Защита прав субъектов персональных данных — это фундаментальный принцип законодательства Российской Федерации в сфере информации. Федеральный закон от № 152-ФЗ «О персональных данных» (далее — Закон) предоставляет гражданам широкий спектр инструментов для контроля за обработкой их сведений. Учитывая масштабные поправки, вступившие в силу в 2025 году (в частности, с 1 сентября 2025 года), порядок реализации этих прав получил новые процедурные нюансы.

Данная статья подробно разбирает правовые основы, пошаговые алгоритмы действий и судебную практику, позволяющие субъекту персональных данных (далее — Субъект) эффективно защищать свои интересы.

Правовые основы и ключевые понятия

Что считается персональными данными (ст. 3 Закона № 152-ФЗ)

Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Важно: использование нейросетей и ИИ-сервисов не создает отдельного правового режима. Если оператор передает в ИИ сведения, по которым можно идентифицировать человека, к таким операциям полностью применяются требования 152-ФЗ.

Кто есть Субъект и Оператор

• Субъект персональных данных — физическое лицо, чьи данные обрабатываются.
• Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав обрабатываемых данных, действия (операции), совершаемые с ними.

Основные права Субъекта (ст. 14 Закона № 152-ФЗ)

Закон закрепляет за Субъектом неисчерпываемый перечень прав, среди ключевых:

1. Право на получение информации об обработке своих данных (п. 1 ст. 14).
2. Право на уточнение, блокирование или уничтожение данных, если они неполные, устаревшие, недостоверные, незаконно полученные или не необходимы для заявленной цели (п. 2 ст. 14).
3. Право на отзыв согласия на обработку (ст. 9, п. 2 ст. 14).
4. Право на обжалование действий/бездействия оператора в Роскомнадзор или в суд (п. 3 ст. 14).
5. Право на защиту своих прав и законных интересов, в т.ч. на возмещение убытков и компенсацию морального вреда (п. 4 ст. 14).

Досудебный порядок защиты прав (Претензионная работа)

Хотя для большей категории споров по 152-ФЗ досудебный порядок не является обязательным (позволено сразу идти в суд), его соблюдение является признаком добросовестности и позволяет решить вопрос быстрее и без судебных издержек; С 2025 года операторы обязаны обеспечивать удобные каналы связи для Субъектов.

Шаг 1: Запрос информации об обработке (ст. 18, 21 Закона)

Прежде чем требовать удаления или исправления, нужно узнать, какие именно данные обрабатываются и на каких основаниях.

Форма запроса: Письменная (заказное письмо с вложением, лично под роспись, через официальный сайт оператора в личном кабинете, по электронной почте, указанной в политике конфиденциальности).

Содержание запроса (по рекомендациям Роскомнадзора):

• ФИО, паспортные данные (для идентификации), контакты для ответа.
• Четкое требование: «Предоставить информацию о обработке моих персональных данных в соответствии со ст. 18 ФЗ № 152-ФЗ».
• Перечень требуемой информации: цели обработки, категории данных, категории получателей (в т.ч. третьих лиц и переграничная передача), сроки хранения, источники получения (если данные не получены от Субъекта), наличие автоматизированных решений.

Срок ответа оператора: 30 календарных дней со дня получения запроса (п. 2 ст. 21). Продление срока не допускается.

Шаг 2: Требование уточнить, заблокировать или уничтожить данные (п. 2 ст. 14, ст. 21)

Если ответ оператора выявил нарушения (данные неверные, цель обработки достигнута/утеряна, согласия нет и нет иных законных оснований), направляется требование.

Основания для требования:

• Данные неполные, устаревшие, недостоверные.
• Данные получены незаконно (нарушена процедура сбора, нет оснований ст. 6, 11 Закона).
• Данные не необходимы для достижения заявленных целей.
• Истек срок хранения или достигнута цель обработки.
• Отозвано согласие (если обработка основывалась только на нем).

Срок исполнения: Оператор обязан выполнить действия в течение 10 рабочих дней со дня получения требования (п. 2 ст. 21) и уведомить Субъекта о результате. Если оператор отказывает — он обязан мотивированно уведомить об этом в тот же срок.

Шаг 3: Отзыв согласия на обработку (ст; 9, п. 2 ст. 14)

С 1 сентября 2025 года введены строгие правила оформления согласия (письменная форма, конкретные цели, срок действия). Субъект вправе отозвать согласие в любой момент.

• Отзыв направляется оператору в форме, предусмотренной для дачи согласия, или иным способом, подтверждающим факт получения (заказное письмо, ЭДО, личный кабинет).
• Оператор обязан прекратить обработку и уничтожить данные в течение 30 календарных дней со дня получения отзыва (если иное не предусмотрено законом, например, необходимость исполнения договора).

Обжалование в Роскомнадзор (Административный порядок)

Жалоба в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) — эффективный способ вызвать оператора к административной ответственности и заставить устранить нарушения.

Основания для жалобы

• Отказ в предоставлении информации или предоставление неполной/недостоверной информации.
• Отказ в уточнении/блокировании/уничтожении данных без законных оснований.
• Обработка данных без согласия и без законных оснований (ст. 6, 11).
• Нарушение режима безопасности (утечка данных).
• Передача третьим лицам/переграничная передача без оснований.
• Нарушение сроков рассмотрения запросов Субъекта.

Порядок подачи и рассмотрения

• Форма: Письменная (почта, личный прием, портал Госуслуг, официальный сайт Роскомнадзора — раздел «Прием обращений»).
• Содержание: ФИО, контакты, наименование оператора, суть нарушения, ссылки на нормы Закона, приложения (копии запросов оператору, ответов, скриншоты сайта).
• Срок рассмотрения: 30 календарных дней (может быть продлен до 60 дней при необходимости проверки).
• Результат: Выдача предписания об устранении нарушений, возбуждение дела об административном правонарушении (ст. 13.11, 13.11.1, 19.7 КоАП РФ — штрафы на должностных лиц до 75 тыс. руб., на юрлиц — до 15 млн руб. или до 3% выручки за повторные нарушения).

Судебная защита прав

Самый радикальный и часто наиболее эффективный способ. Споры между Субъектом (физлицом) и Оператором (юрлицом/ИП) рассматриваются арбитражными судами (если оператор, предприниматель) или судами общей юрисдикции (если оператор — госорган или физлицо, не являющееся ИП). *Примечание: на практике большинство споров с коммерческими операторами идут в арбитраж по правилам АПК РФ.

Исковые требования (ст. 14, 15 Закона № 152-ФЗ, ГК РФ)

• Признание прав нарушенными (деклараторный иск).
• Обязание оператора выполнить действия: предоставить информацию, уточнить/заблокировать/уничтожить данные, прекратить обработку.
• Возмещение убытков (реальные расходы, упущенная выгода, ст. 15 ГК РФ).
• Компенсация морального вреда (ст. 151, 1101 ГК РФ). Суды все чаще взыскивают 10 000 – 100 000 руб. и более за неправомерную обработку/утечку.
• Штраф за неисполнение предписания Роскомнадзора (если было).

Особенности доказывания (ст. 56 ГПК РФ / ст. 65 АПК РФ)

• Бремя доказывания законности обработки лежит на Операторе (п. 3 ст. 14 Закона № 152-ФЗ). Оператор должен доказать наличие согласия или иного основания (договор, закон, жизненные интересы и т.д.).
• Субъекту достаточно указать на факт обработки (скриншот сайта, письмо, факт получения спама, утечка в открытом доступе).
• Суды применяют презумпцию вины оператора в нарушении режима безопасности при утечке.

Государственная пошлина

Для физических лиц, защищающих свои права как потребители или субъекты ПДн, госпошлина не взимается при подаче иска о защите прав потребителей (п. 5 п. 1 ст. 333.36 НК РФ) и в ряде случаев по спорам о защите чести, достоинства и деловой репутации / персональных данных (судебная практика трактует это широко). Уточняйте при подаче.

Специфика 2025–2026 гг.: Новые вызовы и инструменты

Обработка с помощью ИИ и нейросетей

Если оператор загружает ваши данные в обучающую выборку или использует для генерации контента:

• Это считается обработкой (обобщение, использование).
• Требуется отдельное согласие или прямое указание в политике/договоре.
• Право на «забывание» (уничтожение) распространяется и на веса модели, если технически возможно изъять влияние данных, либо на запрет дальнейшего использования выходов модели, основанных на ваших данных.

Биометрические данные (ФЗ от № 351-ФЗ, в ред. 2025 г.)

Для биометрии (лицо, голос, отпечатки) введен Единый биометрический реестр (ЕБР).

• Субъект может отозвать согласие на обработку биометрии через Госуслуги, МФЦ или оператора-БС (биометрическую систему).
• При отзыве биометрия подлежит безвозвратному уничтожению в течение 3 рабочих дней.
• Запрещена обязательность предоставления биометрии для получения услуг (кроме случаев, прямо предусмотренных законом).

Переграничная передача данных

С 2025 года усилен контроль за передачей данных за рубеж (в «недружественные» и иные государства). Оператор обязан уведомить Роскомнадзор и обеспечить адекватную защиту. Субъект имеет право требовать информации о стране-получателе и гарантиях защиты.

Практический чек-лист Субъекта: «Алгоритм действий при нарушении»

1. Фиксация факта: Сделайте скриншоты, сохраните письма, запишите звонки (с предупреждением), зафиксируйте утечку (например, через сервисы проверки утечек или уведомление от Роскомнадзора/оператора).
2. Идентификация оператора: Узнайте юрназвание, ИНН/ОГРН, адрес, контакты ДПО (должностного лица по защите данных) — обычно в «Политике конфиденциальности» на сайте или в реестре Роскомнадзора.
3. Написание официального запроса/претензии: Используйте шаблоны с сайта Роскомнадзора или составьте самостоятельно со ссылками на ст. 14, 18, 21 Закона № 152-ФЗ. Отправьте заказным письмом с описью вложения и уведомлением о вручении ИЛИ через ЭДО/личный кабинет/Госуслуги (если оператор подключен). Сохраните почтовый чек/трек-номер/скриншот отправки.
4. Ожидание ответа: 30 дней (на информацию) или 10 рабочих дней (на уточнение/удаление/блокировку).
5. Анализ ответа:
   • Ответа нет / Отказ немотивирован / Нарушение не устранено → Подача жалобы в Роскомнадзор + Подача иска в суд.
   • Отказ мотивирован (например, «обработка нужна для исполнения договора») → Оценка законности основания (ст. 6, 11 Закона). Если не согласен, в суд.
6. Обращение в суд: Составьте исковое заявление. Приложите доказательства: копии запросов, почтовые квитанции, ответы оператора, доказательства ущерба/морального вреда. Подайте в суд по месту нахождения оператора (юрлицо) или по своему месту жительства (как потребитель/гражданин — ст. 29 ГПК РФ / ст. 38 АПК РФ).

Типовые ошибки Субъектов, которых следует избегать

• Устные требования: Без письменного подтверждения (письмо, тикет в поддержке, ЭДО) доказать факт обращения практически невозможно.
• Игнорирование претензии оператору перед судом: Хотя это не всегда обязательно, суды могут не взыскать судебные издержки, если не был соблюден досудебный порядок, предусмотренный договором или ЗоЗПП (для потребителей).
• Неполная идентификация: Запрос без ФИО, паспорта или контактов для ответа — основание для отказа оператора.
• Требование удалить то, что хранится по закону: Бухгалтерия, кадры, логи безопасности хранятся по срокам архивации (50–75 лет). Их удаление до истечения сроков незаконно. Требуйте блокировку (прекращения обработки, кроме хранения) или ограничение доступа.
• Пропуск сроков апелляции: Решение суда вступает в силу через 30 дней (АПК) / 1 месяц (ГПК). Обжаловать нужно своевременно.

Резюме

Защита прав субъекта персональных данных в России — это структурированный процесс, опирающийся на императивные нормы 152-ФЗ, ГК РФ и процессуальные кодексы. Ключевым успехом является документирование каждого шага (запрос — ответ/отсутствие ответа — жалоба/иск).

Законодательство 2025–2026 гг. сместило баланс в пользу Субъекта: ужесточены штрафы, введены четкие сроки реакции операторов, расширены права на биометрию и контроль за ИИ. Гражданин, знающий свои права и умеющий грамотно оформлять обращения, имеет высокие шансы на восстановление справедливости, получение компенсаций и реальное прекращение незаконной обработки своих данных.

Данная статья носит информационный характер и не является юридической консультацией по конкретному случаю. Для решения индивидуальных споров рекомендуется обратиться к квалифицированному юристу, специализирующемуся на IT-праве и защите персональных данных.