Правила рассмотрения запросов субъектов персональных данных (их представителей)

На что обратить внимание

Юрист отметил в этом документе:

• Ответ на запрос субъекта даётся в течение десяти рабочих дней с даты получения запроса; срок может быть продлён не более чем на пять рабочих дней, но только с направлением субъекту мотивированного уведомления с указанием причин продления (часть 1 статьи 20 Федерального закона № 152-ФЗ). Молчаливое продление срока нарушением не считается только в глазах оператора: для Роскомнадзора это непредоставление ответа.
• Сроки реакции на обращение различаются и путать их нельзя: уточнение неточных данных — семь рабочих дней со дня представления подтверждающих сведений (часть 3 статьи 20, часть 2 статьи 21); прекращение неправомерной обработки — три рабочих дня с даты выявления, а если обеспечить правомерность невозможно — уничтожение в течение десяти рабочих дней (часть 3 статьи 21); уничтожение при достижении цели обработки и при отзыве согласия — тридцать дней (части 4 и 5 статьи 21); при невозможности уничтожения — блокирование и уничтожение в срок не более шести месяцев (часть 6 статьи 21). Требование прекратить обработку в целях продвижения товаров, работ и услуг исполняется немедленно (часть 2 статьи 15 Федерального закона № 152-ФЗ).
• Отказ в доступе допустим только по основаниям части 8 статьи 14 Федерального закона № 152-ФЗ и должен быть мотивированным и письменным (часть 2 статьи 20). Отказ «по соображениям коммерческой тайны» или из-за того, что запрос подан по электронной почте, к таким основаниям не относится. Повторный запрос о тех же данных оператор вправе не удовлетворять ранее чем через тридцать дней, если субъект не обосновал направление повторного запроса (части 4–6 статьи 14).
• Идентификация заявителя обязательна, но не может подменяться истребованием избыточных документов. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе, сведения, подтверждающие участие субъекта в отношениях с оператором, либо сведения, иным образом подтверждающие факт обработки, и подпись (часть 3 статьи 14). Требовать нотариально заверенную копию паспорта оператор не вправе; полномочия представителя подтверждаются доверенностью по статьям 185 и 185.1 Гражданского кодекса Российской Федерации, а законного представителя несовершеннолетнего — свидетельством о рождении или актом органа опеки.
• Ответственность за нарушения в области персональных данных ужесточена с 30 мая 2025 года Федеральным законом от 30.11.2024 № 420-ФЗ. Для юридического лица по статье 13.11 КоАП РФ утечка данных от 1 000 до 10 000 субъектов (часть 12) — от 3 до 5 млн рублей; от 10 000 до 100 000 (часть 13) — от 5 до 10 млн рублей; свыше 100 000 (часть 14) — от 10 до 15 млн рублей; специальные категории (часть 16) — от 10 до 15 млн рублей; биометрия (часть 17) — от 15 до 20 млн рублей. Повторная утечка после частей 12–14 (часть 15) и повторная утечка специальных категорий или биометрии после частей 16 и 17 (часть 18) влекут оборотный штраф от 1 до 3 процентов совокупного размера выручки за предшествующий год, но не менее 20 млн и не более 500 млн рублей.
• Уголовная ответственность по статье 272.1 Уголовного кодекса Российской Федерации введена Федеральным законом от 30.11.2024 № 421-ФЗ: часть 1 — до четырёх лет лишения свободы, часть 2 (данные несовершеннолетних, специальные категории, биометрия) — до пяти лет, часть 3 — до шести лет, часть 4 (трансграничная передача) — до восьми лет, часть 5 (тяжкие последствия, организованная группа) — до десяти лет. Неправомерная передача данных в ответ на поддельный запрос — типичный способ совершения этого преступления, поэтому проверка полномочий заявителя описана в Правилах подробно.
• Журнал учёта обращений и запросов — основное доказательство соблюдения сроков. Записи вносятся в день поступления обращения; восстановление журнала задним числом при проверке не поможет, поскольку сроки сверяются с датами входящей корреспонденции и отправлений.