Персональные данные принадлежат тому, кого они описывают, — а не тому, кто их собрал. В 152-ФЗ это закреплено целой главой о правах субъекта (глава 3). Это значит, что каждый человек может узнать, какие данные о нём хранит оператор, потребовать их исправить, заблокировать или уничтожить, а также отозвать своё согласие. И оператор обязан на это реагировать.
Право на доступ к своим данным и их исправление (статья 14)
Субъект имеет право получить подтверждение факта обработки своих данных и сведения о том, какие именно данные обрабатываются, для каких целей, где и как долго хранятся (статья 14). По части 3 статьи 14 оператор обязан в течение 10 рабочих дней с момента обращения либо предоставить эти сведения, либо направить мотивированный отказ; срок можно продлить не более чем на 5 рабочих дней — с обязательным уведомлением субъекта и указанием причин.
Та же статья 14 (часть 1) даёт субъекту право требовать уточнения, блокирования или уничтожения данных, если они неполные, неточные, устаревшие или получены незаконно. Например, клиент сменил фамилию — оператор обязан внести изменения.
Право требовать прекратить маркетинг (статья 15)
Статья 15 — не про исправление данных, а про их использование в целях продвижения товаров и услуг (прямой маркетинг). Обрабатывать данные для рекламы можно только с предварительного согласия субъекта, и он вправе в любой момент немедленно потребовать прекратить такую обработку. Оператор обязан вести учёт таких обращений.
Защита от автоматизированных решений (статья 16)
Статья 16 запрещает принимать юридически значимые решения исключительно на основе автоматизированной обработки данных (профилирование) без согласия субъекта или иного законного основания. Это касается, например, скоринга, автоматического отказа в услуге или оценки личности алгоритмом без участия человека.
Отзыв согласия (статья 9)
Согласие на обработку данных можно отозвать в любой момент (часть 2 статьи 9). Отзыв не делает обработку, которая велась до этого, незаконной, но оператор обязан прекратить обработку с момента отзыва — если нет иных правовых оснований для её продолжения. По части 5 статьи 21 данные, обработка которых велась только на основании отозванного согласия, должны быть уничтожены в срок, не превышающий 30 дней.
Поэтому на сайте стоит предусмотреть простой способ отозвать согласие: контактный email в Политике конфиденциальности, форма запроса или отдельная процедура. Иначе человек пойдёт с жалобой в Роскомнадзор.
Сроки уничтожения и блокирования (статья 21)
Статья 21 устанавливает конкретные сроки реагирования:
- при выявлении неправомерной обработки оператор обязан заблокировать или уничтожить данные в течение 3 рабочих дней;
- при достижении цели обработки или отзыве согласия — уничтожить данные в срок до 30 дней, если иной срок не установлен законом.
Право на обжалование (статья 17)
Если оператор бездействует или нарушает права, субъект вправе обжаловать его действия или бездействие — в Роскомнадзор или в суд (статья 17). Это означает, что игнорировать запрос человека небезопасно: жалоба может привести к проверке и штрафу.
Что будет за нарушение прав субъекта
Отказ в предоставлении информации, её предоставление в неполном объёме, невыполнение требования об уточнении, блокировании или уничтожении данных — всё это самостоятельные составы статьи 13.11 КоАП РФ. За них предусмотрены штрафы, которые растут при повторном нарушении.
Как организовать работу с запросами на сайте
- Назначить ответственного за персональные данные.
- Описать в Политике конфиденциальности, как подать запрос и куда.
- Указать контактный email для обращений по вопросам данных.
- Вести учёт запросов и ответов и соблюдать сроки (10 рабочих дней по ст. 14).
- Регулярно проверять, что данные, которые больше не нужны, уничтожаются.
Первый шаг к тому, чтобы честно выполнять права людей, — понимать, какие именно данные собирает ваш сайт и где они хранятся. Это можно проверить автоматически: формы, чекбоксы, документы и внешние интеграции.