Заявление об отзыве согласия на обработку персональных данных
Форма, которой человек отзывает ранее данное согласие, и точка, с которой у оператора начинается тридцатидневный срок на прекращение обработки.
Зачем нужен документ
Согласие можно отозвать в любой момент и без объяснения причин — это право безусловное. Практический вопрос начинается сразу после: что именно должно произойти в организации, когда отзыв получен.
Ответ неочевиден, потому что согласие — лишь одно из оснований обработки. Рядом с ним живут договор, требование закона, защита интересов оператора. Если данные обрабатываются ещё и на другом основании, отзыв согласия эту часть обработки не прекращает: клиента нельзя стереть из бухгалтерских документов, а работника — из кадровых.
Отсюда назначение формы. Она нужна, чтобы человек указал, что именно он отзывает, а оператор мог дать точный ответ: это прекращено и уничтожено, а вот это продолжается и вот на каком основании. Молчаливое «удалили всё» и молчаливое «у нас договор» одинаково плохи — оба оставляют человека без ответа.
Чем грозит отсутствие
Само по себе отсутствие формы не наказуемо. Наказуемо то, что происходит после отзыва: обработка, которая должна была прекратиться, но не прекратилась.
Повторное нарушение в течение года переводит разговор в другой масштаб: для юридического лица от 300 000 до 500 000 ₽. Это важно понимать компаниям с массовыми рассылками — там отзывы приходят потоком, и одна и та же техническая причина порождает не одно нарушение, а серию.
Как ещё называют этот документ
Что должно быть в документе
Форма короткая. Её задача — не собрать максимум сведений, а сделать отзыв однозначным: понятно, кто отзывает, что именно и с какого момента.
Требования законодательства
Как связан с другими документами
Отзыв — обратная сторона согласия, поэтому он опирается на те же документы, что и сбор, только читает их в другую сторону.
Когда обновлять документ
Форму правят вслед за тем, как меняются каналы, по которым люди отзывают согласие, и системы, из которых их приходится убирать.
Что спросит проверяющий
Тема почти всегда всплывает от жалобы: человек отозвал согласие и продолжает получать письма. Проверка идёт по одному конкретному случаю и очень быстро.
Разбор эксперта
Отзыв согласия — самая недооценённая процедура в комплекте. На аудитах мы спрашиваем: что происходит, когда клиент присылает отзыв? И слышим один из двух ответов. Первый: «удаляем клиента» — и это неверно, потому что вместе с рассылкой улетают документы по исполненным сделкам, которые организация обязана хранить. Второй: «у нас же договор, значит, ничего не меняется» — и это неверно тоже, потому что договор покрывает исполнение обязательств, но не покрывает рекламу. Правильный ответ всегда состоит из двух частей: вот это прекращаем, вот это продолжаем и вот почему.
Второе — про то, где на самом деле ломается процесс. Почти никогда не в юридической части. Ломается в системах: учётную запись погасили, а рассылочный сервис ведёт свой список, колл-центр работает по выгрузке месячной давности, подрядчик хранит копию базы. Человек отозвал согласие, получил вежливый ответ и через неделю снова получил письмо. С точки зрения регулятора это доказанное нарушение, и доказательство предоставила сама организация. Поэтому в правилах должен стоять перечень всех мест, откуда данные убираются, а не общая фраза о прекращении обработки.
И третье, короткое, но денежное. Тридцать дней — это не «до конца месяца», а тридцать дней с даты поступления отзыва, и считать их надо от даты письма, а не от даты, когда его прочитали. При потоке отзывов техническая причина порождает серию однотипных нарушений, а повторность в течение года поднимает штрафы для компании до полумиллиона. Дешевле один раз построить процесс, чем объяснять, почему одно и то же повторилось двести раз.
Сделайте форму короткой и обязательно предусмотрите частичный отзыв — только рассылка, только обзвон. Всегда отвечайте человеку, даже когда обработка законно продолжается, и называйте основание конкретно. Ведите перечень систем, из которых убираются данные, включая подрядчиков. Фиксируйте в журнале две даты — поступления отзыва и фактического прекращения. И заранее решите, что уничтожать нельзя: кадровые и бухгалтерские документы отзывом согласия не отменяются.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Нет. Право отозвать согласие безусловно. Отказать можно в уничтожении данных, если есть другое законное основание их обрабатывать.
В течение тридцати дней с даты поступления отзыва, если сохранение данных больше не требуется для целей обработки и не предусмотрено иное.
Нет. Отзыв в свободной форме действует точно так же; форма лишь упрощает обеим сторонам понимание того, что именно отозвано.
Продолжать обработку в этой части и письменно объяснить человеку, какая часть прекращена, а какая продолжается и на каком основании.
Да. Человек вправе прекратить, например, только рекламную рассылку, оставаясь клиентом; форма должна такую возможность предусматривать.
В части рекламных целей — фактически да, и безопаснее обрабатывать её как отзыв, фиксируя дату.
Только те, что обрабатывались исключительно на основании согласия и больше не нужны для целей обработки. Уничтожение подтверждается актом.
Может, но кадровый учёт ведётся на основании закона, поэтому прекратится лишь та часть обработки, которая держалась на согласии.