Запрос субъекта на уточнение персональных данных
Форма, которой человек сообщает оператору о неточности своих данных и прикладывает подтверждение, — с этого момента данные блокируются, а после проверки исправляются.
Зачем нужен документ
Неточные данные — не редкость и не всегда чья-то вина: человек сменил фамилию, переехал, ошибся при регистрации, попал в базу однофамильцем. Право потребовать исправления есть у каждого, и оператор обязан его обеспечить.
Но исправлять по одному заявлению нельзя, и это защищает самого субъекта. Если бы оператор менял запись по любому письму, через «уточнение» можно было бы подменить чужие данные — привязать к чужому договору свой телефон, изменить адрес доставки, переписать реквизиты. Поэтому закон устроен иначе: сначала подтверждающие сведения, потом правка.
Между этими двумя моментами есть третий, о котором забывают чаще всего. С момента обращения и на весь период проверки данные блокируются — то есть обработка ограничивается, пока спор не разрешён. Форма запроса нужна, чтобы обе эти вещи произошли вовремя: и блокирование, и получение документа.
Чем грозит отсутствие
Состав здесь тот же, что и у отзыва согласия, и это не совпадение: закон объединил уточнение, блокирование и уничтожение в одну норму — все три требования субъекта наказываются одинаково.
Как ещё называют этот документ
Что должно быть в документе
Задача формы — получить от человека три вещи: кто он, что именно неверно и чем это подтверждается. Без третьего пункта обращение не запускает срок, и об этом лучше сказать прямо в самой форме.
Требования законодательства
Как связан с другими документами
Уточнение стоит в середине цепочки прав субъекта: до него — доступ, после него — уничтожение или отзыв согласия.
Когда обновлять документ
Форму правят вслед за тем, как меняются способы подтверждения и системы, в которых данные приходится исправлять.
Что спросит проверяющий
Разбирают всегда конкретное обращение, и первый вопрос обычно не про исправление, а про блокирование.
Разбор эксперта
Уточнение выглядит самым безобидным из прав субъекта: человек просит исправить опечатку, кто же будет спорить. Именно поэтому здесь чаще всего нарушают, причём не от лени, а от вежливости. Менеджер получает письмо «у меня сменилась фамилия, поправьте», заходит в систему и правит. Через месяц выясняется, что писал не тот человек, а данные в договоре уже другие. Правило простое и нелюбимое: правим по документу, а не по просьбе. Это защищает не оператора, это защищает того самого субъекта, чью запись иначе может переписать кто угодно.
Второе — про блокирование, о котором почти никто не помнит. Закон говорит: с момента обращения и на период проверки обработка спорных данных ограничивается. На практике это означает, что пока вы разбираетесь, адрес, который человек назвал неверным, не должен уехать в отчёт, в рассылку и к курьеру. Технически это чаще всего флаг в карточке клиента и правило выгрузки — недорого, если сделано заранее, и невозможно, если вспомнили об этом в момент жалобы.
И третье, про арифметику срока. Семь рабочих дней считаются со дня представления сведений, подтверждающих неточность. Отсюда контринтуитивный, но верный совет: не тяните с ответом о том, какое подтверждение нужно. Чем быстрее человек его пришлёт, тем быстрее закончится блокирование, и тем короче период, когда вы работаете с ограничениями. Мы видели организации, где переписка о необходимом документе тянулась месяц — всё это время данные формально должны были оставаться заблокированными, и никто этого не делал.
Опишите в форме прямо, какое подтверждение нужно для типовых случаев: смена фамилии, адреса, реквизитов. Заведите техническую возможность блокирования — без неё требование закона неисполнимо, как бы хорошо ни были написаны правила. Фиксируйте в журнале две даты: обращения и представления документов. Уведомляйте человека о внесённых изменениях письменно. И проверьте, кто в организации вправе править данные, — это не должен быть каждый, у кого есть доступ к системе.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Со дня представления субъектом сведений, подтверждающих неточность данных. Срок — семь рабочих дней, после чего блокирование снимается.
Да. Блокирование возникает с момента обращения и действует, пока идёт проверка обоснованности требования.
Юридически оператор не обязан этого делать и рискует внести изменение по просьбе постороннего. Безопаснее запросить подтверждение.
Да, о внесённых изменениях и предпринятых мерах оператор уведомляет заявителя.
Принять разумные меры для их уведомления об уточнении — иначе неточность продолжит жить у контрагентов.
Да. Смена фамилии или адреса проходит по той же процедуре, что и исправление ошибки.
Можно, если неточность не подтвердилась, — мотивированным ответом. Молчание отказом не является.
Сотрудник, у которого есть право изменения данных по матрице доступа, а не любой, кто получил обращение.