Права субъекта персональных данных: полный список и как ими воспользоваться
Субъект персональных данных — это человек, чьи данные обрабатывают. По 152-ФЗ у него есть набор прав: узнать, какие данные о нём есть и зачем их собрали, потребовать их уточнить, заблокировать или удалить, отозвать согласие, возразить против рекламной рассылки и пожаловаться на оператора. Все эти права бесплатны и реализуются по запросу к оператору, а при отказе — через Роскомнадзор или суд. Ниже — полный список прав со ссылками на нормы и пошаговый механизм, как ими воспользоваться.
Содержание
Какие права есть у субъекта — полный список
152-ФЗ закрепляет за субъектом несколько самостоятельных прав. Вот основные:
Право на доступ и информациюУзнать, обрабатывает ли оператор ваши данные, какие именно, с какой целью, откуда получены, кому передаются и как долго хранятся. ст. 14 152-ФЗ
Право на уточнение (исправление)Потребовать исправить данные, если они неполные, неточные или устаревшие. ст. 14, 21 152-ФЗ
Право на блокирование и удалениеПотребовать заблокировать или уничтожить данные, если они неполные, неточные, незаконно получены или больше не нужны для заявленной цели. ст. 21 152-ФЗ
Право отозвать согласиеВ любой момент отозвать ранее данное согласие на обработку. Как это сделать правильно и по каким каналам — в разборе отзыва согласия на обработку ПДн. ч. 2 ст. 9 152-ФЗ
Право возразить против рекламной обработкиЗапретить использовать свои данные для продвижения товаров и услуг (рассылки, звонки); оператор обязан прекратить по первому требованию. ст. 15 152-ФЗ
Право на обжалование и защитуОбжаловать действия или бездействие оператора — подать жалобу в Роскомнадзор или обратиться в суд, в том числе за возмещением убытков и морального вреда. ст. 17 152-ФЗ
Как воспользоваться правами: запрос оператору
Почти все права реализуются одинаково — через обращение (запрос) к оператору. Отдельное разрешение или суд для начала не нужны.
Реквизиты и адрес для обращений оператор указывает в политике обработки персональных данных на сайте. Если данные собирает конкретная компания или банк — пишите им.
Укажите свои ФИО, сведения, подтверждающие ваше участие в отношениях с оператором (например, номер договора), и само требование — предоставить информацию, исправить, удалить, прекратить рассылку или учесть отзыв согласия. Запрос можно направить письменно или в электронной форме с подписью.
Оператор обязан ответить на запрос о доступе в течение 10 рабочих дней (срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах). По требованию об уточнении, блокировании или уничтожении — устранить нарушение в сроки, установленные ст. 21.
Подайте жалобу в Роскомнадзор (через сайт ведомства) или обратитесь в суд. К жалобе приложите копию запроса и ответа (или подтверждение, что ответа не было).
Проверьте, уважает ли сайт права посетителей
Сканер ScanBase покажет, есть ли на сайте политика, указаны ли контакты оператора для обращений и предусмотрен ли механизм реализации прав субъекта — то, без чего воспользоваться своими правами невозможно. Меньше минуты, бесплатно.
20%
сайтов не дают субъекту понятного механизма реализации его прав — нет контактов для обращений или формы запроса. То есть каждый пятый сайт формально обязан соблюдать права, но воспользоваться ими на практике негде.
Данные ScanBase, проверка subject_rights, выборка 365 сайтовКто защищает права субъекта
Уполномоченный орган по защите прав субъектов персональных данных — Роскомнадзор. Именно в него подают жалобы на операторов; по итогам проверки РКН может выдать предписание, составить протокол и передать дело для привлечения к ответственности. Существует и отдельный Реестр нарушителей прав субъектов персональных данных (ст. 15.5 149-ФЗ «Об информации…»), который ведёт Роскомнадзор, — но в него включают по вступившему в силу решению суда, это механизм ограничения доступа к незаконно обрабатываемой информации, а не список, который ведомство пополняет само.
Помимо Роскомнадзора, субъект вправе обратиться в суд — в том числе требовать возмещения убытков и компенсации морального вреда, а по фактам незаконного сбора или распространения данных — подать заявление в прокуратуру. Эти пути можно использовать параллельно.
Право на забвение — это отдельная история
«Право на забвение» часто путают с удалением данных у оператора, но это другое право и другой закон. Оно касается удаления ссылок из поисковой выдачи (Яндекс, Google): по заявлению гражданина поисковик обязан прекратить выдавать ссылки на недостоверную, неактуальную или распространяемую с нарушением закона информацию о нём. Регулируется это не 152-ФЗ, а ст. 10.3 закона «Об информации» (149-ФЗ); заявление подаётся через специальную форму самого поисковика. Удаление ссылки из поиска не стирает сами данные у оператора — для этого используется право на удаление (ст. 21 152-ФЗ) выше.
Мифы о правах субъекта
«Отозвал согласие — обязаны немедленно стереть все мои данные»
Не всегда. Если у оператора есть другое законное основание хранить данные (исполнение договора, требования закона о сроках хранения, защита в суде), он вправе продолжить обработку в этой части даже после отзыва согласия. Полностью удаляется то, что держалось только на согласии.
«Чтобы защитить свои права, сразу нужен юрист и суд»
Большинство прав реализуются простым запросом к оператору, бесплатно и без суда. Жалоба в Роскомнадзор тоже подаётся самостоятельно через сайт. Суд — это крайняя мера, если досудебные пути не сработали.
«Удаление ссылки из Яндекса удаляет мои данные везде»
Нет. Право на забвение убирает ссылку из поисковой выдачи, но сам сайт-источник и база оператора остаются. Чтобы удалить данные у оператора, нужно отдельное требование по ст. 21 152-ФЗ.
«Оператор может игнорировать мой запрос»
Нет. На запрос о доступе установлен срок ответа (10 рабочих дней), а молчание или необоснованный отказ — основание для жалобы в Роскомнадзор и для штрафа оператору.
По теме
Частые вопросы
Право на доступ и информацию о своих данных (ст. 14), на их уточнение, блокирование и удаление (ст. 21), на отзыв согласия (ч. 2 ст. 9), на возражение против рекламной обработки (ст. 15) и на обжалование действий оператора в Роскомнадзоре или суде (ст. 17).
Направьте оператору запрос о доступе (ст. 14): укажите ФИО, сведения о ваших отношениях с оператором (например, номер договора) и требование предоставить информацию. Оператор обязан ответить в течение 10 рабочих дней.
Подайте оператору письменное требование об уничтожении данных по ст. 21 — если они неполные, неточные, незаконно получены или больше не нужны для цели. Если данные держались на согласии, его можно отозвать. При отказе — жалоба в Роскомнадзор.
В Роскомнадзор — это уполномоченный орган по защите прав субъектов ПДн; жалоба подаётся через сайт ведомства. Параллельно можно обратиться в суд (в том числе за компенсацией морального вреда) и в прокуратуру.
Право на забвение (ст. 10.3 149-ФЗ) — это удаление ссылок на информацию о вас из поисковой выдачи Яндекса или Google по заявлению через форму поисковика. Оно не стирает данные у самого оператора — для этого используется право на удаление по ст. 21 152-ФЗ.
Ничего. Запрос оператору, отзыв согласия и жалоба в Роскомнадзор бесплатны. Платными могут быть только услуги юриста, если вы решите довести спор до суда.