Права субъекта персональных данных: как ответить на запрос

Кто такой субъект и почему у него есть права

Субъект персональных данных — это конкретный человек, к которому относятся данные: ваш клиент, сотрудник, подписчик, посетитель сайта, оставивший заявку. Данные принадлежат ему, а вы как оператор лишь обрабатываете их для заявленных целей. Именно из этого вырастают права субъекта: раз данные о нём — он вправе знать, что с ними происходит, и влиять на обработку.

Права субъекта — это не абстракция, а практический механизм: субъект направляет запрос — оператор обязан отреагировать. Обработка входящих запросов — часть общих обязанностей оператора персональных данных, и выстроить её стоит заранее, а не в момент, когда письмо уже пришло и срок пошёл.

Какие права есть у субъекта

Каждому праву субъекта соответствует конкретное действие, которое обязан совершить оператор. Основной набор:

Отдельно стоит отзыв согласия: если единственным основанием обработки было согласие, его отзыв обязывает прекратить обработку и, как правило, уничтожить данные. Как устроено само согласие и как корректно оформить его отзыв — в материале о согласии на обработку персональных данных. Куда именно ведёт требование об удалении — в материале о сроке хранения и уничтожении данных.

Что делать, когда пришёл запрос

Главная ошибка — воспринять обращение субъекта как обычное письмо, которое можно «посмотреть попозже». С момента получения запроса течёт срок, а цена промедления — жалоба и штраф. Правильная реакция укладывается в несколько принципов:

• Идентифицируйте заявителя. Персональные данные выдаются только их субъекту (или представителю). Ответ по существу на неподтверждённый запрос — это риск раскрыть данные постороннему.
• Определите тип требования. Доступ, уточнение, удаление, отзыв согласия — у каждого свой срок и своё содержание ответа. В одном письме их может быть несколько.
• Отвечайте по существу. Не отпиской «рассмотрено», а конкретными сведениями или конкретным действием — и в форме, которой потом можно подтвердить факт ответа.
• Фиксируйте. Запрос, ответ и дату сохраняйте — именно этим вы докажете регулятору, что ответили вовремя.

За организацию этого процесса в компании отвечает конкретный человек — ответственный за организацию обработки персональных данных. Если такого нет, запросы будут теряться между отделами, а срок — утекать.

В какой срок отвечать

Единого «одного срока на всё» нет — он зависит от типа запроса. Общая логика такая:

• Запрос о доступе (какие данные обрабатываются, зачем, кому передаются) — оператор отвечает в короткий срок, исчисляемый рабочими днями, с возможностью ограниченного продления, о котором субъекта уведомляют.
• Уточнение, блокирование, уничтожение неправомерно обрабатываемых или неточных данных — в сжатый срок с момента, когда подтверждены основания для этого.
• Отзыв согласия — обработка, опиравшаяся на согласие, прекращается в срок, как правило не превышающий 30 дней, если у оператора нет другого законного основания её продолжать.

Когда можно отказать

Отказать субъекту можно, но только по основаниям из закона и мотивированно. Типичные ситуации, когда отказ правомерен:

• раскрытие данных нарушит права и законные интересы третьих лиц;
• данные обрабатываются в целях, где доступ ограничен законом;
• запрос не позволяет идентифицировать субъекта — тогда сначала запрашивают недостающие сведения;
• закон обязывает оператора продолжать хранить данные (например, бухгалтерские и кадровые документы), несмотря на требование об удалении.

Важно: отказ — это ответ, а не молчание. Он оформляется в тот же срок, что и ответ по существу, со ссылкой на конкретное основание. «Отказ молчанием» — когда оператор просто не реагирует — недопустим и трактуется как нарушение со всеми штрафами за персональные данные.

Обработка запроса: 6 шагов

Сводим всё в единый маршрут — от получения письма до фиксации результата. Один раз выстроив этот процесс, вы снимаете большую часть рисков по обращениям субъектов.

1. Зафиксируйте дату и способ получения запроса. С момента получения запроса начинают течь сроки ответа, поэтому первым делом зафиксируйте дату и канал: письмо на бумаге, e-mail, форма на сайте, обращение через поддержку. Если запрос пришёл в свободной форме, но по сути это требование субъекта о его данных — относитесь к нему как к обращению субъекта, а не как к обычному письму.
2. Убедитесь, что запрос исходит от самого субъекта. Отвечать по существу можно только тому, чьи это данные (или его законному представителю). Проверьте, что в запросе есть сведения, позволяющие идентифицировать субъекта: ФИО, данные основного документа, при необходимости — сведения, подтверждающие участие в отношениях с вами (номер договора, e-mail из аккаунта). Не выдавайте персональные данные по неподтверждённому запросу — это само по себе может стать утечкой.
3. Определите, что именно требует субъект. Запросы бывают разные, и от типа зависит и срок, и содержание ответа: доступ к сведениям об обработке (какие данные, откуда, зачем, кому передаются); уточнение неточных данных; блокирование или уничтожение неправомерно обрабатываемых данных; отзыв ранее данного согласия. Чётко определите тип — иногда в одном письме их несколько.
4. Найдите данные и подготовьте ответ по существу. Поднимите все системы, где могут храниться данные субъекта (CRM, бухгалтерия, рассылки, бэкапы), и подготовьте ответ именно по запросу: перечень обрабатываемых данных и целей, правовые основания, сведения об источнике и о том, кому данные передавались. Ответ должен быть содержательным, а не отпиской «ваш запрос рассмотрен».
5. Ответьте в установленный срок в надлежащей форме. Уложитесь в срок, предусмотренный законом для соответствующего типа запроса, и ответьте в форме, позволяющей подтвердить факт ответа (тем же каналом, письменно). Если по закону есть основание отказать — отказ тоже оформляется мотивированно и в срок, с указанием причины и нормы. Молчание — это нарушение.
6. Зафиксируйте факт и результат обработки запроса. Сохраните сам запрос, ваш ответ и дату отправки. Если по запросу вы уточнили, заблокировали или уничтожили данные — зафиксируйте и это (для уничтожения оформляется подтверждающий документ). Журнал обращений субъектов — то, чем вы докажете, что ответили вовремя и по существу, если субъект пожалуется в Роскомнадзор.

Частые ошибки

• Отвечают на запрос, не убедившись, что он от самого субъекта, — и раскрывают данные постороннему.
• Воспринимают обращение как обычное письмо и пропускают срок.
• Отвечают отпиской «ваш запрос рассмотрен» вместо сведений по существу.
• Молча игнорируют запрос, считая это «отказом», — а это нарушение.
• Удаляют данные, которые закон обязывает хранить (бухгалтерия, кадры), либо наоборот — не удаляют после отзыва согласия.
• Не фиксируют запрос и ответ — и потом нечем доказать, что ответили вовремя.
• Не назначают ответственного — обращения теряются между отделами.

Читайте также

• Согласие на обработку персональных данных — как оформить согласие и как корректно обработать его отзыв.
• Срок хранения и уничтожение персональных данных — куда ведёт требование об удалении и как оформить уничтожение.
• Обязанности оператора персональных данных — полный набор того, что спрашивают с оператора.
• Ответственный за обработку персональных данных — кто в компании отвечает за обращения субъектов.
• Политика обработки персональных данных — где закрепляют права субъекта и порядок обращений.
• Штрафы за персональные данные в 2026 — во что обходится неответ на запрос субъекта.
• Роскомнадзор и персональные данные: гайд для бизнеса — обзор всех обязанностей оператора.

Частые вопросы