее всего дать понятный канал: адрес почты для обращений, форму в личном кабинете, ссылку отписки в каждом письме. Чем проще отозвать согласие, тем меньше жалоб.
Что настроить заранее
- единый адрес или форму для обращений;
- журнал согласий с версиями текста;
- связь каждого согласия с целями и системами;
- порядок команды на удаление для подрядчиков;
- способ фиксировать результат;
- ответственного и того, кто его заменяет.
Если этот маршрут настроен, сроки соблюдаются без аврала. Законные процессы спокойно продолжаются, а риск жалобы и штрафа за проигнорированный отзыв падает. Штраф, кстати, вполне ощутимый: за обработку без законного основания юридическому лицу грозит от 150 000 до 300 000 рублей по части 1 статьи 13.11 КоАП.
Частые вопросы
Человек нажал «отписаться» в рассылке. Это отзыв согласия?
Да, отзыв согласия на рекламную рассылку. Рассылку прекращают сразу. Остальная обработка, например исполнение заказа, продолжается, если у нее есть свое основание.
Можно ли отказать в услуге, если человек отозвал согласие?
Если услуга невозможна без обработки данных и другого основания нет, продолжить ее не получится. Но для большинства услуг основанием служит сам договор с человеком, а не согласие, так что отзыв согласия на договор не влияет.
Нужно ли уведомлять Роскомнадзор об отзыве согласия?
Нет. Отзыв касается отношений оператора и человека. Регулятору сообщают только об изменении сведений в уведомлении, например если цель обработки прекратилась целиком.
Что делать, если человек отозвал согласие, а данные уже переданы подрядчику?
Передать подрядчику команду на прекращение обработки и удаление и получить подтверждение. Ответственность перед человеком все равно на операторе.