Запрос субъекта на предоставление информации об обработке персональных данных

Форма, которой человек спрашивает оператора, какие его данные обрабатываются, на каком основании и кому передаются, — и подтверждает при этом, кто он такой.

Опасность запроса не в том, что на него забудут ответить. Опасность в том, что на него ответят по существу человеку, которого никто не опознал.

Статусрекомендуемый; закон обязательной формы не устанавливает Основаниест. 14 152-ФЗ, ч. 7 ст. 14 152-ФЗ Публичностьпубликуется для субъектов — обычно на сайте рядом с политикой Кто утверждаетруководитель организации (приказом) Обновленоиюль 2026

Содержание

01 Назначение

Зачем нужен документ

У человека есть право узнать, что о нём знает организация: какие данные, откуда взяты, зачем обрабатываются, кому передаются и как долго хранятся. Право это реализуется запросом, и оператор обязан на запрос ответить.

Дальше начинается несимметричная история. Оператор отвечает не «на письмо», а конкретному человеку о нём самом — и если получатель окажется другим человеком, оператор своими руками передаст персональные данные постороннему. Ошибиться здесь проще, чем кажется: письмо приходит с почты gmail, подписано «Иванов И. И.», и совпадение фамилии — единственное, чем подтверждается личность.

Форма запроса решает обе задачи разом. Она заставляет заявителя указать то, по чему его можно опознать в базе оператора, и то, чем он подтверждает, что запись относится именно к нему. Заодно она структурирует сам вопрос: без формы приходит «вышлите всё, что у вас на меня есть», и ответ на такое письмо занимает больше времени, чем закон отводит.

Порядок обработки таких обращений внутри организации описывается отдельно — это правила рассмотрения запросов субъектов. Форма — то, что видит человек снаружи; правила — то, что происходит внутри.

02 Ответственность

Чем грозит отсутствие

Наказывается не отсутствие формы, а несостоявшийся ответ. Причём оба исхода наказуемы: и молчание, и лишняя откровенность.

ч. 4 ст. 13.11 КоАП РФ — невыполнение обязанности по предоставлению субъекту информации, касающейся обработки его персональных данных

Юридическое лицо40 000 – 80 000 ₽

Индивидуальный предприниматель20 000 – 30 000 ₽

Должностное лицо8 000 – 12 000 ₽

Обратная ошибка дороже. Если организация ответила по существу человеку, чью личность не установила, она не «нарушила процедуру», а предоставила персональные данные лицу, не имеющему на них права. Это уже обработка вне предусмотренных законом случаев, и суммы там начинаются от ста пятидесяти тысяч для юридического лица. Молчание стоит дешевле разглашения — но правильный ответ не в том, чтобы молчать.

Ответили по фамилии в подписи. Совпадение имени не является подтверждением личности, а данные уже ушли.

Не ответили, потому что «не по форме». Отказ рассматривать обращение из-за формы незаконен: закон обязательной формы не устанавливает.

Ответили общими словами. Фраза «ваши данные обрабатываются в соответствии с законодательством» ответом не является и срок не закрывает.

03 Синонимы и поисковые названия

Как ещё называют этот документ

—Запрос на предоставление информации об обработке ПДн образец

—Форма запроса субъекта персональных данных оператору

—Как узнать какие мои данные обрабатывает компания

—Заявление о предоставлении сведений об обработке персональных данных

—Запрос об обработке персональных данных по 152-ФЗ

—Срок ответа на запрос субъекта персональных данных

—Как подтвердить личность при запросе своих данных

—Право субъекта на доступ к своим персональным данным

Отдельно ищут «запрос на удаление персональных данных» — это другой документ и другой срок. Доступ и удаление разведены в законе намеренно: сначала человек узнаёт, что о нём есть, и только потом решает, что с этим делать.

04 Обязательное содержание

Что должно быть в документе

Состав сведений задан законом, и это тот редкий случай, когда форму не нужно придумывать — её нужно не усложнить. Всё, что сверх перечня, снижает шанс, что человек её заполнит.

Номер основного документа, удостоверяющего личность. Номер, дата выдачи и выдавший орган — так требует закон, и именно это отличает запрос субъекта от анонимного письма.

Сведения, подтверждающие связь с оператором. Номер договора, адрес электронной почты из личного кабинета, дата покупки — то, по чему запись находится в базе.

Подпись субъекта или представителя. Собственноручная либо электронная; для электронного обращения указывается, какой именно подписью оно подписано.

Полномочия представителя. Если запрос подаёт не сам человек — доверенность с правом получать его персональные данные, а не общая.

Существо запроса. Что именно человек хочет узнать: перечень данных, источники, цели, сроки хранения, кому передавались.

Способ и адрес для ответа. Почтовый адрес или электронная почта; отправлять ответ на другой адрес рискованно даже по просьбе.

Дата. От неё считается срок, поэтому графа не декоративная.

⚑ Форма не может быть условием рассмотрения. Если человек прислал обычное письмо со всеми необходимыми сведениями, оно является запросом, и срок по нему идёт. Форма нужна, чтобы упростить жизнь обеим сторонам, а не чтобы отказывать.

05 Правовая база

Требования законодательства

ст. 14 152-ФЗправо субъекта на доступ к своим персональным данным

ч. 7 ст. 14 152-ФЗсведения, которые должен содержать запрос субъекта

ч. 1 ст. 20 152-ФЗответ в десять рабочих дней, продление не более чем на пять рабочих дней

ч. 2 ст. 20 152-ФЗмотивированный ответ при отказе в предоставлении сведений

ч. 8 ст. 14 152-ФЗоснования, по которым право на доступ ограничивается

ч. 4 ст. 13.11 КоАПнепредоставление субъекту информации об обработке

Право на доступ не безусловно: закон прямо называет случаи, когда сведения не предоставляются — например, если это нарушит права третьих лиц или если данные обрабатываются в рамках оперативно-разыскной деятельности. Но отказ в этих случаях всё равно оформляется мотивированным ответом в тот же срок. Молчание не является формой отказа ни при каких основаниях.

06 Связи в комплекте

Как связан с другими документами

Форма стоит на входе целой цепочки: за ней идут регистрация, проверка личности, подготовка ответа и отметка о его отправке.

Правила рассмотрения — что происходит после подачи. Правила рассмотрения запросов субъектов описывают проверку личности, сроки и порядок подготовки ответа.

Журнал обращений — где запрос учитывается. Журнал обращений субъектов ПДн фиксирует дату поступления, от которой считаются десять рабочих дней.

Политика — где человек находит эту форму. Политика обработки данных публично описывает права субъекта и способ их реализовать; форма обычно лежит рядом с ней.

Журнал согласий — источник половины ответов. Журнал учёта согласий даёт основание обработки, о котором спрашивают чаще всего.

Отзыв согласия — частое продолжение. Получив ответ, человек нередко тут же отзывает согласие, и обе процедуры лучше держать рядом.

07 Актуализация

Когда обновлять документ

Форма живёт долго, но привязана к каналам связи и к тому, какие данные организация вообще о людях держит.

Появился личный кабинет или мобильное приложение

Возникает новый способ подачи и новый способ подтверждения личности — через авторизованную сессию, а не через копию паспорта.

Сменился адрес для обращений

Форма публичная: устаревший адрес в ней означает, что запросы уходят в никуда, а сроки по ним всё равно идут.

Начали обрабатывать новые категории данных

В форме появляется, о чём ещё можно спросить; заодно проверяется, готов ли оператор ответить на такой вопрос за десять дней.

Изменился состав сведений в законе

Перечень обязательных реквизитов запроса задан нормой, а не нашим удобством, и при её правке форма правится следом.

Участились запросы одного типа

Признак, что публичная информация недостаточна: проще дописать раздел в политику, чем отвечать одно и то же по десять дней.

Появился представитель по доверенности

Уточняется, какие полномочия должны быть в доверенности прямо названы.

08 Проверка

Что спросит проверяющий

Проверка почти всегда идёт от жалобы человека, который остался без ответа или, наоборот, узнал, что ответ получил кто-то другой.

Доступна ли форма и порядок обращения. Смотрят сайт: если способ реализовать право не описан, право считается необеспеченным.

Как устанавливается личность заявителя. Просят показать на конкретном обращении, а не на бумаге с процедурой.

Соблюдены ли десять рабочих дней. Считают от даты поступления обращения, а не от даты, когда его передали исполнителю.

По существу ли ответ. Общая отписка приравнивается к непредоставлению информации.

Оформлялся ли отказ мотивированно. Отказ без причины и без ссылки на основание — то же самое, что молчание.

Не отказывали ли из-за формы. Требование подать обращение строго по бланку оператора — самостоятельная претензия к нему же.

09 Разбор эксперта

Разбор эксперта

Про запросы субъектов принято думать в логике «лишь бы успеть ответить». Мы бы поменяли акцент. Не ответить — это восемьдесят тысяч и неприятный разговор. Ответить не тому — это выдать постороннему человеку чужие данные, и здесь уже другая статья, другие суммы и, что важнее, реальный пострадавший. Самый частый сценарий выглядит безобидно: приходит письмо с обычной почты, подписано именем клиента, просят прислать все сведения. Менеджер, желая быть вежливым, отправляет выписку. Проверить, что писал именно клиент, никто не подумал.

Поэтому первое, что должна делать форма, — вытаскивать из заявителя реквизиты документа, удостоверяющего личность, и связку с оператором: номер договора, номер заказа, адрес из личного кабинета. И второе: если человек пишет из авторизованного личного кабинета, это само по себе неплохое подтверждение — сильнее, чем скан паспорта, который сегодня легко сделать чужим. Мы советуем прямо описать в правилах, какой способ подтверждения принимается для каждого канала, и не требовать паспорт там, где уже была авторизация.

И третье, о чём просят почти все и что делать нельзя: сделать форму обязательной. Соблазн понятен — так проще жить. Но закон формы не устанавливает, и обращение, поданное свободным текстом, порождает обязанность ответить ровно так же. Отказ рассматривать письмо «потому что не по нашему бланку» превращает спорную ситуацию в очевидную не в вашу пользу. Форма — это приглашение и подсказка, а не пропускной режим.

Что мы советуем при подготовке комплекта

Выложите форму рядом с политикой и укажите адрес, который действительно читают. Держите её короткой: чем длиннее, тем чаще вместо неё придёт свободное письмо. Обязательно включите реквизиты документа, удостоверяющего личность, и сведения, связывающие человека с вами. Опишите отдельно, как подтверждается личность при обращении из личного кабинета. И напишите внутри организации главное правило: нет уверенности, кто заявитель, — не отвечать по существу, а запрашивать уточнение, не выходя за десять рабочих дней.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

10 Частые вопросы

Частые вопросы

Обязан ли человек подавать запрос по нашей форме?

Нет. Закон обязательной формы не устанавливает: обращение в свободном виде, содержащее нужные сведения, порождает те же обязанности и тот же срок.

Какой срок ответа на запрос субъекта?

Десять рабочих дней с даты получения. Срок можно продлить не более чем на пять рабочих дней, уведомив заявителя с указанием причин.

Что делать, если непонятно, кто написал?

Не отвечать по существу. Запросить сведения, подтверждающие личность и связь с оператором, оставаясь в пределах срока.

Можно ли отказать в предоставлении сведений?

Да, в случаях, названных законом, но только мотивированным ответом со ссылкой на основание и в тот же срок.

Нужно ли отправлять человеку копии документов с его данными?

Закон требует предоставить информацию об обработке и возможность ознакомиться с данными, а не выслать все документы. Способ ознакомления разумно описать в правилах.

Считается ли запросом сообщение в мессенджере?

Если из него можно установить заявителя и существо требования — на практике да, и безопаснее принять его в работу, чем спорить о канале.

Как часто человек может запрашивать сведения?

Повторный запрос по тому же предмету возможен с ограничениями, но при новых обстоятельствах или изменении данных отвечать придётся снова.

Может ли запрос подать представитель?

Да, при наличии доверенности, где право получать персональные данные доверителя названо прямо.

Связанные документы

Правила рассмотрения запросов субъектов ПДн или их представителейОрганизационные документы Журнал обращений субъектов ПДнЖурналы учёта Политика в отношении обработки персональных данныхОрганизационные документы

Все документы комплекта

Форма запроса субъекта — одна из 139 позиций комплекта

Эксперты Комитета разрабатывают комплект под фактическую деятельность организации. Проверьте бесплатно, какие документы обязательны для вас, — по ИНН, за минуту.

или по телефону +7 (812) 240-81-66