Попросили удалить данные с сайта: что реально обязан оператор

Что делать, если посетитель сайта попросил показать, уточнить или удалить свои персональные данные. Разбираем ст. 14 и 20 152-ФЗ без канцелярита.

История, которая случается чаще, чем кажется

Представьте: в политике обработки персональных данных на вашем сайте есть строчка вроде «для обращений пишите на privacy@сайт.ру». Строчку эту когда-то вставили по шаблону, скопировав у конкурента или взяв из типового документа. А потом про этот ящик благополучно забыли — он существует, но письма туда никто не читает.

И вот однажды туда действительно пишет живой человек. Просит показать, какие данные о нём хранятся, или отзывает согласие и требует их удалить. Письмо падает в ящик и лежит там неделю, месяц, полгода — пока автор письма не решает пойти дальше и пожаловаться.

Что именно требует закон, а что уже вопрос практики

Норма звучит так: ст. 14 и ст. 20 Федерального закона № 152-ФЗ «О персональных данных» (право субъекта на доступ к своим данным и обязанность оператора ответить на обращение в установленный срок).

Буква закона здесь довольно ясная: у человека есть право узнать, какие его данные вы обрабатываете, зачем и на каком основании, а у вас как у оператора — обязанность на такое обращение ответить, причём в срок. А вот что именно считается «полным и своевременным ответом», как оформить подтверждение личности заявителя, какие формулировки использовать в отказе, если он обоснован, — это уже область практики и того, как конкретную ситуацию будет трактовать Роскомнадзор. Здесь редко есть универсальный шаблон на все случаи, и разумно смотреть на свою ситуацию отдельно, а не переносить чужой пример один в один.

Чем на самом деле грозит забытый ящик

Отдельного штрафа именно за «не ответили на письмо» в переданных нам данных нет, и придумывать сумму мы не будем. Но риск здесь не только денежный. Во-первых, репутационный: человек, которому не ответили, обычно не молчит — идёт с жалобой в РКН или рассказывает об этом публично, а жалоба нередко становится поводом посмотреть на сайт шире, чем просто на одно обращение. Во-вторых, технический: если у вас нет процесса обработки таких запросов, вы физически не готовы быстро найти и удалить данные конкретного человека, даже если сами хотите это сделать правильно.

То есть дело не столько в конкретной санкции, сколько в том, что забытый ящик — это дырка в системе, которая рано или поздно даёт о себе знать в самый неудобный момент.

Как проверить у себя за 5 минут

Загляните в свою политику обработки персональных данных и найдите адрес или контакт для обращений субъектов. Дальше — простой тест:

1. Отправьте на этот адрес письмо от другого своего почтового ящика с текстом «прошу предоставить сведения об обрабатываемых обо мне персональных данных».
2. Засеките дату отправки.
3. Проверьте, кто и когда увидел это письмо — не через месяц случайно, а сразу.
4. Спросите себя: если бы это был реальный человек, вы бы успели ответить по существу и в разумный срок?

Если на любом из этих шагов возникает пауза «а кто вообще это проверяет» — процесс не выстроен, и это стоит исправить раньше, чем придёт настоящее обращение.

Что сделать самому, что поручить разработчику, а что юристу

Самому: назначить внутри команды человека, который отвечает за такие письма, и договориться, что почта проверяется не «когда вспомнят», а по расписанию — хотя бы раз в один-два дня.

Разработчику: технически удобно, если на сайте есть отдельная форма или адрес именно для обращений субъектов, а не общий «info@», где такое письмо легко потеряется среди рекламных предложений. Хорошо, если уведомление о новом обращении приходит сразу ответственному, а не тонет в общем потоке.

Юристу или тому, кто оформлял политику: стоит прописать внутренний регламент — какие сроки закладываются на ответ, что делать, если человек не подтвердил свою личность, как оформить отказ, если запрос выходит за рамки закона. Это же может быть частью большой работы над согласием на обработку персональных данных и общей политикой сайта, а не отдельным документом «для галочки».

Если параллельно с обращением человек решит написать и в надзорный орган, полезно заранее понимать, как выглядит уведомление в Роскомнадзор и что там обычно спрашивают — это помогает не паниковать, а сразу показать, что процесс у вас есть и работает.

В итоге история про «право на доступ к данным» на практике сводится не к тексту в политике, а к простому вопросу: если сегодня вечером кто-то напишет вам с просьбой показать или удалить свои данные, вы правда знаете, что произойдёт дальше? Если ответ «не уверен» — это и есть повод навести порядок, не дожидаясь реального письма.

Автор: Андронов Юрий, руководитель ПДн.Риск. Материал носит информационный характер и не является юридической консультацией.