Жалоба субъекта и запрос Роскомнадзора: как ответить и в какие сроки
Жалоба в Роскомнадзор обычно появляется после того, как оператор не ответил субъекту в срок или не выполнил его требование. Дальше приходит запрос надзорного органа, и срок ответа короткий. Организации, у которых процесс отработан, закрывают такие обращения за несколько дней. Остальные теряют сроки, путаются в документах и получают штрафы. Ниже сроки, порядок разбора и структура ответа.
Оговорка. Статья не юридическая консультация. Сроки и обязанности сверены по тексту статей 14, 17, 20 и 21 152-ФЗ в редакции с изменениями закона от 14.07.2022 № 266-ФЗ (база «Гарант»); закон меняется, проверяйте действующую редакцию: 152-ФЗ. Процедуру проверок, форму и каналы подачи ответов определяют законы о государственном контроле и документы Роскомнадзора; конкретный срок указан в самом запросе. Решения по ответам согласуйте с юристом.
Права субъекта и каналы жалобы
Субъект, считающий, что оператор нарушает закон или его права, вправе обжаловать действия или бездействие оператора в Роскомнадзор или в суд; он вправе также требовать возмещения убытков и компенсации морального вреда в судебном порядке (статья 17). Поэтому каждое обращение субъекта нужно рассматривать как потенциальную жалобу.
Сроки
| Обращение | Срок оператора | Статья 152-ФЗ |
|---|---|---|
| Запрос субъекта о наличии и составе данных | 10 рабочих дней с обращения или получения запроса; продление не более чем на 5 рабочих дней с мотивированным уведомлением | 20, часть 1; 14, часть 3 |
| Отказ в предоставлении информации | Мотивированный письменный ответ со ссылкой на основание (часть 8 статьи 14 или иной закон) в те же 10 рабочих дней, продление не более чем на 5 | 20, часть 2 |
| Сведения о неполных, неточных или неактуальных данных | Внести изменения не более чем за 7 рабочих дней со дня представления подтверждающих сведений | 20, часть 3; 21, часть 2 |
| Сведения о незаконно полученных или ненужных для цели данных | Уничтожить не более чем за 7 рабочих дней со дня представления подтверждающих сведений | 20, часть 3 |
| Выявлена неправомерная обработка | Прекратить в срок не более 3 рабочих дней с даты выявления; если правомерность обеспечить нельзя, уничтожить не более чем за 10 рабочих дней | 21, часть 3 |
| Запрос Роскомнадзора о необходимой информации | 10 рабочих дней с даты получения; продление не более чем на 5 рабочих дней с мотивированным уведомлением | 20, часть 4 |
Также оператор обязан уведомить субъекта о внесённых изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым передавались данные (часть 3 статьи 20). Остальные сроки по запросам и уничтожению: запросы субъектов ПДн, уничтожение ПДн.
Порядок действий на запрос Роскомнадзора
- Зарегистрируйте в день получения и вычислите срок: считайте от даты получения, рабочие дни. Поставьте напоминание за два дня до конца.
- Определите повод. Из запроса понятно, о чём жалоба: незаконная обработка, отсутствие ответа, утечка, спам, публикация данных, отказ удалить.
- Назначьте группу. Единая точка связи, юрист, ИТ, владелец процесса: подготовка к проверке.
- Найдите фактические обстоятельства. Были ли обращения субъекта, что ответили и когда, на каком основании обрабатываются данные, где они хранятся, кто получал.
- При необходимости заблокируйте. Если жалоба указывает на неправомерную обработку или неточность, блокирование неправомерно обрабатываемых данных на период проверки действует с момента обращения (статья 21, часть 1).
- Исправьте нарушение, если оно подтвердилось: прекратите обработку, исправьте данные, удалите данные, опубликуйте недостающие документы, оформите согласие.
- Подготовьте ответ, приложите документы-подтверждения, согласуйте с юристом, подпишите уполномоченным лицом, отправьте в срок и сохраните подтверждение отправки.
- Уведомьте субъекта, если принимались меры по его обращению.
Структура ответа
В Управление Роскомнадзора по РЕГИОН
Ответ на запрос от ДАТА № НОМЕР
1. Краткие сведения об операторе: НАЗВАНИЕ, адрес, номер в реестре операторов.
2. Описание обработки по запросу: цель, данные, основание, способы, сроки хранения.
3. Хронология обращения субъекта и наши действия: даты, ответы, принятые меры.
4. Выявленные несоответствия (если есть) и принятые меры: что исправлено, когда.
5. Приложения: политика, согласие или договор, копии ответов субъекту, акты, подтверждения.
Контакт ответственного: ФИО, ТЕЛЕФОН, ПОЧТА.
ДАТА ПОДПИСЬ УПОЛНОМОЧЕННОГО ЛИЦАПринципы: отвечать на вопросы запроса по пунктам, приводить факты и документы, не спорить с субъектом в тоне, не прилагать лишних данных других людей, не создавать документы задним числом.
Мотивированный отказ субъекту
Отказать субъекту в предоставлении данных можно только по основаниям закона (например, перечисленным в части 8 статьи 14), и отказ должен быть письменным и мотивированным, со ссылкой на положение закона; обязанность доказать обоснованность отказа при повторном запросе лежит на операторе. Общие слова вроде «не можем раскрыть» неприемлемы. Если основание отсутствует, раскройте данные.
Типовые поводы жалоб и профилактика
| Повод | Профилактика |
|---|---|
| Запрос субъекта остался без ответа | Единый канал приёма, журнал обращений со сроком, напоминания |
| Рассылки без согласия, невозможность отписаться | Журнал согласий, мгновенная отписка: рассылки и ПДн |
| Публикация данных без согласия | Отдельное согласие на распространение: согласие на обработку ПДн |
| Нет политики на сайте | Размещение на каждой странице сбора: сайт и ПДн |
| Утечка данных | План реагирования и уведомление в срок: уведомление об утечке |
| Отказ удалить данные | Анализ оснований хранения, мотивированный ответ, удаление лишнего |
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Срок пропущен | Сразу направьте ответ, приложите документы, коротко объясните причины, введите контроль сроков |
| Запрос получили не ответственному | Нет единой точки приёма. Назначьте адрес и ответственного, обучите сотрудников пересылать в день получения |
| Нет данных о том, что отвечали субъекту | Не ведётся журнал обращений. Восстановите хронологию по почте и системам, введите журнал |
| Документы расходятся с практикой | Политика, уведомление и согласия писались независимо. Сверьте и исправьте до ответа, укажите в ответе принятые меры |
Где это в моделях
Материал продолжает раздел «Регуляторика ПДн» и относится к направлению «Безопасность данных» (материалы направления, самопроверка оператора ПДн, карта зрелости). Взаимодействие с надзорным органом — отдельная часть методики Группы Сбер, где описана помощь при проверках Роскомнадзора.
Как проверить
- Определены канал приёма обращений и запросов, ответственный и заместитель, календарь сроков.
- Журнал обращений содержит дату получения, срок, ответственного и ссылки на ответы.
- Шаблоны ответа субъекту, мотивированного отказа и ответа на запрос Роскомнадзора утверждены.
- В течение года проведена тренировка ответа на тестовый запрос в срок.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статьи 14, 17, 20, 21: КонсультантПлюс, Гарант. Проверяйте действующую редакцию.
- Методика осуществления контроля соблюдения фокусными компаниями законодательства РФ в области персональных данных, Группа Сбер: sberbank.ru.
- Размеры штрафов: штрафы за нарушения с ПДн.
