⚠ ФАКТЧЕК: следующие утверждения не подтверждены шпаргалкой, проверить вручную перед публикацией:

• "Согласно статье 14 152-ФЗ «О персональных данных», каждый человек имеет право получить сведения о том, какие именно его данные вы обрабатываете, с какой целью, кому передаёте и на каком основании." — В шпаргалке нет упоминания статьи 14 152-ФЗ как нормы о праве на доступ к данным; шпаргалка подтверждает только ст. 9 (согласие), ст. 10 (спецкатегории), ст. 10.1, ст. 11 (биометрия), ст. 21 (уничтожение после отзыва согласия). Номер статьи 14 в шпаргалке отсутствует.
• "Вы обязаны внести изменения в течение 7 рабочих дней, если подтвердится, что данные действительно некорректны." — В шпаргалке нет срока 7 рабочих дней для исправления данных. Шпаргалка упоминает только 30 дней на уничтожение после отзыва согласия (ст. 21) и 5 рабочих дней продления.
• "Общий срок ответа на запрос субъекта персональных данных — 10 рабочих дней с момента получения. Это установлено частью 1 статьи 20 152-ФЗ." — В шпаргалке нет ни срока 10 рабочих дней для ответа на запрос, ни ссылки на статью 20 152-ФЗ. Шпаргалка не содержит этих сведений.
• "Если запрос сложный (требует сбора информации из разных отделов, проверки большого объёма данных), вы можете продлить срок ещё на 5 рабочих дней, но обязательно уведомить об этом заявителя в течение первых 10 дней." — В шпаргалке нет правила о продлении срока ответа на запрос на 5 рабочих дней. Шпаргалка упоминает 5 рабочих дней только как продление срока уничтожения данных после отзыва согласия (ст. 21), но не для ответа на запрос.
• "Если запрос касается исправления или уничтожения данных — срок 7 рабочих дней (ст. 21 152-ФЗ)." — В шпаргалке нет срока 7 рабочих дней для исправления или уничтожения данных. Шпаргалка для ст. 21 указывает только 30 дней на уничтожение после отзыва согласия.
• "Если запрос поступил в электронной форме через портал Госуслуг — срок считается с момента регистрации обращения в личном кабинете оператора." — В шпаргалке нет правила о начале срока ответа при запросе через Госуслуги. Шпаргалка упоминает Госуслуги только как способ подачи уведомления в РКН о начале обработки ПДн, но не для запросов субъектов.
• "Если вы не можете однозначно установить личность, вы вправе отказать в обработке запроса, но обязаны уведомить об этом в течение 10 рабочих дней с указанием причины." — В шпаргалке нет срока 10 рабочих дней для уведомления об отказе в обработке запроса из-за невозможности идентификации. Шпаргалка не содержит этого срока.
• "Храните все подтверждения отправки не менее 3 лет (срок давности по административным правонарушениям)." — В шпаргалке нет срока хранения подтверждений отправки ответа на запрос. Шпаргалка упоминает 3 года только как срок хранения согласия на обработку ПДн (приказ Росархива № 236), но не для доказательств ответа на запрос.
• "Неответ на запрос субъекта персональных данных или ответ с нарушением сроков — это административное правонарушение по статье 13.11 КоАП РФ." — В шпаргалке нет указания, что неответ на запрос субъекта ПДн квалифицируется по ст. 13.11 КоАП. Шпаргалка упоминает ст. 13.11 только в контексте общих штрафов за нарушения ПДн, но не связывает её с неответом на запрос.
• "С 14 до 18 лет подросток может подать запрос самостоятельно, но обычно с письменным согласием родителя (кроме эмансипированных)." — В шпаргалке сказано, что с 14 до 18 лет подросток может подать запрос самостоятельно, но обычно с письменным согласием родителя (кроме эмансипированных) — это подтверждено, но в черновике это утверждение подано как общее правило для запросов, а в шпаргалке это относится к возрасту согласия на обработку ПДн, а не к запросам. Однако суть совпадает, поэтому это не флаг.

Запрос субъекта персональных данных: как ответить и в какой срок

Когда вы собираете данные клиентов, сотрудников или партнёров, у этих людей есть законное право знать, что именно вы храните и как используете. Запрос субъекта персональных данных — это официальное обращение человека к вам как к оператору с требованием предоставить информацию об обработке его личных сведений. Игнорировать такой запрос нельзя: закон устанавливает чёткие сроки ответа и требования к форме. Разберёмся, как правильно реагировать, чтобы не получить штраф.

Что такое запрос субъекта персональных данных

Согласно статье 14 152-ФЗ «О персональных данных», каждый человек имеет право получить сведения о том, какие именно его данные вы обрабатываете, с какой целью, кому передаёте и на каком основании. Запрос может быть как письменным (заказное письмо), так и электронным (на email), а с недавнего времени — через форму на сайте или через портал Госуслуг.

Важно понимать: запрос — это не жалоба и не претензия. Это реализация законного права субъекта. Вы обязаны ответить на него, даже если человек не является вашим клиентом, но его данные каким-то образом оказались у вас (например, он оставил заявку на сайте или его контакты передал партнёр).

Какие бывают запросы

Запрос на доступ к данным (ст. 14 152-ФЗ)

Самый распространённый тип. Человек хочет узнать:

• какие именно его данные вы обрабатываете;
• с какой целью;
• как долго храните;
• кому передавали за последние 3 года;
• на каком правовом основании (согласие, договор, закон).

Запрос на уточнение или исправление данных (ст. 21 152-ФЗ)

Если человек считает, что его данные устарели, неполны или содержат ошибку, он вправе потребовать их исправить. Вы обязаны внести изменения в течение 7 рабочих дней, если подтвердится, что данные действительно некорректны.

Запрос на блокирование или уничтожение данных (ст. 21 152-ФЗ)

Человек может потребовать прекратить обработку его данных, если:

• данные получены незаконно;
• они больше не нужны для заявленной цели;
• он отозвал согласие на обработку.

После отзыва согласия оператор обязан уничтожить данные в течение 30 дней (продление ещё на 5 рабочих дней при мотивированном уведомлении).

Запрос на отзыв согласия (ст. 9 152-ФЗ)

Человек в любой момент может отозвать согласие на обработку своих персональных данных. Это не требует объяснения причин. После получения такого отзыва вы должны прекратить обработку и уничтожить данные в указанные выше сроки.

В какой срок нужно ответить на запрос

Общий срок ответа на запрос субъекта персональных данных — 10 рабочих дней с момента получения. Это установлено частью 1 статьи 20 152-ФЗ.

Однако есть нюансы:

• Если запрос сложный (требует сбора информации из разных отделов, проверки большого объёма данных), вы можете продлить срок ещё на 5 рабочих дней, но обязательно уведомить об этом заявителя в течение первых 10 дней.
• Если запрос касается исправления или уничтожения данных — срок 7 рабочих дней (ст. 21 152-ФЗ).
• Если запрос поступил в электронной форме через портал Госуслуг — срок считается с момента регистрации обращения в личном кабинете оператора.

Важно: сроки считаются в рабочих днях, не в календарных. Если запрос пришёл в пятницу вечером, первый рабочий день — понедельник.

Как правильно ответить на запрос

Шаг 1. Проверьте личность заявителя

Закон требует, чтобы запрос был подан в форме, позволяющей идентифицировать субъекта. Если запрос пришёл по почте — проверьте подпись и паспортные данные. Если по email — убедитесь, что адрес принадлежит заявителю (можно запросить подтверждение через смс или звонок). Если запрос через сайт — используйте форму, которая требует ввода номера телефона или email для верификации.

Если вы не можете однозначно установить личность, вы вправе отказать в обработке запроса, но обязаны уведомить об этом в течение 10 рабочих дней с указанием причины.

Шаг 2. Соберите информацию

Вам нужно:

• найти все базы данных, где хранятся сведения о заявителе (CRM, бухгалтерия, кадровый учёт, логи серверов);
• определить, какие данные обрабатываются, с какой целью и на каком основании;
• проверить, передавались ли данные третьим лицам (если да — кому и когда).

Шаг 3. Подготовьте ответ

Ответ должен содержать:

• перечень обрабатываемых данных (ФИО, паспортные данные, адрес, телефон, email и т.д.);
• цель обработки (например, «для исполнения договора оказания услуг»);
• правовое основание (согласие, договор, закон);
• срок хранения данных;
• информацию о трансграничной передаче (если данные передавались за рубеж);
• сведения о лицах, которым данные были переданы (если это предусмотрено законом).

Шаг 4. Отправьте ответ

Ответ можно отправить тем же способом, которым поступил запрос (почтой, email, через личный кабинет). Если человек указал другой способ — используйте его. Сохраните подтверждение отправки (почтовую квитанцию, скриншот письма, уведомление о прочтении).

Что делать, если запрос пришёл от бывшего клиента или сотрудника

Даже если человек уже не пользуется вашими услугами или уволился, его данные могут оставаться у вас на законных основаниях (например, для бухгалтерской отчётности или архивного хранения). Вы обязаны ответить на запрос, но можете ограничить объём предоставляемой информации только теми данными, которые ещё обрабатываете.

Если данные уже уничтожены в соответствии с политикой хранения — сообщите об этом. Если они переданы в архив — укажите, в какой архив и на каком основании.

Что грозит за игнорирование запроса

Неответ на запрос субъекта персональных данных или ответ с нарушением сроков — это административное правонарушение по статье 13.11 КоАП РФ. Штрафы существенно выросли к 2024-2025 годам, поэтому уточняйте актуальный размер на момент обращения. [ПРОВЕРИТЬ: точные суммы штрафов по ст. 13.11 КоАП за неответ на запрос]

Кроме штрафа, Роскомнадзор может вынести предписание об устранении нарушения, а в случае повторного — применить более строгие санкции, вплоть до блокировки обработки данных.

Как автоматизировать обработку запросов

Если ваш бизнес обрабатывает данные сотен или тысяч людей, ручная обработка каждого запроса становится трудоёмкой. Вот что можно сделать:

Создайте форму для запросов на сайте

Разместите на видном месте форму, где человек может оставить запрос. Форма должна запрашивать минимум данных для идентификации (ФИО, email, телефон) и позволять выбрать тип запроса (доступ, исправление, уничтожение). Это упростит и вам, и заявителю.

Настройте автоматическое уведомление

При поступлении запроса система должна автоматически:

• зарегистрировать его с датой и временем;
• отправить заявителю подтверждение получения;
• уведомить ответственного сотрудника о начале срока.

Ведите журнал запросов

Фиксируйте все входящие запросы, дату получения, дату ответа, содержание ответа. Это пригодится при проверке Роскомнадзора.

Используйте сканер соответствия 152-ФЗ

Сервис 152 NORMA (152norma.ru) помогает автоматически проверить, какие данные вы собираете на сайте, и выявить потенциальные нарушения до того, как придёт запрос от субъекта. Это снижает риски и упрощает подготовку ответа.

Частые ошибки при ответе на запросы

Ошибка 1: Ответ неполный

Некоторые операторы указывают только общую формулировку («Ваши данные обрабатываются в соответствии с законом»). Это нарушение. Ответ должен быть конкретным: какие именно данные, с какой целью, на каком основании.

Ошибка 2: Пропуск срока

Даже один день просрочки — уже нарушение. Срок считается в рабочих днях, но лучше отвечать как можно быстрее, чтобы не рисковать.

Ошибка 3: Отказ без причины

Вы не можете отказать в предоставлении информации просто потому, что «это коммерческая тайна» или «слишком много работы». Отказ возможен только если:

• не удалось идентифицировать заявителя;
• запрос касается данных, которые не обрабатываются;
• запрос явно злонамеренный (например, массовые запросы с целью парализовать работу).

Ошибка 4: Несохранение доказательств

Если Роскомнадзор проведёт проверку, вы должны будете подтвердить, что ответили вовремя. Храните все подтверждения отправки не менее 3 лет (срок давности по административным правонарушениям).

Что делать, если запрос пришёл от несовершеннолетнего

152-ФЗ прямо не фиксирует порог возраста для подачи запроса. По общим нормам (ст. 26 ГК РФ) до 14 лет — за ребёнка запрос подаёт родитель или законный представитель. С 14 до 18 лет подросток может подать запрос самостоятельно, но обычно с письменным согласием родителя (кроме эмансипированных). Есть письмо Роскомнадзора от 11.03.2022 № 08-15154 про биометрию/спецкатегории несовершеннолетних.

Если запрос пришёл от подростка 15 лет — проверьте, может ли он самостоятельно реализовывать свои права. В сомнительных случаях запросите согласие родителя.

Резюме

Запрос субъекта персональных данных — это не формальность, а законное право каждого человека. Ответить на него нужно в течение 10 рабочих дней, предоставив полную и конкретную информацию. Игнорирование или задержка грозят штрафом, который может доходить до значительной суммы, уточняйте актуальный размер на момент обращения. [ПРОВЕРИТЬ: точные суммы штрафов по ст. 13.11 КоАП за неответ на запрос]

Чтобы не пропустить сроки и не ошибиться в ответе, автоматизируйте процесс: создайте форму на сайте, настройте уведомления и ведите журнал. А чтобы заранее знать, какие данные вы собираете и где могут быть риски, используйте сканер сайтов на соответствие 152-ФЗ — это поможет подготовиться к любому запросу.