Автор: Артем Курнев. Материал актуален на 4 августа 2026 года.
Любой гражданин вправе узнать, обрабатывает ли организация его персональные данные, какие именно сведения хранятся, откуда они получены, для каких целей используются, кому передаются, сколько хранятся и какие меры оператор применяет для соблюдения требований 152-ФЗ.
Для оператора такой запрос — не обычное письмо клиента, которое можно рассматривать по внутреннему стандарту 30 дней. Основной срок по статьям 14 и 20 Федерального закона № 152-ФЗ составляет 10 рабочих дней. Продлить его можно не более чем на 5 рабочих дней и только при направлении субъекту мотивированного уведомления с указанием причин продления.
Часть 3 статьи 14 устанавливает достаточно формальные требования. Запрос должен позволять оператору надежно установить, что обращается именно тот субъект, чьи данные запрашиваются, и связать его с конкретными отношениями с оператором.
Электронный запрос закон допускает, но он должен быть подписан электронной подписью в соответствии с законодательством РФ. Обычное письмо с неизвестного e-mail без идентифицирующих данных не всегда соответствует формальному запросу по части 3 статьи 14.
Закон требует реквизиты основного документа для идентификации запроса, но это не означает, что оператор должен автоматически требовать скан всех страниц паспорта. С учетом принципа минимизации безопаснее запрашивать только тот объем сведений, который необходим для проверки личности и выполнения требований статьи 14.
Ответ не должен ограничиваться фразой «Ваши данные обрабатываются на основании согласия». Часть 7 статьи 14 перечисляет конкретный объем информации.
Ответ нужно составлять в доступной форме. Нельзя вместе с данными заявителя случайно раскрыть персональные данные других клиентов, работников или контрагентов, если для этого нет самостоятельного законного основания.
Срок начинает течь с момента обращения либо получения оператором запроса. Закон использует рабочие дни. Если организация понимает, что за 10 рабочих дней собрать информацию невозможно, срок можно продлить максимум еще на 5 рабочих дней.
Продление не происходит автоматически. До истечения основного срока субъекту нужно направить мотивированное уведомление и указать причины, по которым требуется дополнительное время.
По части 3 статьи 14 оператор предоставляет сведения в той форме, в которой были направлены обращение или запрос, если сам субъект не указал иной вариант.
Это означает, что электронный запрос обычно предполагает электронный ответ, а бумажное обращение — письменный. Важно сохранить доказательство даты получения запроса и даты направления ответа: журнал регистрации, карточку обращения, почтовую квитанцию, электронный лог, подтверждение доставки.
Если в запросе отсутствуют обязательные сведения из части 3 статьи 14, оператору не следует раскрывать персональные данные неизвестному лицу. Рационально оперативно сообщить заявителю, каких сведений не хватает для идентификации и рассмотрения запроса, и предложить дополнить обращение.
В 2026 году Московский городской суд рассматривал спор, где оператор ссылался на отсутствие в запросе номера основного документа, удостоверяющего личность. В деле № 7-4252/2026 суд анализировал именно обязательные реквизиты части 3 статьи 14, что подтверждает практическое значение формальной проверки запроса.
Да, но только при наличии законного основания. Статья 20 требует письменный мотивированный ответ со ссылкой на часть 8 статьи 14 или иной федеральный закон. Срок отказа тот же — не более 10 рабочих дней с возможностью продления максимум на 5 рабочих дней при мотивированном уведомлении.
Часть 8 статьи 14 допускает ограничение доступа, например, если обработка связана с обороной и безопасностью государства, уголовным преследованием, противодействием легализации доходов, транспортной безопасностью либо если предоставление доступа нарушит права и законные интересы третьих лиц.
Для обычного интернет-магазина, работодателя, клиники или сервиса наиболее практическим основанием является защита прав третьих лиц. Но это не повод отказать полностью: если возможно, ответ следует подготовить так, чтобы исключить чужие данные и раскрыть информацию самого заявителя.
Если субъект уже получил сведения и ознакомился со своими данными, повторный запрос по общему правилу можно направить не ранее чем через 30 дней после первого обращения.
До истечения 30 дней повторный запрос возможен, если первоначальный ответ был неполным. Тогда субъект должен обосновать, почему обращается повторно. Оператор вправе отказать в необоснованном повторном запросе, но обязан мотивировать отказ, а доказать его обоснованность должен сам оператор.
Если субъект предоставляет сведения, подтверждающие, что персональные данные неполные, неточные или неактуальные, оператор должен внести необходимые изменения в течение 7 рабочих дней.
На период проверки неточные данные подлежат блокированию, если такое блокирование не нарушит права и законные интересы субъекта или третьих лиц. После корректировки оператор снимает блокирование и уведомляет заявителя о внесенных изменениях.
Кроме того, оператор должен принять разумные меры для уведомления третьих лиц, которым эти персональные данные были переданы.
Если субъект подтверждает, что персональные данные были получены незаконно или больше не нужны для заявленной цели обработки, статья 20 требует уничтожить их не позднее 7 рабочих дней со дня предоставления подтверждающих сведений.
Если в ходе проверки оператор сам выявил неправомерную обработку, действуют статьи 21: неправомерную обработку нужно прекратить максимум за 3 рабочих дня с момента выявления, а если сделать обработку правомерной невозможно — уничтожить данные не позднее 10 рабочих дней с даты выявления нарушения.
Субъект может просто отозвать ранее выданное согласие. Однако отзыв согласия не означает автоматическое удаление любых сведений: оператор вправе продолжить обработку, если у него есть самостоятельное основание, предусмотренное законом. Для сопоставления формулировок можно посмотреть отдельную страницу согласия на обработку персональных данных.
Например, организация может быть обязана продолжать хранить часть документов по налоговому, бухгалтерскому, трудовому или архивному законодательству. В таком случае в ответе нужно объяснить, какие данные прекращают обрабатываться на основании согласия, какие сохраняются и на каком конкретном правовом основании.
Для отдельного требования о прекращении обработки часть 5.1 статьи 21 устанавливает срок 10 рабочих дней с возможностью продления максимум на 5 рабочих дней. Если самостоятельного основания продолжать обработку нет, ее нужно прекратить.
При обычном отзыве согласия статья 21 предусматривает прекращение обработки и, если сохранение данных больше не нужно, уничтожение в срок не более 30 дней с даты поступления отзыва.
Для обработки персональных данных в целях прямого продвижения товаров, работ и услуг действует специальная статья 15 Закона № 152-ФЗ. Такая обработка допускается только при предварительном согласии субъекта.
Если человек потребовал прекратить использование его данных для прямого маркетинга, оператор обязан прекратить такую обработку немедленно. Не следует применять к отписке от рекламы общий срок 10 рабочих дней.
Ответственность перед субъектом несет оператор, даже если CRM, колл-центр, бухгалтерский аутсорсер, облачный сервис или другой подрядчик обрабатывает данные по поручению.
Поэтому в договоре поручения должны быть предусмотрены сроки и процедура, позволяющие оператору быстро получить от подрядчика нужную информацию, заблокировать, уточнить или уничтожить данные и подтвердить выполнение запроса.
Если оператор в течение десяти рабочих дней отвечает «данные находятся у CRM-провайдера, ждите», это не переносит законный срок на подрядчика.
Для обычного запроса на доступ ответ удобно строить по структуре части 7 статьи 14. Это снижает риск пропустить обязательный блок.
Представитель может обращаться от имени субъекта, но оператор обязан проверить полномочия. В зависимости от ситуации это может быть доверенность, документ законного представителя или иной документ, подтверждающий право действовать от имени субъекта.
Сам запрос должен содержать реквизиты документа, удостоверяющего личность представителя, и остальные сведения, предусмотренные частью 3 статьи 14.
Закон не запрещает использовать защищенный личный кабинет как канал взаимодействия, если оператор способен надежно идентифицировать субъекта и предоставить информацию в доступной форме.
Но если запрос поступил иным способом, нужно учитывать правило части 3 статьи 14: сведения предоставляются в той же форме, если субъект не указал другой вариант. Поэтому перевод любого заявителя в личный кабинет без его согласия может быть спорным.
Часть 4 статьи 13.11 КоАП РФ устанавливает ответственность за невыполнение обязанности предоставить субъекту информацию об обработке его персональных данных. Для юридического лица штраф составляет от 40 000 до 80 000 рублей.
Часть 5 статьи 13.11 КоАП РФ предусматривает отдельную ответственность за невыполнение в установленные сроки требования об уточнении, блокировании или уничтожении данных: для юридического лица — от 50 000 до 90 000 рублей.
Кроме административной ответственности субъект вправе обратиться в Роскомнадзор или суд, а также требовать возмещения убытков и компенсации морального вреда. Если обращение уже перешло в жалобу или проверку, см. сопровождение взаимодействия с Роскомнадзором.
Показателен пример Московского городского суда от 17 июня 2026 года по делу № 7-4252/2026. Спор возник после обращения гражданина и последующего запроса Управления Роскомнадзора к организации о результатах рассмотрения этого обращения.
Оператор ссылался на то, что в первоначальном запросе гражданина отсутствовал обязательный реквизит — номер основного документа, удостоверяющего личность. Суд подробно воспроизвел требования части 3 статьи 14 к содержанию запроса. Практический вывод: формальная идентификация заявителя имеет значение, но оператору безопаснее не молчать, а зафиксировать недостатки обращения и предложить их устранить.
Для запроса субъекта по статье 14 — нет. Специальный срок 152-ФЗ составляет 10 рабочих дней. Его можно продлить максимум на 5 рабочих дней только с мотивированным уведомлением.
Нет. Субъект имеет право на сведения о своей обработке в объеме части 7 статьи 14 и на ознакомление со своими персональными данными. Это не означает автоматического права получить внутренние инструкции, коммерческую тайну, исходный код или документы, содержащие персональные данные других лиц.
Нужно разделить данные по целям и правовым основаниям. То, что хранится только на основании согласия и больше не нужно, может подлежать удалению. Данные, которые оператор обязан сохранять по закону или вправе обрабатывать без согласия, могут остаться до истечения соответствующего срока.
В отдельных ситуациях дополнительная идентификация оправдана, но требовать полную копию паспорта во всех случаях рискованно с точки зрения минимизации. Сначала следует использовать реквизиты, которые прямо указаны в части 3 статьи 14, и только при необходимости применять дополнительные меры.
Нужно оценивать содержание и возможность надежно идентифицировать заявителя. Формальный запрос на доступ по части 3 статьи 14 содержит обязательные реквизиты и подпись; электронный документ подписывается электронной подписью. При этом игнорировать сообщение с очевидным требованием по персональным данным неразумно — безопаснее сообщить официальный канал и перечень сведений, необходимых для рассмотрения.
Да, если поступил надлежащий запрос, разумно сообщить, что по результатам проверки персональные данные соответствующего субъекта у оператора не обнаружены или не обрабатываются. Молчание не подтверждает выполнение обязанности по статье 20.
Запрос субъекта персональных данных — это процесс со специальными сроками, а не обычная клиентская переписка. Базовый срок ответа на запрос о доступе — 10 рабочих дней, исправление подтвержденных неточных данных — 7 рабочих дней, прекращение выявленной неправомерной обработки — 3 рабочих дня, а отказ от прямого маркетинга должен исполняться немедленно.
Для бизнеса ключевая задача — заранее выстроить маршрут запроса от входящей почты до CRM, IT, бухгалтерии, HR и подрядчиков. Тогда оператор может не только вовремя направить письмо, но и реально выполнить требование субъекта: исправить, заблокировать, удалить или прекратить обработку там, где это предусмотрено законом.
По теме: персональные данные — основной раздел · сопровождение по 152-ФЗ · юрист по Роскомнадзору · юридические услуги для бизнеса.
Артем Курнев, юрист. Анализ запроса субъекта, подготовка ответа и аудит процесса обработки персональных данных возможны дистанционно.