Ответ на запрос субъекта персональных данных сроки и содержание

Человек написал в компанию письмо. Он требует рассказать, какие его данные у вас есть, откуда они взялись, кому передаются и зачем хранятся. С этого момента включается счётчик. У оператора есть десять рабочих дней, чтобы дать содержательный ответ, и эти десять дней закон трактует жёстко. Промедление или отписка превращают рядовое обращение в основание для жалобы в надзорный орган и в материал для проверки. Поэтому грамотный ответ на запрос субъекта это не формальность, а отдельная процедура с собственной логикой, набором обязательных сведений и точкой невозврата по срокам.

Право человека получить информацию о своих данных закреплено в статье 14 закона 152-ФЗ. Часть 1 этой статьи прямо даёт субъекту право на получение сведений, перечисленных в части 7, и одновременно право требовать уточнения данных, их блокирования или уничтожения, если данные неполные, устаревшие, неточные, незаконно полученные или больше не нужны для заявленной цели. Зеркальная обязанность оператора зафиксирована в статье 20. Часть 1 статьи 20 обязывает сообщить человеку о наличии его данных и предоставить возможность ознакомиться с ними при обращении либо в течение десяти рабочих дней с даты получения запроса.

Какой срок на самом деле

Ключевая цифра это десять рабочих дней. Она одинаково звучит и в части 3 статьи 14, и в части 1 статьи 20. Срок может быть продлён, но не более чем на пять рабочих дней, и только при одном условии. Оператор обязан направить субъекту мотивированное уведомление с указанием причин продления. Молча затянуть ответ нельзя. Если уведомления о продлении не было, а ответ пришёл на двенадцатый рабочий день, формально срок нарушен, и человек вправе ссылаться на это в жалобе.

Отдельно закон регулирует повторные обращения. По части 4 статьи 14 субъект, которому уже предоставили сведения, вправе обратиться повторно не ранее чем через тридцать дней после первого обращения. Исключение в части 5 этой статьи когда в первый раз сведения дали не в полном объёме. Тогда человек может обратиться раньше, но повторный запрос должен содержать обоснование. И часть 6 даёт оператору право отказать в повторном запросе, который не отвечает условиям частей 4 и 5, при этом отказ обязан быть мотивированным, а доказывать обоснованность отказа придётся самому оператору.

Что должно быть в ответе

Содержание ответа задаёт часть 7 статьи 14. Это закрытый, но широкий перечень. Человеку положено сообщить подтверждение самого факта обработки, правовые основания и цели, цели и применяемые способы обработки, наименование и место нахождения оператора со сведениями о лицах, имеющих доступ к данным или которым данные могут быть раскрыты по договору или закону. Дальше идут сами обрабатываемые данные субъекта и источник их получения, сроки обработки и хранения, порядок реализации прав субъекта, информация о трансграничной передаче, сведения о лице, которое обрабатывает данные по поручению оператора. Пункт 9.1 части 7 добавляет информацию о способах исполнения оператором обязанностей по статье 18.1. Замыкает список пункт 10 про иные сведения, предусмотренные законом.

Часть 2 статьи 14 ставит два ограничения на форму. Сведения предоставляются в доступной форме, и в них не должно быть данных, относящихся к другим людям, кроме случаев, когда для раскрытия есть законные основания. Это частая ловушка. Выгружая человеку переписку или историю заказов, легко прихватить данные третьих лиц, и тогда сам ответ становится нарушением.

На что смотрит надзорный орган

При проверке инспектор сверяет три вещи. Первое это дата. Между входящим запросом и исходящим ответом должно укладываться десять рабочих дней либо пятнадцать при доказанном уведомлении о продлении. Второе это полнота. Ответ, в котором есть подтверждение факта обработки, но нет ни источника данных, ни сроков хранения, ни перечня получателей, считается неполным, и человек получает право на повторное обращение без ожидания тридцати дней. Третье это форма отказа. Часть 2 статьи 20 разрешает отказать в предоставлении информации, но требует дать письменный мотивированный ответ со ссылкой на положение части 8 статьи 14 или иного федерального закона, и тоже в срок не более десяти рабочих дней.

Часть 8 статьи 14 это и есть тот закрытый перечень оснований для отказа. Среди них обработка в целях обороны страны, безопасности государства и охраны правопорядка, обработка органами, задержавшими человека по подозрению в преступлении или предъявившими обвинение, обработка по законодательству о противодействии отмыванию доходов, случай, когда доступ нарушает права третьих лиц, и обработка в сфере транспортной безопасности. Ссылаться на отказ в духе коммерческой тайны или внутренних правил компании нельзя, такого основания в части 8 нет.

Пример из практики

Бывший клиент онлайн-сервиса написал запрос с требованием раскрыть все его данные и сообщить, кому они передавались. Сервис ответил коротко, мол данные есть, обрабатываем на основании договора. Через две недели человек подал жалобу. Слабых мест оказалось два. В ответе не было ни источника получения данных, ни сведений о получателях по части 7 статьи 14, то есть ответ неполный. И не были раскрыты сроки хранения. Правильная тактика для оператора в такой ситуации это заранее держать шаблон ответа, построенный прямо по пунктам части 7, и заполнять его по конкретному человеку, а при невозможности раскрыть часть сведений давать мотивированный отказ строго со ссылкой на часть 8.

Частые ошибки

Первая ошибка считать срок в календарных днях. Закон говорит про рабочие дни, и это растягивает фактический срок, но и обязывает не путать счёт. Вторая ошибка молчаливое продление без уведомления. Третья выгрузка данных вместе с информацией о других людях вопреки части 2 статьи 14. Четвёртая отказ со ссылкой на основания, которых нет в части 8. Пятая игнорирование того, что часть 3 статьи 20 обязывает безвозмездно дать возможность ознакомиться с данными и в течение семи рабочих дней внести изменения, если человек подтвердил их неточность.

Частые вопросы

Можно ли требовать от человека объяснить, зачем ему данные. Нет. Статья 14 не ставит цель запроса условием для ответа. Запрос по части 3 должен содержать реквизиты документа, удостоверяющего личность, сведения о связи с оператором и подпись, но не обоснование, кроме повторного запроса по части 5.

Что если данных человека у компании нет. Ответить всё равно нужно. Часть 1 статьи 20 обязывает сообщить о наличии или отсутствии данных, поэтому корректный ответ это письменное сообщение, что данные не обрабатываются.

В какой форме давать ответ. По части 3 статьи 14 сведения предоставляются в той форме, в которой поступили обращение или запрос, если в самом запросе не указано иное. Пришёл запрос электронным документом с электронной подписью, логично отвечать тем же каналом.

Если запрос затрагивает спор о законности обработки, разумно заранее выстроить позицию. С этим помогает юридическое сопровождение по персональным данным, а обсудить конкретную ситуацию можно через контакты.