РКН Аудит
Человек вправе узнать об операторе не «что-нибудь», а десять конкретных вещей: обрабатываются ли его данные вообще, на каком правовом основании и с какими целями, кто именно оператор и где он находится, какие данные у него есть и откуда они взялись, сколько они будут храниться, передавались ли за границу и кому переданы по поручению. Перечень закреплён частью 7 статьи 14 152-ФЗ, срок ответа — десять рабочих дней, а отказ в выполнении повторного запроса оператор обязан обосновать сам.
Проверить бесплатно, что ваш сайт сообщает посетителю об обработке его данных ←
Что именно вправе узнать человек об операторе?
Право на доступ к своим данным устроено просто: часть 1 статьи 14 152-ФЗ отсылает к перечню в части 7 той же статьи, а часть 8 называет исключения. Перечень закрытым не является — последний пункт открыт для других федеральных законов, — но десять базовых позиций обязан закрыть любой оператор.
| Что обязан сообщить оператор | Зачем это человеку |
|---|---|
| Подтверждение факта обработки персональных данных | Понять, есть ли он в базе вообще |
| Правовые основания и цели обработки | Проверить, не держится ли всё на отозванном согласии |
| Цели и применяемые оператором способы обработки | Отличить хранение анкеты от профилирования |
| Наименование и место нахождения оператора, а также лица — кроме собственных работников оператора, — которые имеют доступ к данным или которым данные могут быть раскрыты по договору с оператором либо по федеральному закону | Знать, кому предъявлять требования, и увидеть цепочку получателей |
| Обрабатываемые данные и источник их получения | Понять, откуда компания взяла номер телефона |
| Сроки обработки, в том числе сроки хранения | Понять, когда данные должны быть уничтожены |
| Порядок осуществления прав, предусмотренных законом | Узнать, как именно требовать уточнения или удаления |
| Сведения об осуществлённой или предполагаемой трансграничной передаче | Понять, уходят ли данные за пределы страны |
| Наименование и адрес лица, обрабатывающего данные по поручению | Узнать, кому оператор передал обработку |
| Сведения о способах, которыми оператор исполняет обязанности по статье 18.1 152-ФЗ | Понять, есть ли у компании политика, ответственный и реальные меры защиты |
Строка про лицо, обрабатывающее данные по поручению, на практике самая неудобная для компаний. Данные почти всегда уходят подрядчикам — в CRM, сервис рассылок, колл-центр, службу доставки, — и назвать их придётся поимённо. Как оформляется такая передача и кто за неё отвечает, разобрано в статье «Передача персональных данных курьерской службе».
Отдельно стоит развести два близких права. Право на информацию — это «расскажите, что у вас про меня есть». Право требовать уточнения, блокирования или уничтожения — следующий шаг, и у него свои основания и сроки: разбор в статье «Право на удаление персональных данных».
Что оператор обязан раскрывать до всякого формального запроса?
Значительная часть перечня должна быть доступна ещё до того, как кто-то прислал оформленный по всем правилам запрос.
- Политика обработки персональных данных. Часть 2 статьи 18.1 152-ФЗ обязывает оператора, собирающего данные через интернет, опубликовать документ, определяющий его политику, и обеспечить к нему неограниченный доступ. Именно там человек должен находить наименование оператора, цели, категории данных, сроки и порядок реализации своих прав. Что должно быть внутри — в статье «Политика обработки ПДн: образец и обязательные разделы».
- Информация при сборе данных. Часть 1 статьи 18 152-ФЗ: уже в момент сбора, по первой же просьбе человека, оператор обязан выдать сведения по части 7 статьи 14. Отсылка «пришлите официальный запрос с копией паспорта» на этом этапе незаконна, а значит ответ должен быть готов заранее, а не собираться после запроса.
- Информация, когда данные получены не от человека. Часть 3 статьи 18 152-ФЗ требует до начала такой обработки сообщить субъекту наименование и адрес оператора, цель обработки и её правовое основание, перечень персональных данных, предполагаемых пользователей данных, установленные законом права субъекта и источник получения данных. Часть 4 той же статьи называет пять исключений — среди них случай, когда человек уже уведомлён об обработке, и случай, когда данные получены на основании федерального закона или в связи с исполнением договора, стороной которого он является. Это норма про купленные базы, партнёрские лиды и выгрузки — и нарушают её чаще всего именно там.
- Запись в реестре операторов. Уведомление по статье 22 152-ФЗ публично: по нему видно, кто оператор, какие цели и категории данных он заявил и где находится база. Как найти себя или чужую компанию — в статье «Реестр операторов ПДн: проверка по ИНН».
Практический критерий для владельца сайта: если единственный способ узнать о вашей обработке — написать вам письмо, требование прозрачности не выполнено.
Как должен быть оформлен запрос?
Закон предъявляет к запросу содержательные требования — и они защищают обе стороны: оператор не должен выдавать данные человека постороннему.
Статья 14 152-ФЗ требует, чтобы в запросе были:
- номер основного документа, удостоверяющего личность субъекта или его представителя;
- сведения о дате выдачи этого документа и выдавшем его органе;
- сведения, подтверждающие участие субъекта в отношениях с оператором — номер договора, дата его заключения, условное словесное обозначение или иные сведения, — либо сведения, иным образом подтверждающие факт обработки данных этим оператором;
- подпись субъекта или его представителя.
Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством РФ.
Две ошибки встречаются постоянно. Со стороны человека — запрос без единого реквизита, на который оператор физически не может ответить, не рискуя выдать чужие данные. Со стороны оператора — требование «принесите нотариально заверенную копию паспорта лично в офис» там, где закон ничего подобного не требует. Разумная практика — отвечать по тому каналу, по которому человек уже идентифицирован: из личного кабинета, с адреса почты, указанного в договоре.
Ещё одно ограничение касается содержания ответа. Часть 2 статьи 14 152-ФЗ требует предоставлять сведения в доступной форме, и в них не должно быть персональных данных других людей — кроме случаев, когда для раскрытия есть законные основания. Выгрузка переписки, где видны чужие имена и телефоны, — это не исполнение запроса, а новое нарушение.
В какой срок нужно ответить?
Десять рабочих дней. Часть 3 статьи 14 152-ФЗ отсчитывает их с момента обращения либо получения оператором запроса субъекта или его представителя — и тут же разрешает продлить срок не более чем на пять рабочих дней, если направить заявителю мотивированное уведомление с указанием причин продления.
Статья 20 152-ФЗ достраивает картину:
- сообщить о наличии данных и дать возможность ознакомиться с ними — тоже десять рабочих дней с даты получения запроса, с тем же продлением не более чем на пять рабочих дней по мотивированному уведомлению;
- письменный мотивированный отказ со ссылкой на основания — те же десять рабочих дней и то же правило продления;
- ознакомление с собственными данными — безвозмездно;
- если субъект представил сведения о том, что данные неполные, неточные или неактуальные, — внести изменения в течение семи рабочих дней со дня представления таких сведений и уведомить об этом субъекта;
- если субъект представил сведения о том, что данные получены незаконно или не нужны для заявленной цели, — уничтожить их в течение семи рабочих дней со дня представления таких сведений и уведомить субъекта.
Два продления путать не нужно: пятидневное продление относится к десятидневным срокам, а на семь рабочих дней по уточнению и уничтожению оно не распространяется.
Тот же десятидневный срок статья 20 152-ФЗ устанавливает и для ответа на запрос уполномоченного органа по защите прав субъектов персональных данных.
Когда оператор вправе отказать?
Отказ законен в двух разных ситуациях, и их полезно не путать.
Ограничение права доступа. Часть 8 статьи 14 152-ФЗ перечисляет случаи: обработка в целях обороны, безопасности государства и охраны правопорядка, в том числе в рамках оперативно-розыскной деятельности; обработка в рамках противодействия легализации доходов, полученных преступным путём, и финансированию терроризма; ситуации, когда доступ нарушает права и законные интересы третьих лиц, и иные прямо названные законом случаи, включая транспортную безопасность. Обычный интернет-магазин под эти основания не попадает.
Повторный запрос, не отвечающий требованиям закона. Если сведения и данные уже предоставлялись, повторно обратиться можно не ранее чем через тридцать дней — если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным актом или договором. Раньше — только когда в первый раз ответ был неполным, и такой повторный запрос должен содержать обоснование. Запрос, не отвечающий этим условиям, оператор вправе не исполнять, но и такой отказ должен быть мотивированным.
Отдельно закон распределяет бремя доказывания, и распределяет узко: по части 6 статьи 14 152-ФЗ обязанность представить доказательства обоснованности отказа в выполнении повторного запроса лежит на операторе. На отказ по части 8 статьи 14 это правило не распространяется — но любой отказ по части 2 статьи 20 152-ФЗ должен быть письменным, мотивированным и со ссылкой на конкретное основание. Молчание не является ни отказом, ни его обоснованием.
Что грозит, если не ответить?
Проигнорированный запрос — самостоятельный состав, отдельный от нарушений в самой обработке. Невыполнение оператором обязанности предоставить субъекту информацию, касающуюся обработки его персональных данных, наказывается по части 4 статьи 13.11 КоАП: для юридических лиц 40 000 – 80 000 ₽. Подробный разбор составов и того, как дело обычно начинается с обращения человека, — в статье «Штрафы за нарушение прав субъектов ПДн».
Помимо штрафа есть и другой механизм. Статья 15.5 149-ФЗ описывает реестр нарушителей прав субъектов персональных данных: на основании вступившего в силу судебного акта в него вносится информационный ресурс, обрабатывающий данные с нарушением, с последующим ограничением доступа при неисполнении требования.
Что сделать оператору заранее?
Ответ на запрос за десять рабочих дней собирается только там, где заранее известно, где лежат данные.
- Составьте карту обработки. Какие данные, из каких форм, в каких системах, у каких подрядчиков. Без неё пункт про источник получения и пункт про лиц с доступом закрыть невозможно.
- Назначьте канал для обращений и укажите его в политике: адрес почты, форма, почтовый адрес. Обращение, ушедшее в общий ящик поддержки, всё равно запускает отсчёт срока.
- Заведите шаблон ответа по десяти пунктам части 7 статьи 14 152-ФЗ. Половина содержимого одинакова для всех заявителей и берётся из политики.
- Проверьте, что политика отвечает на запрос сама. Чем полнее она раскрывает цели, категории, сроки и получателей, тем меньше писем придёт.
- Сверьте политику с формами. Расхождение между заявленными в политике категориями данных и тем, что реально собирают формы, видно снаружи сразу; бесплатный скан на rkn-ok.ru показывает его так, как его видит посторонний. Самые массовые видимые нарушения при этом другие — трекеры до согласия и отсутствие политики: цифры в исследовании 313 сайтов Рунета.
Что читать дальше
- Право на удаление персональных данных — что делать со следующим требованием человека
- Штрафы за нарушение прав субъектов ПДн — во что обходится молчание
- Реестр операторов ПДн: проверка по ИНН — как найти оператора и свою запись
Источники: Федеральный закон №152-ФЗ «О персональных данных» — статьи 14, 18, 18.1, 20, 22; Федеральный закон №149-ФЗ «Об информации, информационных технологиях и о защите информации» — статья 15.5; КоАП РФ — статья 13.11. Реестр операторов — pd.rkn.gov.ru.