Как отозвать обработку персональных данных по заявлению работника

Отзыв согласия на обработку персональных данных по заявлению работника прекращает не всю обработку, а только ту, что держалась на согласии. Данные, которые нужны по Трудовому кодексу РФ, Налоговому кодексу и закону об архивном деле, работодатель продолжает обрабатывать без согласия: это прямо допускает часть 2 статьи 9 152-ФЗ. Требование прекратить обработку исполняют не позднее 10 рабочих дней с даты получения, а данные, хранить которые больше не нужно, уничтожают не позднее 30 дней с даты поступления отзыва и оформляют акт. Порядок действий определяет основание обработки: публикация фото на сайте, передача данных страховой по ДМС или биометрический пропуск прекращаются, а личная карточка, расчёт зарплаты, ЕФС-1 и хранение личного дела сохраняются.

Материал нужен, чтобы ответить работнику в срок, ничего лишнего не уничтожить и не продолжать то, что уже нельзя. Здесь есть таблица оснований обработки, порядок приёма заявления на бумаге и в КЭДО с проверкой подписи, отличие отзыва согласия от отказа от электронного документооборота, правила для кандидатов и проверки службой безопасности. Сроки ответа, пошаговая инструкция, образцы заявлений и согласий, штрафы по статье 13.11 КоАП, тарифы на 2026 год и ответы на частые вопросы собраны во второй половине статьи.

Какие данные работодатель обрабатывает после отзыва согласия, а какие обязан остановить

Часть 2 статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» разрешает оператору продолжить обработку без согласия, если для неё есть основания из пунктов 2-11 части 1 статьи 6, части 2 статьи 10 или части 2 статьи 11. Для работодателя это прежде всего пункт 5 (исполнение договора, стороной которого является работник) и пункт 2 (выполнение обязанностей, возложенных на оператора законом). Статья 86 ТК РФ дополнительно ограничивает цели: соблюдение законов, содействие в трудоустройстве, обучении и продвижении по службе, личная безопасность работника, контроль количества и качества работы, сохранность имущества.

Поэтому первое действие после получения заявления — разложить всю обработку данных работника по основаниям. То, что опирается на закон или трудовой договор, продолжается. То, что держится только на согласии, останавливается.

Первые три строки отзыв не затрагивает, даже если в заявлении написано «прошу прекратить любую обработку». Если работник не указал, какое согласие отзывает, его отзыв применяют ко всем действиям из последних четырёх строк, а в ответе перечисляют, что продолжается и на каком основании.

Распространение данных без согласия проверяющие квалифицируют как нарушение даже в бытовых ситуациях. В ответах Роскомнадзора на вопросы о персональных данных прямо сказано: список работников с ФИО и датами рождения, размещённый в общедоступном месте без письменного согласия, нарушает 152-ФЗ. После отзыва согласия на распространение такой список, фото на доске почёта и карточку на сайте снимают первыми.

Мария Ж, юрист со стажем более 20 лет: «Заявление об отзыве согласия не отменяет обязанность хранить кадровые документы. Статья 13 125-ФЗ даёт организации право самостоятельно создать архив и организовать хранение, а Трудовой кодекс обязывает хранить кадровые документы, но не говорит, как именно. Поэтому личное дело после отзыва не уничтожают: его хранят в сроки из перечня, а порядок хранения и доступа закрепляют в своём ЛНА. Проверьте, есть ли у вас такой акт, до того как придёт первое заявление.»

Проверить себя можно за один проход по реестру процессов обработки: для каждого процесса должно быть записано основание. Процессы с основанием «согласие работника» и есть перечень того, что остановится после отзыва.

Сроки ответа на отзыв: 10 рабочих дней, 30 дней и 3 рабочих дня

В 152-ФЗ для работника есть два разных инструмента, и сроки у них разные. Часть 5 статьи 21 говорит об отзыве согласия: оператор прекращает обработку и, если хранить данные для целей обработки больше не нужно, уничтожает их в срок не более 30 дней с даты поступления отзыва. Часть 5.1 той же статьи говорит о требовании прекратить обработку: срок не более 10 рабочих дней с даты получения, продлить его можно не более чем на 5 рабочих дней, если направить работнику мотивированное уведомление о причинах продления.

Работники редко разделяют эти формулировки и пишут «отзываю согласие и прошу прекратить обработку». В нашей практике такое заявление исполняют по более короткому сроку: обработку по согласию останавливают в пределах 10 рабочих дней, а уничтожение и акт укладывают в 30 дней. Так работодатель выполняет обе нормы одновременно.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Все сроки считаются от даты, когда заявление попало к работодателю, а не от даты, когда его увидел ответственный за персональные данные. Если заявление пролежало неделю у руководителя подразделения, эта неделя уже вычтена из 10 рабочих дней.

Уничтожение оформляют по приказу Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных», который применяется с 01.03.2023. При обработке без средств автоматизации подтверждением служит акт об уничтожении, при автоматизированной обработке — акт и выгрузка из журнала регистрации событий в информационной системе персональных данных. Акт и выгрузку хранят 3 года с момента уничтожения.

Как обработать заявление об отзыве согласия: пошаговая инструкция

1. Шаг 1. Зарегистрируйте заявление во входящих и зафиксируйте дату получения. От неё считаются 10 рабочих дней и 30 дней.
2. Шаг 2. Установите, кто подписал заявление и какое согласие отзывается: сверьте подпись, дату и цель исходного согласия. Если из текста это непонятно, запросите уточнение письменно, не останавливая течение срока.
3. Шаг 3. Разделите обработку по основаниям. Всё, что держится на ТК РФ, НК РФ, законах об обязательном страховании и 125-ФЗ, продолжается. Всё, что держится только на согласии, идёт в перечень на прекращение.
4. Шаг 4. Прекратите обработку по согласию: снимите публикации, исключите данные из справочников, остановите передачу третьим лицам, удалите биометрию. Если данные обрабатывает другое лицо по вашему поручению, направьте ему указание прекратить обработку.
5. Шаг 5. Уничтожьте данные, хранение которых больше не требуется, не позднее 30 дней с даты поступления отзыва. Оформите акт по приказу Роскомнадзора № 179, при автоматизированной обработке приложите выгрузку из журнала событий.
6. Шаг 6. Направьте работнику письменный ответ: что прекращено, что продолжается и на каком основании со ссылкой на статью закона. Если нужен срок сверх 10 рабочих дней, отправьте мотивированное уведомление о продлении до истечения этих 10 дней.
7. Шаг 7. Обновите реестр процессов обработки и личное дело: приложите заявление, ответ и акт об уничтожении.

Как оформить согласие на обработку персональных данных, чтобы отзыв не останавливал кадровый учёт

С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от иных документов, которые подписывает работник: такое требование внёс в статью 9 152-ФЗ Федеральный закон от 24.06.2025 № 156-ФЗ. Пункт о согласии внутри трудового договора или анкеты больше не работает. Согласия, собранные до 1 сентября 2025 года, остаются действительными, переоформлять их не нужно.

Роскомнадзор отдельно указывает, что согласие без цели и срока обработки недействительно. Письменное согласие включает, среди прочего, цель обработки, перечень данных, перечень действий с ними, срок действия и порядок отзыва. Чем точнее сформулирована цель, тем проще потом ответить на отзыв: работодатель видит, какая именно обработка держалась на этом документе.

Самая частая проблема в кадровых комплектах — одно согласие «на всё», включая то, что работодатель и так обязан делать по закону. Работник читает его буквально и после отзыва ожидает, что прекратится и расчёт зарплаты, и сдача отчётности. Спор возникает из-за формулировки документа, а не из-за закона. Рабочая схема — несколько отдельных согласий по целям:

• согласие на обработку данных сверх требований закона: фото для пропуска, участие в корпоративных программах, передача страховой по ДМС;
• согласие на распространение по статье 10.1 152-ФЗ: публикация фото и ФИО на сайте, в соцсетях компании, на стенде;
• согласие на обработку биометрических данных по статье 11, если в офисе стоит биометрическая СКУД;
• согласие на передачу данных конкретному третьему лицу, если передача не предусмотрена законом.

При таком наборе отзыв одного согласия останавливает одну цель, а остальные процессы идут без изменений. В практике Добыто согласие на обработку персональных данных и согласие на переход на КЭДО оформляются разными документами: у них разные основания и разные последствия отзыва.

Мария Ж, HR-эксперт с 13-летним стажем: «В первый рабочий день работник подписывает не один документ о персональных данных, а несколько: согласие на обработку персональных данных, согласие на фото- и видеосъёмку, трудовой договор, лист ознакомления с ЛНА. Там, где есть информация, составляющая коммерческую тайну, добавляется обязательство о неразглашении. У каждого документа своя цель, поэтому и отзыв одного из согласий затрагивает только свою часть. Разложите пакет первого дня на отдельные документы и проверьте, что в каждом согласии указаны цель и срок.»

Обязательство о неразглашении коммерческой тайны регулируется Федеральным законом от 29.07.2004 № 98-ФЗ «О коммерческой тайне», а не 152-ФЗ. Отзыв согласия на обработку персональных данных это обязательство не прекращает, и в ответе работнику это стоит оговорить отдельной строкой, если он отзывает «все согласия».

Важный нюанс из практики: компания на 300 сотрудников, перешедшая на КЭДО, не вносит данные нового работника в шаблоны заранее. Сначала подписывается согласие на обработку персональных данных, потом кадровик сверяет оригиналы паспорта, диплома и военного билета и только после этого разносит данные в подготовленные шаблоны трудового договора и приказа. Оффер до выхода согласовывают по почте, а кадровые документы оформляют в первый рабочий день.

Соберите согласие на обработку персональных данных с целью, сроком и порядком отзыва

Как принять и проверить заявление об отзыве на бумаге и в КЭДО

152-ФЗ не устанавливает обязательной формы отзыва согласия. На практике принимают письменное заявление на бумаге или электронный документ, подписанный электронной подписью. Чтобы отзыв можно было исполнить без уточнений, в заявлении должны быть:

• ФИО работника, должность и подразделение;
• дата и цель согласия, которое отзывается, или прямое указание «все согласия, данные работодателю»;
• формулировка: отзыв согласия, требование прекратить обработку или требование прекратить распространение;
• способ, которым работник хочет получить ответ: лично, по почте или в личном кабинете КЭДО;
• дата и подпись.

Письмо без подписи на корпоративную почту или устное обращение работодатель не игнорирует: фиксирует дату первого обращения, предлагает подтвердить отзыв заявлением и уже в этот момент снимает публикации, если речь о распространении. Роскомнадзор напоминал, что получение согласия по телефону или через СМС законом не установлено, поэтому и спор о том, был ли отзыв, без подписанного документа решается плохо.

В КЭДО заявление об отзыве подписывают той же электронной подписью, что и другие кадровые документы. Вид подписи определяет, признаётся ли документ равнозначным бумажному без дополнительных условий.

Важный нюанс из практики: в споре об увольнении через КЭДО работодатель выиграл в первой инстанции и апелляции: положение о КЭДО, перечень документов и письменное согласие работника были оформлены. Кассационный суд акты отменил, потому что в деле не было сведений о том, как проводилась идентификация работника при подписании, и указал, что при поступлении электронного заявления работодателю надлежало выяснить его причины. При новом рассмотрении работник выиграл: подпись выдали в день подписания заявления, пользоваться системой он не умел, и за него подписывал другой человек.

Для заявления об отзыве согласия логика та же. Если документ поступил в электронном виде и последствия для работника существенные, кадровику достаточно одного звонка или сообщения, чтобы подтвердить, что заявление подписал сам работник, и записать это в карточке обращения.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Мария Ж, судебный эксперт в сфере трудового права: «Правильно оформленное КЭДО защищает работодателя, пока спор идёт о документах. Как только суд доходит до того, когда выдали ключ и мог ли человек вообще им пользоваться, положение и перечень документов уже не помогают: суд оценивает фактическую способность работника, а не подпись в журнале ознакомления. Проверьте, описан ли в ЛНА порядок идентификации при подписании и фиксирует ли система дату и обстоятельства выдачи подписи.»

В практике Добыто мы разводим по времени выдачу подписи и первые кадровые действия с ней и отдельно проверяем, умеет ли работник пользоваться системой. Для отзыва согласия это значит, что электронное заявление от работника, получившего подпись в тот же день, стоит подтвердить отдельно.

Образцы согласий и заявлений для КЭДО и электронной подписи

Комплект нужен, когда отзыв согласия пересекается с электронным документооборотом; первым откройте согласие на обработку персональных данных для выпуска сертификата, чтобы сверить, какую цель работник мог отозвать.

Отзыв согласия и КЭДО: чем он отличается от отказа от электронного документооборота

Согласие на взаимодействие в электронном виде по статье 22.2 ТК РФ и согласие на обработку персональных данных по 152-ФЗ — два разных документа с разными основаниями. Первое определяет, в какой форме работник получает и подписывает кадровые документы. Второе касается обработки его данных за пределами того, что работодатель делает по закону. Для лиц, принятых на работу после 31 декабря 2021 года и не имевших на эту дату трудового стажа, согласие на КЭДО не требуется.

Если работник пишет «отзываю согласие на обработку персональных данных», а на деле хочет вернуться к бумаге, это заявление об отказе от перехода на КЭДО, а не отзыв по 152-ФЗ. Кадровые документы в электронной форме работодатель ведёт во исполнение ТК РФ, поэтому сам по себе отзыв согласия на обработку данных электронный документооборот не останавливает. Уточните у работника цель заявления и оформите ту процедуру, которая ей соответствует.

Есть и точка пересечения: выпуск сертификата УНЭП. Удостоверяющий центр обрабатывает данные работника для выпуска сертификата по отдельному согласию. Если работник отзывает именно его, вопрос о дальнейшем использовании подписи решают отдельно, а прекратить действие сертификата можно заявлением на аннулирование.

Для Госключа важна схема подключения работодателя к сервису. От неё зависит, передаются ли данные работника ещё одной организации.

Мария Ж, специалист по цифровой подписи и КЭДО: «У Госключа в КЭДО две схемы подключения. По агентскому договору используется API-ключ вендора, и для неё нужно согласие работников на передачу их персональных данных вендору. При самостоятельном подключении используется API-ключ, выпущенный на организацию, но руководитель должен выпустить обезличенный сертификат и перевыпускать его лично каждый год. Прежде чем отвечать на отзыв согласия, выясните, по какой схеме подключена ваша компания: от этого зависит, затрагивает ли отзыв передачу данных вендору.»

В тарифах Добыто ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах, а УКЭП работник получает через партнёров — удостоверяющие центры. Поэтому заявление об отзыве, запрос сведений или отказ от КЭДО работник подписывает той подписью, которая у него уже есть, без отдельного визита в офис.

Если вы работник и хотите, чтобы работодатель перестал использовать ваши данные для конкретной цели, укажите эту цель в заявлении прямо: «отзываю согласие на публикацию фото на сайте», «отзываю согласие на передачу данных страховой компании». Такое заявление исполняют быстрее и без переписки об уточнениях.

Отзыв согласия кандидатом и проверка службой безопасности

У кандидата ещё нет трудового договора, поэтому основание «исполнение договора» к нему не применяется, и согласие остаётся главным основанием обработки его данных. Согласие берут на период, пока работодатель принимает решение о приёме или отказе. После отзыва обработку прекращают, а резюме, анкету и результаты проверки уничтожают в срок не более 30 дней по части 5 статьи 21 152-ФЗ.

Многие статьи до сих пор ссылаются на разъяснения Роскомнадзора 2017 года о данных работников и соискателей. Письмом ведомства от 19.11.2021 они признаны неактуальными и удалены с официального сайта, поэтому опираться на них как на позицию регулятора нельзя; срок уничтожения после отзыва определяет сам закон.

Проверку службой безопасности начинают только после письменного согласия кандидата. Если проверку ведёт внешний подрядчик, он действует по поручению работодателя, а ответственность перед кандидатом за его действия по части 5 статьи 6 152-ФЗ несёт работодатель как оператор. Отзыв согласия в середине проверки означает, что подрядчику нужно в тот же день сообщить о прекращении обработки и получить подтверждение, что переданные данные удалены.

Мария Ж, HR-эксперт с 13-летним стажем: «Подрядчик по проверке кандидатов работает как оператор персональных данных с уведомлением в Роскомнадзор и начинает проверку, только когда видит, что заказчик получил согласие кандидата. Паспортные данные, ИНН и дату рождения ему передаёт работодатель, а тот получает их от кандидата вместе с согласием. После передачи отчёта подрядчик данные не хранит: через определённый срок они удаляются, и сведения остаются только у заказчика. Поэтому при отзыве согласия кандидатом главный вопрос к вашей службе безопасности — где лежит отчёт и кто его уничтожит.»

Проверить себя работодателю несложно: в договоре с подрядчиком должно быть поручение на обработку с целью, перечнем действий и обязанностью удалить данные по указанию заказчика. Если такого пункта нет, выполнить отзыв кандидата в срок будет трудно.

Ошибки при отзыве согласия и штрафы по статье 13.11 КоАП

С 30 мая 2025 года действует новая редакция статьи 13.11 КоАП, внесённая Федеральным законом от 30.11.2024 № 420-ФЗ. Штрафы за нарушения, которые чаще всего возникают вокруг отзыва согласия, выглядят так.

Самая дорогая ошибка — продолжать после отзыва то, что держалось только на согласии: для юрлица это до 700 000 рублей по части 2. Пропуск срока по части 5 обходится дешевле, но проверка по жалобе работника обычно охватывает весь процесс обработки, включая уведомление в Роскомнадзор.

Ошибки, которые встречаются чаще всего:

1. Уничтожить личное дело целиком «по заявлению». Так делают, чтобы закрыть вопрос быстро. Документы по личному составу хранятся 50 или 75 лет по 125-ФЗ, и при споре о стаже или зарплате у работодателя не останется доказательств.
2. Остановить расчёт зарплаты или сдачу ЕФС-1. Эта обработка идёт по закону, и её прекращение нарушает уже трудовое и налоговое законодательство.
3. Не ответить работнику письменно. Без ответа с перечнем оснований работник считает, что обработка продолжается незаконно, и обращается в Роскомнадзор.
4. Забыть про обработчиков. Страховая, подрядчик по проверке, организатор корпоративных мероприятий продолжают использовать данные, а отвечает за них работодатель.
5. Давить на работника или связывать отзыв с увольнением. Согласие даётся свободно, своей волей и в своём интересе (часть 1 статьи 9 152-ФЗ), а ТК РФ не содержит основания для увольнения за отзыв согласия.

Когда процедура отзыва по этой схеме не подходит

Статьи 86-90 ТК РФ касаются только работников по трудовому договору. Для исполнителей по договору ГПХ и самозанятых основание обработки — исполнение договора по пункту 5 части 1 статьи 6 152-ФЗ, и таблица оснований из начала статьи к ним переносится только в части 152-ФЗ, без ссылок на ТК РФ. Данные родственников работника сверх объёма личной карточки Т-2 обрабатываются по согласию самих родственников: работник не может ни дать, ни отозвать его за них, и заявление об отзыве в этом случае подаёт сам родственник.

Стоимость КЭДО для работы с согласиями и заявлениями работников в 2026 году

Стоимость зависит от численности сотрудников, видов подписи и того, нужны ли интеграция с 1С и электронный архив, где хранятся согласия, заявления об отзыве и ответы на них.

Итоговая сумма складывается из числа сотрудников и выбранного тарифа; при переходе на более высокий тариф разница пересчитывается пропорционально оставшемуся периоду. Состав функций и актуальные условия по каждому тарифу приведены на странице тарифов Добыто КЭДО, цены указаны на дату публикации.

Выводы

Заявление работника об отзыве согласия останавливает только ту обработку, которая держалась на согласии: публикации, передачу третьим лицам вне требований закона, биометрию. Кадровый учёт, зарплата, отчётность и хранение личного дела продолжаются на основании ТК РФ, НК РФ и 125-ФЗ. Исполнить отзыв нужно в пределах 10 рабочих дней, уничтожение с актом уложить в 30 дней, а работнику ответить письменно с перечнем оснований. Раздельные согласия по целям и проверенная идентификация подписанта в КЭДО снимают большую часть споров ещё до того, как заявление поступит.

Добыто ведёт согласия, заявления работников и ответы на них в одном кадровом контуре с электронными подписями и электронным архивом, поэтому дата поступления отзыва и история документа сохраняются без ручного учёта. Мы подключаем компании с пилотной группой и помогаем выстроить комплект согласий так, чтобы отзыв одного из них не затрагивал остальные процессы.

Частые вопросы об отзыве согласия на обработку персональных данных

Можно ли отозвать согласие после увольнения?

Да, 152-ФЗ не связывает право на отзыв с действием трудового договора. После увольнения работодатель продолжает хранить документы по личному составу 50 лет (75 лет для документов, законченных делопроизводством до 01.01.2003) по 125-ФЗ и отвечать на запросы, связанные со стажем и заработком. Прекращается то, что держалось на согласии: фото на сайте, рассылки, участие в корпоративных программах. Данные, хранить которые больше не нужно, уничтожают не позднее 30 дней с даты поступления отзыва с оформлением акта.

Кто в компании отвечает за приём и исполнение отзыва?

По статье 22.1 152-ФЗ оператор-юрлицо назначает лицо, ответственное за организацию обработки персональных данных. Оно организует приём и обработку обращений и запросов субъектов и контролирует их исполнение. Кадровик регистрирует заявление и готовит ответ, а ответственный за персональные данные решает, какая обработка прекращается, и подписывает акт об уничтожении. Если такое лицо не назначено приказом, сроки 10 рабочих дней и 30 дней на практике срываются из-за того, что заявление никто не ведёт.

Что делать, если отзыв подал представитель работника?

Представитель действует по доверенности, поэтому к заявлению прикладывают её копию, а в тексте указывают реквизиты доверенности и данные представителя. Работодатель проверяет, что полномочия охватывают действия с персональными данными доверителя. Если доверенность общая и не упоминает персональные данные, запросите у работника подтверждение отзыва напрямую; срок исполнения при этом считается от даты первого поступления заявления.

Как быть с фото работника, которые уже разошлись за пределы сайта компании?

Работодатель снимает публикации со своих ресурсов: сайта, корпоративных страниц в соцсетях, стендов, и прекращает передачу изображения партнёрам. По статье 10.1 152-ФЗ работник вправе потребовать прекратить передачу данных, разрешённых для распространения, от любого лица, которое их обрабатывает, либо обратиться с этим требованием в суд. Получатель требования прекращает передачу в течение 3 рабочих дней с момента получения. В ответе работнику перечислите, откуда фото удалены, и отдельно укажите ресурсы, которые работодатель не контролирует.

Можно ли попросить работника дать новое согласие после отзыва?

Попросить можно, требовать нельзя: согласие даётся свободно, своей волей и в своём интересе по части 1 статьи 9 152-ФЗ. Новое согласие оформляется отдельным документом с конкретной целью и сроком, как требует редакция статьи 9 после Федерального закона № 156-ФЗ. Связывать новое согласие с премией, графиком или сохранением должности нельзя, иначе оно не будет считаться свободным.

Нужно ли сообщать в Роскомнадзор о каждом отзыве согласия?

Нет, отдельного уведомления о каждом отзыве закон не требует. Уведомление о намерении обрабатывать персональные данные подаётся по статье 22 152-ФЗ, и его сведения обновляют при изменении состава обработки в сроки, установленные частью 7 этой статьи. Если после серии отзывов компания полностью прекращает какой-то вид обработки, например отказывается от биометрической СКУД, сведения в уведомлении нужно актуализировать. За непредставление уведомления юрлицу грозит штраф 100 000-300 000 рублей по части 10 статьи 13.11 КоАП.