- Субъект имеет право на информацию, доступ, исправление, удаление и ограничение обработки
- Оператор обязан ответить на запрос в течение 30 дней с момента его получения
- Перед предоставлением данных нужно идентифицировать заявителя, чтобы не раскрыть их постороннему
- Отказать в правах можно только в исключительных случаях и с письменной мотивировкой
- Нарушение прав субъекта влечёт штраф и репутационные риски
Персональные данные принадлежат человеку, а не компании, которая их собрала. ФЗ-152 закрепляет за субъектом набор прав, а на оператора возлагает обязанность эти права обеспечивать. Игнорировать запросы нельзя — это прямой путь к штрафу и жалобе в Роскомнадзор. Разберём каждое право и то, как с ним работать.
Кто такой субъект персональных данных
Субъект — это физическое лицо, к которому относятся обрабатываемые данные. Им может быть клиент, сотрудник, подписчик рассылки, посетитель сайта, контрагент-физлицо. Как только вы храните чьи-то имя, телефон, email или иные идентифицирующие сведения — этот человек становится субъектом, а у вас появляются обязанности перед ним.
Субъект — это тот, чьи данные обрабатывают. Оператор — тот, кто их обрабатывает. Не путайте: у этих ролей противоположные позиции. Субъект имеет права, оператор несёт обязанности по их обеспечению.
Право первое: на информацию
Субъект вправе знать, что происходит с его данными. Он может требовать сведения о том, какие именно данные обрабатываются, с какой целью, кому передаются, как долго хранятся и каким способом обрабатываются.
На практике это право реализуется через политику конфиденциальности на сайте и через текст согласия при сборе данных. Если субъект обратится с прямым запросом — оператор обязан предоставить эту информацию персонально.
Право второе: на доступ
Это более конкретное право — получить копию своих данных, которые хранятся у оператора.
Процедура выглядит так:
- Субъект направляет письменный запрос.
- Оператор идентифицирует заявителя.
- В течение 30 дней предоставляет данные в понятной форме.
| Канал запроса | Особенности |
|---|---|
| Форма на сайте | Самый удобный для обеих сторон |
| Требует подтверждения личности | |
| Почтовое письмо | Для тех, кто предпочитает бумагу |
| Через представителя | Нужна доверенность |
Право третье: на исправление
Если данные неточны, устарели или неполны, субъект может потребовать их исправить. Классические примеры: ошибка в написании фамилии, сменившийся номер телефона, неверный адрес, устаревшая должность.
Оператор обязан внести исправления в разумный срок — те же 30 дней — и, если данные передавались третьим лицам, уведомить их о корректировке.
Право четвёртое: на удаление
Одно из самых востребованных прав. Субъект может потребовать удалить свои данные, если:
- цель обработки достигнута и данные больше не нужны;
- субъект отозвал согласие, а другого основания нет;
- истёк срок хранения;
- обработка велась незаконно.
Право на удаление имеет границы. Если закон обязывает хранить данные — например, бухгалтерские документы или кадровые записи в течение установленных сроков, — оператор не может их удалить даже по требованию субъекта. Но об этом нужно сообщить заявителю с указанием конкретной нормы.
Право пятое: на ограничение обработки
Менее известное, но важное право. Субъект может потребовать приостановить обработку своих данных на время спора об их точности или законности. Данные при этом не удаляются, но и не используются — они как бы замораживаются до разрешения вопроса.
Право шестое: на переносимость
Субъект может получить свои данные в структурированном машиночитаемом формате (например, CSV или JSON) и передать их другому оператору. Это особенно актуально для цифровых сервисов: пользователь хочет уйти к конкуренту и забрать с собой историю или контакты.
Отзыв согласия — особое право
Стоит отдельно остановиться на праве отозвать согласие, потому что вокруг него больше всего путаницы.
Если обработка велась на основании согласия, субъект может отозвать его в любой момент — без объяснения причин. После отзыва оператор обязан прекратить обработку, для которой это согласие было основанием, и удалить данные, если нет другого законного основания их хранить.
Здесь и кроется нюанс. Отзыв согласия на рекламную рассылку означает, что вы прекращаете слать письма. Но если те же данные одновременно нужны для исполнения договора — например, для доставки уже оформленного заказа, — их можно продолжать обрабатывать на основании договора, а не согласия.
Данные одного субъекта часто обрабатываются сразу по нескольким основаниям. Отзыв согласия отключает только то, что держалось на согласии. Не нужно удалять вообще всё про человека, если часть данных обрабатывается на основании договора или требования закона. Но и игнорировать отзыв в той части, где он применим, нельзя.
Технически отзыв должен быть таким же простым, как и дача согласия. Если подписаться на рассылку можно одной галочкой, то и отписаться должно быть не сложнее — ссылка в письме, кнопка в личном кабинете. Заставлять субъекта писать бумажное заявление, чтобы отозвать согласие, данное онлайн, — плохая практика, которая раздражает людей и привлекает внимание регулятора.
Сроки и идентификация: два критических момента
Срок ответа — 30 дней
Это жёсткий ориентир. Отсчёт идёт с момента получения корректного запроса. Затягивание ответа — самостоятельное нарушение.
Идентификация заявителя
Прежде чем выдать данные, оператор обязан убедиться, что запрос пришёл именно от субъекта. Иначе есть риск раскрыть данные мошеннику — а это уже нарушение со стороны самого оператора.
Если оператор по невнимательности предоставит персональные данные постороннему, выдавшему себя за субъекта, ответственность ляжет на оператора. Поэтому идентификация — не бюрократия, а защита и субъекта, и вас самих.
Когда можно отказать
Полный отказ возможен лишь в исключительных случаях: данные затрагивают третьих лиц, относятся к государственной тайне или к материалам текущего судопроизводства. Любой отказ оформляется письменно с мотивировкой. «Нам неудобно» или «мы заняты» — не основания.
Ответственность за нарушение прав
| Нарушение | Последствие |
|---|---|
| Отказ в доступе без оснований | Штраф 30 000–60 000 ₽ для юрлица |
| Просрочка ответа (более 30 дней) | Штраф + жалоба в РКН |
| Игнорирование запроса на удаление | Штраф + предписание |
| Выдача данных постороннему | Штраф за нарушение конфиденциальности |
Как выстроить работу с запросами
Хаотичная реакция на запросы — источник просрочек и ошибок. Лучше один раз выстроить процесс.
Практические вопросы о запросах субъектов
Чек-лист готовности к запросам
- На сайте есть форма или указан канал для запросов субъектовобязательно
- Назначен сотрудник, ответственный за обработку запросовобязательно
- Описана процедура идентификации заявителяобязательно
- Команда знает про срок ответа 30 днейобязательно
- Есть шаблоны ответов на типовые запросы
- Настроена возможность экспорта данных в машиночитаемом формате
- Определён порядок уведомления третьих лиц об удалении
Права субъектов — не формальность, а основа доверия. Компания, которая чётко и быстро отвечает на запросы, не только избегает штрафов, но и формирует репутацию ответственного оператора. А это в эпоху всеобщей чувствительности к приватности — конкурентное преимущество.