Клиент потребовал удалить свои данные: что делать компании, чтобы не пропустить срок

На общий адрес приходит письмо с просьбой удалить персональные данные и сообщить, какие сведения хранит компания.

Сотрудник поддержки пересылает его маркетологу, маркетолог отправляет юристу. Через несколько дней выясняется, что человек одновременно хочет прекратить рассылку, уточнить часть сведений и узнать, откуда компания получила его данные.

Для 152-ФЗ это несколько разных требований. У каждого свой порядок проверки, объем ответа и сроки. Если внутри компании нет понятного маршрута, время уходит еще до того, как обращение увидит ответственный за ПДн.

Работу с запросами лучше строить по одному принципу: получить обращение, зарегистрировать его, определить характер требования и правовое основание, собрать необходимые сведения, согласовать ответ или действие и сохранить подтверждение исполнения.

Запрос может прийти на общий email, в поддержку, HR, бухгалтерию, отдел продаж, через форму на сайте или конкретному менеджеру.

Проблема начинается, когда сотрудник воспринимает письмо как обычное клиентское обращение: отвечает самостоятельно, пересылает коллегам без фиксации или оставляет его в общей очереди.

Для организации работы с такими обращениями рекомендуется вести журнал запросов субъектов ПДн и назначать ответственного за дальнейшую обработку.

Ответственный за организацию обработки ПДн организует прием и обработку запросов, но фактическим исполнителем может быть сотрудник подразделения, которого касается конкретное требование. Контроль при этом остается у ответственного.

Поэтому сотрудникам первой линии не нужно знать все нормы 152-ФЗ. Им нужно понимать, куда передать обращение и почему его нельзя оставлять без фиксации.

Если такого маршрута пока нет, его можно включить в разработку и актуализацию документов по 152-ФЗ. Регламент, роли, журнал регистрации и шаблоны ответов должны совпадать с тем, как подразделения работают на практике.

Не все обращения по ПДн одинаковы.

Основные ситуации такие:

• отзыв согласия на обработку ПДн;

• требование прекратить передачу ПДн, разрешенных для распространения;

• запрос сведений об обработке ПДн;

• требование уточнить, заблокировать, прекратить обработку или уничтожить данные;

• отдельное требование прекратить обработку ПДн.

От правильной квалификации зависит весь дальнейший порядок.

Просьба удалить данные не означает, что компания должна немедленно стереть весь массив. Сначала нужно установить, какие сведения затронуты, на каком основании продолжается их обработка и есть ли законные причины хранить часть данных дальше.

Такую таблицу полезно иметь не только у юриста. Сотруднику, который первым видит обращение, достаточно понимать, что его нельзя оставлять в общей очереди.

До подготовки ответа обращение нужно зафиксировать.

В журнале обычно связывают дату поступления, заявителя, содержание требования, ответственного, контрольный срок, дату ответа и результат исполнения.

Это дает компании доказательство не только результата, но и момента, с которого начался отсчет срока.

Особенно это заметно на примере отзыва согласия.

152-ФЗ не устанавливает специального обязательного набора реквизитов или единственной формы такого отзыва. Человек может воспользоваться образцом Роскомнадзора или направить обращение в свободной форме.

Компания не должна создавать дополнительные препятствия, например заставлять заявителя дублировать email бумажным письмом с паспортными данными.

Даже если во внутренней политике указан юридический адрес для направления отзыва, поступление обращения по электронной почте само по себе не дает оснований его игнорировать.

При этом отзыв согласия нужно отличать от формального запроса сведений об обработке ПДн. Для такого запроса ч. 3 ст. 14 152-ФЗ устанавливает обязательные реквизиты, включая сведения о документе, удостоверяющем личность, подтверждение отношений с оператором или факта обработки, а также подпись субъекта или его представителя. Электронный документ может быть подписан электронной подписью.

Если оператор не может установить заявителя или в запросе нет обязательных сведений, нужно оценить возможность его исполнения и при необходимости запросить недостающую информацию. Раскрывать ПДн неустановленному лицу нельзя.

Внутренний порядок нужен компании для организации процесса, а не для создания лишних барьеров субъекту.

Отзыв согласия не всегда означает удаление всех данных.

Компания должна проверить, существуют ли другие основания, предусмотренные 152-ФЗ. Например, сведения могут продолжать обрабатываться для исполнения требований закона, договора, судебного акта или по другому применимому основанию.

Поэтому после отзыва прекращается именно та обработка, которая держалась на согласии. Данные, для которых сохраняется другое законное основание, могут обрабатываться дальше.

Для бухгалтерии и HR это особенно важно. Нельзя уничтожить сведения только из-за отзыва согласия, если закон обязывает компанию продолжать их хранение.

После регистрации обращения назначают исполнителя, фиксируют контрольный срок и проверяют другие основания обработки.

Если оснований для дальнейшего хранения нет, оператор прекращает обработку и уничтожает либо обеспечивает уничтожение соответствующих ПДн в срок не более 30 дней с момента поступления отзыва, с учетом условий и исключений ч. 5 ст. 21 152-ФЗ.

Если другое основание сохраняется, компания продолжает соответствующую обработку.

О результате рекомендуется уведомить человека и при уничтожении данных, и при продолжении обработки на другом основании.

Если обращения могут попадать в поддержку, HR, продажи или на общий email, риск часто возникает еще на маршруте до ответственного за ПДн.

Если персональные данные размещены в открытом доступе на основании согласия на распространение, субъект может потребовать прекратить их дальнейшую передачу.

По ч. 12 ст. 10.1 152-ФЗ такое требование должно содержать ФИО, контактную информацию и перечень ПДн, передачу которых нужно прекратить.

Если части сведений не хватает, ответственный запрашивает недостающую информацию. При этом нельзя автоматически продолжать распространение, если из обращения уже можно достоверно установить субъекта и содержание его требования.

По ч. 13 ст. 10.1 действие согласия на распространение прекращается с момента поступления оператору соответствующего требования. Продолжать передачу на основании такого согласия после получения надлежащего требования нельзя.

Отдельный случай установлен ч. 14 ст. 10.1. Если лицо обрабатывает ранее разрешенные для распространения данные с нарушением требований этой статьи, субъект может обратиться к нему или в суд. Получившее требование лицо должно прекратить передачу в течение трех рабочих дней либо в срок, установленный судебным решением.

Эти ситуации важно различать при определении срока исполнения.

Человек может попросить сообщить, какие его данные обрабатывает компания, зачем она это делает, откуда получила сведения и кому их передавала.

Такой запрос регулируется ст. 14 152-ФЗ и предполагает гораздо более подробный ответ, чем простое подтверждение наличия данных.

Сначала проверяют реквизиты. В запросе должны быть сведения о документе, удостоверяющем личность, дата его выдачи и выдавший орган, информация, подтверждающая отношения субъекта с оператором либо факт обработки его данных, а также подпись субъекта или представителя. При электронной форме используется электронная подпись.

Если необходимых сведений не хватает, оператор запрашивает их дополнительно.

По ч. 7 ст. 14 152-ФЗ оператор предоставляет применимую к конкретной ситуации информацию: подтверждает факт обработки, указывает правовые основания и цели, состав ПДн, источник получения и сроки обработки и хранения.

Также в ответ могут входить сведения о лицах, имеющих доступ к данным или получающих их на предусмотренном законом либо договором основании, о трансграничной передаче, лице, которому поручена обработка, и о способах исполнения обязанностей по ст. 18.1 152-ФЗ.

Ответ нужно предоставить в течение 10 рабочих дней. Срок можно продлить еще на 5 рабочих дней, если субъекту направлено мотивированное уведомление.

Отдельно проверяют основания для ограничения доступа по ч. 8 ст. 14, например когда предоставление сведений затрагивает права третьих лиц.

Статья 14 152-ФЗ определяет и форму ответа.

На обращение или надлежащим образом оформленный запрос в электронном виде отвечают также электронно. На бумажный запрос направляют бумажный ответ. Другой формат возможен, если его указал сам субъект.

Вместе с копией ответа стоит сохранить подтверждение даты, адресата и способа отправки. Иначе правильный документ может остаться без доказательства соблюдения процедуры.

Когда человек сообщает, что сведения неточны, устарели или обрабатываются неправомерно, порядок меняется.

При неправомерной обработке соответствующие ПДн блокируют на период проверки. При проверке неточности блокирование проводится при условии, что оно не нарушает права и законные интересы субъекта или третьих лиц.

Если неточность, неполнота или неактуальность подтверждены, сведения приводят в актуальное состояние в течение 7 рабочих дней со дня представления подтверждающих сведений.

Если компания устанавливает, что обработка неправомерна, ее нужно прекратить либо обеспечить прекращение в течение 3 рабочих дней с даты выявления нарушения.

Когда обеспечить правомерность невозможно, данные уничтожают или обеспечивают их уничтожение в срок не более 10 рабочих дней.

Об устранении нарушения или уничтожении оператор уведомляет субъекта или его представителя, а в предусмотренных законом случаях также Роскомнадзор.

Отдельный срок действует, если субъект предоставил сведения, подтверждающие, что его персональные данные были получены незаконно или не являются необходимыми для заявленной цели обработки. Согласно ч. 3 ст. 20 152-ФЗ оператор обязан уничтожить такие данные в течение семи рабочих дней со дня представления подтверждений. Также необходимо уведомить субъекта о принятых мерах и принять разумные меры для уведомления третьих лиц, которым передавались соответствующие данные. 

Иногда человек не спорит с первоначальной законностью сбора данных. Он просто больше не хочет, чтобы компания продолжала их использовать, например для аналитики или других целей.

Тогда оператор проверяет, сохраняются ли иные правовые основания.

Если оснований нет, по общему правилу ч. 5.1 ст. 21 152-ФЗ обработку нужно прекратить в течение 10 рабочих дней. Срок можно продлить еще на 5 рабочих дней при мотивированном уведомлении.

Для продвижения товаров, работ и услуг путем прямых контактов действует специальное правило. По ч. 2 ст. 15 152-ФЗ оператор обязан прекратить такую обработку немедленно по требованию субъекта. Аналогичная обязанность для рекламных сообщений предусмотрена ч. 1 ст. 18 Закона № 38-ФЗ «О рекламе».

Бывший клиент может одновременно попросить сообщить сведения о себе и удалить их.

Юрист определит правовую часть, но сами данные могут находиться в CRM, сервисе рассылок, бухгалтерской системе, архиве договоров, системе поддержки, у подрядчика или в резервных копиях.

Поэтому ответственный за ПДн не всегда может собрать фактическую картину самостоятельно.

Обычно первая линия принимает и передает обращение. Ответственный за ПДн или юрист определяет характер требования и контролирует сроки. Владелец процесса подтверждает цели и основания обработки, а ИТ помогает найти данные в системах и выполнить технические действия.

Это не установленное законом распределение должностей. Компания может организовать работу иначе. Главное, чтобы выбранная модель обеспечивала исполнение требований в срок.

Иногда юридическая обязанность понятна, но система не поддерживает корректное удаление. Данные могут дублироваться между CRM, архивом и другими сервисами, а копии остаются в нескольких местах.

Технические ограничения не освобождают оператора от обязанности исполнить требование.

По ч. 6 ст. 21 152-ФЗ, если уничтожить данные в установленный срок невозможно, оператор должен заблокировать их и обеспечить уничтожение в срок не более шести месяцев, если другой срок не установлен федеральным законом.

Для сложного контура можно провести технический аудит информационных систем, чтобы восстановить системы, доступы и реальные маршруты данных.

Если проблема шире и касается правовых оснований, документов, ролей и процессов, уместен аудит соответствия требованиям 152-ФЗ.

Работа не заканчивается отправкой письма субъекту.

У компании должны остаться документы и записи, которые подтверждают получение и обработку обращения: сам запрос, запись в журнале, при необходимости запрос недостающих сведений, материалы проверки, согласованный ответ и подтверждение его отправки.

Если данные уничтожались, применяются требования приказа Роскомнадзора от 28.10.2022 № 179. Для автоматизированной и смешанной обработки используются акт уничтожения и выгрузка из журнала регистрации событий ИСПДн.

Первая проблема возникает, когда обращение несколько дней лежит в общем почтовом ящике и срок уже идет.

Вторая появляется при неполном ответе. Человек задает несколько вопросов, а компания отвечает только на один из них.

Третья связана с ошибочной оценкой формы обращения. Email без бумажной подписи нельзя автоматически игнорировать. Сначала нужно определить, что именно просит человек. Для отзыва согласия нет универсального требования о бумажной подписи, а запрос сведений по ст. 14 должен отвечать специальным требованиям к оформлению и идентификации.

Четвертая ошибка проявляется уже после исполнения. Компания утверждает, что данные уничтожила или ответ отправила, но не может это доказать.

Поэтому работа с запросами субъектов должна быть оформлена как отдельный бизнес-процесс, а не как обычная переписка.

Статья 13.11 КоАП РФ содержит несколько составов, связанных с правами субъектов ПДн.

По ч. 4 за невыполнение обязанности предоставить субъекту информацию об обработке ПДн штраф для юридического лица составляет от 40 000 до 80 000 рублей.

По ч. 5 за неисполнение в установленный срок требования об уточнении, блокировании или уничтожении ПДн в предусмотренных этой нормой случаях штраф составляет от 50 000 до 90 000 рублей.

За повторное нарушение, предусмотренное ч. 5, по ч. 5.1 штраф для юридического лица составляет от 300 000 до 500 000 рублей.

Конкретный состав зависит от обстоятельств.

При этом один запрос может показать более серьезную проблему: компания сама не знает, где находятся данные человека и почему продолжает их обрабатывать.

С алгоритмом должны быть знакомы сотрудники подразделений, куда действительно могут обратиться люди: поддержки, продаж, HR, маркетинга, офиса и юридической службы.

Запоминать все сроки ст. 14 и 21 им не требуется. Достаточно понимать общий порядок: если человек просит предоставить, исправить, удалить или прекратить использовать его ПДн, сотрудник не отвечает самостоятельно, а регистрирует обращение и передает его по установленному маршруту.

Такой сценарий стоит включить в обучение сотрудников по персональным данным, особенно если первая линия регулярно общается с клиентами и кандидатами.

1. Зарегистрируйте обращение.

2. Определите его тип.

3. Проверьте обязательные реквизиты.

4. Назначьте исполнителя и контрольный срок.

5. Определите основания обработки.

6. Найдите системы и подразделения, где находятся данные.

7. Исполните требование или подготовьте мотивированный ответ.

8. Согласуйте ответ.

9. Направьте результат в требуемой форме.

10. Сохраните доказательства исполнения.

Если для каждого запроса приходится заново искать нужного сотрудника и уточнять порядок действий, процесс лучше формализовать заранее.

Запрос уже пришел. Кто внутри компании контролирует срок?

Если обращения могут попадать в поддержку, HR, продажи или на общий email, риск часто возникает еще на маршруте до ответственного за ПДн.

Проверьте порядок работы с запросами субъектов

Опишите, как компания принимает, регистрирует и исполняет обращения по ПДн. Специалист Б-152 поможет определить, какие роли, документы и этапы стоит включить в проверку.

Имя^*

E-mail^*

Телефон^*

Оставить заявку

Нажимая кнопку, я соглашаюсь с пользовательским соглашением, обработкой персональных данных и получением информационных и рекламных рассылок

Нет. Сам по себе другой канал обращения не препятствует исполнению отзыва. При необходимости оператор должен проверить, от кого поступило обращение.

Для отзыва согласия закон не устанавливает специального обязательного перечня реквизитов. Требовать дополнительные паспортные сведения как универсальное условие исполнения неправомерно. Необходимость идентификации оценивается с учетом обстоятельств конкретного обращения.

В течение 10 рабочих дней. Срок можно продлить еще на 5 рабочих дней при мотивированном уведомлении субъекта.

Запросить недостающие сведения. Если заявителя нельзя установить или подтвердить основания для предоставления информации, оператор не должен раскрывать ПДн. При наличии оснований отказ должен быть мотивирован.

Нет. Сначала проверяют другие правовые основания. Если они сохраняются, соответствующая обработка может продолжаться. Если оснований нет и дальнейшее хранение не требуется, данные уничтожают с соблюдением срока и исключений ч. 5 ст. 21 152-ФЗ.

На период проверки сведения блокируются, если это не нарушает права и законные интересы субъекта или третьих лиц. Если неточность подтверждена, данные приводят в актуальное состояние в течение 7 рабочих дней со дня представления подтверждающих сведений.

Документы и записи, которые подтверждают получение запроса, его обработку и результат: журнал, ответ, подтверждение отправки и применимые акты или иные доказательства выполненных действий. При уничтожении ПДн учитываются требования приказа Роскомнадзора № 179.

Реклама: ООО «Б152», ИНН 5050091524 erid: 2W5zFK73bKx