Правила рассмотрения запросов субъектов персональных данных
Внутренний регламент, по которому организация принимает обращения людей об их персональных данных и отвечает на них. Единственный документ комплекта, где всё измеряется в днях: у каждой обязанности оператора здесь свой срок.
Зачем нужен документ
Право человека узнать, какие его данные обрабатывает организация, — не абстракция: закон даёт ему конкретный набор требований и жёсткие сроки ответа. Проблема в том, что обращение почти никогда не приходит туда, где его ждут. Оно попадает на общую почту, менеджеру в мессенджер или в форму обратной связи, где лежит несколько дней, пока кто-нибудь не сообразит, что это запрос по 152-ФЗ. Срок при этом идёт с момента получения организацией, а не с момента, когда о нём узнал ответственный.
Правила решают именно эту задачу: определяют точки входа, устанавливают, кто и как быстро распознаёт обращение, кто готовит ответ, кто подписывает, что фиксируется. Обязанность организовать приём и обработку обращений закон возлагает на ответственного за организацию обработки — этот документ описывает, как он её исполняет.
Вторая функция — управление отказами. Отказать в доступе можно, но только по основаниям ч. 8 ст. 14 и только мотивированным письменным ответом со ссылкой на конкретное положение. Молчание или ответ «ваши данные у нас не хранятся» без проверки — самый частый путь к жалобе и последующей проверке.
Чем грозит отсутствие
Здесь у КоАП есть отдельные составы — в отличие от большинства внутренних документов. Наказывают не за отсутствие правил, а за то, что происходит без них: молчание в ответ на запрос и неисполнение требования человека.
Как ещё называют этот документ
Что должно быть в документе
Правила должны отвечать на четыре вопроса: как обращение попадает в организацию, кто его квалифицирует, в какой срок и что именно отвечает, где это фиксируется.
Требования законодательства
Как связан с другими документами
Когда обновлять документ
Что спросит проверяющий
Разбор эксперта
Дни здесь теряются не там, где их ищут. В подавляющем большинстве разбираемых нами случаев ответ по существу готовился за пару часов, а срок был сорван на участке «письмо пришло — письмо дошло до ответственного». Обращение лежит в общем ящике, потом его пересылают юристу, юрист уточняет у ИТ, ИТ отвечает через неделю. Закон при этом считает дни с момента получения организацией.
Второе — квалификация обращения. Люди пишут «удалите мои данные», имея в виду что угодно: отзыв согласия, требование прекратить обработку, просьбу убрать из рассылки. У этих сценариев разные сроки и разные последствия, а разбирать их приходится оператору. Мы советуем в правилах давать исполнителю не теорию, а решающее дерево: три-четыре вопроса, после которых понятно, какой это случай и сколько на него дней.
Третье — про «данных нет». Ответ, что организация не обрабатывает данные заявителя, даётся легко и часто не глядя. Между тем человек обычно пишет как раз потому, что где-то видел следы: письмо от компании, звонок, сообщение. Если он приложит это к жалобе, вопрос переходит из плоскости сроков в плоскость достоверности ответа надзорному органу — а это совсем другой разговор.
Сделайте отдельный почтовый ящик под обращения по 152-ФЗ, укажите его в Политике и заведите на него правило автопересылки ответственному. Дальше — таблица сроков на одной странице и три шаблона ответа. Это тот случай, когда объём документа обратно пропорционален его работоспособности: правила на тридцать страниц исполнитель не откроет, а таблицу со сроками повесит рядом.
Частые вопросы
Десять рабочих дней с даты обращения или получения запроса. Срок можно продлить не более чем на пять рабочих дней, но только направив субъекту мотивированное уведомление с причинами продления (ч. 1 ст. 20 152-ФЗ).
Да, по основаниям ч. 8 ст. 14 152-ФЗ или иного федерального закона. Отказ даётся в письменной форме, мотивированно и со ссылкой на конкретное положение, в тот же десятидневный срок. Немотивированный отказ равносилен непредоставлению информации.
Сроком и последствиями. При отзыве согласия обработка прекращается, а данные уничтожаются в срок до тридцати дней, если они больше не нужны для целей обработки (ч. 5 ст. 21). Требование о прекращении обработки исполняется в течение десяти рабочих дней, кроме случаев, когда закон разрешает обработку без согласия (ч. 5.1 ст. 21).
На период проверки данные блокируются, а после подтверждения неточности уточняются в течение семи рабочих дней со дня представления подтверждающих сведений, после чего блокирование снимается (ч. 2 ст. 21).
Закон предусматривает указание номера основного документа, удостоверяющего личность, даты выдачи и выдавшего органа, а также сведений, подтверждающих отношения с оператором. Требовать копию паспорта сверх этого не нужно, а избыточный сбор сам по себе создаёт нарушение.
Канал обращения закон не ограничивает, поэтому срок начинает течь и в этом случае. Ответ разумно направлять тем же способом либо тем, который указал субъект, сохраняя подтверждение отправки — оно и будет доказательством при споре.
Именно тогда они и нужны. Организация, получающая один запрос в год, встречает его неподготовленной: сотрудник не понимает, что это запрос по 152-ФЗ, и десять рабочих дней уходят на пересылку письма внутри компании.