Какие права даёт закон субъекту персональных данных
152-ФЗ предоставляет субъекту несколько ключевых прав. Он может запросить информацию о том, какие его данные обрабатываются, для каких целей, на каком основании и кто ещё имеет к ним доступ. Субъект вправе уточнить неверные сведения, заблокировать или удалить данные, если основания для обработки отсутствуют.
Субъект может отозвать согласие на обработку или возразить против обработки, которая ведётся без согласия — например, в целях маркетинга. Оператор обязан принять такое обращение и рассмотреть его, даже если запрос пришёл в произвольной форме.
Игнорирование запроса или отказ без законных оснований создаёт риск жалобы в Роскомнадзор. Субъект может также обратиться в суд за защитой своих прав.
В какой срок оператор обязан ответить на запрос
Закон устанавливает обязанность оператора рассмотреть запрос субъекта. Отсутствие ответа или затягивание рассмотрения может быть расценено как нарушение прав субъекта и создаёт основание для жалобы в Роскомнадзор.
Пропуск срока или игнорирование обращения создаёт основание для жалобы. Роскомнадзор вправе провести проверку и выявить другие нарушения в работе оператора.
Когда оператор может отказать в удалении или блокировании данных
Возможность отказа зависит от правовых оснований обработки данных. Если данные нужны для исполнения договора с субъектом или соблюдения требований закона, их обработка может быть продолжена.
Каждый случай требует анализа конкретных обстоятельств и правовых оснований обработки. Необоснованный отказ может быть обжалован в Роскомнадзор или в суд.
Если данные обрабатываются на основании согласия и других оснований нет, отказ в удалении создаёт правовой риск. Важно понимать, на каком правовом основании ведётся обработка для каждой категории данных.
Как организовать приём и обработку запросов субъектов
Оператор должен обеспечить доступные каналы для обращений: электронную почту, форму на сайте или почтовый адрес. Контакты указываются в политике конфиденциальности.
Внутри компании нужно назначить ответственного за рассмотрение запросов и закрепить порядок: как регистрируется обращение, кто готовит ответ, в какой срок и в какой форме он направляется субъекту. Это снижает риск пропуска запроса или нарушения срока.
Организация процедуры рассмотрения запросов помогает избежать ошибок при ответе на обращение и претензий со стороны субъектов данных или регулятора.
Что проверить на сайте, чтобы снизить риски по запросам субъектов
Проверка выявляет, какие данные собираются на сайте, куда они передаются и на каком основании. Если трекеры стартуют раньше согласия или данные уходят иностранным сервисам без уведомления Роскомнадзора, это создаёт риск жалобы субъекта и штрафа.
Проверяется наличие и содержание политики конфиденциальности: указаны ли цели обработки, правовые основания, сроки хранения, контакты для обращений. Отсутствие политики или неполная информация в ней — самостоятельное нарушение.
Результат проверки — заключение с установленными обстоятельствами, правовой оценкой и рекомендациями, что исправить. Это позволяет привести сайт в порядок до того, как субъект воспользуется своими правами и обнаружит нарушение.
Проверьте готовность к запросам субъектов
- 01Указаны ли контакты для обращений субъектов. В политике конфиденциальности должны быть email, почтовый адрес или форма связи — субъект должен понимать, куда отправить запрос.
- 02Назначен ли ответственный за рассмотрение запросов. Внутри компании должен быть человек, который принимает обращения, готовит ответы и следит за соблюдением сроков.
- 03Закреплён ли порядок рассмотрения запросов в документах. Пропишите во внутреннем регламенте или положении, как регистрируется обращение, кто его обрабатывает и в какой срок отвечает.
- 04Понятно ли, на каком основании обрабатываются данные. Для каждой категории данных должно быть правовое основание: согласие, договор, закон или законный интерес — это определяет, можете ли вы отказать в удалении.
- 05Проверен ли сайт на соответствие 152-ФЗ. Убедитесь, что на сайте есть политика обработки, трекеры не стартуют до согласия, а данные не уходят за рубеж без уведомления Роскомнадзора.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Обязан ли оператор отвечать на запрос субъекта в произвольной форме
Да. Закон не требует от субъекта использовать специальную форму. Оператор обязан принять и рассмотреть запрос, даже если он пришёл по email или через мессенджер.
Можно ли отказать субъекту в доступе к данным, если он не подтвердил личность
Вопрос идентификации субъекта требует юридического анализа конкретной ситуации. Оператор должен обеспечить защиту данных от передачи третьим лицам, но порядок подтверждения личности зависит от обстоятельств обращения.
Что будет, если проигнорировать запрос субъекта персональных данных
Субъект может подать жалобу в Роскомнадзор. Регулятор проведёт проверку, выявит нарушение прав субъекта и другие несоответствия закону — это может повлечь административную ответственность.
Нужно ли удалять данные, если субъект отозвал согласие, но действует договор
Если данные нужны для исполнения договора, их обработка может быть продолжена. Это зависит от правовых оснований обработки и конкретных обстоятельств.
Как понять, на каком основании обрабатываются данные на сайте
Проверка сайта показывает, какие данные собираются, через какие формы и сервисы, есть ли согласия и политика обработки. Это позволяет определить правовые основания и выявить риски.
Должен ли оператор отвечать за данные, которые собирают сторонние сервисы на сайте
Да, если вы встроили сервис и он обрабатывает данные ваших посетителей. Вы остаётесь оператором и обязаны обеспечить законность обработки, даже если данные уходят третьей стороне.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.