Какие обращения граждан по персональным данным нужно учитывать
152-ФЗ даёт субъекту персональных данных право запросить у оператора подтверждение факта обработки, получить копию своих данных, потребовать уточнения, блокирования или удаления. Оператор обязан обеспечить регистрацию таких обращений и ответить в срок, не превышающий 30 дней с даты получения запроса.
Учёту подлежат все письменные и электронные обращения граждан, в которых они реализуют права субъекта. Это могут быть письма на email, сообщения через форму обратной связи на сайте, бумажные заявления или обращения через мессенджеры, если такой канал указан в политике обработки персональных данных.
Без организованного учёта компания рискует пропустить срок ответа, потерять запрос или не суметь доказать при проверке Роскомнадзора, что обращение было обработано вовремя. Каждый пропущенный или неправильно оформленный ответ создаёт риск административной ответственности.
Как организовать учёт обращений на практике
Закон не предписывает конкретную форму ведения учёта — это может быть журнал регистрации, таблица, CRM-система или специализированный модуль в корпоративной информационной системе. Главное, чтобы оператор мог зафиксировать дату получения запроса, его содержание, дату и способ ответа, а также сохранить копию ответа.
Политика обработки персональных данных должна содержать порядок реализации прав субъектов: какие каналы связи доступны для обращений, в какие сроки оператор обязуется ответить, куда направлять запросы. На сайте нужно опубликовать реквизиты оператора — ИНН, ОГРН, адрес, контакты, — чтобы гражданин мог отправить обращение правильному адресату.
Если на сайте установлены формы обратной связи или сбора персональных данных, они должны быть привязаны к согласиям и политике. Каждое поступившее через форму обращение фиксируется так же, как письмо или звонок: дата, содержание, результат обработки.
Какие риски возникают, если учёт не ведётся или ведётся с ошибками
Отсутствие учёта или пропуск срока ответа на запрос субъекта может быть квалифицировано как нарушение прав субъекта персональных данных. Это создаёт риск административной ответственности для оператора.
Если на сайте не опубликована политика обработки персональных данных, не указаны реквизиты оператора или формы связи недоступны, субъект может не знать, куда направить запрос. Это тоже нарушение требований закона: оператор обязан обеспечить механизм реализации прав субъектов.
При проверке Роскомнадзора оператор должен подтвердить, что обращения принимаются, регистрируются и обрабатываются в установленные сроки. Если учёта нет или документы не сохранены, доказать соблюдение закона не получится.
Как проверить, что сайт готов принимать обращения по персональным данным
Проверка начинается с публичной части сайта: есть ли политика обработки персональных данных, указаны ли в ней цели, правовые основания и порядок реализации прав субъектов. Затем — реквизиты оператора: ИНН, ОГРН, адрес, контакты для обращений. Если этих данных нет или они скрыты, гражданин не сможет направить законный запрос.
Далее проверяются формы обратной связи и сбора данных: есть ли ссылка на политику, запрашивается ли согласие, работает ли форма. Важно убедиться, что трекеры и сторонние сервисы на сайте не запускаются до получения согласия посетителя — иначе данные уходят за пределы контроля оператора ещё до того, как человек узнает, кому он их передаёт.
Dobrolex открывает сайт глазами нового посетителя — с чистой сессии, без cookie и авторизации — и фиксирует, какие данные собираются, куда они отправляются и какие документы доступны. В заключении приводятся снимки экрана, дословные цитаты из политики, сетевые запросы и правовая квалификация по каждому эпизоду. Это помогает понять, готов ли сайт принимать обращения и где возникают риски по закону.
Что делать, если проверка выявила риски
Если в заключении зафиксированы эпизоды с признаками нарушений — например, не опубликована политика, нет реквизитов оператора или трекеры запускаются до согласия, — приоритет даётся исправлениям с наибольшим правовым риском. Отчёт связывает каждый найденный эпизод с нормой закона и даёт очерёдность действий.
Исправление может потребовать доработки документов — политики обработки персональных данных, согласий, оферты, — настройки cookie-баннера и трекеров, изменения кода форм обратной связи. План действий из Dobrolex содержит решения для каждого риска: что изменить в коде, какие настройки применить, какие документы опубликовать.
После исправлений рекомендуется провести повторную проверку, чтобы убедиться, что риски устранены. Заключение Dobrolex с отметкой «эпизодов не выявлено» — это подтверждение, что на осмотренных публичных страницах сайт в порядке и готов к приёму обращений граждан по персональным данным.
Проверьте учёт обращений ПДн на своём сайте
- 01Опубликована ли политика обработки персональных данных. Откройте сайт и найдите ссылку на политику в подвале страницы или в формах сбора данных. Проверьте, указаны ли в политике цели обработки, правовые основания и порядок реализации прав субъектов.
- 02Указаны ли реквизиты оператора персональных данных. Убедитесь, что на сайте опубликованы ИНН, ОГРН, юридический адрес и контакты для обращений. Без этих данных гражданин не сможет направить запрос правильному адресату.
- 03Есть ли доступные каналы связи для обращений. Проверьте, указаны ли в политике email, телефон или форма обратной связи для направления запросов по персональным данным. Попробуйте отправить тестовое сообщение через форму на сайте.
- 04Запускаются ли трекеры и аналитика до согласия посетителя. Откройте сайт в режиме инкогнито, откройте инструменты разработчика (F12) и посмотрите вкладку Network. Если до закрытия cookie-баннера уходят запросы к Google, Яндексу или другим сервисам, данные собираются без согласия.
- 05Ведётся ли внутренний учёт обращений граждан. Проверьте, есть ли у компании журнал регистрации запросов субъектов, таблица или модуль в CRM. Убедитесь, что каждое обращение фиксируется с датой получения, содержанием и датой ответа.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Какие обращения граждан по персональным данным нужно фиксировать?
Все запросы, в которых субъект реализует свои права по 152-ФЗ: на доступ к данным, уточнение, блокирование или удаление. Это могут быть письма, сообщения через форму на сайте или бумажные заявления.
Обязательно ли вести отдельный реестр обращений?
Закон не требует конкретной формы учёта. Главное — зафиксировать факт получения запроса, его содержание, дату и способ ответа. Это может быть журнал, таблица, CRM или специализированная система.
В какой срок нужно ответить на запрос субъекта персональных данных?
Не позднее 30 дней с даты получения запроса. Если оператор отказывает в удовлетворении запроса, он обязан сообщить причины отказа в тот же срок.
Что будет, если пропустить срок ответа на обращение?
Это может быть квалифицировано как нарушение прав субъекта персональных данных и повлечь административную ответственность для оператора.
Нужно ли уведомлять Роскомнадзор о каждом обращении гражданина?
Нет. Уведомление подаётся при намерении обрабатывать персональные данные (до начала) и при инцидентах — утечках персональных данных. Обращения граждан уведомлять не требуется.
Как доказать при проверке, что обращения обрабатывались вовремя?
Предоставить копии входящих запросов с отметками о дате получения, копии ответов и подтверждения отправки. Для этого нужен организованный учёт и хранение документов.
Можно ли принимать обращения только по электронной почте?
Да, если это указано в политике обработки персональных данных. Главное — чтобы канал связи был доступен субъекту, а порядок обращения опубликован на сайте.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.