Отзыв согласия на обработку персональных данных

Право субъекта персональных данных обратиться в компанию и попросить прекратить обработку его личной информации, предоставленной ранее.

Это может сделать любой пользователь любого сервиса, интернет-магазина или другого продукта/компании, которая собирает персональные данные.

Что считается персональными данными? Любая информация, по которой можно идентифицировать пользователя, привязанная к адресу электронной почты и другим данным.

Полезные термины:

ПДн — персональные данные
ИСПДн — информационные системы персональных данных (где хранятся ПДн)

Должна быть у каждой компании, которая работает с данными пользователей.

В ней обязательно отдельным пунктом должно быть указано, как именно пользователь может отозвать своё согласие.

Пример из политики Mailganer:

На всякий случай напомним: собирать данные и отправлять рассылки можно только с согласия пользователя ›

При этом, лучше, чтобы это были два разных согласия: отдельно на обработку ПДн и отдельно — на получение маркетинговых рассылок.

Положения регулируются 420-ФЗ / 421-ФЗ и РКН, а  30 мая 2025 года в силу вступили новые законы о работе с персональными данными ›

В связи с этим ожидается, что всё больше пользователей будут обращаться с запросом на отзыв ПДн. Разберём, как выглядит процесс и что нужно подготовить компаниям.

Шаг 1. Пользователь пишет письмо с запросом на отзыв ПДн в произвольной форме — и отправляет на почту, указанную в политике компании.

Пример сообщения: «Прошу удалить все мои персональные данные, привязанные к аккаунту pochta@mail.ru».

Шаг 2. Компания удаляет все данные пользователя из ИСПДн и блокирует личный кабинет (если такой имеется).

Шаг 3. Компания составляет «Акт об уничтожении ПДн субъекта».

Документ составляется в одном экземпляре и хранится в течение трёх лет.

Шаг 4. От имени компании пользователю направляется ответ о том, что его запрос был обработан и данные успешно уничтожены. Если запросит, то можно выслать копию акта об уничтожении.

Отреагировать на запрос пользователя на отзыв ПДн необходимо в течение 3−5 рабочих дней.

Сервисам, предоставляющим услуги по рассылкам или другие, требующие хранения у себя персональных данных пользователей своих клиентов, нужно также создать процесс по уничтожению ПДн между платформой и клиентом.

Если подписчик клиента отзывает согласие у клиента напрямую, то клиент сервиса обязан сообщить об этом в платформу.

Ведь данные пользователя хранятся не только у клиента, но и в платформе.