Законно ли гостиница сканирует паспорт при заселении и можно ли отказаться от обработки персональных данных?

Обязана ли гостиница требовать и проверять паспорт при заселении

Да, требование паспорта (или иного документа, удостоверяющего личность) законно и обязательно. Гостиница обязана поставить гостя на регистрационный учёт по месту пребывания, а заселение прямо обусловлено предъявлением документа:

1. Заселение потребителя осуществляется при условии предъявления потребителем документа, удостоверяющего его личность в соответствии с законодательством Российской Федерации, в том числе: паспорта гражданина Российской Федерации, удостоверяющего личность гражданина Российской Федерации на территории Российской Федерации; паспорта гражданина СССР, удостоверяющего личность гражданина Российской Федерации, до замены его в установленный срок на паспорт гражданина Российской Федерации; свидетельства о рождении - для лица, не достигшего 14-летнего возраста; паспорта гражданина Российской Федерации, удостоверяющего личность гражданина Российской Федерации за пределами Российской Федерации; (В редакции Постановления Правительства Российской Федерации от 27.10.2025 № 1668) временного удостоверения личности гражданина Российской Федерации; документа, удостоверяющего личность военнослужащего Российской Федерации, - в период мобилизации, в период действия военного положения и в военное время; (Дополнение абзацем - Постановление Правительства Российской Федерации от 27.10.2025 № 1668) паспорта иностранного гражданина либо иного документа, установленного федеральным законом или признанного в соответствии с международным договором Российской Федерации в качестве документа, удостоверяющего личность иностранного гражданина; документа, выданного иностранным государством и признаваемого в соответствии с международным договором Российской Федерации в качестве документа, удостоверяющего личность лица без гражданства; разрешения на временное проживание лица без гражданства; вида на жительство лица без гражданства; временного удостоверения личности лица без гражданства в Российской Федерации. Заселение в гостиницу граждан Российской Федерации также может осуществляться при условии идентификации
   — п. 18 Правил предоставления гостиничных услуг, утв. Постановлением Правительства РФ № 1853 от 18.11.2020

Текст нормы закрепляет закрытый перечень допустимых документов (паспорт гражданина РФ — первый в списке), поэтому «заселение без документа вообще» исключено. С 2025–2026 годов альтернативой предъявлению паспорта стала идентификация через единую биометрическую систему или многофункциональный сервис обмена информацией, но такая схема применяется лишь при наличии технической возможности у гостиницы.

Аналогичное требование к договору гостиничного обслуживания:

1. Договор, указанный в абзаце втором пункта 12 настоящих Правил, должен содержать: а) наименование исполнителя, основной государственный регистрационный номер и идентификационный номер налогоплательщика - для юридических лиц, фамилию, имя, отчество (при наличии) исполнителя, основной государственный регистрационный номер индивидуального предпринимателя и идентификационный номер налогоплательщика - для индивидуальных предпринимателей, наименование исполнителя, номер записи об аккредитации, идентификационный номер налогоплательщика, код причины постановки на учет - для филиала иностранного юридического лица, включенного в государственный реестр аккредитованных филиалов, представительств иностранных юридических лиц; б) сведения о заказчике (фамилия, имя, отчество (при наличии) физического лица и сведения о документе, удостоверяющем его личность, оформленном в установленном порядке , или о водительском удостоверении );
   — пп. «б» п. 13 Правил предоставления гостиничных услуг, утв. Постановлением Правительства РФ № 1853

То есть сведения о документе, удостоверяющем личность, — обязательный реквизит договора, а не «прихоть» администратора.

Сам регистрационный учёт ведётся по строго определённому набору сведений:

1. Регистрация гражданина по месту пребывания в гостинице, санатории, кемпинге, которые классифицированы в соответствии с Положением о классификации средств размещения, утвержденным постановлением Правительства Российской Федерации от 27 декабря 2024 г. № 1951 "Об утверждении Положения о классификации средств размещения", доме отдыха, пансионате, на туристской базе или в ином подобном учреждении производится по прибытии такого гражданина администрацией соответствующего учреждения на основании документов, удостоверяющих личность, либо сведений, содержащихся в документе, удостоверяющем личность (фамилия, имя, отчество (при наличии), пол, дата рождения, гражданство, регистрация по месту жительства в пределах Российской Федерации и место рождения, серия и номер документа, удостоверяющего личность, дата его выдачи, наименование органа, выдавшего документ, удостоверяющий личность, и (или) код его подразделения)
   — п. 14 Правил регистрации, утв. Постановлением Правительства РФ № 713 от 17.07.1995

Это ключевая норма: закон прямо перечисляет, какие данные о госте администрация вносит при регистрации, — Ф. И. О., пол, дата рождения, гражданство, регистрация по месту жительства, место рождения, серия и номер документа, дата выдачи, орган выдачи и (или) код подразделения. Именно под этот перечень и допустимо обрабатывать паспортные данные; всё, что выходит за его пределы (и особенно — графические копии всех страниц), цели регистрационного учёта не служит.

Вывод: гостиница ВПРАВЕ требовать предъявления паспорта (иного документа из перечня) и на его основании фиксировать сведения, исчерпывающе перечисленные в п. 14 Правил № 713 и п. 13 Правил № 1853. Отказать в заселении лицу без документа гостиница не только вправе, но и обязана — регистрация без идентификации невозможна.

Законно ли сканирование (копирование) паспорта

Правовое основание обработки у гостиницы есть, но оно узкое. Обработка паспортных данных для регистрационного учёта опирается не на согласие, а на исполнение возложенной законом обязанности и на договор:

1. обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
   — п. 1 и 2 ч. 1 ст. 6 Федерального закона № 152-ФЗ

1. обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных
   — п. 5 ч. 1 ст. 6 Федерального закона № 152-ФЗ

Здесь важно разграничение: обработка данных для регистрации по месту пребывания правомерна и без отдельного согласия (п. 2 и п. 5 ч. 1 ст. 6), поэтому подпись под бумагой про «согласие» для этой цели вообще не нужна — и её отсутствие не даёт права отказать в заселении.

Но объём обработки жёстко ограничен принципом соразмерности:

1. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
   — п. 5 ст. 5 Федерального закона № 152-ФЗ «О персональных данных»

1. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
   — п. 2 ст. 5 Федерального закона № 152-ФЗ

Сканирование (создание графической копии всех страниц паспорта, включая не относящиеся к регистрационному учёту сведения) и последующее хранение такого скана выходят за перечень сведений из п. 14 Правил № 713 и несоразмерны цели «поставить гостя на учёт». Это избыточная обработка, нарушающая п. 2 и п. 5 ст. 5 Закона № 152-ФЗ. Если же «бумага про согласие» составлена так, что охватывает цели, законом не предусмотренные (маркетинг, передача третьим лицам, бессрочное хранение), такие условия ничтожны как ущемляющие права:

1. Недопустимыми условиями договора, ущемляющими права потребителя, являются условия, которые нарушают правила, установленные международными договорами Российской Федерации, настоящим Законом, законами и принимаемыми в соответствии с ними иными нормативными правовыми актами Российской Федерации, регулирующими отношения в области защиты прав потребителей. Недопустимые условия договора, ущемляющие права потребителя, ничтожны.
   — п. 1 ст. 16 Закона РФ «О защите прав потребителей»

Вывод: обработка паспортных данных для регистрационного учёта ЗАКОННА; создание и хранение скана (копии всех страниц) паспорта — ИЗБЫТОЧНАЯ обработка, нарушающая п. 2 и п. 5 ст. 5 Закона № 152-ФЗ. Визуального сличения паспорта для целей регистрации достаточно.

Можно ли отказаться от сканирования / отозвать согласие и что делать

Согласие по своей природе добровольно и отзываемо:

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным
   — ч. 1 ст. 9 Федерального закона № 152-ФЗ

Поскольку согласие должно быть «конкретным, предметным, информированным, сознательным и однозначным», вы вправе не подписывать бумагу, если её содержание вам не раскрыто (не указаны цели, перечень данных, срок хранения, способ отзыва). Однако важно понимать: для регистрационного учёта согласие и не требуется — основание здесь п. 2 и п. 5 ч. 1 ст. 6 (см. блок 2), поэтому отзыв согласия не отменяет саму регистрацию. Отозвать можно лишь избыточную обработку (скан, хранение, передача третьим лицам).

Отзыв согласия запускает обязанность оператора:

1. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6
   — ч. 2 ст. 9 Федерального закона № 152-ФЗ

1. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва
   — ч. 5 ст. 21 Федерального закона № 152-ФЗ

Пункт 5 ст. 21 прямо устанавливает предел: прекратить обработку и уничтожить данные — в срок не более 30 дней с даты поступления отзыва, если сохранение более не требуется для целей обработки. Отдельно — право требовать уничтожения незаконно полученных / ненужных данных:

Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
— абз. 2 ч. 1 ст. 14 Федерального закона № 152-ФЗ

Таким образом, вы можете подать гостинице письменное требование (заявление) из трёх пунктов: 1) прекратить избыточную обработку (сканирование/хранение копий); 2) уничтожить имеющиеся копии паспорта; 3) подтвердить уничтожение. По ч. 6 ст. 14 оператор обязан мотивированно ответить, а бремя доказывания обоснованности отказа лежит на нём.

Вывод: ВЫ ВПРАВЕ написать отказ/отзыв согласия и потребовать уничтожения копий паспорта; оператор обязан прекратить обработку и уничтожить данные в течение 30 дней (ч. 5 ст. 21 Закона № 152-ФЗ). При этом отказ касается только избыточной обработки: от требования предъявить паспорт для регистрации отказ вас не освобождает — заселиться можно, дав посмотреть паспорт без сканирования.

Могут ли не заселить из-за отказа от обработки данных

Развилка здесь следующая: отказ ДАТЬ ПОСМОТРЕТЬ паспорт → в заселении откажут правомерно (обработка для регистрации обязательна, блок 1). Отказ от ИЗБЫТОЧНОЙ обработки (сканирование, хранение копии) → отказать нельзя:

1. Продавец (исполнитель, владелец агрегатора) не вправе отказывать потребителю в заключении, исполнении, изменении или расторжении договора с потребителем в связи с отказом потребителя предоставить персональные данные, за исключением случаев, если обязанность предоставления таких данных предусмотрена законодательством Российской Федерации или непосредственно связана с исполнением договора с потребителем.
   — п. 4 ст. 16 Закона РФ «О защите прав потребителей»

Это спецнорма защитного характера. Гостиница не вправе отказать в заселении, если вы отказываетесь предоставить данные, обработка которых не предусмотрена законом и не связана с исполнением договора. Скан всех страниц паспорта такой необходимостью не является (это подтверждает п. 14 Правил № 713, блок 1). Исключение сформулировано узко: обязанность предоставить данные, если она «предусмотрена законодательством» или «непосредственно связана с исполнением договора». Визуальное предъявление паспорта эту обязанность закрывает.

Более того, если гостиница пытается обусловить заселение подписанием избыточного согласия, — такое условие договора ничтожно:

1. Недопустимыми условиями договора, ущемляющими права потребителя, являются условия, которые нарушают правила, установленные международными договорами Российской Федерации, настоящим Законом, законами и принимаемыми в соответствии с ними иными нормативными правовыми актами Российской Федерации, регулирующими отношения в области защиты прав потребителей. Недопустимые условия договора, ущемляющие права потребителя, ничтожны.
   — п. 1 ст. 16 Закона РФ «О защите прав потребителей»

Вывод: гостиница НЕ ВПРАВЕ отказать в заселении исключительно из-за вашего отказа от сканирования/обработки избыточных персональных данных (п. 4 ст. 16 ЗоЗПП). Отказ допустим только если вы не предъявляете документ, по которому удостоверяется личность, — это требование обязательно (п. 18 Правил № 1853). Требование «подписать согласие — иначе не заселим» — это навязывание недопустимого условия.

Ответственность гостиницы и денежные последствия

За обработку данных в нарушение закона оператор несёт публичную ответственность:

1. Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния
   — ч. 1 ст. 13.11 КоАП РФ

Эта норма охватывает как обработку «в случаях, не предусмотренных законодательством», так и обработку «несовместимую с целями сбора» — то есть ровно ситуацию со сканированием и хранением копий паспорта. Дополнительно ч. 1 ст. 24 Закона № 152-ФЗ предусматривает общую ответственность виновных лиц.

Гражданско-правовое последствие — компенсация морального вреда:

1. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
   — ч. 2 ст. 24 Федерального закона № 152-ФЗ

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда.
— ст. 151 ГК РФ, п. 2

1. Моральный вред, причиненный действиями (бездействием), нарушающими имущественные права гражданина, подлежит компенсации в случаях, предусмотренных законом. 3. Компенсация морального вреда осуществляется независимо от подлежащего возмещению имущественного вреда.
   — п. 2 ст. 1099 ГК РФ

Моральный вред, причинённый субъекту персональных данных нарушением правил обработки, компенсируется независимо от имущественного вреда и убытков. Это право на личные неимущественные блага, поэтому ст. 151 ГК РФ прямо допускает денежную компенсацию; размер определяет суд. Дополнительно как потребитель вы вправе требовать возмещения убытков, причинённых ущемляющим условием (п. 1 ст. 16 ЗоЗПП), и компенсации морального вреда по ст. 15 ЗоЗПП — в рамках потребительского спора подсудность по вашему выбору:

1. Иски о защите прав потребителей могут быть предъявлены по выбору истца в суд по месту: нахождения организации, а если ответчиком является индивидуальный предприниматель, - его жительства; жительства или пребывания истца; заключения или исполнения договора.
   — п. 2 ст. 17 Закона РФ «О защите прав потребителей»

Вывод: за обработку персональных данных в нарушение закона гостиница наказывается по ст. 13.11 КоАП РФ; вы вправе требовать компенсации морального вреда (ч. 2 ст. 24 Закона № 152-ФЗ, ст. 151 и п. 2 ст. 1099 ГК РФ) и возмещения убытков. Спор как потребительский рассматривается по правилам ст. 17 ЗоЗПП — по вашему месту жительства или пребывания, без госпошлины. Куда жаловаться: на избыточную обработку данных — в Роскомнадзор, на условия услуги/отказ в ней — в Роспотребнадзор.

Доказательства и альтернативный порядок заселения без сканирования

Доказывать придётся именно избыточность обработки. На оператора же закон возлагает бремя доказывания правомерности — обязанность доказать получение согласия или наличие иного законного основания лежит на операторе:

1. обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
   — п. 1 и 2 ч. 1 ст. 6 Федерального закона № 152-ФЗ

Практически полезны: фотография подписанной бумаги (или фиксация отказа выдать её копию), переписка по e-mail, пояснения свидетеля, а в случае спора — истребование у оператора сведений о целях и составе обработки:

Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
— абз. 2 ч. 1 ст. 14 Федерального закона № 152-ФЗ

1. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва
   — ч. 5 ст. 21 Федерального закона № 152-ФЗ

Требование об уничтожении копий по ч. 5 ст. 21 оператор обязан исполнить в 30 дней, а мотивированный отказ должен обосновать (ч. 6 ст. 14) — это и создаёт доказательственную базу для жалобы в Роскомнадзор и иска.

Альтернатива «бумажному» предъявлению документа у сторон есть, но она зависит от технической готовности гостиницы:

Заселение в гостиницу граждан Российской Федерации также может осуществляться при условии идентификации и (или) аутентификации с использованием единой биометрической системы либо при условии предоставления гражданами Российской Федерации сведений, содержащихся в документах, удостоверяющих личность гражданина Российской Федерации, с использованием многофункционального сервиса обмена информацией.
— абз. 2 п. 18 Правил предоставления гостиничных услуг, утв. Постановлением Правительства РФ № 1853

Цитата показывает, что заселение граждан РФ может осуществляться через единую биометрическую систему либо через предоставление сведений из документа с использованием многофункционального сервиса обмена информацией. Однако это именно «может», а не «обязана» — формулировка нормы не возлагает на гостиницу безусловной обязанности обеспечить такие способы, поэтому настаивать на них как на гарантированной альтернативе нельзя. Реальный для вас минимальный сценарий — предъявить паспорт для визуального сличения, отказавшись от создания и хранения копий.

Вывод: бремя доказывания правомерности обработки (наличия согласия или иного законного основания) возложено на оператора (ч. 3 ст. 9 Закона № 152-ФЗ); вам достаточно зафиксировать факт сканирования и направить требование об уничтожении с 30-дневным сроком исполнения (ч. 5 ст. 21). Заселение через ЕБС/многофункциональный сервис возможно, но лишь при наличии таких технических средств у гостиницы (абз. 2 п. 18 Правил № 1853). Спор рассматривается по правилам ст. 17 ЗоЗПП; жалобы — в Роскомнадзор (ст. 23 Закона № 152-ФЗ) и Роспотребнадзор.

Куда жаловаться и сроки исполнения

Орган, уполномоченный рассматривать обращения субъекта персональных данных и принимать решения о соответствии обработки её целям, прямо определён законом:

1. Уполномоченный орган по защите прав субъектов персональных данных рассматривает обращения субъекта персональных данных о соответствии содержания персональных данных и способов их обработки целям их обработки и принимает соответствующее решение. 3. Уполномоченный орган по защите прав субъектов персональных данных имеет право: 1) запрашивать у физических или юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию; 2) осуществлять проверку сведений, содержащихся в уведомлении об обработке персональных данных, или привлекать для осуществления такой проверки иные государственные органы в пределах их полномочий; 3) требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных; 3 1 ) ограничивать доступ к информации, обрабатываемой с нарушением законодательства Российской Федерации в области персональных данных, в порядке, установленном законодательством Российской Федерации; (Дополнение пунктом - Федеральный закон от 21.07.2014 № 242-ФЗ) 4) принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований настоящего Федерального закона; 5) обращаться в суд с исковыми заявлениями в защиту прав субъектов персональных данных, в том числе в защиту прав неопределенного круга лиц, и представлять интересы субъектов персональных данных в суде;
   — ч. 2 ст. 23 Федерального закона № 152-ФЗ

Это уполномоченный орган по защите прав субъектов персональных данных (его функции выполняет Роскомнадзор), и его полномочия широки:

1. Уполномоченным органом по защите прав субъектов персональных данных является федеральный орган исполнительной власти, осуществляющий самостоятельно функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 1 1 . (Дополнение частью - Федеральный закон от 22.02.2017 № 16-ФЗ) (Утратила силу - Федеральный закон от 11.06.2021 № 170-ФЗ) 2. Уполномоченный орган по защите прав субъектов персональных данных рассматривает обращения субъекта персональных данных о соответствии содержания персональных данных и способов их обработки целям их обработки и принимает соответствующее решение. 3. Уполномоченный орган по защите прав субъектов персональных данных имеет право: 1) запрашивать у физических или юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию; 2) осуществлять проверку сведений, содержащихся в уведомлении об обработке персональных данных, или привлекать для осуществления такой проверки иные государственные органы в пределах их полномочий; 3) требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;
   — ч. 1 ст. 23 Федерального закона № 152-ФЗ

Таким образом, жалоба на избыточную обработку (сканирование и хранение копий паспорта) подаётся в территориальное управление Роскомнадзора — он проводит проверку и выдаёт предписание оператору. Параллельно нарушение прав потребителя (отказ в услуге из-за отказа предоставить данные, навязывание ничтожного условия) контролирует Роспотребнадзор; защита прав субъекта в суде возможна и по инициативе самого уполномоченного органа (п. 5 ч. 3 ст. 23).

Сроки исполнения оператором вашего требования закреплены в ст. 21 Закона № 152-ФЗ. При отзыве согласия — прекратить обработку и, если сохранение более не требуется, уничтожить данные в срок не более 30 дней с даты поступления отзыва:

1. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва
   — ч. 5 ст. 21 Федерального закона № 152-ФЗ

При выявлении неправомерной обработки действуют более короткие сроки — оператор обязан прекратить такую обработку в срок не более 3 рабочих дней, а если правомерность восстановить невозможно — уничтожить данные в срок не более 10 рабочих дней:

1. В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган. 3 1 .
   — ч. 3 ст. 21 Федерального закона № 152-ФЗ

Вывод: жалобу на обработку данных подавать в Роскомнадзор (уполномоченный орган, ст. 23 Закона № 152-ФЗ), на нарушение прав потребителя — в Роспотребнадзор. По отзыву согласия оператор обязан уничтожить данные в течение 30 дней (ч. 5 ст. 21); при неправомерной обработке — прекратить её в срок до 3 рабочих дней, а при невозможности восстановления правомерности — уничтожить данные в срок до 10 рабочих дней (ч. 3 ст. 21). Подсудность иска — по правилам ст. 17 ЗоЗПП.