Каждый российский оператор персональных данных (ОПД), будь то магазин, сервис или IT-компания, обязан бесплатно и в течение 30 календарных дней со дня получения запроса предоставить субъекту информацию о том, какие именно его данные обрабатываются, для каких целей и кому они передаются. Нарушение требований Федерального закона 152-ФЗ грозит штрафами до 150 000 ₽ (п. 5 ч. 1 ст. 13.11 КоАП РФ), а с 2025 года — ещё и блокировкой сайта через Роскомнадзор.
Что считается «запросом субъекта»
Закон не требует строгой формы. Всё, что приходит к вам от физического лица (письмо, электронное обращение, звонок, сообщение в чат-боте), содержащее фамилию, имя, отчество и суть требования, уже считается запросом. Даже если человек написал: «Пришлите, пожалуйста, всю информацию, которую вы обо мне храните».
Ключевые признаки запроса:
- указание на конкретное физическое лицо;
- желание получить сведения о своих ПДн;
- любой канал доставки (почта, e-mail, личный кабинет, мессенджер).
Как подтвердить личность заявителя
Чтобы не передавать данные мошеннику, оператор вправе запросить:
- Копию паспорта (достаточно первой страницы и прописки).
- Согласие на обработку ПДн (если такого согласия ещё нет).
- Код подтверждения, высланный на мобильный телефон или e-mail, указанный в договоре.
Если в течение 10 рабочих дней человек не предоставляет документы, ответ можно не высылать, но об этом нужно уведомить заявителя в письменном виде.
Что включать в ответ: чек-лист
| Раздел | Что писать |
|---|---|
| Источник получения ПДн | «Данные получены от Вас при оформлении заказа на сайте example.ru» |
| Перечень обрабатываемых ПДн | ФИО, адрес, телефон, e-mail, номер банковской карты (4 последние цифры), история покупок за 3 года |
| Цель обработки | «Исполнение договора розничной купли-продажи, сервисная поддержка, маркетинговые рассылки (п. 5 ст. 6 152-ФЗ)» |
| Способы обработки | Автоматизированная обработка в CRM «Битрикс24», резервное копирование на Яндекс.Диск |
| Получатели (третьи лица) | «Почта России» (адрес доставки), «CloudPayments» (платёж), «CallTouch» (аналитика) |
| Сроки хранения | «5 лет с момента последней покупки, затем — удаление или обезличивание» |
Формат ответа
Закон позволяет выбрать один из вариантов:
- Обычное письмо с уведомлением о вручении;
- Электронный документ подписанный усиленной квалифицированной электронной подписью (если у вас есть УКЭП);
- Личный кабинет на сайте — если у заявителя есть доступ.
Важно: если человек просит «все копии записей» в бумажном виде, вы обязаны предоставить распечатку, даже если у вас 100 страниц.
Как оформить шаблон ответа
ООО «Ромашка», ИНН 7701234567
Юридический адрес: 123456, г. Москва, ул. Ленина, д. 1
Уважаемая Мария Ивановна!
В ответ на Ваше обращение от сообщаем:
Ваши персональные данные были получены при регистрации на сайте .
Обрабатываются следующие ПДн: …
Цель обработки: исполнение договора купли-продажи № 123 от .
Третьи лица: ООО «СДЭК» (доставка), АО «Альфа-Банк» (оплата);
Срок хранения — 5 лет с момента последнего заказа.
В случае несогласия с обработкой Вы вправе направить отзыв согласия по адресу privacy@romashka.ru.
Приложения: копия записи из CRM (2 листа).
С уважением,
И. О. Фамилия,
Специалист по защите ПДн,
тел. +7 (495) -23-45-67
Что делать, если запрос поступил от представителя
Проверьте:
- Доверенность или нотариально заверенное согласие (для родителей).
- Копии паспортов представителя и субъекта.
Если документов нет, отказывайте письменно с разъяснением причины.
- Регистрируем запрос в журнале обращений субъектов ПДн (дата, ФИО, канал, краткое содержание).
- Запрашиваем идентификацию (если нужно).
- Собираем информацию из всех систем (CRM, 1С, Excel, e-mail).
- Формируем ответ и прикладываем копии документов.
- Отправляем в течение 30 календарных дней.
- Архивируем копию ответа не менее 3 лет.
Следуя этому алгоритму, вы не только избежите штрафов, но и продемонстрируете клиентам высокий уровень прозрачности и заботы о конфиденциальности их данных;