Запрос субъекта персональных данных: как и когда отвечать

Автор: Артем Курнев. Материал актуален на 4 августа 2026 года.

• Какие виды обращений нужно различать
• Что должен содержать запрос на получение информации
• Что именно организация обязана сообщить субъекту
• Срок ответа: 10 рабочих дней, а не 30 календарных
• В какой форме нужно отвечать
• Что делать, если запрос неполный или нельзя идентифицировать заявителя
• Можно ли отказать в предоставлении информации
• Повторный запрос: когда можно не отвечать заново
• Запрос на исправление неточных или устаревших данных
• Требование уничтожить данные
• Отзыв согласия и требование прекратить обработку — не одно и то же
• Отказ от рекламных рассылок: прекращать нужно немедленно
• Как отвечать, если данные находятся у подрядчика
• Внутренний алгоритм обработки запроса
• Что должно быть в хорошем ответе оператору
• Что делать с запросом от представителя
• Можно ли отвечать через личный кабинет
• Ответственность за игнорирование запроса
• Судебная практика 2026 года
• Чек-лист для организации
• Частые вопросы
• Вывод

Часть 3 статьи 14 устанавливает достаточно формальные требования. Запрос должен позволять оператору надежно установить, что обращается именно тот субъект, чьи данные запрашиваются, и связать его с конкретными отношениями с оператором.

• номер основного документа, удостоверяющего личность субъекта или его представителя;
• сведения о дате выдачи документа и органе, который его выдал;
• сведения, подтверждающие отношения с оператором: номер и дата договора, номер заказа, аккаунта, обращения либо иные данные;
• либо иные сведения, подтверждающие сам факт обработки персональных данных оператором;
• подпись субъекта персональных данных или его представителя.

Электронный запрос закон допускает, но он должен быть подписан электронной подписью в соответствии с законодательством РФ. Обычное письмо с неизвестного e-mail без идентифицирующих данных не всегда соответствует формальному запросу по части 3 статьи 14.

Закон требует реквизиты основного документа для идентификации запроса, но это не означает, что оператор должен автоматически требовать скан всех страниц паспорта. С учетом принципа минимизации безопаснее запрашивать только тот объем сведений, который необходим для проверки личности и выполнения требований статьи 14.

Ответ не должен ограничиваться фразой «Ваши данные обрабатываются на основании согласия». Часть 7 статьи 14 перечисляет конкретный объем информации.

• подтверждение факта обработки персональных данных;
• правовые основания и цели обработки;
• цели и применяемые способы обработки;
• наименование и место нахождения оператора;
• сведения о третьих лицах, которые имеют доступ к данным или которым они могут раскрываться на основании договора или закона;
• конкретные персональные данные этого субъекта и источник их получения;
• сроки обработки, включая сроки хранения;
• порядок реализации субъектом своих прав;
• информацию об уже осуществленной или предполагаемой трансграничной передаче;
• данные лица, которое обрабатывает сведения по поручению оператора, если такое поручение есть;
• информацию о способах исполнения оператором обязанностей по статье 18.1;
• иные сведения, которые прямо предусмотрены законом.

Ответ нужно составлять в доступной форме. Нельзя вместе с данными заявителя случайно раскрыть персональные данные других клиентов, работников или контрагентов, если для этого нет самостоятельного законного основания.

Срок начинает течь с момента обращения либо получения оператором запроса. Закон использует рабочие дни. Если организация понимает, что за 10 рабочих дней собрать информацию невозможно, срок можно продлить максимум еще на 5 рабочих дней.

Продление не происходит автоматически. До истечения основного срока субъекту нужно направить мотивированное уведомление и указать причины, по которым требуется дополнительное время.

По части 3 статьи 14 оператор предоставляет сведения в той форме, в которой были направлены обращение или запрос, если сам субъект не указал иной вариант.

Это означает, что электронный запрос обычно предполагает электронный ответ, а бумажное обращение — письменный. Важно сохранить доказательство даты получения запроса и даты направления ответа: журнал регистрации, карточку обращения, почтовую квитанцию, электронный лог, подтверждение доставки.

Если в запросе отсутствуют обязательные сведения из части 3 статьи 14, оператору не следует раскрывать персональные данные неизвестному лицу. Рационально оперативно сообщить заявителю, каких сведений не хватает для идентификации и рассмотрения запроса, и предложить дополнить обращение.

В 2026 году Московский городской суд рассматривал спор, где оператор ссылался на отсутствие в запросе номера основного документа, удостоверяющего личность. В деле № 7-4252/2026 суд анализировал именно обязательные реквизиты части 3 статьи 14, что подтверждает практическое значение формальной проверки запроса.

Да, но только при наличии законного основания. Статья 20 требует письменный мотивированный ответ со ссылкой на часть 8 статьи 14 или иной федеральный закон. Срок отказа тот же — не более 10 рабочих дней с возможностью продления максимум на 5 рабочих дней при мотивированном уведомлении.

Часть 8 статьи 14 допускает ограничение доступа, например, если обработка связана с обороной и безопасностью государства, уголовным преследованием, противодействием легализации доходов, транспортной безопасностью либо если предоставление доступа нарушит права и законные интересы третьих лиц.

Для обычного интернет-магазина, работодателя, клиники или сервиса наиболее практическим основанием является защита прав третьих лиц. Но это не повод отказать полностью: если возможно, ответ следует подготовить так, чтобы исключить чужие данные и раскрыть информацию самого заявителя.

Если субъект уже получил сведения и ознакомился со своими данными, повторный запрос по общему правилу можно направить не ранее чем через 30 дней после первого обращения.

До истечения 30 дней повторный запрос возможен, если первоначальный ответ был неполным. Тогда субъект должен обосновать, почему обращается повторно. Оператор вправе отказать в необоснованном повторном запросе, но обязан мотивировать отказ, а доказать его обоснованность должен сам оператор.

Если субъект предоставляет сведения, подтверждающие, что персональные данные неполные, неточные или неактуальные, оператор должен внести необходимые изменения в течение 7 рабочих дней.

На период проверки неточные данные подлежат блокированию, если такое блокирование не нарушит права и законные интересы субъекта или третьих лиц. После корректировки оператор снимает блокирование и уведомляет заявителя о внесенных изменениях.

Кроме того, оператор должен принять разумные меры для уведомления третьих лиц, которым эти персональные данные были переданы.

Если субъект подтверждает, что персональные данные были получены незаконно или больше не нужны для заявленной цели обработки, статья 20 требует уничтожить их не позднее 7 рабочих дней со дня предоставления подтверждающих сведений.

Если в ходе проверки оператор сам выявил неправомерную обработку, действуют статьи 21: неправомерную обработку нужно прекратить максимум за 3 рабочих дня с момента выявления, а если сделать обработку правомерной невозможно — уничтожить данные не позднее 10 рабочих дней с даты выявления нарушения.

Субъект может просто отозвать ранее выданное согласие. Однако отзыв согласия не означает автоматическое удаление любых сведений: оператор вправе продолжить обработку, если у него есть самостоятельное основание, предусмотренное законом. Для сопоставления формулировок можно посмотреть отдельную страницу согласия на обработку персональных данных.

Например, организация может быть обязана продолжать хранить часть документов по налоговому, бухгалтерскому, трудовому или архивному законодательству. В таком случае в ответе нужно объяснить, какие данные прекращают обрабатываться на основании согласия, какие сохраняются и на каком конкретном правовом основании.

Для отдельного требования о прекращении обработки часть 5.1 статьи 21 устанавливает срок 10 рабочих дней с возможностью продления максимум на 5 рабочих дней. Если самостоятельного основания продолжать обработку нет, ее нужно прекратить.

При обычном отзыве согласия статья 21 предусматривает прекращение обработки и, если сохранение данных больше не нужно, уничтожение в срок не более 30 дней с даты поступления отзыва.

Для обработки персональных данных в целях прямого продвижения товаров, работ и услуг действует специальная статья 15 Закона № 152-ФЗ. Такая обработка допускается только при предварительном согласии субъекта.

Если человек потребовал прекратить использование его данных для прямого маркетинга, оператор обязан прекратить такую обработку немедленно. Не следует применять к отписке от рекламы общий срок 10 рабочих дней.

Ответственность перед субъектом несет оператор, даже если CRM, колл-центр, бухгалтерский аутсорсер, облачный сервис или другой подрядчик обрабатывает данные по поручению.

Поэтому в договоре поручения должны быть предусмотрены сроки и процедура, позволяющие оператору быстро получить от подрядчика нужную информацию, заблокировать, уточнить или уничтожить данные и подтвердить выполнение запроса.

Если оператор в течение десяти рабочих дней отвечает «данные находятся у CRM-провайдера, ждите», это не переносит законный срок на подрядчика.

1. Зарегистрировать обращение в день получения и зафиксировать канал, дату и время.
2. Определить, является ли письмо запросом на доступ, исправление, уничтожение, прекращение обработки, отзывом согласия или отказом от рекламы.
3. Проверить личность заявителя и полномочия представителя; не раскрывать данные без достаточной идентификации.
4. Определить все системы, где могут находиться данные: CRM, сайт, бухгалтерия, HR, helpdesk, рассылка, облако, архив, подрядчики.
5. Сопоставить каждую цель обработки с правовым основанием и сроком хранения. Если компания выстраивает этот процесс с нуля, полезно одновременно провести юридический аудит обработки данных в бизнесе.
6. Проверить, не затрагивает ли ответ данные и законные интересы третьих лиц.
7. При подозрении на неточность или незаконность при необходимости заблокировать данные на период проверки.
8. Собрать информацию из всех подразделений и от обработчиков по поручению.
9. Подготовить ответ в той форме, в которой поступил запрос, если субъект не попросил иначе.
10. Если 10 рабочих дней недостаточно, до истечения срока направить мотивированное уведомление о продлении максимум на 5 рабочих дней.
11. Направить ответ и сохранить доказательство отправки.
12. Отдельно выполнить действия по уточнению, уничтожению или прекращению обработки в установленные для них сроки.
13. Зафиксировать выполнение запроса в журнале и при необходимости уведомить третьих лиц, которым данные передавались.

Для обычного запроса на доступ ответ удобно строить по структуре части 7 статьи 14. Это снижает риск пропустить обязательный блок.

• реквизиты входящего запроса и данные заявителя;
• подтверждение или отсутствие факта обработки;
• перечень обрабатываемых персональных данных;
• источник получения;
• цели и правовые основания;
• способы обработки;
• сроки хранения;
• получатели и обработчики по поручению;
• сведения о трансграничной передаче, если она есть или планируется;
• меры по соблюдению статьи 18.1 в допустимом для раскрытия объеме;
• разъяснение прав субъекта;
• подпись уполномоченного лица и контакты для обратной связи.

Представитель может обращаться от имени субъекта, но оператор обязан проверить полномочия. В зависимости от ситуации это может быть доверенность, документ законного представителя или иной документ, подтверждающий право действовать от имени субъекта.

Сам запрос должен содержать реквизиты документа, удостоверяющего личность представителя, и остальные сведения, предусмотренные частью 3 статьи 14.

Закон не запрещает использовать защищенный личный кабинет как канал взаимодействия, если оператор способен надежно идентифицировать субъекта и предоставить информацию в доступной форме.

Но если запрос поступил иным способом, нужно учитывать правило части 3 статьи 14: сведения предоставляются в той же форме, если субъект не указал другой вариант. Поэтому перевод любого заявителя в личный кабинет без его согласия может быть спорным.

Часть 4 статьи 13.11 КоАП РФ устанавливает ответственность за невыполнение обязанности предоставить субъекту информацию об обработке его персональных данных. Для юридического лица штраф составляет от 40 000 до 80 000 рублей.

Часть 5 статьи 13.11 КоАП РФ предусматривает отдельную ответственность за невыполнение в установленные сроки требования об уточнении, блокировании или уничтожении данных: для юридического лица — от 50 000 до 90 000 рублей.

Кроме административной ответственности субъект вправе обратиться в Роскомнадзор или суд, а также требовать возмещения убытков и компенсации морального вреда. Если обращение уже перешло в жалобу или проверку, см. сопровождение взаимодействия с Роскомнадзором.

Показателен пример Московского городского суда от 17 июня 2026 года по делу № 7-4252/2026. Спор возник после обращения гражданина и последующего запроса Управления Роскомнадзора к организации о результатах рассмотрения этого обращения.

Оператор ссылался на то, что в первоначальном запросе гражданина отсутствовал обязательный реквизит — номер основного документа, удостоверяющего личность. Суд подробно воспроизвел требования части 3 статьи 14 к содержанию запроса. Практический вывод: формальная идентификация заявителя имеет значение, но оператору безопаснее не молчать, а зафиксировать недостатки обращения и предложить их устранить.

• есть отдельный e-mail или понятный канал для запросов субъектов;
• в политике указан порядок направления обращений;
• ответственный знает срок 10 рабочих дней и возможность продления только на 5 рабочих дней;
• есть форма журнала регистрации запросов;
• есть чек-лист обязательных сведений по части 7 статьи 14;
• есть процедура идентификации заявителя без избыточного сбора копий документов;
• CRM, HR, бухгалтерия, сайт и подрядчики включены в поиск данных по запросу;
• договоры с обработчиками позволяют уложиться в сроки;
• есть шаблоны ответа, отказа и уведомления о продлении;
• есть отдельные процедуры на уточнение, уничтожение и прекращение обработки;
• маркетинговая отписка исполняется немедленно;
• доказательства отправки ответа сохраняются.

Для запроса субъекта по статье 14 — нет. Специальный срок 152-ФЗ составляет 10 рабочих дней. Его можно продлить максимум на 5 рабочих дней только с мотивированным уведомлением.

Нет. Субъект имеет право на сведения о своей обработке в объеме части 7 статьи 14 и на ознакомление со своими персональными данными. Это не означает автоматического права получить внутренние инструкции, коммерческую тайну, исходный код или документы, содержащие персональные данные других лиц.

Нужно разделить данные по целям и правовым основаниям. То, что хранится только на основании согласия и больше не нужно, может подлежать удалению. Данные, которые оператор обязан сохранять по закону или вправе обрабатывать без согласия, могут остаться до истечения соответствующего срока.

В отдельных ситуациях дополнительная идентификация оправдана, но требовать полную копию паспорта во всех случаях рискованно с точки зрения минимизации. Сначала следует использовать реквизиты, которые прямо указаны в части 3 статьи 14, и только при необходимости применять дополнительные меры.

Нужно оценивать содержание и возможность надежно идентифицировать заявителя. Формальный запрос на доступ по части 3 статьи 14 содержит обязательные реквизиты и подпись; электронный документ подписывается электронной подписью. При этом игнорировать сообщение с очевидным требованием по персональным данным неразумно — безопаснее сообщить официальный канал и перечень сведений, необходимых для рассмотрения.

Да, если поступил надлежащий запрос, разумно сообщить, что по результатам проверки персональные данные соответствующего субъекта у оператора не обнаружены или не обрабатываются. Молчание не подтверждает выполнение обязанности по статье 20.

Запрос субъекта персональных данных — это процесс со специальными сроками, а не обычная клиентская переписка. Базовый срок ответа на запрос о доступе — 10 рабочих дней, исправление подтвержденных неточных данных — 7 рабочих дней, прекращение выявленной неправомерной обработки — 3 рабочих дня, а отказ от прямого маркетинга должен исполняться немедленно.

Для бизнеса ключевая задача — заранее выстроить маршрут запроса от входящей почты до CRM, IT, бухгалтерии, HR и подрядчиков. Тогда оператор может не только вовремя направить письмо, но и реально выполнить требование субъекта: исправить, заблокировать, удалить или прекратить обработку там, где это предусмотрено законом.

По теме: персональные данные — основной раздел · сопровождение по 152-ФЗ · юрист по Роскомнадзору · юридические услуги для бизнеса.

• Федеральный закон № 152-ФЗ, статья 14 — право субъекта на доступ к персональным данным
• Федеральный закон № 152-ФЗ, статья 20 — обязанности оператора при обращении субъекта
• Федеральный закон № 152-ФЗ, статья 21 — уточнение, блокирование, уничтожение и прекращение обработки
• Федеральный закон № 152-ФЗ, статья 9 — согласие и его отзыв

Артем Курнев, юрист. Анализ запроса субъекта, подготовка ответа и аудит процесса обработки персональных данных возможны дистанционно.