Права субъекта персональных данных: что клиент может потребовать от вашего сайта

152-ФЗ защищает не оператора, а человека, чьи данные обрабатываются. У него есть набор прав, и на каждое обращение оператор обязан отреагировать в срок. Игнорирование запроса — прямой путь к жалобе в Роскомнадзор.

Какие права есть у человека

• Право на доступ — узнать, обрабатываете ли вы его данные, какие именно, с какой целью и кому передаёте.
• Право на уточнение — потребовать исправить неточные или неполные данные.
• Право на удаление — потребовать удалить данные, если они обрабатываются незаконно или цель уже достигнута.
• Право на отзыв согласия — в любой момент, без объяснения причин.
• Право на возражение против рассылок — отписаться от рекламы.

Что происходит при отзыве согласия

Отзыв согласия — самое частое обращение. Получив его, оператор обязан прекратить обработку и удалить данные, если для их обработки нет другого основания. Здесь важна связь с темой оснований обработки: если данные держатся на договоре или законе, отзыв согласия обработку не останавливает, но рассылку прекратить придётся.

Сроки реакции

Закон отводит на ответ по обращению ограниченное время (как правило, до 10 рабочих дней, с возможностью продления). Пропуск срока — самостоятельное нарушение. Поэтому нужен понятный канал приёма таких запросов.

Как подготовить сайт к запросам

• укажите в политике адрес для обращений по вопросам ПД;
• заведите регламент: кто принимает запрос, как проверяет личность заявителя, кто исполняет;
• в каждой рассылке дайте рабочую ссылку «отписаться»;
• храните данные так, чтобы их реально можно было найти и удалить по конкретному человеку.

Почему это важно

Одно проигнорированное обращение — и человек пишет жалобу регулятору. Как это происходит и чем грозит, разобрано в статьях кластера про проверки Роскомнадзора. А общий список обязанностей оператора — в «Требованиях 152-ФЗ к сайту».

Чтобы убедиться, что данные на сайте вообще под контролем и не утекают, начните с автоматической проверки.