Отказ от согласия на обработку персональных данных: правовые последствия и практические шаги для бизнеса и граждан

Согласие на обработку персональных данных часто просят на всякий случай. Это ошибка. Закон опирается на четкие правовые основания, и согласие — лишь одно из них. Когда человек не соглашается на обработку или отзывает волеизъявление, последствия зависят не от эмоций сторон, а от того, на каком основании организован процесс. Если основание выбрано неверно, у оператора возникнут лишние риски; если верно, то отказ не остановит законные операции и не парализует сервис.

Материал разбирает, что происходит, когда субъект не дает согласия, какие ограничения несет оператор, где отказ допустим, а где нет, и как выстроить документы и процессы, чтобы не упереться в стену из жалоб и штрафов.

Согласие не всегда нужно

152‑ФЗ предлагает перечень законных оснований обработки, и согласие — лишь одно из равноправных вариантов (ст. 6 152‑ФЗ). На практике чаще всего встречаются:

• исполнение закона и возложенных обязанностей (п. 2 ч. 1 ст. 6 152‑ФЗ);

• заключение и исполнение договора с субъектом, включая действия по инициативе субъекта (п. 5 ч. 1 ст. 6 152‑ФЗ);

• осуществление правосудия, полномочий госорганов и иных случаев, прямо названных в законе (пп. 3, 4, 6–11 ч. 1 ст. 6 152‑ФЗ).

Специальные категории данных и биометрия регулируются отдельно. Письменная форма согласия, если иной порядок не установлен законом (ст. 10, 11, ч. 4 ст. 9 152‑ФЗ), является для них базовым правилом.

Пример: скорая медицинская помощь обрабатывает сведения о здоровье без согласия пациента, потому что действует профильный закон (ФЗ № 323), но при организации проведения медицинских осмотров работодателем требуется заранее (до направления на медицинский осмотр) оформить письменное согласие на получение работодателем сведений о состоянии здоровья каждого работника.

Вывод простой: согласие не фиксирует любую обработку. Если данные нужны для исполнения договора или требований закона, работать можно без согласия, соблюдая границы целей и объема.

Право на отзыв и 30 дней на уничтожение

Субъект может отозвать согласие в любой момент (ч. 2 ст. 9 152‑ФЗ). После получения отзыва оператор обязан прекратить операции, которые держались исключительно на согласии, и уничтожить персональные данные в течение 30 дней, если иное не закреплено федеральным законом, договором или иными основаниями для хранения и обработки (ч. 5 ст. 21 152‑ФЗ).

Важно отделять «прекращение обработки» от «полного исчезновения любых следов». Например, бухгалтерские документы и кадровые сведения хранятся столько, сколько предписывает архивное и отраслевое регулирование. В этой части обработка переходит в режим хранения и ограниченного доступа до окончания сроков.

Если наряду с согласием есть иные основания, оператор продолжает обработку в соответствующей части. Уничтожать придется лишь те массивы и операции, которые не подпадают под иные законные основания.

Что будет, если согласие не дать

Последствия определяются основанием обработки. Две типичные модели:

1) Обработка планировалась только на согласии. Оператор не вправе начинать или продолжать сбор и любые действия с данными. Вариантов два: прекратить процесс, либо изменить правовую конструкцию (например, перенести обработку на договор, конкретизировав цели и объем данных, и реально ограничить их договорными задачами).

2) Есть альтернативное основание. Работа не останавливается, но охват данных и операций должен соответствовать этому основанию. Договор не становится пропуском на все случаи. Если целью является запись на прием, достаточно ФИО и контакта. Анкета со сбором «всего на свете» без явной нужды создает риски избыточности.

Практические последствия для субъекта

Отказ от согласия не всегда нейтрален для сервиса, но и санкцией он быть не может.

Отказ в дополнительной опции. Пример из трудовых отношений: визитки для сотрудника печатает подрядчик. Передача данных третьему лицу в таких случаях опирается на согласие работника (ст. 88 ТК РФ; п. 1 ч. 1 ст. 6 и ч. 4 ст. 9 152‑ФЗ). Если работник от подписи отказался, работодатель вправе не изготавливать визитки. Сама работа от этого не страдает.

Ограниченный функционал. Пользователь может не получить часть удобных функций, если они завязаны на согласии. Пример: персональные рекомендации на сайте или участие в программе лояльности. Главное, чтобы базовая услуга продолжала работать, если закон не требует согласия.

Где отказ недопустим

Оператор не может отказать в основной услуге только потому, что субъект не дал согласия, если такой обязанности нет в законе.

Отдельный запрет действует для биометрии: нельзя прекращать обслуживание или отказывать в нем из‑за нежелания сдавать биометрические данные и/или подписывать согласие, если соответствующая обязанность прямо не установлена федеральным законом (ч. 3 ст. 11 152‑ФЗ).

Неправомерный отказ — частая причина жалоб и проверок. Защищаться аргументом «так удобнее системе» не получится: регулятор оценивает, требовалось ли согласие по закону и есть ли у оператора иные основания для обработки.

Отзыв согласия: как выглядит корректная процедура

Закон не навязывает единственную форму отзыва, но обязывает оператора подтвердить наличие правовых оснований обработки. Значит, механика должна быть прозрачной:

• понятный канал (почта, личный кабинет, электронный документ с подписью — в зависимости от ситуации и категории данных);

• фиксирование даты получения и содержания отзыва;

• внутренний маршрут: кто принимает, кто решает судьбу данных, кто готовит акт уничтожения;

• информирование субъекта о результатах, если это предусмотрено локальными документами;

• прекращение только «согласительных» операций и ограничение доступа к частям массива, которые сохраняются на иных основаниях.

Ответственность оператора

Обработка без законного основания или с нарушением требований к согласию влечет административную ответственность по ст. 13.11 КоАП РФ. Состав конкретизируется обстоятельствами: работа без письменного согласия, когда оно обязательно; несоблюдение принципов и условий обработки.

Отдельно рискуют те, кто забывает удалить данные после отзыва, не ограничивает доступ и не оформляет акт уничтожения. Это не только вопрос содержания, но и доказательств: при проверке спрашивают не про уничтожение, а про то, как, когда и чем подтверждено (приказ Роскомнадзора № 179 о содержании акта об уничтожении персональных данных).

Типовые ситуации и решение коллизий

Трудовые отношения

Согласие работника не заменяет закон. Базовые кадровые процессы и отчетность опираются на требования законодательства, тогда согласие не нужно.

Но передача третьим лицам, включение ПДн в корпоративные справочники, публикация фото на сайте, изготовление визиток и бейджей — истории про отдельные основания и согласия. Если согласия нет, избегайте передачи или ищите альтернативу (например, бейджи, произведенные собственными силами без передачи данных).

Медицина

Оказание помощи и ведение меддокументации — это законное основание; маркетинг, публикация фото «до/после», напоминания с рекламными элементами только с согласия. При отказе пациента от маркетинга лечение не прекращается.

Онлайн‑сервисы и сайты

Для форм записи и обратной связи в большинстве случаев достаточно договора или инициативы субъекта по его заключению. Для аналитики, рассылок, партнерского маркетинга будут отдельные согласия и точечные настройки.

Не путайте «согласие на обработку» с «согласием на распространение» (ст. 10.1 152‑ФЗ и приказ Роскомнадзора № 18): публикация профиля сотрудника или клиента в открытом доступе требует отдельного документа с условиями распространения.

Биометрия

Фотография в медкарте или в личном деле сама по себе не делает обработку биометрической.

Биометрия — это использование физиологических характеристик для установления личности при соблюдении критериев закона (ст. 11 152‑ФЗ). Если внедряется идентификация по отпечатку пальца для прохода на объект, готовьте письменные согласия. Отказ предоставить биометрию не может блокировать доступ к основной услуге, если закон не обязывает иначе (ч. 3 ст. 11 152‑ФЗ).

Как проектировать процессы: дорожная карта для оператора

1. Инвентаризация целей и данных. На каждую цель свой набор данных, правовое основание и срок хранения. Запретите общие формулировки и безадресные перечни избыточных полей.

2. Правильный выбор основания. Там, где процесс устойчиво держится на законе или договоре, не берите согласие на всякий случай. Согласие оставьте для опций: рассылки, маркетинг, передача по поручению, если нет иного базиса.

3. Архитектура согласий. Разведите согласия по смыслу:

— на обработку персональных данных;
— на распространение в открытом доступе (ст. 10.1 152‑ФЗ, приказ № 18);
— на биометрию и специальные категории данных (письменная форма).

Добавьте понятные сроки действия: конкретная дата, событие или период, связанный с целью. Избегайте «бессрочно».

4. Механика отказа и отзыва. Опишите каналы, сроки, роли и артефакты. Внедрите журналы регистрации отзывов, шаблоны актов уничтожения (приказ № 179), чек‑листы для ИТ по блокированию доступа и удалению копий/бэкапов.

5. Внешние контрагенты. Для передачи по поручению заключайте договоры с конкретикой: цели, перечень данных, действия с данными, меры защиты, учет субподрядчиков. Проверьте локализацию первичной записи на территории РФ, если сбор идет через сайт или приложение (ч. 5 ст. 18 152‑ФЗ).

Кейс‑наблюдения из практики

HR‑сервис «Слишком много полей». Форма заявки на собеседование требовала паспортные данные и СНИЛС. После аудита поля перенесли в этап оформления договора, а сбор на этапе отклика ограничили ФИО и контактами. Конверсия выросла, претензии исчезли. Основание: заявка по инициативе субъекта (п. 5 ч. 1 ст. 6 152‑ФЗ).

Клиника и рассылка по умолчанию. Пациентам автоматически включали маркетинговые уведомления при записи на прием. После жалоб клиника выделила отдельное согласие на рекламу и предусмотрела простой отказ в личном кабинете. Медицинская часть продолжает работать на основании закона, маркетинг только для согласившихся.

Итоги

Отказ от согласия не останавливает все процессы. Обработка держится на правовом основании: где оно есть в законе или договоре, процесс продолжится; где единственным фундаментом было согласие, операции придется прекратить.

Оператор выигрывает, когда честно раскладывает цели, объемы и сроки, не прикрывается универсальными формулировками и заранее проектирует удобный отзыв. Субъект выигрывает, когда понимает, что согласие — не расплывчатое разрешение на все, а точный механизм под конкретные цели, который можно прекратить.

Практический шаг для бизнеса — ревизия оснований по каждому процессу, раздельные согласия для опций, нормальная процедура отзыва и акты уничтожения.

Практический шаг для граждан — спрашивать про основания и условия заранее и помнить о праве в любой момент изменить решение (ч. 2 ст. 9 и ч. 5 ст. 21 152‑ФЗ).