Отзыв согласия на обработку персональных данных: юридические последствия и санкции

Что делать при отзыве согласия на обработку персональных данных

По общему правилу обработка персональных данных граждан осуществляется при наличии их письменного согласия. Граждане могут давать согласие на такую обработку любым организациям, предпринимателям и самозанятым, с которыми вступают в те или иные договорные отношения. 

При этом гражданин вправе в любой момент времени отозвать ранее предоставленное согласие на обработку его персональных данных (ч.2 ст.11 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных»). Отзыв согласия может быть совершен в любой форме, позволяющей подтвердить, что физлицо действительно обращалось в ту или иную компанию по поводу аннулирования согласия на обработку его персональных данных. Как правило, отзыв оформляется путем составления письменного заявления в произвольной форме.

Такой отзыв возможен даже при наличии действующего договора, в связи с которым организации или ИП потребовалось согласие на обработку персональных данных физлица. Причем речь идет не только о гражданско-правовых договорах (купли-продажи, оказания услуг связи, аренды, займа и т.д.), но и о трудовых договорах. Заключенный договор не мешает отзыву согласия на обработку персональных данных.

При получении отзыва ранее предоставленное согласие считается аннулированным, а компания-оператор должна прекратить обработку личных сведений лица, отозвавшего согласие. Срок прекращения обработки персональных данных в случаях отзыва согласия на такую обработку законодательством не регламентирован. Поэтому компания должна прекратить обработку данных (сбор, запись, систематизацию, накопление, хранение, уточнение, использование и передачу) незамедлительно либо в срок, указанный в самом отзыве. 

Что касается уничтожения ранее полученных персональных данных физлица, то если эти данные больше не нужны для целей обработки (например, при наличии трудовых отношений или для исполнения заключенного договора), то данные компания обязана уничтожить. Уничтожить персональные данные необходимо в срок, не превышающий 30 дней с даты поступления отзыва (ч.5 ст.21 Федерального закона от 27.07.2006 №152-ФЗ). 

Если компания обязана обрабатывать персональные данные физлица в силу требований законодательства или ранее заключенного договора, то уничтожать такие данные нельзя. Например, многие кадровые документы в соответствии с приказом Росархива от 20.12.2019 №236 работодатели обязаны хранить в течение 50 лет и более. Соответственно, уничтожать документы, содержащие персональные данные работника, компания попросту не вправе. 

Когда можно обрабатывать персональные данные при отзыве согласия

Перечень случаев, когда компания должна продолжить обработку персональных данных лица, отозвавшего свое согласие на обработку, приведен в законодательстве и является закрытым. Продолжить обработку персональных данных лица, отозвавшего согласие, необходимо (п.п.2–11 ч.1 ст.6, ч.2 ст.10 и ч.2 ст.11 Федерального закона от 27.07.2006 №152-ФЗ):

• для выполнения возложенных на компанию в соответствии с законодательством функций, полномочий и обязанностей (к примеру, функций и обязанностей работодателя, налогового агента по НДФЛ и страхователя в сфере обязательного страхования);
• для исполнения судебного акта или постановления судебного пристава;
• для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является лицо, отозвавшее согласие на обработку персональных данных;
• для защиты жизни, здоровья и иных жизненно важных интересов лица, отозвавшего согласие на обработку персональных данных;
• для осуществления профессиональной деятельности журналиста, законной деятельности СМИ, либо научной, литературной или иной творческой деятельности;
• для статистических целей;
• для опубликования персональных данных, подлежащих обязательному раскрытию в соответствии с законодательством.

Таким образом, отзыв согласия на обработку персональных данных вовсе не означает обязательное прекращение такой обработки, если у компании, помимо согласия физлица, имеются иные законные основания для осуществления каких-либо действий с его персональными сведениями. Типичный пример – когда отзыв согласия поступает от сотрудника, работающего по трудовому или гражданско-правовому договору.

Если работник аннулирует согласие на обработку персональных данных, компания все равно должна продолжить обработку его личных сведений (письмо Минфина от 24.04.2023 №07-01-09/37355). Это объясняется тем, что компании-работодателю в любом случае необходимы персональные данные физлиц, в частности, для целей выплаты заработной платы и сдачи обязательной налоговой отчетности.

Если же компания обрабатывает персональные данные исключительно на основании согласия физлица и другие основания для обработки у нее отсутствуют, то при получении отзыва она обязана прекратить обработку и уничтожить ранее собранные сведения, касающиеся заявителя.

Штрафы за обработку данных после аннулирования согласия

Отзыв согласия на обработку персональных данных носит обязательный характер и должен быть исполнен компанией-оператором при отсутствии у нее иных законных оснований для работы с персональными данными лица. Если компания продолжит обработку данных после получения отзыва, это будет квалифицировано в качестве административного правонарушения по ч.2 ст.13.11 КоАП РФ. Данная норма предусматривает наложение штрафов в размере:

• от 10 000 до 15 000 рублей – для самозанятых;
• от 100 000 до 300 000 рублей – для ИП и должностных лиц организаций;
• от 300 000 до 700 000 рублей – для организаций.

Повторное нарушение повлечет наложение штрафов в повышенном размере (ч.2.1 ст.13.11 КоАП РФ):

• от 15 000 до 30 000 рублей – для самозанятых;
• от 300 000 до 500 000 рублей – для ИП и должностных лиц организаций;
• от 1 млн до 1,5 млн рублей – для организаций.

В материале использованы фото: Thapana_Studio / Shutterstock / Fotodom.