Работа с запросами субъектов персональных данных (ПДн) — обязательная часть деятельности любого оператора, обрабатывающего такие сведения. Порядок ответа на запросы регулируется статьёй 14 Федерального закона № 152-ФЗ «О персональных данных». В этой статье разберём, как правильно составить ответ, какие сроки соблюдать и приведём готовый образец документа.
Что такое запрос субъекта персональных данных
Субъект ПДн вправе обратиться к оператору с запросом о предоставлении информации, касающейся обработки его персональных данных. В таком запросе гражданин может просить:
- подтвердить факт обработки его персональных данных;
- указать правовые основания и цели обработки;
- сообщить, какие именно данные обрабатываются и откуда они получены;
- указать сроки обработки и хранения данных;
- предоставить сведения о лицах, которым данные могут быть переданы;
- ознакомить с документами, содержащими его ПДн.
Важно: в таком запросе субъект не требует прекратить обработку и не отзывает согласие — он лишь хочет получить сведения.
Требования к запросу субъекта
Согласно ч. 3 ст. 14 152-ФЗ, запрос должен содержать:
- номер основного документа, удостоверяющего личность субъекта (паспортные данные), сведения о дате выдачи и выдавшем органе;
- сведения, подтверждающие участие субъекта в отношениях с оператором (номер договора, дата заключения, условное словесное обозначение и т. п.), либо иные сведения, подтверждающие факт обработки ПДн оператором;
- подпись субъекта или его представителя.
Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством РФ.
Сроки ответа на запрос
Оператор обязан предоставить ответ в течение:
- 10 рабочих дней с момента получения запроса или личного обращения субъекта (его представителя);
- срок может быть продлён ещё на 5 рабочих дней, если оператор направит субъекту мотивированное уведомление с указанием причин продления.
Обратите внимание: срок исчисляется с момента получения запроса, а не с момента подтверждения личности заявителя. Пропуск срока может повлечь административную ответственность по ст. 13.11 КоАП РФ.
Порядок подготовки ответа
Шаг 1. Проверка запроса
Оцените соответствие запроса требованиям ч. 3 ст. 14 152-ФЗ. Проверьте, можно ли по имеющимся у оператора сведениям идентифицировать заявителя и подтвердить факт обработки его данных.
Шаг 2. Идентификация субъекта
Дополнительные меры по идентификации следует принимать только если по содержанию запроса невозможно установить личность субъекта. Судебная практика показывает: если все данные, перечисленные в ч. 3 ст. 14 152-ФЗ, указаны в запросе, требование предоставить нотариально заверенную копию паспорта, селфи с документом или явиться лично может быть признано незаконным отказом (например, Решение Клинцовского городского суда Брянской области от по делу № 2-394/2024).
Шаг 3. Подготовка ответа
Если запрос соответствует требованиям закона — подготовьте полноценный ответ со всеми запрашиваемыми сведениями. Если данных недостаточно — в установленный срок направьте мотивированный ответ с указанием, какие сведения необходимо предоставить дополнительно.
Образец ответа на запрос о предоставлении информации о персональных данных
(на бланке организации)
Исх. № ______ от «___» __________ 20___ г.
На вх. № ______ от «___» __________ 20___ г.
Кому: Иванову Ивану Ивановичу
Адрес: ______________________
О предоставлении информации, касающейся обработки персональных данных
Уважаемый Иван Иванович!
В ответ на Ваш запрос, поступивший «___» __________ 20___ г., в соответствии со ст. 14 Федерального закона от № 152-ФЗ «О персональных данных» сообщаем следующую информацию, касающуюся обработки Ваших персональных данных:
- Подтверждение факта обработки: ООО «___________» (далее — Оператор) осуществляет обработку Ваших персональных данных.
- Правовые основания обработки: согласие субъекта персональных данных от «___» __________ 20___ г. / договор № ___ от «___» __________ 20___ г. / иное основание, предусмотренное ст. 6 152-ФЗ.
- Цели обработки: ______________________ (например, исполнение договора, предоставление услуг).
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество; дата рождения; паспортные данные; адрес; номер телефона; адрес электронной почты.
- Источник получения данных: данные получены непосредственно от Вас при заключении договора № ___ от «___» __________ 20___ г.
- Способы обработки: смешанная (с использованием средств автоматизации и без таковых).
- Сроки обработки и хранения: до достижения целей обработки / до отзыва согласия / в течение срока действия договора и ___ лет после его прекращения.
- Сведения о лицах, которым могут быть переданы данные: ______________________ (либо: передача третьим лицам не осуществляется).
- Сведения о трансграничной передаче: не осуществляется / осуществляется в ______________________.
- Наименование и адрес Оператора: ООО «___________», ИНН ___________, адрес: ______________________.
Вы вправе обратиться к Оператору с требованием об уточнении, блокирования или уничтожения Ваших персональных данных, а также отозвать согласие на их обработку в порядке, предусмотренном законодательством РФ.
Генеральный директор ООО «___________» _____________ /Петров П.П./
Исполнитель: _____________, тел.: _____________
Образец ответа при невозможности идентификации
Если сведений в запросе недостаточно, ответ может выглядеть так:
«В ответ на Ваш запрос от «___» __________ 20___ г. сообщаем, что предоставление запрашиваемой информации невозможно, поскольку указанные в запросе сведения не позволяют идентифицировать Вас как субъекта персональных данных и подтвердить факт обработки Ваших данных Оператором. Для получения запрашиваемой информации просим дополнительно предоставить: ______________________ (например, номер и дату договора, реквизиты документа, удостоверяющего личность). Ответ будет предоставлен в течение 10 рабочих дней с момента получения дополнительных сведений».
Практические рекомендации
- Регистрируйте все входящие запросы с указанием даты получения, это позволит контролировать сроки ответа.
- Не требуйте от заявителя избыточных документов, если данных запроса достаточно для идентификации.
- Направляйте ответ тем же способом, которым поступил запрос, если субъект не указал иное.
- Храните копии ответов и подтверждения их направления — это защитит оператора при проверках Роскомнадзора.
- Назначьте ответственного за организацию обработки ПДн и закрепите порядок работы с запросами во внутреннем регламенте.
Корректный и своевременный ответ на запрос субъекта персональных данных — не только требование закона, но и показатель надёжности организации. Соблюдение сроков (10 рабочих дней), полнота предоставляемых сведений и отказ от избыточных требований к заявителю помогут избежать штрафов и судебных споров.