Дата актуализации: 22 апреля 2026 г.

С 1 сентября 2022 года в силу вступили ключевые изменения в Федеральный закон № 152-ФЗ «О персональных данных».
Одно из центральных нововведений – обязанность каждого оператора (госоргана, компании, ИП) в кратчайшие сроки реагировать на обращения граждан, затрагивающие их персональные данные (ПД).
Нарушение порядка грозит штрафам до 300 000 ₽ (ст. 13.11–13.13 КоАП РФ). Ниже – пошаговая инструкция, как именно должен выглядеть процесс «с запроса до ответа».

Основные термины

• Субъект ПДн – физическое лицо, чьи персональные данные обрабатываются.
• Оператор – госорган/компания/ИП, самостоятельно определяющий цели и способы обработки ПДн.
• Обращение субъекта ПДн – заявление любой из шести категорий (см. п. 3.1).
• Ответственный за организацию обработки ПДн (ООПД) – должностное лицо, назначенное приказом руководителя.

Виды обращений субъектов ПДн

Классификация запросов

1. Запрос на доступ – получить копии своих ПДн.
2. Запрос на уточнение – исправить неточные или неполные данные.
3. Запрос на блокирование – временно приостановить обработку.
4. Запрос на уничтожение – удалить данные, если отпало основание.
5. Отзыв согласия – прекратить обработку на основании ранее данного согласия.
6. Возражение против обработки – если обработка осуществляется в силу закона, но затрагивает права субъекта.

Структура внутреннего регламента оператора

Документы, которые должен утвердить руководитель

• Приказ «О назначении ООПД и уполномоченных работников».
• Положение «О порядке приёма и обработки обращений субъектов ПДн» (далее – Положение).
• Журнал регистрации обращений (форма Приложения 1 к типовым Правилам Росжелдора).

Распределение ролей

ООПД – контролирует сроки, готовит проект ответа.
Работник приёмной – регистрирует обращение в журнале в течение 1 рабочего дня.
IT-специалист – технически блокирует или удаляет данные в ИСПДн.
Юрисконсульт – проверяет правовое основание обработки и корректность формулировок ответа.

Пошаговая инструкция: как обрабатывать обращение

Шаг 1. Приём и регистрация (День 0)

Работник приёмной фиксирует:
   • дату и время получения;
   • способ подачи (лично, почта, электронная приёмная, Госуслуги);
   • категорию запроса (п. 3.1).
Вносит данные в Журнал учёта (Приложение 1).
Выдаёт субъекту расписку о регистрации или направляет электронное подтверждение.

Шаг 2. Проверка полномочий (День 1)

Если обращение подаёт представитель – требуется нотариальная доверенность или её эквивалент (ст. 6 152-ФЗ).
Проверяется документ, удостоверяющий личность (паспорт/СНИЛС/ЭЦП).

Шаг 3. Идентификация ПДн (День 1–3)

ООПД запрашивает у структурных подразделений:
   • перечень обрабатываемых ПДн по субъекту;
   • цель и правовое основание обработки;
   • сроки хранения;
   • сведения о третьих лицах, которым передавались данные.

Шаг 4. Формирование ответа (День 4–9)

Ответ оформляется на бланке оператора. Обязательные реквизиты:
   • регистрационный номер и дата;
   • ссылка на ст. 14 152-ФЗ;
   • перечень предоставляемых сведений или обоснование отказа.
Если требуется предоставить копии документов – они выдаются на бумаге или в электронном виде через защищённую подпись.

Шаг 5. Выдача/направление ответа (не позднее 10-го дня)

Способы:
   • лично под роспись;
   • заказное письмо с уведомлением;
   • электронная подпись через Госуслуги/почту.
Информация о выдаче вносится в Журнал.

Шаг 6. Исполнение требования по блокированию/уничтожению (если запрошено)

IT-специалист в течение 3 раб. дней:
   • блокирует записи в ИСПДн;
   • формирует акт об уничтожении бумажных носителей (датер, подписи 2 свидетелей).
Копия акта прилагается к ответу.

Практические примеры

Пример 1: «Прошу предоставить копии моих ПДн, обрабатываемых в ИСПДн «Кадры»»

Ответ включает: выписку из кадровой системы (Ф.И.О., дата рождения, ИНН, СНИЛС, адрес регистрации), дату последнего изменения, цель – «ведение трудовых отношений», основание – ст. 86 ТК РФ.

Пример 2: «Отзываю согласие на рассылку рекламных SMS»

Оператор прекращает рассылку в течение 3 дней и подтверждает письмом: «Обработка для целей прямого маркетинга прекращена, ПДн удалены из рекламной базы».

Ответственность за нарушение сроков

Чек-лист «7 вопросов» перед отправкой ответа

1. Зарегистрирован ли запрос в журнале?
2. Проверены ли полномочия заявителя/представителя?
3. Все ли запрошенные ПДн идентифицированы?
4. Указано ли правовое основание обработки?
5. Если отказ – обоснован ли он ст. 14 152-ФЗ?
6. Срок 10 дней соблюдён?
7. Подпись ООПД и печать организации проставлены?

Рекомендации по автоматизации

• Внедрите корпоративный Service Desk с шаблоном «Запрос субъекта ПДн» – автоматический расчёт сроков и напоминания;
• Используйте ЭЦП и Госуслуги для безбумажного обмена документами.
• Раз в год проводите внутренний аудит журнала регистрации и актов уничтожения.

Понятный, прописанный внутренний регламент – главный инструмент защиты и оператора, и прав субъекта ПДн.
Следуя вышеизложенному алгоритму, организация минимизирует риски штрафов и повышает уровень доверия клиентов и сотрудников.
При необходимости детализируйте регламент собственным приказом, опираясь на типовые Правила Росжелдора (Приложение № 4 и № 5).