Субъект персональных данных вправе в любой момент отозвать своё согласие на обработку — это прямо закреплено законом и обычно упоминается в политике конфиденциальности одной строкой: «вы вправе отозвать согласие, направив запрос на такой-то адрес». Формально требование выполнено, практически — многие компании понятия не имеют, что делать, когда такой запрос действительно приходит, и путь от письма до реального удаления данных может не работать вовсе.

Что должно происходить после отзыва

После получения запроса на отзыв согласия оператор обязан прекратить обработку данных и, если нет других законных оснований для их сохранения, уничтожить их — в разумный срок, обычно ориентируются на 30 дней, аналогично общему сроку рассмотрения обращений граждан. «Прекратить обработку» не означает мгновенное удаление из всех систем в момент получения письма, но означает, что дальнейшее активное использование данных (звонки, рассылки, аналитика) должно остановиться сразу.

Что можно оставить, даже если согласие отозвано

Отзыв согласия не означает автоматического удаления абсолютно всего. Если есть другое законное основание для хранения — например, обязанность хранить бухгалтерские документы пять лет, или незавершённый судебный спор с этим клиентом, — соответствующие данные можно и нужно сохранить именно в объёме, необходимом для этой отдельной цели, прекратив при этом их использование для всего остального (рассылок, аналитики, маркетинга).

Практическая реализация на сайте

  • Понятный канал для запроса. Отдельный адрес почты или форма именно для запросов по персональным данным — не общая почта поддержки, где такое письмо легко потеряется среди прочих обращений.
  • Внутренний регламент, кто и как обрабатывает такие запросы. Даже в маленькой компании должно быть понятно: кто получает такие письма и что с ними делает дальше — это как раз часть обязанностей ответственного за обработку персональных данных.
  • Чек-лист систем, где искать данные конкретного человека. Сайт, CRM, сервис рассылок, резервные копии — без этого списка невозможно гарантировать полное исполнение запроса.
  • Подтверждение исполнения. Короткий ответ заявителю о том, что запрос обработан, — не юридически обязательный элемент во всех случаях, но снижает риск повторных жалоб и претензий.

Самообслуживание против запроса на почту

Более зрелый вариант реализации — дать пользователю возможность самому отписаться от рассылки одним кликом (обязательно для email-маркетинга по закону «О рекламе») и, если у сайта есть личный кабинет, — кнопку удаления аккаунта, которая запускает тот же процесс автоматически, без ручной переписки. Для сайтов без личного кабинета обращение на почту с понятным откликом — рабочий и достаточный вариант, если реально соблюдается.

Что грозит за нерабочий механизм отзыва

Если человек присылает запрос на отзыв согласия, а компания продолжает присылать ему рассылку или звонить, это формирует отдельную, легко доказуемую жалобу — у заявителя на руках есть и первоначальный запрос, и доказательство того, что данные продолжили использовать. Такие случаи регулярно доходят до Роскомнадзора именно потому, что их легко задокументировать со стороны пострадавшего.