Отзыв согласия на обработку персональных данных - законное право субъекта, а не формальность. В 2026 году суды и Роскомнадзор всё чаще рассматривают споры о том, как быстро оператор обязан прекратить обработку и удалить данные после отзыва, и что происходит, если он этого не делает. Разберём, какие позиции сложились в практике и что это значит для владельцев сайтов.
Коротко
- Субъект вправе отозвать согласие на обработку персональных данных в любой момент - это прямо следует из ст. 9 152-ФЗ.
- После отзыва оператор обязан прекратить обработку и уничтожить данные, если нет иного законного основания их хранить (ст. 21 ч. 4 152-ФЗ).
- Суды всё чаще встают на сторону субъектов, если оператор игнорирует запрос или не может подтвердить факт уничтожения данных.
- Формальная кнопка "отписаться" или "отозвать согласие" на сайте должна реально останавливать обработку, а не просто скрывать форму.
- За нарушение порядка обработки после отзыва согласия предусмотрена административная ответственность по ст. 13.11 КоАП РФ.
Право на отзыв согласия: что говорит закон
Статья 9 152-ФЗ закрепляет право субъекта персональных данных отозвать ранее данное согласие в любой момент - без объяснения причин и независимо от того, каким способом согласие было дано изначально. Отзыв может быть оформлен в свободной форме: письмом, обращением через личный кабинет, электронной формой на сайте. Ключевой момент, который подтверждает практика: оператор не вправе требовать от субъекта дополнительных обоснований или усложнять процедуру отзыва по сравнению с процедурой дачи согласия.
Отдельно суды обращают внимание на ситуации, когда согласие было получено через один канал (например, форму на сайте), а отозвать его предлагается только по почте или через личный визит в офис. Такая асимметрия расценивается как создание искусственных препятствий для реализации права субъекта.
Обязанности оператора после получения отзыва
Согласно ст. 21 ч. 4 152-ФЗ, если согласие отозвано и нет иного законного основания для обработки (например, исполнение договора или обязанность, установленная другим федеральным законом), оператор обязан прекратить обработку персональных данных и уничтожить их. Практика показывает, что суды и надзорный орган оценивают не только факт получения запроса, но и то, как оператор его исполнил:
| Этап | Что проверяется |
|---|---|
| Приём отзыва | Наличие канала для подачи, отсутствие искусственных барьеров |
| Прекращение обработки | Остановка рассылок, таргетинга, передачи третьим лицам |
| Уничтожение данных | Фактическое удаление из всех систем, включая резервные копии и базы подрядчиков |
| Подтверждение | Возможность оператора документально подтвердить исполнение запроса |
Отдельно стоит отметить требования ст. 18.1, которая обязывает оператора принимать меры для соблюдения закона, включая внутренние процедуры обработки обращений субъектов. Отсутствие такой процедуры само по себе становится основанием для претензий, даже если конкретный отзыв согласия формально был обработан.
Что говорит правоприменительная практика
В спорах, доходящих до суда, чаще всего фигурируют две ситуации. Первая - оператор продолжает присылать рекламные рассылки или сохраняет данные в маркетинговых базах после отзыва согласия, ссылаясь на "техническую задержку" обновления системы. Вторая - оператор не может документально подтвердить, что данные действительно уничтожены, а не просто помечены как "неактивные" в базе.
Общая тенденция: формальное наличие функции отзыва согласия на сайте не освобождает оператора от ответственности, если фактическая обработка данных продолжается. Суды также учитывают требования ст. 19 о принятии организационных и технических мер защиты - если оператор не может показать, каким образом данные субъекта были найдены и удалены во всех системах, это расценивается как недостаток внутренних процессов, а не как техническая случайность.
Наличие формы отзыва согласия на сайте - это необходимое, но не достаточное условие соответствия закону. Важен результат: обработка данных должна реально прекратиться.
Ответственность за нарушение порядка отзыва
Обработка персональных данных без надлежащего согласия или после его отзыва подпадает под ст. 13.11 КоАП РФ. В зависимости от характера нарушения применяются разные части статьи:
| Норма | Нарушение | Штраф для юрлица |
|---|---|---|
| ч. 1 ст. 13.11 КоАП | Обработка ПД без законных оснований, в том числе без согласия | 10 000 - 30 000 руб. |
| ч. 2 ст. 13.11 КоАП | Обработка данных без согласия в письменной форме, когда она обязательна | 60 000 - 100 000 руб. |
| ч. 2.1 ст. 13.11 КоАП | Повторное аналогичное нарушение | 100 000 - 300 000 руб. |
Если продолжение обработки после отзыва согласия связано с утечкой или неправомерной передачей данных, к делу могут добавиться иные основания ответственности, включая оборотные штрафы за утечку персональных данных, действующие с 30 мая 2025 года и рассчитываемые в процентах от выручки оператора.
Связанные обязанности: регистрация и контроль
Для операторов, ведущих обработку персональных данных с использованием автоматизации, актуальны также требования ст. 22 и 22.1 о подаче уведомления в Роскомнадзор. Это уведомление фиксирует, какие данные и с какой целью обрабатываются - и именно на его основании надзорный орган впоследствии оценивает, соответствует ли реальная практика (в том числе порядок работы с отзывом согласия) заявленной. Полномочия Роскомнадзора по проверке операторов закреплены в ст. 23 152-ФЗ.
Что проверить у себя на сайте
- Есть ли на сайте понятный способ отозвать согласие на обработку персональных данных - не сложнее, чем способ его дать.
- Прекращается ли реально обработка данных после отзыва: рассылки, ретаргетинг, передача третьим лицам.
- Удаляются ли данные из всех систем, включая CRM, email-сервисы, резервные копии и базы подрядчиков.
- Ведётся ли учёт обращений субъектов персональных данных, включая отзывы согласия.
- Есть ли внутренний регламент, описывающий порядок действий сотрудников при получении отзыва.
- Актуально ли уведомление в Роскомнадзоре, если состав обрабатываемых данных изменился.
- Может ли компания документально подтвердить факт и дату уничтожения данных по конкретному обращению.
- Учтены ли исключения, когда данные нужно сохранить по требованию другого закона (например, для бухгалтерского или налогового учёта).
Частые вопросы
Может ли субъект отозвать согласие без объяснения причин?
Да, ст. 9 152-ФЗ не требует от субъекта обоснования отзыва. Оператор не вправе отказать в приёме отзыва из-за отсутствия причины.
Обязан ли оператор сразу удалить все данные после отзыва согласия?
Не всегда. Если есть другое законное основание для хранения данных - например, исполнение договора или требование иного федерального закона, - обработка в этой части может продолжаться в рамках ст. 21 152-ФЗ.
Что делать, если данные продолжают использоваться после отзыва согласия?
Это может рассматриваться как нарушение ст. 21 152-ФЗ и повлечь ответственность по ст. 13.11 КоАП РФ. Субъект вправе обратиться с жалобой в Роскомнадзор или в суд.
Нужно ли как-то подтверждать факт уничтожения персональных данных?
Практика показывает, что операторам стоит фиксировать факт и дату уничтожения данных внутренним актом или логом системы - это снижает риски при проверке.
Распространяется ли право на отзыв на согласие, данное через cookie-баннер?
Да, если через cookie-баннер собирается согласие на обработку персональных данных, на него распространяются те же правила отзыва, что и на любое другое согласие.
Если вы хотите понять, насколько порядок работы с согласиями и их отзывом на вашем сайте соответствует требованиям закона, можно начать с бесплатного аудита сайта - он покажет, на что стоит обратить внимание в первую очередь.