Права субъекта персональных данных по Закону о персональных данныхполный разбор с примерами и сроками

Кто такой субъект персональных данных и оператор

Субъект персональных данных – физическое лицо, к которому относятся данные: клиент, сотрудник, пользователь сайта, посетитель клиники.

Оператор – лицо, которое собирает и обрабатывает эти данные: интернет-магазин, банк, работодатель, оператор связи. Все права, о которых пойдет речь, субъект реализует через оператора, а в спорных случаях – через Роскомнадзор или суд.

Краткий перечень прав

1. Право на доступ к информации о своих данных.

2. Право требовать уточнения, блокирования или уничтожения данных.

3. Право знать об обработке при сборе данных, в том числе когда их получили не от самого субъекта.

4. Право давать согласие и отзывать его.

5. Особая защита специальных категорий и биометрических данных.

6. Контроль над данными, разрешенными для распространения.

7. Право отказаться от рекламных контактов и политической агитации.

8. Защита от решений, принятых только автоматически.

9. Право на обжалование, возмещение убытков и компенсацию морального вреда.

1. Право на доступ к информации о своих данных (ст. 14)

Субъект персональных данных вправе получить от оператора сведения об обработке своих данных. По закону в них входит:

• подтверждение того, что оператор вообще обрабатывает данные;

• правовые основания и цели обработки;

• способы обработки;

• наименование и адрес оператора, а также сведения о лицах (кроме его работников), которым доступны или могут быть раскрыты данные;

• сами обрабатываемые данные и источник их получения;

• сроки обработки и хранения;

• порядок реализации прав субъекта;

• информация о трансграничной передаче данных, осуществленной или планируемой;

• сведения о лице, которому оператор поручил обработку;

• информация о мерах, которые оператор принимает для выполнения своих обязанностей (ст. 18.1).

Как составить запрос

Запрос должен содержать:

• номер основного документа, удостоверяющего личность, дату его выдачи и выдавший орган;

• сведения, подтверждающие, что субъект взаимодействует с оператором (номер и дата договора, условное обозначение и т. п.), либо иные сведения, подтверждающие факт обработки;

• подпись субъекта или его представителя.

Запрос можно направить и в электронной форме, подписав электронной подписью. Ответ оператор предоставляет в той же форме, в которой пришло обращение, если не указано иное.

Сроки

Оператор обязан ответить в течение 10 рабочих дней с момента обращения. Срок можно продлить не более чем на 5 рабочих дней, но только направив субъекту мотивированное уведомление с причинами. Ознакомление с данными – безвозмездное (ст. 20).

Повторный запрос

Обычно повторно обратиться можно не ранее чем через 30 дней после первого запроса. Но если информацию предоставили не в полном объеме, повторный запрос можно направить раньше, с обоснованием. Отказывая в повторном запросе, оператор обязан мотивировать отказ и сам доказывать его обоснованность.

Когда доступ могут ограничить

Право на доступ не абсолютно. Закон допускает ограничения, например, если данные обрабатываются в целях обороны, безопасности государства и охраны правопорядка, в рамках противодействия отмыванию доходов и финансированию терроризма, а также если доступ нарушает права и законные интересы третьих лиц. При отказе оператор обязан дать письменный мотивированный ответ со ссылкой на норму закона в те же 10 рабочих дней (с возможным продлением на 5).

2. Право требовать уточнения, блокирования или уничтожения данных (ст. 14, 20, 21)

Если данные неполные, устаревшие, неточные, получены незаконно или не нужны для заявленной цели обработки, субъект вправе потребовать их уточнить, заблокировать или уничтожить.

Сроки для оператора:

• 7 рабочих дней на внесение изменений со дня, когда субъект подтвердил, что данные неполные, неточные или неактуальные;

• 7 рабочих дней на уничтожение данных, если подтверждено, что они получены незаконно или не нужны для заявленной цели;

• блокирование данных – с момента обращения на период проверки.

Оператор также обязан сообщить субъекту о внесенных изменениях и принять разумные меры, чтобы уведомить третьих лиц, которым данные уже передавались.

3. Право знать об обработке при сборе данных (ст. 18)

Когда оператор собирает данные, он обязан по просьбе субъекта предоставить информацию, перечисленную в ст. 14 Закона.

Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

1) подтверждение факта обработки персональных данных оператором;

2) правовые основания и цели обработки персональных данных;

3) цели и применяемые оператором способы обработки персональных данных;

4) наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;

5) обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;

6) сроки обработки персональных данных, в том числе сроки их хранения;

7) порядок осуществления субъектом персональных данных прав, предусмотренных настоящим Федеральным законом;

8) информацию об осуществленной или о предполагаемой трансграничной передаче данных;

9) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;

9.1) информацию о способах исполнения оператором обязанностей, установленных статьей 18.1 настоящего Федерального закона;

10) иные сведения, предусмотренные настоящим Федеральным законом или другими федеральными законами.

ч. 7 ст. 14. Федерального закона от 27 июля 2006 г. № 152-ФЗ "О персональных данных". Право субъекта персональных данных на доступ к его персональным данным

Данные получены не от субъекта

Если оператор получил данные от третьих лиц, а не от субъекта напрямую, то до начала обработки он обязан (вне зависимости от того, был ли запрос субъекта) сообщить ему:

• свое наименование и адрес (или данные представителя);

• цель обработки и ее правовое основание;

• перечень данных;

• предполагаемых пользователей данных;

• права субъекта по закону;

• источник получения данных.

При этом есть ряд исключений, когда оператор освобождается от такой обязанности (ч. 4 ст. 18).

4. Право давать согласие и отзывать его (ст. 9)

Согласие на обработку данных должно быть свободным, конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года согласие должно оформляться отдельно от других документов и информации, которые субъект подписывает или подтверждает. Дать его можно лично или через представителя, в любой форме, позволяющей подтвердить факт получения, если закон не требует иного.

Бремя доказывания лежит на операторе: именно он должен доказать, что получил согласие либо что у него есть иное законное основание для обработки.

Письменное согласие

В предусмотренных законом случаях нужно согласие в письменной форме. Оно включает, в частности: ФИО, адрес и паспортные данные субъекта, сведения об операторе, цель обработки, перечень данных, перечень действий с ними, срок действия согласия и способ его отзыва, а также подпись.

Отзыв согласия

Согласие можно отозвать в любой момент. После этого оператор обязан прекратить обработку и, если хранение данных больше не требуется, уничтожить их в срок не более 30 дней с даты получения отзыва.

Важная оговорка: даже после отзыва оператор вправе продолжить обработку без согласия, если есть иные законные основания, например исполнение договора, требование закона или защита жизни и здоровья.

5. Особая защита специальных и биометрических данных (ст. 10, 11)

Специальные категории – данные о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья и интимной жизни. Их обработка по общему правилу не допускается; исключения – например, письменное согласие субъекта.

Биометрические данные – сведения о физиологических и биологических особенностях, по которым можно установить личность (например, изображение лица и отпечатки пальцев). Их можно обрабатывать только с письменного согласия, кроме прямо перечисленных в законе случаев (правосудие, безопасность, миграционный контроль и др.).

Важное право потребителя: предоставление биометрических данных не может быть обязательным, а оператор не вправе отказать в обслуживании, если субъект отказался дать биометрию или согласие на обработку данных, когда по закону согласие не требуется.

6. Контроль над данными, разрешенными для распространения (ст. 10.1)

Когда данные раскрываются неограниченному кругу лиц (публикация на сайте, в каталоге, в соцсетях оператора), действуют особые правила:

• согласие на распространение оформляется отдельно от других согласий;

• субъект вправе выбрать перечень данных по каждой категории, которые можно распространять;

• субъект может установить запреты и условия на передачу и обработку данных неограниченным кругом лиц; оператор не вправе отказать в этом;

• молчание или бездействие никогда не считается согласием;

• оператор обязан опубликовать информацию об условиях и запретах не позднее 3 рабочих дней с момента получения согласия;

• согласие можно дать лично или через информационную систему Роскомнадзора.

Требование прекратить распространение

Субъект вправе в любой момент потребовать прекратить передачу и распространение своих данных. Требование должно содержать ФИО, контактные данные и перечень данных, обработка которых подлежит прекращению. С момента получения такого требования согласие на распространение прекращает действие.

Если нарушены правила ст. 10.1, требование можно адресовать любому лицу, которое обрабатывает данные, либо подать в суд. Лицо обязано прекратить распространение в течение 3 рабочих дней с момента получения требования (или с вступления в силу решения суда).

Если субъект сам разместил данные в открытом доступе без согласия, предусмотренного ст. 10.1, то доказывать законность дальнейшего распространения должен каждый, кто ими воспользовался.

7. Право отказаться от рекламы и политической агитации (ст. 15)

Продвижение товаров и услуг путем прямых контактов (звонки, SMS, мессенджеры, электронная почта) и политическая агитация допускаются только с предварительного согласия. Если оператор не докажет, что оно получено, считается, что согласия не было.

По требованию субъекта оператор обязан немедленно прекратить такую обработку данных.

8. Защита от решений, принятых только автоматически (ст. 16)

Закон запрещает принимать решения, которые порождают юридические последствия для субъекта или иным образом затрагивают его права, исключительно на основании автоматизированной обработки данных. Исключения – письменное согласие субъекта или случаи, предусмотренные федеральными законами с дополнительными гарантиями.

Когда такое решение все же возможно, оператор обязан:

• разъяснить порядок принятия решения и его возможные юридические последствия;

• дать возможность заявить возражение;

• разъяснить, как защищать свои права;

• рассмотреть возражение в течение 30 дней и уведомить субъекта о результатах.

На практике это касается, например, автоматического отказа в кредите скоринговой системой.

9. Право на обжалование и компенсацию (ст. 17, 23, 24)

Если субъект считает, что оператор нарушает закон или его права, можно:

• подать жалобу в Роскомнадзор – уполномоченный орган рассматривает обращения граждан по вопросам обработки данных и принимает решения в рамках своих полномочий; он же рассматривает обращения о соответствии содержания данных и способов их обработки целям обработки;

• обратиться в суд;

• потребовать возмещения убытков и компенсации морального вреда. По закону моральный вред возмещается независимо от возмещения имущественного вреда и убытков.

Сроки ответа оператора: шпаргалка

Как защитить свои права: пошаговый алгоритм

1. Определить оператора и найти его политику обработки персональных данных на сайте или в договоре.

2. Составить письменный запрос с реквизитами документа, сведениями об отношениях с оператором и подписью. Сохранить доказательство отправки (почтовая квитанция, электронное письмо).

3. Четко сформулировать требование: предоставить информацию, уточнить, заблокировать или уничтожить данные, отозвать согласие или прекратить обработку.

4. Дождаться срока, указанного выше.

5. При отказе или молчании подать жалобу в Роскомнадзор и (или) иск в суд, в том числе о компенсации морального вреда.