Письмо «Расскажите, какие мои данные у вас есть» нельзя переслать системному администратору и забыть. И нельзя оставить без ответа, даже если оно пришло на общий ящик и выглядит странно. С момента получения идет срок, а за пропуск ответа по части 4 статьи 13.11 КоАП компании грозит штраф до 80 000 рублей. Сначала нужно проверить, кто пишет, понять, чего он хочет, и собрать сведения из всех процессов компании.
Что человек вправе узнать
Статья 14 Закона № 152-ФЗ дает человеку право получить информацию об обработке своих данных. По части 7 этой статьи в ответе могут понадобиться:
- подтверждение, что данные действительно обрабатываются;
- правовые основания и цели обработки;
- способы обработки;
- наименование и адрес оператора, а также лица, которые имеют доступ к данным или которым их могут раскрыть;
- сами данные заявителя и источник, откуда они получены;
- сроки обработки и хранения;
- порядок, в котором человек может осуществить свои права;
- сведения о трансграничной передаче;
- наименование и адрес того, кому поручена обработка;
- как оператор выполняет обязанности по статье 18.1.
Ответ должен быть понятным, а чужих персональных данных в нем быть не должно. Выгрузка карточки из CRM целиком, без просмотра, легко раскрывает внутренние комментарии менеджеров, контакты работников или данные другого клиента. Так один неаккуратный ответ превращается во вторую проблему.
Как проверить запрос
Часть 3 статьи 14 перечисляет, что должно быть в запросе: номер паспорта или другого основного документа, дата его выдачи и выдавший орган, сведения о том, что человек связан с оператором (например, номер договора или дата заказа), и подпись. Электронный запрос подписывают электронной подписью.
На практике люди пишут проще: «Это Иван Петров, я у вас заказывал диван, что вы обо мне храните?» Игнорировать такое письмо не стоит. Лучше в разумный срок ответить и сообщить, каких сведений не хватает для рассмотрения. Иначе компания рискует отказать настоящему заявителю или, что хуже, раскрыть данные постороннему человеку.
Отдельно проверяйте полномочия представителя. Родство, должность или знакомый адрес почты сами по себе не подтверждают право получать чужие сведения. Нужна доверенность или документ, из которого полномочия следуют по закону, например для родителя несовершеннолетнего.
Сначала определите, что именно просят
Формулировки закона люди не используют. Фраза «удалите все обо мне» может одновременно оказаться отзывом согласия, требованием прекратить рекламу и просьбой уничтожить данные. У каждого из этих действий свои правила и свои сроки.
| Что просит человек | Срок | Что делает оператор |
|---|---|---|
| Предоставить сведения об обработке | 10 рабочих дней, продление еще на 5 с мотивированным уведомлением | Проверяет личность, собирает сведения и готовит понятный ответ |
| Уточнить неточные данные | 7 рабочих дней после того, как человек подтвердил неточность | Исправляет сведения, снимает блокирование, уведомляет человека |
| Уничтожить данные, полученные незаконно или ненужные для цели | 7 рабочих дней после подтверждения | Уничтожает данные и уведомляет человека и получателей |
| Прекратить обработку | 10 рабочих дней, продление еще на 5 с мотивированным уведомлением | Проверяет исключения, останавливает действия без основания |
| Отозвать согласие | До 30 дней на прекращение и уничтожение, если другого основания нет | Разбирает процессы по целям и основаниям |
| Сообщить о неправомерной обработке | Блокирование сразу, прекращение за 3 рабочих дня, уничтожение за 10 | Проверяет факты, устраняет нарушение или уничтожает данные |
Таблица дает общий маршрут. Срок выбирают по фактическому содержанию обращения и по тому основанию, на котором идет обработка, а не по теме письма. Про отзыв согласия подробно рассказывает отдельная статья.
Как организовать ответ
Маршрут запроса внутри компании выглядит так: регистрация, проверка личности и полномочий, определение вида требования, поиск по системам и у подрядчиков, юридическая проверка, ответ, фиксация исполнения.
| Шаг | Что сделать |
|---|---|
| Зарегистрировать | Записать дату, канал, заявителя и контрольный срок |
| Найти данные | Проверить CRM, почту, договоры, обращения, рассылки и подрядчиков |
| Проверить основания | Отделить то, что можно раскрыть, от сведений других людей и охраняемой законом информации |
| Подготовить ответ | Писать понятным языком, назвать процессы, основания и сроки хранения |
| Выполнить требование | Уточнить, заблокировать, прекратить обработку или уничтожить данные, если это нужно |
| Сохранить доказательства | Зафиксировать ответ, факт отправки и действия в системах |
Отвечают в той же форме, в которой пришел запрос, если человек не попросил иначе. Пришло письмо на почту, значит, и ответ уходит на почту.
Самая частая причина пропущенных сроков банальна. Срок идет с даты получения запроса, а не с того дня, когда письмо дошло до юриста. Общий ящик для обращений должен регулярно проверяться, а на время отпуска ответственного нужен заместитель. Если запросы приходят через форму на сайте или в мессенджер, туда тоже кто-то должен смотреть.
Как может выглядеть ответ
Хороший ответ обычно занимает одну-две страницы. Например, для клиента интернет-магазина:
- Подтверждаем, что обрабатываем ваши данные.
- Перечисляем данные: ФИО, телефон, email, адрес доставки, история заказов.
- Указываем цели и основания: исполнение договора купли-продажи, ответы на обращения, рекламные рассылки по вашему согласию от такой-то даты.
- Называем получателей: служба доставки, платежный сервис, CRM по поручению, с названиями и адресами.
- Указываем сроки хранения по каждой цели.
- Сообщаем, есть ли трансграничная передача.
- Объясняем, как отозвать согласие, уточнить или удалить данные.
Шаблон такого ответа лучше подготовить заранее, по вашей карте процессов. Тогда каждый новый запрос занимает час, а не неделю.
Можно ли отказать
Право на доступ ограничивается только в случаях, установленных федеральным законом. Отказ должен быть письменным, мотивированным и со ссылкой на конкретную норму. Фразы «информация конфиденциальна» недостаточно. Срок на мотивированный отказ тот же: 10 рабочих дней.
Неудобный запрос или то, что человек уже спрашивал раньше, поводом для отказа не служат. Для повторных запросов закон установил отдельное правило: по общему правилу повторно обратиться можно не раньше чем через 30 дней, но раньше, если в первый раз сведения дали не полностью. И доказывать обоснованность отказа придется оператору. Поэтому повторный запрос тоже регистрируют и проверяют по существу.
Частые вопросы
Что делать, если запрос пришел от Роскомнадзора, а не от человека?
Ответить в течение 10 рабочих дней, срок можно продлить еще на 5 с мотивированным уведомлением. Это часть 4 статьи 20 закона. Запрос регулятора часто приходит после жалобы человека, поэтому полезно сразу проверить, не было ли от него обращения, на которое вы не ответили.
Можно ли попросить человека прислать копию паспорта для подтверждения личности?
Закон требует в запросе номер и данные документа, а не копию. Требовать скан паспорта обычно избыточно, и вы получаете лишние данные, которые потом тоже придется защищать и удалять.
Обязательно ли отвечать на запрос, отправленный в мессенджер?
Если мессенджер официально используется компанией для связи с клиентами, игнорировать запрос в нем рискованно. Как минимум ответьте, каким способом и с какими сведениями нужно направить запрос, чтобы его рассмотреть.
Что если данных этого человека у нас нет?
Так и напишите, после проверки всех систем. Ответ «ваших данных у нас нет» тоже ответ, и его тоже нужно дать в срок.
Регламент, настроенный заранее, помогает не раскрыть лишнее и не пропустить срок. Так меньше шансов получить жалобу в Роскомнадзор и штраф, а сотрудникам не приходится бросать работу при каждом обращении.