Запросы субъектов ПДн: сроки ответа и порядок обработки

Любой человек, чьи данные вы обрабатываете, вправе спросить, что именно вы о нём храните, зачем и кому передаёте, потребовать исправить неточные данные или прекратить обработку. На ответ у оператора считанные рабочие дни, а за пропуск грозят штрафы. Ниже сроки по 152-ФЗ, содержание ответа, порядок работы с повторными запросами и отказом, а также журнал и шаблон ответа для небольшой организации.

Оговорка. Статья не юридическая консультация. Сроки и части статей сверены по тексту 152-ФЗ с изменениями, внесёнными в том числе законом от 14.07.2022 № 266-ФЗ, на момент подготовки статьи; закон меняется, проверяйте действующую редакцию: текст закона. Структура процесса соответствует требованиям к правам субъектов в методике контроля Группы Сбер (источник); это методика для крупных компаний, мы пересказываем её своими словами.

Сроки: что и когда

Ситуация	Срок	Основание (152-ФЗ)
Предоставить субъекту сведения об обработке его данных	10 рабочих дней с обращения или получения запроса; продление не более чем на 5 рабочих дней с мотивированным уведомлением о причинах	статья 14, часть 3
Повторный запрос после ознакомления с данными	Не ранее чем через 30 дней, если иное не установлено законом или договором; раньше можно, если сведения даны не в полном объёме (с обоснованием)	статья 14, части 4, 5
Уточнить неточные данные после подтверждения неточности	7 рабочих дней со дня представления сведений, затем снять блокирование	статья 21, часть 2
Прекратить неправомерную обработку	Не более 3 рабочих дней с даты выявления	статья 21, часть 3
Уничтожить данные, если правомерность обработки обеспечить нельзя	Не более 10 рабочих дней с даты выявления неправомерной обработки	статья 21, часть 3
Требование субъекта прекратить обработку	Не более 10 рабочих дней с даты получения требования; продление не более чем на 5 рабочих дней с мотивированным уведомлением; есть исключения (например, обработка по закону)	статья 21, часть 5.1
Отзыв согласия	Прекратить обработку и, если данные больше не нужны, уничтожить не более чем за 30 дней с даты отзыва, если иное не предусмотрено договором или законом	статья 21, часть 5

О сроках уничтожения подробнее: уничтожение персональных данных: сроки и подтверждение. Об утечках и сроках 24 и 72 часа: как уведомить Роскомнадзор.

Что субъект вправе узнать

По статье 14 (часть 7) субъект может получить, в частности:

подтверждение того, что вы обрабатываете его данные;
правовые основания, цели и способы обработки;
сведения об операторе и лицах, имеющих доступ к данным или которым они могут быть раскрыты;
сами обрабатываемые данные и источник их получения;
сроки обработки и хранения;
порядок реализации его прав;
сведения о трансграничной передаче;
данные лица, обрабатывающего данные по поручению;
информацию о том, как вы исполняете обязанности по статье 18.1 (меры оператора).

Право на доступ может быть ограничено законом (например, по основаниям государственной безопасности и в ряде других случаев, перечисленных в части 8 статьи 14). Если вы собираетесь отказать, проверьте основание по тексту закона и юридически согласуйте.

Порядок обработки обращения

Зарегистрируйте. Дата получения, канал, содержание, исполнитель. От даты получения считаются сроки.
Определите тип. Запрос сведений, уточнение, блокирование, прекращение обработки, отзыв согласия, жалоба на нарушение.
Установите личность и полномочия. В запросе должны быть данные документа, удостоверяющего личность, и сведения, подтверждающие участие субъекта в отношениях с вами (номер договора и т.п.). Если запрос направляет представитель, проверьте полномочия.
Соберите данные. По всем системам: основной реестр, почта, CRM, бумажные архивы, подрядчики по поручению. Здесь важен перечень систем с ПДн: чек-лист оператора.
При необходимости заблокируйте. При подозрении на неправомерную обработку или неточность данных блокирование действует с момента обращения на период проверки (статья 21, часть 1).
Подготовьте ответ в той же форме, в которой пришло обращение (бумага, электронный документ), если иное не указано. Не включайте данные других лиц.
Закройте и сохраните. Ответ, подтверждение отправки, решение по действиям в системах.

Продление срока и повторные запросы

Если для ответа нужно больше времени, до истечения основного срока направьте субъекту мотивированное уведомление с причинами, и срок продлевается не более чем на пять рабочих дней. Повторный запрос раньше тридцати дней допустим, если на первый вы не дали сведений в полном объёме: он должен содержать обоснование. Оператор вправе отказать в повторном запросе, не соответствующем условиям, но отказ должен быть мотивированным, а доказывать его обоснованность обязан оператор (статья 14, часть 6).

Шаблон ответа

ФИО субъекта (или представителя)
Адрес для ответа

Ответ на обращение от ДАТА № НОМЕР

В ответ на ваше обращение сообщаем:
1. НАЗВАНИЕ_ОРГАНИЗАЦИИ обрабатывает ваши персональные данные: ДА/НЕТ.
2. Правовое основание и цели обработки: ...
3. Обрабатываемые данные: ... Источник получения: ...
4. Способы и сроки обработки, срок хранения: ...
5. Лица, имеющие доступ к данным или получающие их: ...
6. Трансграничная передача: нет / да, в ...
7. Порядок реализации ваших прав: ...

Ответственный за организацию обработки ПДн: ФИО, КОНТАКТЫ.
ДАТА  ПОДПИСЬ

Если запрос на прекращение обработки или отзыв согласия: в ответе укажите, какие действия выполнены и когда, что уничтожено, что сохраняется на законных основаниях и по какому.

Журнал обращений

Поле	Зачем
Номер, дата получения, канал	Старт отсчёта срока
Заявитель, тип обращения	Классификация и сроки
Срок ответа, продление (дата и основание)	Контроль сроков
Исполнитель, системы, где искали данные	Полнота
Действия (блокирование, уточнение, уничтожение) и даты	Подтверждение исполнения
Дата и форма ответа, ссылка на документ	Доказательство при проверке

Диагностика

Симптом	Причина и что делать
Запрос пришёл в мессенджер или обычную почту сотрудника	Нет единого канала. Назначьте адрес для обращений, обучите сотрудников пересылать запросы ответственному в день получения
Нашли данные не во всех системах	Нет реестра систем с ПДн. Составьте его и включите подрядчиков
Срок пропущен	Старт отсчёта потеряли. Введите журнал и напоминания за два дня до срока
Субъект требует удалить то, что вы обязаны хранить по закону	Укажите в ответе основание хранения и срок; прекращаете остальную обработку

Где это в моделях

Материал продолжает раздел «Регуляторика ПДн» и относится к направлению «Безопасность данных» (карта: карта зрелости, самопроверка оператора ПДн). Права субъектов — одна из основных областей контроля по методике Группы Сбер.

Как проверить

Есть единый канал приёма обращений и журнал с датой получения и сроком ответа.
Определён ответственный и заместитель, шаблоны ответов утверждены.
Известны системы, где могут быть данные субъекта, включая подрядчиков.
В течение года разыгран тестовый запрос: срок выдержан, ответ сохранён.

Источники

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статьи 14, 18.1, 21: КонсультантПлюс, Гарант. Проверяйте действующую редакцию.
Методика осуществления контроля соблюдения фокусными компаниями законодательства РФ в области персональных данных, Группа Сбер: sberbank.ru.
Размеры штрафов: штрафы за нарушения с ПДн.