Журнал учёта обращений субъектов ПДн – это документ (бумажный или электронный), в котором фиксируются все запросы, обращения и жалобы физических лиц, чьи персональные данные обрабатываются организацией. Ведение такого журнала является обязательным элементом системы управления персональными данными и позволяет продемонстрировать соблюдение прав субъектов, предусмотренных Федеральным законом «О персональных данных» № 152‑ФЗ.
Зачем нужен журнал учета обращений?
- Контроль и прозрачность. Позволяет отслеживать каждый запрос от момента получения до окончательного результата.
- Документальное подтверждение соблюдения прав субъектов. При проверках контролирующих органов (Роскомнадзор, ФСТЭК и др.) журнал служит доказательством выполнения требований закона.
- Анализ и улучшение процессов. На основе данных журнала можно выявлять «узкие места», оптимизировать сроки ответа и повышать качество обслуживания.
- Управление рисками. Своевременное реагирование на обращения снижает вероятность судебных исков и штрафов.
Нормативно‑правовая база
Ведение журнала регулируется несколькими нормативными актами:
- Федеральный закон 152‑ФЗ «О персональных данных» (ст. 19, 20, 23).
- Приказ ФСИП (Федеральной службы по интеллектуальной собственности) «Об образцах журналов учета обращений субъектов ПДн» (Приложения N 1, N 2, N 8 и др.).
- Регламент рассмотрения запросов в отдельных отраслях (например, у Росжелдора, в Министерстве здравоохранения Рязанской области, у Федерального агентства железнодорожного транспорта).
- Региональные приказы (например, Приказ Облкоммолодежи Волгоградской области от № 142‑ОД).
Во всех перечисленных документах указано, что форма журнала может быть разработана организацией самостоятельно, однако должна включать обязательные графы, позволяющие полностью отразить процесс рассмотрения обращения.
Обязательные графы в журнале
Ниже представлена примерная форма, собранная из разных образцов (Приложения N 1, N 2, 11, 1 к Правилам ГАРАНТ):
| № п/п | Дата обращения | ФИО субъекта ПДн | Способ обращения (письменно, электронно, устно) | Цель обращения (уточнение, блокировка, удаление, исправление, жалоба) | Краткое содержание запроса | Ответственный сотрудник | Срок исполнения | Результат обращения | Подпись ответственного |
|---|---|---|---|---|---|---|---|---|---|
| 1 | Иванов Иван Иванович | Электронная почта | Уточнение сведений, блокировка передачи | Запросить полную копию всех данных, хранящихся о субъекте | Петров А.С. | 10 дней | Предоставлена копия, данные заблокированы | _________ |
Эти графы покрывают все ключевые этапы: регистрацию, классификацию, исполнение и закрытие обращения.
Как правильно вести журнал?
4.1 Регистрация обращения
- Получив запрос (по почте, телефону, через сайт, в личном кабинете), сотрудник, ответственный за ПДн, обязан незамедлительно внести запись в журнал.
- Указывается точная дата и время получения, а также способ получения (например, «Электронное письмо от 09:15»).
4.2 Классификация и определение цели
В зависимости от содержания запроса определяют одну из прав субъектов:
- Доступ к персональным данным;
- Уточнение, исправление или дополнение;
- Блокирование обработки;
- Удаление (стирание) данных;
- Жалоба на нарушение прав.
4.3 Назначение ответственного
Для каждого обращения назначаеться конкретный сотрудник (специалист по защите данных, ИТ‑администратор, юрист). Его ФИО фиксируется в соответствующей графе.
4.4 Сроки исполнения
Согласно ст. 19‑20 ФЗ 152, организация обязана ответить в течение 30 календарных дней (в исключительных случаях – до 60 дней). В журнале фиксируется установленный срок и дата фактического исполнения.
4.5 Оформление результата
После выполнения запроса в журнал вносятся итоговые данные:
- Что именно было сделано (например, «выдана копия записи», «данные заблокированы», «информация удалена»);
- Наличие подтверждающих документов (копии, протоколы, письма‑ответы);
- Подпись ответственного лица.
4.6 Хранение журнала
Журнал считается документом, относящимся к учётной (деловой) документации, и подлежит хранению в течение 5 лет после закрытия последнего обращения (по требованиям ФЗ 152). При электронном виде необходимо обеспечить:
- Контроль доступа (только уполномоченные сотрудники);
- Неизменяемость записей (журналы в виде «лог‑файлов» с цифровой подписью);
- Регулярное резервное копирование.
Примеры реальных форм
5.1 Приложение N 2 к Инструкции ФСИП
Содержит графы: п/п, дата обращения, ФИО субъекта, цель обращения, результат, подпись ответственного. Форма не утверждена законом, поэтому организация может её адаптировать.
5.2 Журнал по ГОСИНТЕГРАЦИИ (Росжелдор)
Включает дополнительные поля: «Входящий номер», «Откуда получен запрос», «Форма запроса (личный, письменный, электронный)», «Исполнитель», «Документ системы ГАРАНТ».
5.3 Региональные образцы (Волгоградская область, Рязанская область)
В этих формулах часто добавляют поле «Контактные данные субъекта» и «Комментарий контролирующего органа», если запрос поступает от госоргана.
Электронный vs бумажный журнал
| Аспект | Бумажный журнал | Электронный журнал |
|---|---|---|
| Удобство заполнения | Требует ручного ввода, подписи | Автоматическое заполнение полей, цифровая подпись |
| Контроль доступа | Ограничен физическим хранением | Ролевой доступ, шифрование |
| Поиск и аналитика | Трудоемко, требуется ручной поиск | Фильтры, отчёты, экспорт в CSV/Excel |
| Сохранность | Риск потери при пожаре, кража | Резервные копии, репликация |
| Соответствие требованиям | Трудно доказать неизменность | Подпись и хеш‑контроль обеспечивают доказательство |
Для большинства крупных организаций рекомендуется переход на электронный журнал с возможностью интеграции в СКУД (систему контроля доступа) и в систему управления инцидентами.
Лучшие практики (best‑practice)
- Стандартизация формы. Принять единую форму во всей организации и разместить её в интранете.
- Обучение персонала. Проводить регулярные тренинги для сотрудников, работающих с ПДн, по правильному заполнению журнала и срокам реагирования.
- Автоматическое уведомление. Настроить систему так, чтобы при регистрации нового обращения автоматически отправлялось уведомление ответственному сотруднику и руководителю подразделения.
- Контроль выполнения сроков. Ежедневно проверять «открытые» обращения и формировать отчёт о просроченных.
- Регулярный аудит. Проводить внутренний аудит журнала раз в квартал: проверка полноты данных, корректности подписей, соответствия сроков.
- Документирование отказов. Если запрос отклоняется (например, субъект не подтвердил личность), фиксировать причину отказа и приложить подтверждающие документы.
- Конфиденциальность. Ограничить доступ к журналу только тем сотрудникам, которые непосредственно участвуют в обработке запроса.
Часто задаваемые вопросы (FAQ)
8.1 Обязан ли организация вести журнал, если она обрабатывает ПДн только в рамках публичных сервисов?
Да. Закон не делает различий между «частными» и «публичными» операторами – любой оператор персональных данных обязан фиксировать обращения субъектов.
8.2 Можно ли объединить журнал обращений с журналом регистрации обработки персональных данных?
Теоретически возможно, однако рекомендуется вести их раздельно, чтобы обеспечить лёгкую проверяемость и избежать смешения данных.
8.3 Как оформить электронную подпись в электронном журнале?
Для этого используют сертификаты Удостоверяющего Центра (КЭП) или встроенные механизмы электронного документооборота (например, «КриптоПро», «Документооборот 1С»).
8.4 Какие последствия при несоблюдении требований?
Возможны административные штрафы (до 6 млн руб. за нарушение требований к учёту и хранению ПДн), а также репутационные потери и судебные иски со стороны субъектов.
Журнал учёта обращений субъектов персональных данных – это не просто формальность, а ключевой элемент системы защиты персональных данных. Правильное оформление, своевременное заполнение и надёжное хранение журнала позволяют:
- Доказать соответствие требованиям ФЗ 152‑ФЗ;
- Снизить риски юридических и финансовых последствий;
- Повысить уровень доверия клиентов и партнёров;
- Оптимизировать внутренние бизнес‑процессы.
Следуя рекомендациям, изложенным в данной статье, и адаптируя форму журнала под специфические нужды вашей организации, вы обеспечите надёжную защиту прав субъектов и укрепите свою позицию в сфере информационной безопасности.
Дата публикации: