Права субъекта персональных данных: что это и почему их нельзя игнорировать
Права субъекта персональных данных - это перечень возможностей, которые закон дает любому человеку, чьи данные обрабатывает компания: клиенту интернет-магазина, посетителю сайта, оставившему заявку, пациенту клиники, сотруднику или соискателю. Эти права закреплены в главе 3 закона о персональных данных и действуют независимо от того, упомянула их компания в своей политике обработки или нет. Не отвечать на обращения человека и делать вид, что вопроса не было, не получится: рано или поздно он напишет жалобу в Роскомнадзор, и тогда разбираться с правами придется уже с проверяющим.
На практике с правами субъекта сталкивается почти любой оператор, у которого есть форма на сайте, база клиентов или отдел кадров. Человек может попросить показать, какие данные о нем хранятся, потребовать исправить ошибку в анкете, отозвать согласие на рассылку или потребовать удалить учетную запись целиком. У оператора нет права просто промолчать или ответить через месяц без объяснений: закон устанавливает конкретные сроки и конкретный порядок реакции на каждый вид обращения.
Игнорирование запроса субъекта персональных данных - одно из самых частых оснований для штрафа при проверках Роскомнадзора: инспектору достаточно одной жалобы, чтобы начать разбирательство, а дальше он смотрит уже на все обязанности оператора персональных данных разом, от политики на сайте до формы согласия. Дальше в статье - полный список прав, сроки, в которые оператор обязан на них реагировать, и практические шаги для бизнеса, чтобы не попасть на штраф из-за одного проигнорированного письма.
Полный список прав: что вправе требовать субъект персональных данных
Все права закреплены в главе 3 закона о персональных данных (152-ФЗ). На практике их удобнее разбирать не по номерам статей, а по тому, что именно человек может потребовать от оператора, и что оператору грозит, если он это требование проигнорирует.
Право на доступ к своим данным
Субъект вправе получить подтверждение факта обработки его персональных данных и попросить показать все, что о нем известно: цели обработки, категории данных, источник получения (сам оставил заявку, купил базу у партнера, получил через агрегатор), сроки хранения и перечень лиц, которые имеют или могут иметь доступ к этим данным. Запрос можно подать в любой форме - письмом, через форму на сайте, по электронной почте, если она указана в контактах оператора. Отказать в доступе оператор может только в редких случаях, прямо предусмотренных законом, и обязан объяснить причину отказа.
Например, интернет-магазин получает запрос от бывшего покупателя: какие данные о нем хранятся спустя два года после последнего заказа, откуда взят номер телефона и кому эти данные передавались, скажем, службе доставки или рекламному кабинету. Ответ должен закрывать все три вопроса, а не только последний из них. Формальный ответ без содержания при том, что человек находит себя в рекламной рассылке, оператор получает не просто предписание, а более пристальную повторную проверку: несовпадение ответа с фактами инспектор обычно трактует как попытку скрыть реальный объем обработки.
Право на уточнение персональных данных
Если человек находит в своей анкете ошибку - устаревший телефон, неверную фамилию, старый адрес доставки, - он вправе потребовать уточнение персональных данных. Оператор обязан проверить обращение и либо внести исправления, либо аргументированно объяснить, почему изменения не вносятся, например если данные внесены верно и расходятся не с реальностью, а с ожиданием клиента.
Например, клиент меняет фамилию после замужества и просит обновить данные в личном кабинете на сайте и в базе, откуда формируются документы на доставку. Если оператор поправит имя только в одной системе, а в CRM или бухгалтерии, откуда идут накладные, оставит старое, формально требование не выполнено, и при повторном обращении того же человека тема легко попадает в план внеплановых проверок. За частичное или формальное уточнение, когда ошибка всплывает снова, Роскомнадзор обычно выдает предписание устранить нарушение в конкретный срок.
Право на блокирование данных
Если у человека есть основания полагать, что его данные неточны, получены незаконно или используются с нарушением, он вправе потребовать заблокировать их обработку на время проверки обращения. Блокирование не означает удаление: это временная приостановка любых действий с данными, пока оператор разбирается, в чем дело.
Например, клиент утверждает, что покупка была оформлена не им, а прежним владельцем его же номера телефона после переуступки номера сотовым оператором, и просит приостановить любую обработку данных, привязанных к этому заказу, пока идет разбирательство. На время проверки оператор обязан прекратить любое активное использование этих данных - рассылки, скоринг, передачу третьим лицам. Продолжение обработки во время действующей блокировки - самостоятельное нарушение, и именно оно чаще всего становится поводом для повторной жалобы того же человека, уже более резкой по тону.
Право на уничтожение персональных данных
Если проверка подтверждает, что данные неточны и не подлежат исправлению, получены незаконно или больше не нужны для той цели, ради которой собирались, субъект вправе потребовать их полного уничтожения, а не просто исправления или пометки о неактуальности.
Например, человек несколько лет назад отписался от рассылки, но при повторном обращении обнаруживает, что его профиль по-прежнему хранится в CRM целиком, включая историю заказов и адрес. Он вправе потребовать не просто отметку об отписке, а реальное удаление или обезличивание записи, если для ее хранения нет отдельного законного основания. Уничтожение должно быть настоящим - включая резервные копии и выгрузки, переданные подрядчикам, а не только пометку в одной системе. Если при проверке инспектор находит эти данные где-то еще, формально заявленное удаление не защищает оператора от штрафа.
Право отозвать согласие на обработку
Большая часть обработки в бизнесе строится на согласии субъекта - его дают при регистрации, оформлении заказа, подписке на рассылку. Это согласие можно отозвать в любой момент, без объяснения причин, письменным заявлением в свободной форме. После отзыва оператор обязан прекратить обработку и уничтожить данные, если для их хранения нет другого законного основания, например действующего договора или требований бухгалтерского учета, по которым документы нужно хранить несколько лет независимо от желания клиента. Как оформить сам отзыв и что должно быть в форме согласия, чтобы потом не возникало споров, разобрано в статье про чекбокс согласия на сайте.
Например, человек отписывается от email-рассылки через ссылку в письме, но продолжает получать сообщения через SMS-канал, потому что заявку на отзыв обработал только отдел email-маркетинга, а SMS-рассылкой занимается другой подрядчик. Отзыв согласия должен закрывать все каналы обработки данных, а не только тот, через который он поступил. Продолжение обработки хотя бы по одному каналу после отзыва - отдельное нарушение и почти всегда повод для второй, уже более раздраженной жалобы от того же человека.
Право возразить против автоматизированных решений
Если компания принимает решения о человеке полностью автоматически, без участия сотрудника, например автоматический скоринг при оформлении рассрочки или автоматический отсев резюме по ключевым словам, субъект вправе возразить против такого решения и потребовать, чтобы его рассмотрел живой человек с объяснением логики отказа. Это особенно актуально для сервисов кредитования, страхования и HR-платформ с автоматической фильтрацией кандидатов.
Например, HR-платформа автоматически отклоняет резюме из-за отсутствия нужного ключевого слова в тексте, хотя кандидат в целом подходит по опыту. Если кандидат возражает и просит пересмотра, вакансию должен посмотреть живой рекрутер, а не повторный запуск того же алгоритма с теми же настройками. Формальный ответ, что решение автоматическое и так и должно работать, не снимает с оператора обязанности провести пересмотр - это отдельное основание для жалобы в Роскомнадзор.
Право обжаловать действия оператора в РКН и в суде
Если оператор отказал незаконно, проигнорировал обращение или ответил формально, субъект вправе обжаловать это в Роскомнадзоре или в суде. На практике большинство проверок начинается именно с жалобы: человек не получил ответа на свой запрос, разозлился и написал в РКН. Как в таком случае отвечать самому Роскомнадзору, чтобы не усугубить ситуацию, описано в статье про ответ на запрос РКН.
Например, человек трижды писал в поддержку интернет-магазина с просьбой удалить аккаунт, получал в ответ автоответы без содержания и в итоге подал жалобу в Роскомнадзор. Для инспектора три проигнорированных письма - это не разовая ошибка, а системная проблема процесса, и квалифицируется это обычно именно так. В суд субъект обращается реже - как правило, когда хочет не просто заставить оператора выполнить требование, а взыскать компенсацию морального вреда, доказать которую проще после того, как жалоба в РКН уже официально подтвердила нарушение. Для бизнеса это значит, что жалоба в РКН чаще всего первый шаг, а не финал истории.
Как оформить запрос субъекта персональных данных
Закон не требует от субъекта персональных данных подавать запрос по строгой форме. Достаточно, чтобы из обращения было понятно, кто обращается, к какому оператору, и что именно человек просит: показать данные, исправить, удалить, прекратить обработку. Обращение можно отправить электронной почтой, обычным письмом, через форму на сайте или лично.
Оператор вправе попросить подтвердить личность обратившегося, чтобы не выдать чужие данные постороннему человеку под видом клиента. Но это подтверждение должно быть разумным: для простого запроса на получение информации достаточно совпадения контактных данных из заявки (email, телефон) с теми, что указаны в базе оператора. Требовать нотариально заверенную копию паспорта на каждое обращение - перебор, который сам по себе может выглядеть как попытка затянуть ответ.
В ответе оператор обязан по существу закрыть вопрос: подтвердить или опровергнуть факт обработки, предоставить запрошенные сведения либо мотивированно отказать со ссылкой на норму закона, которая дает право на отказ. Формальная отписка о том, что обращение принято к сведению, без содержания не считается ответом и не защищает оператора при проверке.
Таблица прав субъекта персональных данных: сроки и ответственность оператора
Ниже - сводная таблица по срокам, в которые оператор обязан отреагировать на каждое право субъекта. Сроки в законе привязаны не к календарным, а в основном к рабочим дням, что на практике часто путают.
| Право | Что вправе требовать субъект | Срок реакции оператора | Что грозит за нарушение |
|---|---|---|---|
| Доступ к данным | Подтверждение факта обработки, копию данных, сведения об источнике и целях | 30 дней со дня получения запроса | Жалоба в РКН, штраф по статье 13.11 КоАП РФ |
| Уточнение данных | Исправить неточные, неполные или устаревшие сведения | 7 рабочих дней с момента, когда установлена неточность | Предписание РКН об устранении нарушения |
| Блокирование данных | Приостановить обработку на время проверки обращения | С момента обращения, на весь период проверки | Продолжение обработки во время блокировки - отдельное нарушение |
| Уничтожение данных | Полностью удалить или обезличить данные, если их хранение больше не оправдано | По итогам проверки обращения, без отдельной отсрочки | Штраф, если удаление оказалось формальным или частичным |
| Прекращение незаконной обработки | Остановить обработку, которая ведется с нарушением закона или без основания | 3 рабочих дня с момента, когда нарушение выявлено | Штраф, предписание, при утечке - отдельная ответственность |
| Отзыв согласия | Прекратить обработку и уничтожить данные | До 30 дней, если иное не установлено договором или законом | Штраф за обработку без законного основания |
| Возражение против автоматизированного решения | Пересмотр решения с участием человека | Фиксированный срок закон не называет, требуется разумный срок | Жалоба в РКН, репутационные риски |
| Обжалование действий оператора | Рассмотрение жалобы Роскомнадзором или судом | По общему порядку рассмотрения обращений граждан | Внеплановая проверка оператора |
Обязанности оператора персональных данных при получении запроса
Реагировать на права субъекта - не добрая воля компании, а обязанность оператора персональных данных, которая возникает автоматически с момента, когда компания начинает собирать хоть какие-то данные посетителей сайта. На практике для этого нужен рабочий процесс, а не разовая реакция на конкретное письмо.
Минимальный набор: отдельный адрес или форма для приема обращений по персональным данным, а не общий info@, где письмо потеряется среди спама; ответственный сотрудник, который регистрирует обращение и считает срок с даты получения; шаблон ответа под каждый тип запроса. Даже если в штате нет отдельного специалиста по защите данных, эти три пункта закрывают основную часть требований закона.
Список прав субъекта и порядок обращения по ним обязательно должны быть в политике обработки персональных данных на сайте - это один из пунктов, которые обычно проверяет инспектор в первую очередь. Полный перечень обязательных разделов такой политики разобран в статье про 12 пунктов политики конфиденциальности. Этот документ не то же самое, что пользовательское соглашение: у них разные задачи и разная юридическая природа, разница подробно объяснена в материале о политике обработки ПДн и пользовательском соглашении.
Как оператору подготовить процесс приема обращений
Отвечать по закону значит не только знать сроки, но и физически успевать их соблюдать. Для этого нужен процесс из трех частей: кто принимает обращение, где оно фиксируется и что оператор отвечает по каждому типу запроса.
Ответственным может быть штатный сотрудник - юрист, администратор сайта, HR-менеджер, - если в компании нет отдельного специалиста по защите данных. Нужно, чтобы это был один и тот же человек или отдел, а не тот, кто первым увидел письмо: иначе легко потерять срок, если сотрудник в отпуске или уволился, а обращение осталось лежать в его личной почте.
Журнал обращений - это не формальность для инспектора, а рабочий инструмент: таблица или раздел в CRM, куда заносится дата поступления, кто обратился, что именно просит, срок ответа по закону и дата фактического ответа. Без такого журнала компания на проверке физически не может доказать, что все обращения обработаны вовремя, даже если по факту так и было: у Роскомнадзора нет причин верить на слово, а есть только документы и переписка.
Шаблоны ответов экономят время именно там, где оно дороже всего - в первые дни после получения запроса, пока не истек срок. На каждый тип обращения нужен свой шаблон: подтверждение и предоставление данных при запросе доступа, мотивированный отказ со ссылкой на норму закона, подтверждение уточнения или удаления, подтверждение прекращения обработки после отзыва согласия. Ниже - минимальный набор того, что стоит подготовить до того, как придет первое обращение.
| Элемент | Что входит | Зачем нужен |
|---|---|---|
| Ответственный | Конкретный сотрудник или отдел, а не общий ящик техподдержки | Не теряет срок, знает порядок действий по каждому праву |
| Канал приема | Отдельный адрес электронной почты или форма на сайте, указанная в политике | Обращение не теряется среди прочей почты |
| Журнал обращений | Таблица с датой поступления, сутью запроса, сроком и статусом ответа | Доказывает соблюдение сроков при проверке РКН |
| Шаблоны ответов | Готовые формулировки под доступ, отказ, уточнение, отзыв согласия | Снижает риск просрочки и разнобоя в формулировках |
Типичные ошибки бизнеса при работе с правами субъектов
На практике компании спотыкаются на одних и тех же местах. Вот ошибки, которые чаще всего приводят к жалобам и штрафам.
- Обращения по персональным данным принимает менеджер техподдержки, который не знает, что на них действуют отдельные сроки, и отвечает как на обычный тикет через неделю или две.
- Компания требует избыточное подтверждение личности - сканы паспорта, нотариальные доверенности - там, где достаточно сверки контактных данных, и человек, не дождавшись ответа, идет с жалобой сразу в РКН.
- Данные удаляют по первому требованию, не проверив, нет ли законного основания их хранить, например документы по сделке нужны для налоговой отчетности несколько лет, а потом не могут объяснить проверяющему, куда делись нужные записи.
- Политика на сайте вообще не описывает права субъекта или дает общую фразу без конкретики: куда писать, в какой срок ждать ответа, кто отвечает за рассмотрение обращений.
- На отзыв согласия реагируют только в части рассылки, но продолжают хранить и использовать остальные данные без должного основания.
Что делать дальше
Права субъекта персональных данных - это не формальность для галочки в политике, а рабочий процесс, который проверяют при любом обращении в Роскомнадзор. Штрафы за нарушения в этой части растут вместе с общим ужесточением контроля - актуальные суммы и логику начисления разбирает статья про оборотные штрафы по ФЗ-152 в 2026 году.
Минимальный набор действий для бизнеса: прописать права субъекта и порядок обращения в политике на сайте, назначить ответственного за прием и обработку таких запросов, завести шаблоны ответов на каждый тип обращения, вести журнал обращений и считать сроки не по памяти, а по календарю с датой поступления письма. Этого достаточно, чтобы при проверке или жалобе показать, что процесс выстроен, а не существует только на бумаге.
Если непонятно, отражены ли права субъекта в текущей политике сайта и есть ли у компании внятный порядок ответа на такие обращения, это можно проверить вместе с остальными документами при аудите сайта на соответствие 152-ФЗ - обычно это быстрее и дешевле, чем разбираться с претензией Роскомнадзора постфактум.
