Отзыв согласия на обработку персональных данных при увольнении

Коротко: если уволенный сотрудник отозвал согласие на обработку персональных данных (ПДн, то есть сведений, по которым человека можно определить), работодатель обязан прекратить лишнюю обработку и уничтожить ненужные данные в срок до 30 дней.

Личное дело, документы по личному составу и налоговые данные остаются: на них отзыв не действует.

Оставлять письмо без ответа опасно: у закона есть сроки, у инспектора есть штрафы.

Типичная картина: кадровик или директор получает заявление и решает, что нужно стереть личное дело, или, напротив, откладывает письмо в папку. Оба решения ведут к риску.

Ниже я разбираю хранение и удаление данных, сроки, ответственность работодателя и способы защиты. Нормы сверены с действующими текстами на октябрь 2026 года.

Содержание

• Что значит отзыв согласия
• Отзыв или требование: срок ответа
• Какие данные хранить после увольнения
• Какие данные удалить
• Порядок действий по дням
• Акт об уничтожении данных
• Штрафы и ответственность
• Судебная практика
• Как защитить компанию
• Вопросы и ответы

Что значит отзыв согласия на обработку персональных данных

Согласие на обработку ПДн можно отозвать (ч. 2 ст. 9 Федерального закона № 152-ФЗ «О персональных данных»). Работодатель, которого закон называет оператором (организация, обрабатывающая данные), вправе продолжить обработку без согласия, если есть другое основание из закона: п. 2–11 ч. 1 ст. 6.

Доказывать наличие такого основания должен сам работодатель (ч. 3 ст. 9). Ответ работнику и внутренние документы нужны как доказательства.

Отзыв или требование: как определить срок ответа

От формулировки зависят норма и срок. Дату получения письма фиксируют в день поступления. Образец заявления, которое подают работники, разобран в статье для работников.

Работники редко пишут по образцу. Чаще это бытовое «прошу всё стереть и мне больше не писать».

Если кадровик отнесёт такое письмо к отзыву (по нему данные нужно уничтожить в течение 30 дней), а инспектор увидит требование по ч. 5.1 ст. 21 (по нему обработку нужно прекратить в течение 10 рабочих дней), срок окажется пропущенным.

При любой неясности работайте по ближайшему сроку:

1. Прекращайте лишнюю обработку и отвечайте письменно в течение 10 рабочих дней.
2. Если работник приложил сведения о том, что данные не нужны, укладывайтесь в 7 рабочих дней.
3. Если вы сами видите, что основания для обработки нет, прекратите её в течение 3 рабочих дней, а данные уничтожьте в течение 10 рабочих дней (ч. 3 ст. 21).

Письмо работника не лишает работодателя права обрабатывать данные, если есть другое законное основание. Это закреплено в ч. 2 ст. 9 (об отзыве) и в ч. 5.1 ст. 21 (о требовании). Отказывая в информации, работодатель даёт мотивированный письменный ответ со ссылкой на норму закона (ч. 2 ст. 20).

Какие данные работодатель хранит после увольнения

Хранить данные «на всякий случай» без основания нельзя.

Главные доказательства для суда (приказы о приёме, увольнении и взысканиях, трудовой договор, документы налогового учёта) уже хранятся по первым двум строкам, и отзыв согласия на них не действует.

Последняя строка касается только неархивных материалов и опирается на законный интерес. Он допустим, если при этом не нарушаются права и свободы работника. Судебной практики по такой ссылке в кадровых спорах найти не удалось, поэтому это позиция работодателя. Баланс интересов придётся доказывать вам:

1. Оформите письменную оценку.
2. Ограничьте доступ к таким материалам.
3. Назначьте конкретную дату уничтожения.

Дату не привязывают механически к последнему дню срока: суд вправе восстановить пропущенный срок (ч. 5 ст. 392 ТК РФ).

Если раньше этой даты поступила претензия, жалоба в трудовую инспекцию или иск, материалы остаются, пока идёт дело (п. 3 ч. 1 ст. 6). Если спора нет, после назначенной даты их удаляют.

Какие данные удалить после отзыва согласия

По ч. 5 ст. 21 закона № 152-ФЗ после отзыва согласия оператор прекращает обработку и, если сохранять данные больше не нужно, уничтожает их в течение 30 дней с даты поступления отзыва. Срок может быть другим, если это предусмотрено договором или иным соглашением с работником.

Если уничтожить в срок невозможно, данные блокируют (временно закрывают к ним доступ) и уничтожают в срок не более шести месяцев, если федеральные законы не установили иной срок (ч. 6 ст. 21).

Для каждой категории данных задайте один вопрос: есть ли в ст. 6 другое основание, которое позволяет обрабатывать их без согласия? Если его нет, обработку прекращают. На практике проверяют пять мест:

Передачи, которые закон обязывает делать (налоговая, фонды), отзыв не отменяет.

Фотографии обычно размещены с согласия работника, поэтому после отзыва их убирают. Если согласия не было, изображение гражданина использовать нельзя: оно допускается только с его согласия, а распространённое в интернете он вправе потребовать удалить (п. 1 и п. 3 ст. 152.1 Гражданского кодекса РФ).

Порядок действий работодателя по дням

Порядок рассчитан на самый короткий из возможных сроков, поэтому его удобно держать как стандарт компании.

Шаги 2 и 3 выполняются быстро только при готовой матрице данных и целей (см. раздел о защите ниже). Если матрицы нет, инвентаризацию придётся делать в авральном режиме, и срок легко пропустить.

1. День получения. Зарегистрируйте заявление, отметьте дату и способ поступления, определите формулировку по таблице выше. Назначьте ответственного.
2. Первые 1–2 дня. Составьте перечень данных работника: где они лежат (бумага, кадровая программа, бухгалтерия, почта, мессенджеры, сайт), для какой цели и на каком основании.
3. До 3 рабочих дней. Разделите данные на три группы: хранить (с указанием закона), прекратить использовать, уничтожить. Основание фиксируйте письменно.
4. До 5 рабочих дней. Прекратите лишнюю обработку. Направьте подрядчикам письменное требование сделать то же самое. Если вы признали обработку незаконной, срок на прекращение 3 рабочих дня с этого момента (ч. 3 ст. 21).
5. До 10 рабочих дней. Подготовьте и отправьте работнику письменный ответ: что уничтожено, что хранится, на каком основании и до какого срока. Закон не во всех случаях требует письменного ответа, но он нужен вам как доказательство.
6. До 30 дней. Уничтожьте данные, у которых нет основания для хранения, и оформите документы об уничтожении: акт, а для данных в программах ещё и выгрузку из журнала регистрации событий. Состав документов описан в разделе об акте ниже.
7. Если уничтожить невозможно. Заблокируйте данные и уничтожьте в срок не более шести месяцев (ч. 6 ст. 21).
8. Итог. Сложите в одно дело заявление, перечень, решение по каждой группе, ответ работнику, акт и выгрузку. Это ваша доказательная база на случай проверки.

Если срок нужно продлить, направьте работнику мотивированное уведомление до его окончания. Это возможно для требований по ч. 5.1 ст. 21 и для запросов сведений.

Сам по себе отзыв одного работника, как правило, не меняет данные, указанные в уведомлении об обработке. Сообщать о нём Роскомнадзору не нужно.

Уведомление требуется в двух случаях (ч. 7 ст. 22 закона № 152-ФЗ):

1. Меняются сведения из уведомления: сообщить нужно не позднее 15-го числа месяца, следующего за изменением.
2. Компания прекращает обработку: сообщить нужно в течение 10 рабочих дней.

Образец ответа работнику на отзыв согласия

Уважаемый(ая) [ФИО]! Ваше заявление от [дата] получено [дата]. Обработка ваших персональных данных для [цель, например размещения фотографии на сайте] прекращена, данные уничтожены [дата, акт № ___]. Часть данных мы продолжаем хранить, потому что этого требует закон: документы по личному составу (ст. 22.1 Федерального закона № 125-ФЗ) в течение [срок] и данные налогового учёта (пп. 8 п. 1 ст. 23 Налогового кодекса РФ) в течение пяти лет. Эти данные используются только для исполнения указанных обязанностей, доступ к ним ограничен. [Должность, подпись]

Получили отзыв и срок уже идёт? Напишите мне через форму заявки или в мессенджер +7 (902) 899-07-58: определю норму и срок, разделю данные на «хранить» и «уничтожить» и подготовлю ответ работнику.

Акт об уничтожении персональных данных: что указать

Состав акта определяет п. 3 Требований к подтверждению уничтожения ПДн (приказ Роскомнадзора № 179). В акте указывают:

1. Наименование и адрес оператора, то есть работодателя.
2. Наименование и адрес лица, которое обрабатывало данные по поручению, если обработку поручали.
3. Фамилию, имя, отчество работника или иную информацию, по которой его можно определить.
4. Фамилию, имя, отчество, должность и подпись лиц, которые уничтожили данные.
5. Перечень категорий уничтоженных данных.
6. Для бумаги: наименование носителя и количество листов. Для данных в программах: название информационной системы, из которой данные удалены.
7. Способ уничтожения.
8. Причину уничтожения, например отзыв согласия работником.
9. Дату уничтожения.

Электронный акт, подписанный электронной подписью, приравнен к бумажному (п. 4 Требований). Если работодатель обрабатывает данные в программах, к акту добавляют выгрузку из журнала регистрации событий.

Акт и выгрузку храните три года с момента уничтожения (п. 8 Требований). Приказ Роскомнадзора (органа, который контролирует обработку ПДн) от 28.10.2022 № 179 действует до 1 марта 2029 года.

Нужен готовый акт и проверка, что в нём ничего не упущено? Оставьте заявку: подготовлю акт под вашу ситуацию и сверю его с требованиями приказа.

Штрафы и ответственность работодателя

Работодателю грозят штрафы, иск работника и последствия для виновных сотрудников.

Административные штрафы

Штрафы установлены ст. 13.11 Кодекса РФ об административных правонарушениях (КоАП РФ) в редакции от 1 сентября 2026 года. Какая часть применяется, зависит от обстоятельств дела. Об отдельных, более суровых штрафах за утечку данных читайте в разборе дела о штрафе вместо 10 млн ₽.

Для индивидуальных предпринимателей штрафы составляют: по ч. 3 10–20 тыс. ₽, по ч. 4 20–30 тыс. ₽, по ч. 5 и ч. 6 20–40 тыс. ₽.

За повторное нарушение суммы выше. По ч. 1.1 юридическим лицам грозит 300–500 тыс. ₽, по ч. 2.1 от 1 до 1,5 млн ₽, по ч. 5.1 те же 300–500 тыс. ₽ (должностным лицам по ч. 5.1 от 30 до 50 тыс. ₽).

Компенсация морального вреда

Моральный вред, причинённый нарушением прав субъекта ПДн или правил обработки, подлежит возмещению (ч. 2 ст. 24 закона № 152-ФЗ). Истец может сослаться и на трудовую норму: моральный вред от неправомерных действий работодателя компенсируется в денежной форме, а размер при споре определяет суд независимо от имущественного ущерба (ст. 237 Трудового кодекса РФ).

Пленум Верховного Суда указывает, что при определении размера суд учитывает значимость для работника нарушенных нематериальных благ, объём нарушения и степень вины работодателя (п. 47 постановления от 15.11.2022 № 33). Иск о компенсации можно подать и по месту жительства истца (п. 58 того же постановления), поэтому защищаться иногда приходится в суде по месту жительства бывшего работника.

Внутренняя ответственность

Лица, виновные в нарушении законодательства о ПДн работников, привлекаются к дисциплинарной и материальной ответственности, а также к гражданско-правовой, административной и уголовной (ст. 90 Трудового кодекса РФ). В должностных инструкциях ответственного и кадровиков эту обязанность стоит записать.

Судебная практика: хранение, уничтожение, компенсация

Ниже акты, текст которых сверен с первоисточником.

Постановление судьи Верховного Суда РФ от 21.03.2017 № 91-АД17-2

Суть дела. Организацию привлекли к ответственности по ст. 13.11 КоАП РФ (в редакции, действовавшей тогда). Ей вменяли неуничтожение анкет заёмщиков после достижения цели обработки (ч. 4 ст. 21) и небезопасное хранение.

Что решил суд:

1. Хранение бумажных носителей с ПДн в картонных коробках в шкафу без замка нарушает ч. 1 ст. 19 закона № 152-ФЗ. Доводы об ограниченном доступе в помещение и об отсутствии неправомерного доступа значения не имеют.
2. Неуничтожение данных не является длящимся нарушением. Срок давности идёт со следующего дня после 30 дней с даты достижения цели.
3. Дату достижения цели в деле не установили. Неустранимые сомнения истолковали в пользу организации (ст. 1.5 КоАП РФ), вывод о неуничтожении исключили из судебных актов.

Оговорка. Вывод о хранении сделан по прежней редакции ст. 13.11. Сейчас за хранение бумажных носителей отвечает ч. 6, она требует последствий (см. таблицу штрафов).

Что делать работодателю:

1. Фиксируйте документально даты получения отзыва, достижения цели и уничтожения: срок по отзыву (ч. 5 ст. 21) тоже считается от определённой даты.
2. Прописывайте и соблюдайте способ хранения носителей. Замки и учёт остаются обязанностью по ч. 1 ст. 19, даже если штраф по ч. 6 наступает только при последствиях.

Постановление Пленума Верховного Суда РФ от 15.11.2022 № 33

Что сказано.

1. Пункт 46: компенсация работнику возможна за любое нарушение трудовых прав неправомерными действиями или бездействием работодателя.
2. Пункт 47: размер зависит от значимости для работника нарушенных нематериальных благ, объёма нарушения и степени вины работодателя.

Постановление судьи Верховного Суда РФ от 15.05.2025 № 18-АД25-20-К4

Суть дела. Бывшая работница пожаловалась в Роскомнадзор: работодатель передал в центр занятости сведения о её трудовой деятельности без её согласия. Центр занятости запросил их для суда, где требовал вернуть выплаты по безработице. Роскомнадзор отказал в возбуждении дела по ч. 2 ст. 13.11 КоАП РФ.

Что решил суд:

1. Верховный Суд оставил отказ в силе. Работодатель правомерно передал сведения о трудовой деятельности и отказался выдать копию трудовой книжки, в которой есть лишние данные.
2. Согласие работницы у работодателя было, но суд добавил: участие в судопроизводстве и осуществление правосудия допускают обработку и без согласия (п. 3 ч. 1 ст. 6 и пп. 6 п. 2 ст. 10 закона № 152-ФЗ).

Что делать работодателю. На запрос суда или госоргана по судебному делу отвечайте в пределах нужного: сведения о трудовой деятельности предоставляйте, копии документов с лишними данными нет. Обработка в связи с судопроизводством допускается без согласия, поэтому отзыв согласия, как правило, ей не мешает.

Определение Верховного Суда РФ от 18.02.2025 № 5-КГ24-144-К2

Суть дела. Гражданин потребовал от банка прекратить обработку его данных и рекламные звонки, но звонки продолжились. Он просил признать действия незаконными и взыскать 5 000 ₽ компенсации морального вреда. Суды трёх инстанций отказали. Дело не трудовое, но логика применима к любому оператору.

Что решил Верховный Суд:

1. Звонки после получения требования прекратить противоправны. Вина причинителя вреда предполагается, пока он не докажет обратное (п. 12 постановления Пленума № 33; п. 2 ст. 1064 Гражданского кодекса РФ).
2. Истец должен доказать факт нарушения своих прав и то, что нарушил именно ответчик.
3. Ссылка истца на законодательство о ПДн вместо норм Гражданского кодекса не повод для отказа: суд сам определяет, какие нормы применить.
4. Решения отменены, дело направлено на новое рассмотрение.

Что делать работодателю. После получения требования прекратить обработку не продолжайте её «до выяснения». Вину работодателя суд будет считать предполагаемой, и отсутствие вины доказывать придётся ему.

Как защитить компанию от штрафов Роскомнадзора

Защита строится заранее, до первого отзыва.

Задача: снизить вероятность претензий и держать наготове документы для проверки.

Закон называет меры, которые оператор обязан принимать (ст. 18.1 закона № 152-ФЗ). Для работодателя они сводятся к такому набору:

1. Ответственный и политика. Руководитель приказом назначает ответственного за организацию обработки ПДн и утверждает политику обработки, которую нужно опубликовать. Кадровик ведёт журнал обращений и шаблоны. Распределение ролей записывается в приказе и должностных инструкциях.
2. Матрица данных и целей. Для каждой цели пропишите в локальном акте состав данных, систему, где они лежат, основание из ст. 6, срок хранения и порядок уничтожения. Такой акт не может ограничивать права субъектов ПДн (ч. 1 ст. 18.1).
3. Ознакомление под роспись. Работники должны быть ознакомлены под роспись с документами о порядке обработки их ПДн и о своих правах (ст. 86 Трудового кодекса РФ). Порядок хранения и использования данных работодатель устанавливает сам (ст. 87 того же кодекса).
4. Согласия и основания. В согласии укажите цели, а для каждой категории данных зафиксируйте основание из ст. 6, которое сработает после отзыва.
5. Договоры с обработчиками. Закон требует определить в поручении перечни данных и действий, цели, конфиденциальность и меры защиты (ч. 3 ст. 6). Добавьте обязанность уничтожить данные по вашему запросу в короткий срок и подтвердить это документом. Иначе облачная бухгалтерия или CRM (программа учёта клиентов) может затянуть ответ, а штраф получит работодатель. Проверьте действующие договоры.
6. Настройка систем. Разделите права доступа в CRM и бухгалтерской программе, настройте закрытие учётных записей в день увольнения и удаление ненужных копий. После этого отзыв перестаёт быть ручной работой юриста по каждому уволенному. Если сотрудник уходит к конкуренту, клиентскую базу дополнительно защищает режим коммерческой тайны.
7. Журнал обращений и шаблоны. Заведите журнал и готовые формы: ответ на отзыв, уведомление о продлении срока, акт уничтожения.
8. Безопасное хранение. Замки, учёт носителей, ограничение доступа (ч. 1 ст. 19). Если из-за небрежного хранения произойдёт утечка или потеря, организации грозит штраф по ч. 6 ст. 13.11.
9. Обучение и внутренний контроль. Ознакомьте кадровиков и бухгалтерию с законом, проводите внутренние проверки. Оцените вред, который может быть причинён работникам при нарушении закона.

Если жалоба уже дошла до Роскомнадзора, оператор обязан сообщить регулятору необходимую информацию в течение 10 рабочих дней с даты получения запроса (ч. 4 ст. 20).

Срок можно продлить ещё на 5 рабочих дней мотивированным уведомлением.

К ответу регулятору приложите:

1. Письмо работнику.
2. Перечень данных с основаниями.
3. Акт об уничтожении.

Четыре ошибки работодателей при отзыве согласия

1. Уничтожить всё. Так вы нарушите обязанность хранить документы по личному составу и налоговые данные.
2. Оставить без ответа. Срок идёт с даты получения, и письменный ответ с основаниями становится вашим доказательством.
3. Отвечать по шаблону. Ссылка на закон без перечня данных и оснований ничего не доказывает ни работнику, ни инспектору.
4. Забыть про копии и обработчиков. Данные остаются в бухгалтерской программе, в мессенджерах и у подрядчиков, хотя по ч. 5 ст. 21 обработку нужно прекратить и у них.

Как юрист помогает работодателю при отзыве согласия

Когда приходит отзыв согласия, времени на разбирательство обычно нет. Я беру на себя:

1. Перечень данных сотрудника с указанием основания для каждой категории.
2. Решение, что хранить, что прекратить и что уничтожить.
3. Письменный ответ работнику и ответ на запрос Роскомнадзора.
4. Акт об уничтожении и состав выгрузки из журнала по приказу № 179.
5. Политику, локальные акты, формы согласий и внутренний регламент отзыва, чтобы следующее заявление не стало авралом.

Обратитесь сразу, если выполняется хотя бы одно условие:

1. Срок ответа уже идёт, а данные не разобраны.
2. Работник грозит жалобой в Роскомнадзор или иском.
3. Пришёл запрос Роскомнадзора.
4. В компании нет политики обработки ПДн и матрицы данных.

Работаю с работодателями по направлению «Трудовые споры» и в формате абонентского юридического обслуживания: регламент и шаблоны настраиваются один раз, дальше каждый отзыв закрывается по готовой схеме.

Часто задаваемые вопросы

В какой срок работодатель должен уничтожить данные после отзыва согласия?

Не позднее 30 дней с даты поступления отзыва, если сохранять данные больше не нужно (ч. 5 ст. 21 закона № 152-ФЗ).

Другие сроки:

1. Если уничтожить в срок невозможно, данные блокируют и уничтожают в срок не более шести месяцев (ч. 6 ст. 21).
2. Если работник требует прекратить обработку, на это отводится 10 рабочих дней (ч. 5.1 ст. 21).

Какой штраф грозит работодателю за невыполнение отзыва согласия?

Размер зависит от части ст. 13.11 КоАП РФ:

1. За невыполнение в срок требования об уничтожении ненужных данных (ч. 5): должностным лицам 8–20 тыс. ₽, организациям 50–90 тыс. ₽.
2. За обработку без законного основания (ч. 1): организациям 150–300 тыс. ₽.

Повторное нарушение наказывается строже.

Может ли работодатель отказаться удалять личное дело?

Да, если оно относится к документам по личному составу.

Срок хранения таких документов установлен ст. 22.1 закона № 125-ФЗ, и согласие работника для этого не нужно (ч. 2 ст. 9 и п. 2 ч. 1 ст. 6 закона № 152-ФЗ). В ответе работнику это основание нужно назвать.

Нужно ли удалять фотографию бывшего сотрудника с сайта?

Как правило, да.

Фото обычно размещено с согласия работника, и после отзыва обработку прекращают (ч. 5 ст. 21 закона № 152-ФЗ). Если согласия не было, по п. 3 ст. 152.1 Гражданского кодекса РФ распространённое в интернете изображение гражданин вправе требовать удалить.

Как подтвердить уничтожение данных?

Актом об уничтожении. Для данных в информационных системах к нему добавляют выгрузку из журнала регистрации событий (приказ Роскомнадзора № 179).

Акт и выгрузку хранят три года с момента уничтожения (п. 8 Требований, утверждённых приказом).

Что делать, если работник пожаловался в Роскомнадзор?

Ответить на запрос в течение 10 рабочих дней (ч. 4 ст. 20 закона № 152-ФЗ). К ответу приложите:

1. Письмо работнику.
2. Перечень данных с основаниями.
3. Акт об уничтожении.

Если нужно больше времени, до окончания срока направьте мотивированное уведомление о продлении.

Можно ли хранить данные уволенного на случай будущего спора?

Основные документы (приказы, трудовой договор, личное дело, налоговые данные) работодатель хранит по закону, и отзыв согласия на них не действует.

Для неархивной переписки и служебных файлов на период, пока иск ещё возможен, он ссылается на законный интерес (п. 7 ч. 1 ст. 6) и сроки ст. 392 ТК РФ: месяц по спору об увольнении, три месяца по остальным спорам, год по спорам о выплатах.

Это позиция работодателя: ей нужны письменная оценка баланса интересов, ограничение доступа и дата уничтожения. Если спор уже возник, основанием служит п. 3 ч. 1 ст. 6, а суд вправе восстановить пропущенный срок.

Читайте также

• Утечка данных: 400 тыс. ₽ вместо 10 млн — что грозит за утечку персональных данных
• Увольнение за пересылку файлов — где проходит граница между правом работодателя и защитой данных
• Коммерческая тайна: как защитить клиентскую базу — что делать с данными, когда сотрудник уходит к конкуренту
• Как отозвать согласие на обработку персональных данных после увольнения — как выглядит заявление работника: образец и порядок действий

Получили отзыв согласия или хотите выстроить порядок заранее? Напишите мне: проверю, какие данные сотрудников вы обрабатываете и на каком основании, подготовлю ответ работнику и акт об уничтожении. Подробности на странице Трудовые споры, раздел «Нужна помощь работодателю», и в формате юридического аутсорсинга.