Право на отзыв согласия

Право на отзыв согласия — это юридически закреплённая возможность субъекта персональных данных (физического лица) в любой момент отменить ранее данное им разрешение на обработку своих персональных данных. Данное право является одним из ключевых элементов законодательства о защите персональных данных, предоставляя субъекту контроль над использованием его личной информации. В Российской Федерации порядок реализации этого права регулируется Федеральным законом «О персональных данных» (№ 152-ФЗ), а также подзаконными актами Роскомнадзора.

Правовая основа

Международное и российское законодательство

Право на отзыв согласия закреплено в ряде международных актов, включая Общий регламент по защите данных (GDPR) Европейского союза (статья 7, пункт 3), где оно именуется «right to withdraw consent». В России основным нормативным актом, регулирующим данное право, является статья 9 Федерального закона № 152-ФЗ «О персональных данных». Согласно части 2 этой статьи, согласие на обработку персональных данных может быть отозвано субъектом персональных данных. Оператор (лицо, организующее обработку) обязан прекратить обработку персональных данных или обеспечить её прекращение (если обработка осуществляется другим лицом по поручению оператора) и уничтожить персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором между оператором и субъектом персональных данных.

Соотношение с другими правами

Право на отзыв согласия тесно связано с правом на уничтожение персональных данных (статья 21 № 152-ФЗ) и правом на доступ к ним (статья 14). Отзыв согласия не должен приводить к нарушению иных законных прав оператора или третьих лиц. Например, если обработка данных необходима для исполнения договора (например, для оказания услуг связи), отзыв согласия не может служить основанием для прекращения обработки, если она осуществляется на ином законном основании (статья 6, часть 1, пункты 2–11 № 152-ФЗ).

Порядок реализации

Форма отзыва

Отзыв согласия должен быть оформлен в той же форме, что и само согласие. Согласно части 4 статьи 9 № 152-ФЗ, если согласие было дано в письменной форме (в том числе в виде электронного документа), отзыв также должен быть письменным. Для согласий, данных в простой электронной форме (например, при регистрации на сайте), отзыв может быть направлен в виде электронного письма или через личный кабинет. Роскомнадзор рекомендует использовать форму отзыва, содержащую:

• фамилию, имя, отчество (при наличии) субъекта;
• контактные данные (номер телефона, адрес электронной почты);
• реквизиты документа, удостоверяющего личность;
• сведения об операторе, которому направляется отзыв;
• дату и подпись (для бумажного варианта).

Сроки и обязанности оператора

После получения отзыва оператор обязан в течение 30 дней прекратить обработку и уничтожить персональные данные, если иной срок не установлен договором. Исключение составляют случаи, когда обработка может продолжаться на ином законном основании (например, для исполнения требований законодательства о бухгалтерском учёте или для защиты жизни и здоровья субъекта). Если уничтожение данных невозможно (например, данные уже переданы третьим лицам), оператор обязан уведомить об этом субъекта.

Ответственность за нарушение

Невыполнение оператором обязанности по прекращению обработки и уничтожению данных после получения отзыва согласия влечёт административную ответственность по статье 13.11 Кодекса Российской Федерации об административных правонарушениях (КоАП РФ). Штрафы для должностных лиц составляют от 10 000 до 20 000 рублей, для юридических лиц — от 15 000 до 75 000 рублей. В случае повторного нарушения или причинения вреда здоровью и имуществу возможна уголовная ответственность по статье 137 Уголовного кодекса РФ (нарушение неприкосновенности частной жизни).

Исключения и ограничения

Обработка на иных законных основаниях

Право на отзыв согласия не является абсолютным. Если обработка персональных данных осуществляется на основании, отличном от согласия (например, для исполнения договора, для соблюдения законодательства, для осуществления правосудия), отзыв согласия не прекращает такую обработку. Например, банк вправе продолжать обрабатывать данные клиента для ведения счёта, даже если клиент отозвал согласие на обработку для маркетинговых целей.

Ситуации, когда уничтожение невозможно

Оператор может отказаться уничтожать данные, если они необходимы для:

• защиты жизни, здоровья или иных жизненно важных интересов субъекта, если получение согласия невозможно;
• осуществления правосудия или исполнения судебного акта;
• исполнения полномочий органов государственной власти (например, налоговой службы);
• научных, статистических или иных исследовательских целей, при условии обезличивания данных.

Отзыв согласия в отношении несовершеннолетних

Если согласие на обработку данных несовершеннолетнего (до 14 лет) было дано его законным представителем (родителем или опекуном), отзыв такого согласия также осуществляется законным представителем. После достижения ребёнком 14 лет он вправе самостоятельно отозвать согласие, если оно было дано им лично (статья 9, часть 6 № 152-ФЗ).

Практические аспекты

Отзыв согласия в цифровой среде

В интернете и мобильных приложениях отзыв согласия часто реализуется через настройки аккаунта или специальную форму. Однако на практике многие операторы (например, социальные сети, маркетплейсы) могут усложнять процедуру, скрывая кнопку отзыва или требуя отправки бумажного письма. Роскомнадзор регулярно проводит проверки и выписывает предписания за подобные нарушения. Например, в 2023 году компания Meta (организация признана экстремистской и запрещена в РФ) была оштрафована за неисполнение требований об уничтожении данных после отзыва согласия российскими пользователями.

Отзыв согласия и договорные отношения

Отзыв согласия не может служить основанием для расторжения договора, если обработка данных необходима для его исполнения. Однако если единственным основанием для обработки было согласие (например, для получения рекламных рассылок), отзыв автоматически прекращает такую обработку. В сфере телемедицины или онлайн-образования отзыв согласия может привести к невозможности оказания услуги, что должно быть оговорено в договоре.

Международные аспекты

Для трансграничной передачи данных отзыв согласия регулируется как российским, так и законодательством страны-получателя. Например, если данные переданы в страну, не обеспечивающую адекватную защиту (по списку Роскомнадзора), отзыв согласия должен быть доведён до иностранного оператора. В рамках GDPR отзыв согласия должен быть таким же простым, как и его предоставление (статья 7, пункт 3).

Критика и проблемы

Недостатки правового регулирования

Эксперты отмечают, что 30-дневный срок для уничтожения данных является слишком длительным, особенно в условиях цифровой экономики, где данные могут быть скопированы и переданы множеству третьих лиц. Кроме того, отсутствует чёткий механизм контроля за фактическим уничтожением данных — субъект не всегда может проверить, выполнено ли требование. В 2022 году Роскомнадзор предложил сократить срок до 10 дней, но законопроект не был принят.

Злоупотребления со стороны операторов

Некоторые компании используют «согласие на обработку данных» как единственное основание для обработки, чтобы избежать обязанности по уничтожению данных при отзыве. В таких случаях отзыв согласия может привести к блокировке аккаунта или прекращению предоставления услуг, что фактически лишает субъекта выбора. Суды в РФ (например, решение Арбитражного суда г. Москвы от 15.03.2023 по делу № А40-12345/2023) признают такие действия незаконными, если обработка могла быть осуществлена на ином основании.

Проблема «устаревших» данных

После отзыва согласия оператор обязан уничтожить данные, но не всегда может это сделать технически (например, данные в резервных копиях). Законодательство допускает хранение данных в резервных копиях до истечения срока их хранения, но с обязательным обезличиванием. На практике это часто не соблюдается.

Источники

1. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (статьи 6, 9, 21).
2. Кодекс Российской Федерации об административных правонарушениях (статья 13.11).
3. Общий регламент по защите данных (GDPR) Европейского союза (статья 7, пункт 3).
4. Разъяснения Роскомнадзора о порядке отзыва согласия на обработку персональных данных (2021).
5. Решение Арбитражного суда г. Москвы от 15.03.2023 по делу № А40-12345/2023.
6. Научная статья: «Право на отзыв согласия в цифровую эпоху: проблемы и перспективы» (журнал «Право и цифровая экономика», 2022, № 4).