Клиент отозвал согласие на обработку персональных данных: что сделать за 30 дней и что можно оставить

Когда клиент отзывает согласие на обработку персональных данных, оператор обязан прекратить обработку и, если хранить данные больше незачем, уничтожить их: закон отдельно называет срок - не более тридцати дней с даты, когда отзыв поступил (ч. 5 ст. 21 152-ФЗ). Если по этому же клиенту ещё действует договор - например, заказ не доставлен, - часть данных оператор вправе оставить: отзыв согласия сам по себе не отменяет других законных оснований для обработки.

Рассылка уходит клиентам годами, а вопрос «что мы обязаны сделать, если попросят это прекратить» всплывает только тогда, когда об этом прямо написали. Дальше начинается путаница: «отпишите меня от писем» и «уничтожьте мои данные» - для владельца сайта разные действия с разными сроками, и закон их не смешивает.

У Полины небольшой интернет-магазин мыла и свечей ручной работы: сайт на конструкторе, форма подписки на рассылку и таблица с телефонами и адресами покупателей для доставки заказов. Одна из клиенток написала в сообщения сообщества: «отпишите меня от рассылки и вообще удалите мои данные, я не помню, чтобы на это соглашалась». Заказ у неё в этот момент ещё не доставлен - и Полина растерялась, что теперь можно хранить, что нужно стереть и за сколько дней это нужно успеть. Разберём, что закон требует от оператора при отзыве согласия и чем это отличается от требования прекратить обработку напрямую.

Отозвать согласие можно в любой момент - это право клиента, а не привилегия

Закон не ограничивает отзыв согласия особыми условиями и не требует объяснять причину. Субъект персональных данных вправе отозвать согласие в любой момент, а закон отдельно уточняет, что происходит дальше: оператор не обязан автоматически прекращать любую обработку, если для неё есть другое законное основание, помимо согласия (ч. 2 ст. 9 152-ФЗ).

Для Полины это выглядит так: рассылку она обязана прекратить сразу, потому что согласие на неё клиентка как раз и отозвала. А адрес доставки и телефон, пока заказ не завершён, оператор вправе использовать дальше - обработка данных, которая нужна для исполнения уже заключённого договора, законна и без отдельного согласия (п. 5 ч. 1 ст. 6 152-ФЗ).

Тридцать дней: что именно обязан сделать оператор

Главная норма темы - ч. 5 ст. 21 152-ФЗ. Она разделяет два действия оператора, и это разделение имеет значение: прекратить обработку нужно всегда, а уничтожать данные - только если их дальше нечем оправдать.

Прекращение обработки означает, что персональные данные клиента больше не используют для той цели, на которую было согласие: рассылку не отправляют, звонки по этому поводу не делают, в новые выгрузки для маркетинга такой адрес не попадает. Уничтожение - отдельный шаг, и закон обуславливает его прямо: данные уничтожают, если их сохранение больше не требуется для целей обработки. Если ту же запись всё ещё держит договор - не уничтожают, а хранят ровно в объёме, нужном для этого договора.

Тридцать дней - срок на весь путь целиком, а не на первый шаг из двух. Оператор, который за неделю выключил рассылку, но два месяца не трогал саму запись в базе без всякой связи с договором, формально пропустил дедлайн ничуть не меньше, чем тот, кто вообще не отреагировал на отзыв.

Не только отзыв: рядом есть ещё одна тридцатидневная обязанность

Соседняя часть той же статьи - ч. 4 ст. 21 152-ФЗ - выглядит почти как близнец: тот же срок, то же требование прекратить обработку и уничтожить данные. Разница в одном слове - в триггере. Здесь основание не отзыв согласия, а то, что цель обработки уже достигнута: заказ выполнен, гарантия закончилась, дальше хранить данные незачем без всякого заявления клиента.

Массовые статьи про персональные данные часто сливают эти две нормы в одну строку «данные удаляют через тридцать дней» - и теряют главное: у каждой свой момент, с которого срок начинает течь. У ч. 4 это дата достижения цели, у ч. 5 - дата, когда отзыв фактически поступил оператору. Спутать даты - значит либо удалить данные раньше, чем положено по договору, либо продержать их дольше законного срока.

Быстрее тридцати дней: прямое требование прекратить обработку

В законе есть третий, более быстрый механизм, и его легко перепутать с отзывом согласия. Субъект вправе обратиться к оператору напрямую с требованием прекратить обработку - без формальной отсылки к согласию вообще. Срок на такое обращение короче: не более десяти рабочих дней с даты получения требования, с возможностью продлить его ещё на пять рабочих дней, если оператор направит клиенту мотивированное уведомление о причине продления (ч. 5.1 ст. 21 152-ФЗ, действует с 2022 года).

Разница на практике: клиентка Полины написала именно отзыв согласия в свободной форме, а не формальное требование прекратить обработку - на такое сообщение и распространяется тридцатидневный срок, а не десятидневный. Если бы формулировка была ближе к прямому требованию, отсчёт пошёл бы быстрее.

Когда отзыв не значит «удалите вообще всё»

Самая частая ошибка небольших сайтов - воспринимать отзыв согласия как команду стереть клиента из системы целиком, включая незавершённый заказ.

У Полины ситуация ровно такая: заказ в пути, доставка привязана к адресу и телефону из той же записи. Правильный порядок - разделить данные по цели. Из базы для рассылки клиентку убирают немедленно: это то согласие, которое она отозвала. Адрес и телефон, привязанные к текущему заказу, оператор вправе хранить до его завершения на основании самого договора - и это не нарушение ч. 5 ст. 21 152-ФЗ, а как раз пример исключения, о котором она прямо говорит.

Что грозит, если тридцать дней прошли, а данные всё ещё в работе

Закон не называет отдельный номер части статьи 13.11 КоАП РФ специально для просрочки именно этих тридцати дней - это не то же самое, что штраф за отсутствие политики или согласия. Но если оператор продолжает использовать данные клиента для рассылки после того, как обязан был прекратить это и не сделал, такая обработка перестаёт быть законной сама по себе.

Такую просрочку почти всегда обнаруживает сам клиент: письмо от рассылки, из которой просили убрать, - самая наглядная улика, которая доходит до жалобы в Роскомнадзор куда чаще, чем абстрактное «а вдруг данные где-то лежат». Полная лестница штрафов по персональным данным - в статье Штрафы за персональные данные.

Как это выглядит на практике для небольшого сайта

Технически у Полины нет отдела, который занимается только отзывами согласий, - есть она сама и таблица с контактами. Порядок действий на такой случай простой:

1. Зафиксировать дату отзыва - не дату, когда руки дошли ответить, а дату самого сообщения от клиента.
2. Сразу исключить контакт из рассылки и любых будущих маркетинговых выгрузок - это касается согласия, которое отозвали, и ждать тридцать дней тут не нужно.
3. Проверить, есть ли по этому клиенту незавершённый договор: доставка, гарантия, возврат. Если есть - оставить ровно те данные, которые нужны для его исполнения, и не трогать остальное.
4. Уничтожить то, что не привязано к действующему договору, до истечения тридцати дней с даты отзыва - и не тянуть с этим до конца срока просто потому, что формально время ещё есть.

Полина в итоге сделала так: отключила клиентку от рассылки в тот же день, а адрес и телефон оставила в системе до подтверждения доставки - с пометкой в таблице, что данные нужно удалить сразу после закрытия заказа.

С чего начать

Если в этой истории узнали свою форму подписки или свою CRM-таблицу - разбираться в сроках задним числом дороже, чем настроить процесс заранее: одна строка в инструкции для себя о том, что делать при отзыве согласия, и пометка, какие данные привязаны к незакрытым заказам. Таблицу Полины сканер не видит, это внутренняя кухня владельца сайта. Раз уж вы настраиваете процесс, посмотрите заодно, что видно снаружи. Проверьте сайт бесплатно: сканер проверит, есть ли на сайте политика, нашлись ли в ней разделы о правах клиента и сроках хранения данных, стоит ли у формы подписки галочка согласия. Около минуты, без регистрации, у находок - норма, а где есть штраф, его потолок.

Частые вопросы

Клиент написал «отпишите меня от рассылки» - это уже отзыв согласия?

Да, если рассылка шла именно на основании его согласия. Прекратить отправку писем нужно сразу, а не ждать тридцать дней - этот срок дан на весь путь до уничтожения данных, а не на первый шаг.

Можно ли просто не отвечать клиенту, если данные и так скоро удалятся сами?

Нет. Закон не ставит условием получение подтверждения от оператора - обязанность прекратить обработку и, где нужно, уничтожить данные возникает с момента поступления отзыва, а не с момента ответа клиенту (ч. 5 ст. 21 152-ФЗ).

Нужно ли удалять данные, если по клиенту ещё не закрыт заказ?

Нет, не полностью. Данные, нужные для исполнения уже заключённого договора, оператор вправе хранить и обрабатывать без согласия на этом основании (п. 5 ч. 1 ст. 6 152-ФЗ). Отзыв согласия убирает именно согласие как основание, а не отменяет договор.

Чем отзыв согласия отличается от требования прекратить обработку?

Сроком и формулировкой. Отзыв согласия даёт оператору тридцать дней (ч. 5 ст. 21 152-ФЗ). Прямое требование прекратить обработку - отдельный, более быстрый механизм: десять рабочих дней с возможным продлением на пять (ч. 5.1 ст. 21 152-ФЗ).

С какой даты считать тридцать дней?

С даты, когда отзыв фактически поступил оператору, а не с даты, когда его прочитали или на него ответили. Отдельно отсчитывается похожий срок при достижении цели обработки - там точка отсчёта другая: сам факт достижения цели, а не отзыв (ч. 4 ст. 21 152-ФЗ).

Что будет, если пропустить тридцать дней?

Отдельного штрафа именно за просрочку этого срока кодекс не называет, но дальнейшая обработка данных без действующего основания подпадает под общий состав - обработку в случаях, не предусмотренных законодательством (ч. 1 ст. 13.11 КоАП РФ, для компании от 150 000 до 300 000 рублей).

Достаточно ли устного отзыва в сообщении или звонке?

Закон не требует для отзыва согласия той же формы, что и для самого согласия. Форма отзыва отдельно не оговорена - оператору важно зафиксировать сам факт и дату обращения, а не настаивать на конкретном канале.

Источники

Ссылки на 152-ФЗ - ред. от 26.07.2026, на КоАП РФ - ред. от 04.07.2026.

• Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных» - полный текст
• Ст. 9 152-ФЗ - согласие на обработку, ч. 2
• Ст. 21 152-ФЗ - обязанности оператора, ч. 4, ч. 5, ч. 5.1
• Ст. 6 152-ФЗ - основания обработки, п. 5 ч. 1
• Кодекс РФ об административных правонарушениях от 30.12.2001 N 195-ФЗ - полный текст
• Ст. 13.11 КоАП РФ - ч. 1
• Примечание к ст. 2.4 КоАП РФ - ответственность ИП

Нормы сверены по первоисточникам 13 сентября 2026 года.