Что такое запрос субъекта персональных данных и чем грозит его игнорирование
Запрос субъекта персональных данных - это официальное обращение человека к организации или предпринимателю, которые обрабатывают его данные, с требованием сообщить, как именно эти данные используются, исправить ошибку, заблокировать сведения или удалить их. Подать такой запрос может клиент, покупатель, посетитель сайта, бывший сотрудник или любой человек, чьи данные оказались в базе компании. Для оператора персональных данных - так закон называет любую компанию или ИП, которые собирают и хранят чужие данные, - такое обращение не формальность, а прямая обязанность, закрепленная в Федеральном законе от 27.07.2006 N 152-ФЗ «О персональных данных».
Если компания отвечает не вовремя или не отвечает вообще, это отдельное нарушение, за которое штрафуют независимо от того, была утечка данных или нет. Жалобы такого рода Роскомнадзор получает регулярно: человек написал на почту компании или через личный кабинет на сайте, месяц прошел без ответа, а пожаловаться через портал госуслуг занимает несколько минут.
На практике этим редко занимаются заранее. Компания вешает политику конфиденциальности на сайт, собирает чекбоксы согласия и на этом успокаивается. Потом приходит письмо с просьбой сообщить, какие данные хранятся и на каком основании, и в компании никто не знает, кто должен отвечать и в какой срок.
Пример из практики: человек оформлял кредит, ему отказали, а через месяц с этим же номером телефона стали звонить из микрофинансовой организации, о которой он никогда не слышал. Его письмо в банк и в МФО с вопросом, на каком основании они обрабатывают его номер и откуда его взяли, - это и есть запрос субъекта персональных данных, оформленный без всякого юриста, просто письмом на электронную почту.
Кто вправе подать запрос субъекта персональных данных
Обратиться напрямую может сам человек, чьи данные обрабатываются, или его представитель по доверенности - закон прямо предусматривает такой вариант среди требований к обращению. Отдельная история - запрос от Роскомнадзора как уполномоченного органа: у него другие сроки и другая процедура, и путать эти два вида обращений не стоит. Про ответ на официальный запрос надзорного органа на сайте уже есть отдельный разбор: Ответ на запрос РКН: образец и сроки, чтобы не попасть на штраф. Здесь речь о другом - о человеке, который сам пишет в компанию по поводу своих данных.
У бывших сотрудников и бывших клиентов это право никуда не девается вместе с окончанием договора или увольнением. Человек, который уволился три года назад, вправе спросить, до сих пор ли компания хранит его личное дело и на каком основании, и отвечать на такое письмо придется по тем же правилам, что и на обращение действующего клиента.
Формально закон не требует какой-то особой формы обращения: письмо на бумаге, email, сообщение через форму на сайте одинаково действительны, если в них есть все обязательные реквизиты. Поэтому имеет смысл заранее указать в политике конфиденциальности отдельный адрес или способ для таких обращений, а не заставлять человека искать общую форму заявки на сайте, через которую обычно принимают совсем другие запросы. Как правильно устроена форма обратной связи и что она должна показывать про согласие пользователя, разобрано здесь: Формы обратной связи: как собирать заявки без нарушений ФЗ-152.
Как убедиться, что запрос пришел от того, чьи это данные
Иногда письмо приходит от родственника, бывшего супруга или просто человека, который представляется законным получателем чужих данных, но доверенности не прикладывает. Раскрывать данные в такой ситуации нельзя: это будет уже нарушением в отношении того, чьи данные оператор передал без оснований. Правильная реакция - вежливо запросить документ, подтверждающий полномочия, и до его получения не отправлять ничего, кроме подтверждения, что запрос получен и рассматривается.
Что должен содержать запрос, чтобы оператор был обязан на него отвечать
Закон описывает, что должно быть в обращении, чтобы компания была обязана на него реагировать (часть 3 статьи 14 152-ФЗ). Если из письма нельзя понять, кто его написал и на каком основании, формально отвечать не на что.
- номер и дата выдачи документа, удостоверяющего личность заявителя, обычно паспорта;
- сведения, подтверждающие связь заявителя с оператором - номер договора, дата регистрации на сайте, номер заказа или другая деталь, по которой компания может найти его данные в своей базе;
- подпись заявителя или его представителя для бумажного письма, либо усиленная квалифицированная электронная подпись для электронного обращения;
- если обращается представитель, а не сам субъект - документ, подтверждающий его полномочия.
На практике чаще всего проседает второй пункт: человек присылает письмо с фамилией и требованием удалить его данные, но не указывает, откуда компания вообще может знать, что это его данные и в какой базе их искать. В такой ситуации разумно вежливо запросить уточнение - номер заказа, email, под которым человек регистрировался, или другую деталь. Отказ без такой попытки уточнить обычно выглядит как уклонение, а не как законное основание для молчания.
Недостаточный запрос на практике выглядит примерно так: короткое письмо без даты рождения, без номера заказа и без указания, какие вообще отношения связывают автора письма с компанией. На такое письмо правильно ответить просьбой уточнить данные, а не отказом - иначе десять рабочих дней истекут, а компания так и не поймет, чьи данные нужно искать в базе.
Какие сведения включает ответ на запрос субъекта персональных данных
Если обращение оформлено правильно, ответ должен быть содержательным, а не короткой отпиской о том, что все в порядке и данные под защитой. Часть 7 статьи 14 152-ФЗ перечисляет, что именно оператор обязан сообщить.
- подтверждение факта обработки персональных данных этим оператором, либо сообщение, что данных нет;
- правовые основания и цели обработки;
- применяемые способы обработки - автоматизированная, ручная или смешанная;
- наименование и адрес оператора, сведения о лицах, которые имеют доступ к данным или которым данные передавались, включая обработчиков по договору поручения;
- сами персональные данные, относящиеся к этому субъекту, и источник их получения;
- сроки обработки, в том числе сроки хранения;
- порядок реализации прав, предусмотренных законом о персональных данных;
- сведения о трансграничной передаче данных, если она осуществляется;
- сведения о лице, которое обрабатывает данные по поручению оператора, если такое лицо есть.
Сроки хранения по каждому виду данных на практике совпадают редко: платежные данные хранятся дольше по требованиям бухгалтерского учета, данные из формы обратной связи - меньше, если человек так и не стал клиентом. В ответе разумно расписать это по группам данных, а не одной общей фразой на весь массив информации.
Ответ предоставляется в той же форме, в которой поступил запрос: на бумажное письмо отвечают бумажным письмом, на email - email, если заявитель прямо не попросил иначе.
Срок ответа на запрос субъекта персональных данных: 10 рабочих дней
Базовый срок ответа на запрос субъекта персональных данных - десять рабочих дней с момента получения обращения (часть 3 статьи 14 152-ФЗ). Компания вправе продлить этот срок, но не больше чем на пять рабочих дней, и только если направит заявителю мотивированное уведомление с объяснением причины задержки. Продление без такого уведомления законом не предусмотрено: пятнадцать дней молчания без объяснений не спасают от нарушения.
Повторно обратиться с тем же вопросом человек может не раньше, чем через тридцать дней после первого обращения. Исключение - если первый ответ был неполным или не по существу: тогда повторное обращение допустимо раньше, и в нем можно прямо указать, что предыдущий ответ вопрос не закрыл.
Рабочие дни считаются со дня, следующего за днем получения обращения, и не включают выходные и нерабочие праздничные дни. Если письмо пришло в пятницу вечером, отсчет начинается с понедельника, а не с той же пятницы. Дата получения фиксируется по штемпелю на конверте, дате в системе электронного документооборота или по времени отправки email, если стороны фактически используют этот канал как основной.
Но десять рабочих дней - это срок именно для запроса информации о том, как обрабатываются данные. Для других обращений в статье 21 152-ФЗ установлены свои сроки, и их легко перепутать:
| Что требует субъект | Норма 152-ФЗ | Срок ответа оператора |
|---|---|---|
| Информация об обработке его данных, включая мотивированный отказ | часть 3 статьи 14 | 10 рабочих дней, можно продлить на 5 при уведомлении |
| Уточнение неточных или устаревших данных | часть 2 статьи 21 | 7 рабочих дней с момента, когда предоставлены нужные сведения |
| Прекращение обработки, если она ведется незаконно | часть 3 статьи 21 | 3 рабочих дня на прекращение, до 10 рабочих дней на уничтожение, если исправить нельзя |
| Отзыв согласия на обработку | часть 5 статьи 21 | 30 дней на прекращение обработки и уничтожение данных, если для их хранения нет другого основания |
| Требование прекратить обработку, общий случай | часть 5.1 статьи 21 | 10 рабочих дней, можно продлить на 5 при уведомлении |
На практике эти сроки редко разводят по отдельным письмам: человек в одном обращении и просит рассказать, какие данные о нем есть, и требует удалить часть из них. Тогда разумно отвечать по каждому пункту в тот срок, который для него короче, а не тянуть все обращение до максимума. Это лишь часть более широкого набора того, что называют правами субъекта персональных данных, но именно с сроками реакции оператора чаще всего и связаны реальные штрафы.
Когда оператор вправе отказать
Отказать в предоставлении информации можно не потому, что отвечать не хочется, а только по основаниям, которые прямо перечислены в законе (часть 8 статьи 14 152-ФЗ). Среди них - обработка данных в целях обороны, безопасности государства, охраны правопорядка, в рамках оперативно-розыскной или следственной деятельности, в целях противодействия легализации доходов, полученных преступным путем, и финансированию терроризма, а также случаи, когда раскрытие информации нарушит права и законные интересы третьих лиц или создаст угрозу транспортной безопасности.
Пример из практики: клиент интернет-магазина просит сообщить, кто еще оформлял заказы с той же картой оплаты, потому что подозревает, что кто-то использует его данные без спроса. Раскрыть оператор обязан только данные самого заявителя, а не третьих лиц, даже если формально они связаны одной транзакцией - это как раз случай защиты прав и интересов другого человека, которого просьба напрямую не касается.
Если основание для отказа есть, оператор все равно обязан ответить в тот же срок - десять рабочих дней, только вместо сведений дать письменный мотивированный отказ со ссылкой на конкретную норму закона, из-за которой раскрыть информацию нельзя. Отказ без объяснения причины или без ссылки на норму фактически приравнивается к непредоставлению информации: для проверяющего разница между молчанием и голословным отказом невелика.
Что грозит за молчание или необоснованный отказ
За непредоставление субъекту персональных данных информации об обработке его данных отдельно наказывает КоАП. По части 4 статьи 13.11 КоАП РФ штраф составляет от 2000 до 4000 рублей для граждан, от 8000 до 12000 рублей для должностных лиц, от 20000 до 30000 рублей для индивидуальных предпринимателей и от 40000 до 80000 рублей для юридических лиц. Нарушение фиксируется само по себе, без утечки и без других претензий: достаточно факта, что компания не ответила вовремя или ответила не по существу.
Кроме штрафа у человека, чей запрос проигнорировали, есть право обжаловать бездействие оператора в Роскомнадзор или в суд (статья 17 152-ФЗ), а также потребовать возмещения убытков и компенсации морального вреда через суд. На практике жалоба в РКН - самый быстрый путь: заявитель прикладывает переписку, из которой видна дата обращения и отсутствие ответа в срок.
Размер бизнеса эту обязанность не меняет: небольшой интернет-магазин с одной формой заказа и крупная сеть отвечают по одинаковым правилам и в одинаковые сроки. Разница обычно только в том, что у крупной компании чаще есть отдельный человек, который этим занимается, а в небольшой - никто конкретно.
Как оформить ответ на практике: структура и шаблон
Готового универсального бланка ответа закон не утверждает, но по смыслу статьи 14 у него должна быть понятная структура, которая закрывает перечень сведений из части 7. Разумно оформить ответ как письмо на бланке компании или как email со следующими блоками.
Уважаемый(ая) [имя], в ответ на ваше обращение от [дата] о персональных данных сообщаем следующее: [краткое изложение сути ответа по каждому пункту запроса].
- реквизиты запроса, на который отвечает компания: дата поступления, кто обращался;
- подтверждение, обрабатывает ли компания данные этого человека, и если да - на каком основании и с какой целью;
- сами данные, которые есть в базе, по возможности в читаемом виде, а не выгрузкой из внутренней системы;
- сроки хранения этих данных и что будет с ними после истечения срока;
- перечень лиц, которым данные передавались или передаются - подрядчики, сервисы рассылок, платежные системы;
- краткое напоминание о правах заявителя: он может потребовать уточнить, заблокировать или удалить данные, отозвать согласие;
- контакт, по которому можно задать дополнительный вопрос или подать новое обращение.
Если по обращению принято решение об отказе, структура похожая, но вместо самих данных - ссылка на конкретную часть статьи 14, из-за которой раскрытие невозможно, и объяснение простыми словами, а не только номер нормы.
Дату отправки ответа стоит фиксировать отдельно от даты его подготовки: для срока важна именно дата, когда ответ ушел заявителю, а не когда его подписал руководитель.
Частые ошибки, из-за которых ответ не защищает от штрафа
Формально ответ отправлен, но при проверке выясняется, что он не закрывает требования закона. Вот что чаще всего идет не так.
- отсчитывают срок не с даты получения письма, а с даты, когда его прочитал ответственный сотрудник - разница в несколько дней уже выводит компанию за границы десяти рабочих дней;
- отвечают только на часть вопроса, например подтверждают факт обработки, но не называют основания и цели - формально это неполный ответ, и повторное обращение будет законным;
- присылают выгрузку из внутренней базы вместо читаемого письма - таблицу с техническими названиями полей, которую обычный человек не может разобрать;
- подтверждают личность заявителя только по email, с которого пришло письмо, хотя доступ к чужой почте не редкость - для чувствительных случаев вроде изменения или удаления данных стоит запросить дополнительное подтверждение;
- забывают зафиксировать факт и дату отправки ответа, и при проверке компании нечем подтвердить, что срок был соблюден.
Каждая из этих ошибок сама по себе выглядит мелочью, но именно из таких мелочей складывается разница между формальным ответом и ответом, который действительно защищает компанию при проверке.
Журнал учета обращений: зачем вести и что фиксировать
Отдельного документа под названием журнал обращений субъектов закон не описывает, но обязанность вести внутренний контроль за соблюдением требований о персональных данных прямо есть - статья 18.1 152-ФЗ. Без учета обращений подтвердить, что компания укладывается в сроки, невозможно, а это первое, что спросит проверяющий, если получит жалобу от заявителя.
Журнал можно вести в любой удобной форме: таблица в Excel, раздел в CRM, реестр в облачном сервисе. Практический смысл имеют такие графы.
| Что фиксировать | Зачем |
|---|---|
| Дата и способ поступления обращения | от нее считается срок ответа |
| Кто обратился и по какому вопросу | доступ к данным, уточнение, удаление, отзыв согласия |
| Кто из сотрудников отвечает за обращение | чтобы письмо не потерялось между отделами |
| Дата и содержание ответа | подтверждение, что срок соблюден и ответ по существу |
| Было ли продление срока и по какой причине | основание для законного продления на 5 рабочих дней |
Такой журнал имеет смысл закрепить как внутренний документ наравне с политикой обработки персональных данных и другими локальными актами компании. Что вообще должно быть из документов у оператора, разобрано отдельно: LPA: локальные акты оператора ПДн - какие документы должны быть в компании. Ответственного за ведение журнала стоит назначить приказом или закрепить в должностной инструкции - иначе на практике эту задачу никто не считает своей, и записи появляются в лучшем случае раз в квартал, задним числом.
Адрес или способ, по которому можно направить такой запрос, стоит явно прописать в политике обработки персональных данных на сайте - это один из пунктов, которые проверяющие ищут в первую очередь. Актуальная структура политики с учетом последних поправок разобрана здесь: Политика конфиденциальности 2026: 12 обязательных пунктов после поправок.
Что делать оператору: короткий план действий
Если в компании еще нет процедуры на такой случай, ее стоит выстроить до того, как придет первое реальное обращение, а не после штрафа.
- указать в политике конфиденциальности контакт для обращений субъектов, отдельно от общей формы обратной связи;
- определить внутри компании, кто отвечает на такие запросы и в какой срок передает их ответственному сотруднику;
- завести журнал учета обращений, пусть в самом простом виде;
- подготовить шаблоны ответа - на предоставление информации и на мотивированный отказ - заранее, а не под давлением срока;
- проверить, что журнал и шаблоны реально используются, а не лежат в папке нетронутыми.
Многие компании задумываются об этом порядке уже после жалобы или в рамках более широкой проверки сайта на соответствие требованиям закона: удобнее пройтись по всем точкам разом, чем разбираться с каждым новым письмом отдельно. Чек-лист для самостоятельной проверки есть здесь: Аудит сайта на соответствие ФЗ-152: 30-пунктовый чек-лист своими руками.
Если процесс уже выстроен, но неизвестно, выдержит ли он реальную проверку, пересмотреть его со стороны, глазами человека, который не участвовал в написании внутренних документов, обычно быстрее и дешевле, чем разбираться с этим уже после жалобы в Роскомнадзор. Обычно такая проверка занимает меньше времени, чем кажется: нужно посмотреть, куда реально приходят обращения от посетителей сайта, кто их обрабатывает и есть ли вообще запись о случаях, когда такие письма уже приходили.
