«Куда бежать»: как оператору ПДн реагировать на запросы

07/05/24

«Куда бежать»: как оператору ПДн реагировать на запросы

Екатерина Солодовникова, автор Б-152, независимый прайваси эксперт

Все запросы, которые поступают оператору персональных данных (ПДн), можно разделить на две категории, в каждой из которых свои сроки реагирования:

Рассмотрим все варианты.

В контексте Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (152-ФЗ) я бы делила запросы субъектов на 2 категории:

Запрос о предоставлении информации исходит из права субъекта на доступ к его ПДн.

1.1. Запросы о предоставлении информации

Человек может запросить, какие его ПДн обрабатывает оператор и на каких условиях: какой срок и цель обработки, кому ПДн передаются/поручаются на обработку, осуществляется ли их трансграничная передача, как оператор обеспечивает конфиденциальность и безопасность ПДн.

Полный объем сведений, которые обязан предоставить оператор, установлен ст. 14 152-ФЗ.

Возможно продлить до 15-ти, если уведомить лицо о причинах увеличения срока.

1.2. Запросы-требования

Если в рамках рассмотрения запроса оператором установлен факт неправомерной обработки данных – в течение 10 рабочих дней следует уничтожить ПДн и уведомить субъекта. В иных случаях обязанность предоставить ответ не установлена.

В 152-ФЗ не установлена обязанность отвечать на подобные запросы. Но если вы решили, то лучше в срок, установленный для их рассмотрения оператором (ст. 21 152-ФЗ). Иначе как докажете, что прекратили обработку?

Роскомнадзор может запрашивать у оператора информацию для осуществления своей деятельности как регулятора.

Такой запрос вы получите, если не подали уведомление оператору по ст. 22 152-ФЗ. В качестве ответа можете предоставить доказательства о праве осуществлять обработку ПДн без уведомления или все-таки заполнить его, например, на сайте Роскомнадзора, сообщив об этом в ответном письме на запрос.

2.1. О предоставлении сведений о наличии права осуществлять обработку ПДн

Рассмотрим наиболее часто встречающиеся запросы и возможные причины их получения.

Подобный запрос можно получить, например, в связи с жалобой субъекта ПДн регулятору или самостоятельным выявлением Роскомнадзором возможного нарушения требований 152-ФЗ.

2.2. О предоставлении информации по факту обработки ПДн или документов, подтверждающих соблюдение 152-ФЗ

Указанную информацию Роскомнадзор может запросить, чтобы убедиться, что данные передаются лицам, которые могут обеспечить ее безопасность и конфиденциальность.

2.3. О предоставлении сведений, предусмотренных п. 1-3 ч. 5 ст. 152-ФЗ, при осуществлении трансграничной передачи ПДн

Срок ответа регулятору на любые запросы, по общему правилу, – до 10 рабочих дней. Может быть продлен до 15-ти, если уведомить о причинах увеличения срока (ч. 4 ст. 20 152-ФЗ).

Но есть исключения – запрос в связи с утечкой ПДн. На него необходимо ответить в течение 1 дня, если вами еще не подано первичное уведомление, или в течение 3 дней, если Роскомнадзор уточняет сведения из первичного уведомления.

В заключение отмечу, что не стоит бояться запросов Роскомнадзора или субъектов и паниковать: они далеко не всегда означают внеплановую проверку. Предоставление мотивированного ответа в срок, который предусмотрен законом, значительно сокращает количество вопросов от регулятора.

Мы помогаем правильно и с минимальными временными затратами со стороны работников Заказчика подготовить ответ на запрос

Необходимо подготовить ответ на запрос Роскомнадзора или субъекта ПДн?

Ввод оборотных штрафов за утечки откладывается минимум до 1 июля 2023 года

Подписывайтесь на наш Telegram-канал, чтобы быть в курсе последних новостей и событий!

реклама

бизнес

юридические вопросы

маркетинг

Материалы по теме