Журнал обращений субъектов персональных данных
Учётная форма, в которой организация фиксирует обращения людей по поводу их персональных данных и ответы на них. Единственное, чем оператор доказывает, что уложился в сроки.
Зачем нужен документ
В комплекте документов по 152-ФЗ этот журнал стоит особняком: прямого требования вести его закон не содержит. Обязанность сформулирована иначе — ответственный за организацию обработки обязан организовать приём и обработку обращений субъектов (п. 3 ч. 4 ст. 22.1), а оператор обязан ответить в срок. Журнал — это способ доказать, что и то и другое исполнено.
Доказательственная логика здесь простая и жёсткая. Срок ответа считается от даты поступления обращения в организацию. Если человек утверждает, что писал, а организация отвечает «мы ничего не получали», спор решается тем, у кого есть запись и подтверждение отправки ответа. У заявителя обычно есть скриншот и квитанция, у оператора без журнала — ничего.
Вторая, менее очевидная функция — управленческая. Журнал показывает, откуда приходят обращения и о чём они. Три однотипных требования удалить данные из одной рассылки — это не три эпизода, а сигнал, что где-то собирают данные без основания. Организация без журнала этот сигнал не видит и узнаёт о проблеме уже из запроса Роскомнадзора.
Чем грозит отсутствие
Штрафа за отсутствие журнала нет — наказывают за то, что без него невозможно подтвердить. На практике это два состава, и оба применяются по жалобе конкретного человека, то есть с готовым заявителем и датой.
Как ещё называют этот документ
Что должно быть в документе
Форма журнала не установлена — оператор определяет её сам. Но набор граф диктуется тем, что придётся доказывать: когда получили, что просили, когда и что ответили.
Требования законодательства
Как связан с другими документами
Что спросит проверяющий
Журнал смотрят не на предмет красоты формы, а на предмет арифметики: даты против сроков и записи против входящей почты.
Разбор эксперта
Пустой журнал — не признак благополучия. У организации с сайтом, формой заявки и рассылкой обращения появляются неизбежно: кто-то просит удалить его из базы, кто-то спрашивает, откуда у вас его телефон. Если за год в журнале ноль записей, это почти всегда значит, что обращения приходят и теряются в общем ящике, а не что их нет.
Второе — про регистрацию по факту, а не по форме. Люди пишут не «прошу предоставить сведения в порядке ст. 14», а «уберите мой номер». Сотрудник, не понимая, что это обращение по 152-ФЗ, просто выполняет просьбу и ничего не записывает. Просьба выполнена, срок соблюдён, но доказательства нет — а через полгода человек жалуется, что ему продолжают звонить, и предъявить нечего.
Третье — про хранение. Срок хранения такого журнала законом не установлен, и это создаёт две противоположные ошибки. Первая — удалить сразу после ответа: тогда при споре доказательств не остаётся. Вторая — хранить вечно: журнал сам полон персональных данных, и бессрочное хранение обращений превращается в самостоятельный массив без основания. Разумно определить срок в правилах, соотнеся его с периодом, в течение которого спор реально возможен, и придерживаться его.
Заведите журнал в том же инструменте, где у вас входящая почта или заявки, а не отдельным файлом: регистрация должна быть побочным эффектом обработки письма, иначе её будут пропускать. Обязательно считайте плановую дату ответа при регистрации — это одна графа, которая закрывает большую часть просрочек. И раз в квартал сверяйте журнал с ящиком, указанным в Политике: именно эта сверка находит потерянные обращения.
Частые вопросы
Прямого требования вести журнал 152-ФЗ не содержит. Обязательны организация приёма и обработки обращений (п. 3 ч. 4 ст. 22.1) и ответ в установленный срок. Журнал — практически единственный способ подтвердить исполнение обеих обязанностей, поэтому при проверке его спрашивают наравне с обязательными документами.
Да. Требований к форме нет. Важно, чтобы записи нельзя было незаметно изменить задним числом и чтобы доступ к журналу был ограничен: в нём персональные данные заявителей. Таблица с историей версий и ограниченным доступом подходит.
Закон срок не устанавливает. Ориентируйтесь на период, в течение которого возможен спор или проверка по конкретному обращению, зафиксируйте выбранный срок в правилах ведения журнала и соблюдайте его. Бессрочное хранение — не безопасный вариант, а отдельная обработка данных без основания.
Да, если по ним принимались решения. Обращение может поступить по телефону или лично; фиксируется факт, суть и способ подтверждения личности. Без записи такое обращение существует только в памяти сотрудника.
Такие письма в журнал по 152-ФЗ не попадают, но и отбрасывать их нельзя: они нередко содержат требование удалить данные внутри текста. Правила должны описывать, кто квалифицирует обращение и как поступают со смешанными.
Ответственный за организацию обработки персональных данных либо назначенный им сотрудник. Само назначение оформляется приказом, а порядок ведения — правилами: кто вносит записи, кто проверяет сроки, как оформляются исправления.
Способ ответа закон не ограничивает — разумно отвечать тем же каналом, которым обратился человек. Но в журнале должно остаться подтверждение отправки: скриншот переписки или выгрузка. Устная договорённость подтверждением не является.