Как мне составить отказ о передаче личных данных третьим лицам?

Здравствуйте. Как мне составить отказ о передаче личных данных третьим лицам?

Здравствуйте!

Коротко: специальной формы такого отказа закон не предусматривает — Вы подаёте оператору письменный отзыв согласия в свободной форме (часть 2 статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»). Оператор обязан прекратить обработку и передачу данных, а если иных законных оснований у него нет — уничтожить их в срок до тридцати дней.

Ниже приведён подробный разбор норм, исключений и практических вариантов.

Существует ли утверждённая форма отказа от передачи данных третьим лицам?

Единого бланка «отказа от передачи персональных данных третьим лицам» в законодательстве нет, и искать его не нужно. Передача данных другому лицу — предоставление их конкретному получателю или распространение неограниченному кругу лиц — это одно из действий, которые закон относит к обработке персональных данных (статья 3 Закона о персональных данных). Значит, инструмент у Вас тот же, что и для любой другой обработки: Вы отзываете ранее данное согласие либо заявляете требование прекратить конкретные действия с Вашими данными. Право отозвать согласие прямо закреплено частью 2 статьи 9 Закона о персональных данных, а право требовать блокирования и уничтожения данных, которые обрабатываются незаконно, являются неполными, неточными, устаревшими или излишними для заявленной цели, — статьёй 14 того же закона. Обязанности оператора по такому обращению описаны в статье 21 Закона о персональных данных. Поскольку формы нет, заявление составляется в свободном виде, но с полным набором реквизитов, чтобы оператор мог однозначно установить, кто к нему обратился и чего именно требует.

Начать стоит не с бланка, а с текста подписанного Вами согласия. Закон требует, чтобы письменное согласие содержало срок, в течение которого оно действует, и способ его отзыва (статья 9 Закона о персональных данных). Если в согласии или в правилах обработки данных, размещённых оператором, названы конкретный адрес, форма или личный кабинет для отзыва, воспользуйтесь ими: спор о том, «правильно» ли подан отказ, тогда не возникнет. При этом даже когда способ отзыва указан как электронный, разумно продублировать заявление на бумаге — так у Вас останется доказательство даты обращения. Отдельно проверьте, какие именно действия Вы разрешали: часто согласие даётся сразу нескольким компаниям группы или партнёрам, перечисленным в приложении, и отзывать его нужно у каждого оператора, а не только у того, с кем Вы общались.

Что обязательно указать в заявлении об отзыве согласия?

Набор сведений удобно взять по аналогии с тем, что закон требует от письменного согласия и от запроса субъекта персональных данных (статья 9 и статья 14 Закона о персональных данных). Такой отказ оператор не сможет отклонить со ссылкой на то, что заявитель не идентифицирован. В заявлении разумно указать:

• наименование (фамилию, имя, отчество) и адрес оператора, которому адресовано заявление;
• Вашу фамилию, имя, отчество, адрес, номер основного документа, удостоверяющего личность, дату его выдачи и выдавший орган;
• сведения, подтверждающие Ваше участие в отношениях с оператором: номер и дату договора, номер лицевого счёта, номер полиса или карты, иные сведения, из которых видно, что оператор обрабатывает Ваши данные;
• указание на отзываемое согласие — когда и при каких обстоятельствах оно давалось, если известны его дата и наименование;
• само требование: отозвать согласие на обработку персональных данных и прекратить обработку, в том числе передачу (предоставление и распространение) данных третьим лицам, а также уничтожить данные, если их сохранение более не требуется для целей обработки;
• требование прекратить обработку в целях продвижения товаров, работ и услуг — рекламные звонки, письма и рассылки (статья 15 Закона о персональных данных);
• просьбу письменно сообщить о результатах рассмотрения и способ связи для ответа;
• дату составления и личную подпись, а при подаче в форме электронного документа — электронную подпись.

Формулируйте требование предметно. Если Вас не устраивает именно передача сведений партнёрам, коллекторам или рекламным сервисам, а сам договор Вы расторгать не собираетесь, так и напишите: отзываю согласие в части предоставления и распространения моих персональных данных третьим лицам и в части их обработки в целях продвижения товаров и услуг. Общая фраза «прошу удалить все мои данные» в такой ситуации только запутает оператора и даст ему повод ответить, что данные необходимы для исполнения договора. Не перегружайте заявление эмоциями и ссылками на всё подряд: достаточно точных норм и ясно сформулированного требования.

Как вручить отказ оператору, чтобы потом было чем подтвердить обращение?

Юридическое значение имеет не сам текст заявления, а доказанный факт его получения оператором: именно с этой даты отсчитываются сроки по статье 21 Закона о персональных данных. Порядок действий обычно такой:

1. перечитайте подписанное согласие и политику обработки персональных данных оператора — найдите указанный там способ отзыва и адрес для корреспонденции;
2. составьте заявление в двух экземплярах;
3. подайте его лично: один экземпляр отдайте, на втором попросите поставить отметку о принятии с датой, должностью, подписью принявшего и печатью организации;
4. если заявление не принимают или офиса поблизости нет — отправьте его заказным письмом с уведомлением о вручении и описью вложения по юридическому адресу оператора;
5. сохраните кассовый чек, опись и вернувшееся уведомление: этот комплект и подтверждает дату обращения;
6. электронный документ, подписанный электронной подписью в соответствии с федеральным законом, закон приравнивает к бумажному с собственноручной подписью (статья 9 Закона о персональных данных) — при отправке через личный кабинет сохраните скриншоты и номер обращения;
7. дождитесь ответа и зафиксируйте, прекратились ли фактически звонки, письма и передача данных.

Отдельно предупредим о частой ошибке: устный отказ по телефону горячей линии доказать практически невозможно, а запись разговора хранится у оператора и выдаётся не всегда. Если Вы уже звонили и Вам пообещали «убрать данные из базы», всё равно продублируйте требование письменно. Это не формальность: при обращении в Роскомнадзор или в суд первым вопросом будет, чем подтверждается, что оператор получил Ваш отказ и когда именно.

В какие сроки оператор обязан прекратить обработку и передачу данных?

Сроки реакции оператора закон устанавливает по-разному в зависимости от того, что именно произошло. Ниже сведены основные ситуации.

Обратите внимание: тридцать дней — это предельный срок для завершения всех процедур, а не разрешение продолжать передавать данные ещё месяц. Оператор, получивший отзыв согласия, обязан прекратить обработку; технические работы по выгрузке из систем, извещению обработчиков и уничтожению носителей укладываются в этот период. Если после истечения срока Вам продолжают звонить или Ваши данные всплывают у новых компаний, у Вас появляется собственное самостоятельное основание для жалобы и иска.

Когда обработку продолжат даже после Вашего отказа?

Отзыв согласия — сильный, но не абсолютный инструмент. Согласие лишь одно из оснований обработки, и если у оператора есть другое основание из пунктов 2–11 части 1 статьи 6 Закона о персональных данных, обработка законно продолжится и после отказа. Об этом прямо сказано в части 2 статьи 9 Закона о персональных данных. Практически это означает, что банк не сотрёт сведения о непогашенном кредите, работодатель сохранит документы, которые обязан хранить и передавать в налоговый орган и фонды, а медицинская организация — медицинскую документацию. Наиболее часто встречаются такие основания:

• обработка нужна для достижения целей, предусмотренных международным договором или законом, либо для выполнения возложенных на оператора законодательством функций, полномочий и обязанностей;
• обработка связана с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;
• обработка необходима для исполнения судебного акта или акта другого органа либо должностного лица, подлежащего исполнению по законодательству об исполнительном производстве;
• обработка необходима для исполнения полномочий органов власти и функций организаций, участвующих в предоставлении государственных и муниципальных услуг;
• обработка необходима для исполнения договора, стороной, выгодоприобретателем или поручителем по которому Вы являетесь, а также для заключения договора по Вашей инициативе;
• обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов, когда получить согласие невозможно;
• обработка необходима для осуществления прав и законных интересов оператора или третьих лиц при условии, что права и свободы субъекта данных не нарушаются;
• данные подлежат опубликованию или обязательному раскрытию в силу федерального закона.

Свои особенности есть у специальных категорий данных — о состоянии здоровья, судимости и подобных (статья 10 Закона о персональных данных) и у биометрических данных (статья 11 Закона о персональных данных): там перечни случаев обработки без согласия свои. Важно другое: обосновывать, что обработка после отзыва продолжается законно, обязан не Вы, а оператор — обязанность представить доказательство получения согласия либо наличия иного основания возложена на него статьёй 9 Закона о персональных данных. Поэтому в ответ на отказ оператор должен либо прекратить обработку, либо письменно назвать конкретное основание и объём данных, которые он продолжит хранить. Ответ «мы обязаны хранить всё» без ссылки на норму не является объяснением и вполне может стать предметом жалобы.

Что делать, если оператор проигнорировал отказ или продолжает передавать данные?

Первый шаг — повторное письменное требование со ссылкой на статью 21 Закона о персональных данных и с указанием даты первого обращения. Иногда этого достаточно: обращение попадает уже не к оператору колл-центра, а в юридическую службу. Если реакции нет, у Вас два самостоятельных пути, и они не исключают друг друга. Первый — жалоба в Роскомнадзор, который выступает уполномоченным органом по защите прав субъектов персональных данных (статья 23 Закона о персональных данных): он проверяет оператора, требует устранить нарушение, блокировать или уничтожить данные и составляет протоколы об административных правонарушениях. Второй — суд: право обжаловать действия или бездействие оператора в уполномоченный орган или в судебном порядке закреплено статьёй 17 Закона о персональных данных, а иск о защите прав субъекта персональных данных можно подать и по своему месту жительства (часть 6.1 статьи 29 Гражданского процессуального кодекса РФ). В суде можно требовать прекращения обработки и уничтожения данных, возмещения убытков и компенсации морального вреда — статья 24 Закона о персональных данных, статья 151 Гражданского кодекса РФ и статья 1101 ГК РФ. Как суды подходят к таким спорам, мы разбирали в материале Верховный Суд РФ разъяснил правила рассмотрения споров о защите персональных данных граждан.

Нарушение оператором правил обработки персональных данных влечёт административную ответственность по статье 13.11 КоАП РФ, санкции которой были существенно ужесточены Федеральным законом от 30.11.2024 № 420-ФЗ. Если Ваши данные не просто передали без согласия, а собрали, использовали или распространили при обстоятельствах, выходящих за рамки административного проступка, речь может идти об уголовной ответственности — статья 137 УК РФ о нарушении неприкосновенности частной жизни и статья 272.1 УК РФ о незаконном обороте компьютерной информации, содержащей персональные данные. Практический разбор похожей ситуации, когда сведения о гражданине были раскрыты посторонним, приведён в материале УК разгласила мои персональные данные соседям: законно ли это и как защитить свои права?. Заранее собирайте доказательства: письма, скриншоты рассылок, детализацию звонков, ответы оператора — без них разбирательство сведётся к взаимным утверждениям.

Частые вопросы

Можно ли отозвать согласие частично — только в части передачи данных третьим лицам?

Да. Требование формулируется предметно: прекратить предоставление и распространение данных названным лицам, сохранив обработку, необходимую для исполнения договора. Отдельно стоит потребовать прекратить обработку в целях продвижения товаров, работ и услуг: такая обработка допускается только с предварительного согласия и прекращается немедленно по требованию субъекта данных (статья 15 Закона о персональных данных).

Вправе ли организация отказать в услуге из-за отзыва согласия?

Отказ правомерен лишь тогда, когда без обработки конкретных данных услугу оказать объективно невозможно: тогда обработка ведётся для исполнения договора и в согласии вообще не нуждается. Требование подписать согласие на передачу данных партнёрам под угрозой отказа в услуге — повод для жалобы. Ситуация разобрана в материале Вправе ли отказать в предоставлении услуг частная лаборатория в случае отзыва согласия на обработку персональных данных.

Прекратит ли отзыв согласия звонки коллекторов?

Сам по себе отзыв не отменяет долг и не всегда прекращает взаимодействие: порядок общения с должником и отказ от взаимодействия регулируются отдельным Федеральным законом от 03.07.2016 № 230-ФЗ. Зато согласие на взаимодействие с третьими лицами — родственниками, коллегами — отзывается, и это работающий инструмент. Подробнее — в материале Коллекторы звонят родственникам и на работу: как прекратить нежелательные контакты.

Обязан ли оператор письменно подтвердить, что обработка прекращена?

Об устранении нарушений или уничтожении данных оператор обязан уведомить заявителя (статья 21 Закона о персональных данных). В остальных случаях прямо попросите письменный ответ в тексте заявления. Если ответа нет, направьте запрос о том, какие Ваши данные обрабатываются и на каком основании: сведения предоставляются в порядке статьи 14 и статьи 20 Закона о персональных данных.

Может ли отозвать согласие представитель?

Да, через представителя по доверенности, а за недееспособного гражданина согласие даёт и отзывает его законный представитель. Полномочия представителя оператор проверяет, поэтому к заявлению прикладывается копия доверенности или документа, подтверждающего статус законного представителя (статья 9 Закона о персональных данных). Заявление в этом случае подписывает представитель, а не субъект данных.

Краткая сводка: как отказаться от передачи данных третьим лицам

• Специального бланка нет — подаётся письменный отзыв согласия в свободной форме, право на который закреплено частью 2 статьи 9 Закона о персональных данных.
• Реквизиты заявления берутся по аналогии с требованиями к согласию и к запросу субъекта данных (статья 9 и статья 14 Закона о персональных данных); подавать нужно так, чтобы осталось доказательство даты вручения.
• Требование можно заявить частично — только в части передачи данных третьим лицам и рекламных рассылок (статья 15 Закона о персональных данных).
• Получив отзыв, оператор прекращает обработку и уничтожает данные, если их сохранение больше не требуется, — в срок не более тридцати дней (статья 21 Закона о персональных данных).
• Обработка законно продолжится при основаниях пунктов 2–11 части 1 статьи 6 Закона о персональных данных: исполнение договора, обязанность по закону, судопроизводство, исполнительное производство; доказывать их обязан оператор.
• Защита нарушенного права — жалоба в Роскомнадзор (статья 23 Закона о персональных данных) и иск, в том числе по своему месту жительства (часть 6.1 статьи 29 ГПК РФ); ответственность оператора — статья 13.11 КоАП РФ.

Таким образом, отдельного документа под названием «отказ от передачи персональных данных третьим лицам» закон не знает: работает письменный отзыв согласия, поданный оператору в свободной форме с полным набором реквизитов и с подтверждением даты вручения. Сформулируйте требование предметно, укажите, какие именно действия должны прекратиться, и сохраните доказательства обращения. Если через тридцать дней передача данных продолжается, а внятного основания оператор не назвал, обращайтесь с жалобой в Роскомнадзор и с иском в суд — вплоть до взыскания убытков и компенсации морального вреда.

С уважением, адвокат Анатолий Антонов, управляющий партнер адвокатского бюро «Антонов и партнеры».

Адвокатское бюро «Антонов и партнеры» готово оказать юридическую помощь по всем категориям дел в любых регионах России. Эффективно и качественно решаем возникшие у Вас юридические задачи любой сложности.

Получить дополнительную информацию или ознакомиться с нашими услугами по данной теме можно по ссылкам ниже:

• Юридическая помощь гражданам
• Защита чести и достоинства, деловой репутации
• Защита прав потребителей