Статья
Запрос субъекта персональных данных: как ответить
Любой человек, чьи данные вы получили через сайт, вправе спросить, что вы о нём храните, попросить исправить или удалить данные и отозвать согласие. Это называется запросом субъекта персональных данных, и ответить на него нужно в срок, установленный законом. Разбираем, какие бывают запросы, что в них должно быть, сколько времени на ответ и как подготовиться заранее.
Кто такой субъект и что он может спросить
Субъект персональных данных — человек, чьи данные вы обрабатываете: клиент, оставивший заявку, подписчик рассылки, кандидат на вакансию. Закон даёт ему право:
- узнать, обрабатываете ли вы его данные, какие, зачем и сколько храните;
- попросить уточнить данные, если они неточные или устарели;
- потребовать удалить или заблокировать данные, если они собраны незаконно или больше не нужны;
- отозвать согласие на обработку.
Что должно быть в запросе
Чтобы оператор мог убедиться, что пишет именно этот человек, запрос по закону содержит:
- номер основного документа, удостоверяющего личность, дату выдачи и кем выдан;
- сведения, которые подтверждают отношения с оператором, — например, номер заявки, договора или дату обращения;
- подпись — на бумаге или электронную.
Повторно запросить те же сведения человек может не раньше чем через 30 дней — или раньше, если в первый раз ему ответили не полностью.
Сколько времени на ответ
На ответ — 10 рабочих дней с получения запроса. Срок можно продлить ещё не больше чем на пять рабочих дней, если отправить человеку мотивированное уведомление о причинах. Если отказываете, причину тоже нужно объяснить со ссылкой на закон.
Правила рассмотрения запросов
Запросы приходят редко, поэтому их легко пропустить. Помогает внутренний документ — правила рассмотрения запросов, где записано:
- куда приходят запросы — почта, форма на сайте, письмо в офис — и кто их принимает;
- как проверить личность заявителя;
- сроки и кто следит за ними;
- как отвечать на каждый вид запроса;
- журнал запросов — дата, суть, что сделали и когда ответили.
Что ещё закон требует от владельца сайта, разобрано в статье «Проверка сайта на 152-ФЗ».
Политика обработки персональных данных на сайте должна говорить, как человек может отправить запрос, — об этом статья «Политика конфиденциальности для сайта».
Форма для обращений на сайте
Проще всего принимать запросы через отдельную страницу на сайте. На нашем сайте есть такая страница — «Обращение по персональным данным»: человек выбирает, чего хочет, — отозвать согласие, уточнить или удалить данные, узнать сведения об обработке, — и оставляет контакты. Обращение сохраняется в журнале, а мы получаем уведомление и отвечаем в срок.
Если согласие отзывают, обработку прекращают, а данные, которые больше не нужны, уничтожают. Как оформить само согласие, — в статье «Согласие на обработку персональных данных на сайте».
Как это делаем мы
В сайт компании входят политика обработки персональных данных и согласие для форм. Отдельная страница для обращений по персональным данным — дополнительный раздел: его можно добавить к проекту, и мы посчитаем его в смете до старта. Отвечать на запросы — обязанность оператора, то есть ваша.