Права субъектов и обращения

Информирование и доступ

по запросу (ст.14, 20) и до начала обработки ПД, полученных не от субъекта (ч.3 ст.18)

Уточнение, блокирование, уничтожение

неполных, неточных, устаревших, незаконно полученных или ненужных ПД (ч.1 ст.14, ст.21)

Прекращение обработки

отзыв согласия (ч.2 ст.9, ч.5 ст.21) и требование прекратить обработку (ч.5.1 ст.21), кроме оснований пп.2-11 ч.1 ст.6

Возражение

против рекламных звонков и рассылок (ч.2 ст.15) и решений только на основе автоматизированной обработки (ст.16)

Переносимость

в России не закреплена, работает лишь к оператору под GDPR (ст.20 GDPR)

Природа права

Три следствия для оператора

• 1
• основание обработки доказывает оператор, а субъект неправомерность не доказывает (ч.3 ст.9)

• 2
• факт, дату и содержание ответа тоже доказывает оператор: неподтвержденный ответ в споре равен неответу

• 3
• жалоба в Роскомнадзор и иск идут параллельно, и исполненное предписание не снимает риска компенсации (ст.17, ч.2 ст.24)

Пределы: права субъекта ограничивают три группы интересов: права третьих лиц, специальные режимы информации и публичный интерес. Предел подтверждают конкретной нормой и называют ее в мотивированном ответе

+

152-ФЗ

Права по российскому закону

доступ к сведениям об обработке и к своим данным, ст.14

уточнение, блокирование и уничтожение данных, ст.14

требование прекратить обработку, ч.5.1 ст.21

отказ от рекламных звонков, рассылок и политической агитации, ст.15

возражение против решений только на основе автоматизированной обработки, ст.16

обжалование действий оператора, ст.17

возмещение убытков и компенсация морального вреда, ч.2 ст.24

Конвенция 108+ и GDPR

Плюс к российскому набору

ограничение обработки

возражение против обработки в целом

информирование человека об утечке его данных

переносимость: копия данных в формате для другого сервиса

право быть забытым, в России только к поисковикам по ст.10.3 149-ФЗ

В России: закон обязывает уведомлять об утечке Роскомнадзор, а не людей, но добровольное уведомление пострадавших работает на Компанию в спорах

• Срок
• Что исполнить
• Норма
• Продление

• немедленно
• прекратить продвижение и политическую агитацию
• ч.2 ст.15
• нет

• с обращения
• блокировать спорные данные на период проверки
• ч.1 ст.21
• нет

• 3 раб. дн.
• прекратить неправомерную обработку и передачу по ст.10.1
• ч.3 ст.21, ч.14 ст.10.1
• нет

• 7 раб. дн.
• уточнить или уничтожить ПД от даты подтверждающих сведений
• ч.3 ст.20, ч.2 ст.21
• нет

• 10 раб. дн.
• сведения, отказ, прекращение по требованию, ответ органу
• ст.14, 20, ч.5.1 ст.21
• +5 раб. дн.

• 30 дней
• цель достигнута, согласие отозвано, возражение по ст.16
• чч.4, 5 ст.21, ч.4 ст.16
• нет

• 6 месяцев
• предел блокирования, если уничтожить в срок нельзя
• ч.6 ст.21
• нет

Как считать

отсчет со следующего дня после получения (ст.191 ГК), конец в нерабочий день переносится (ст.193 ГК). В ст.21 рабочие и календарные дни соседствуют, а согласие на распространение прекращается с поступления требования (ч.13 ст.10.1)

Продление

мотив раскрывают по существу и уведомляют до истечения срока: письмо на 11-й рабочий день лишь фиксирует просрочку. 30 дней продления из 59-ФЗ к частному оператору неприменимы

1

Есть решение

вывод о конкретном лице для действия: отказ, цена, условие доступа, категория риска

2

Последствия значимы

юридические последствия или иное затрагивание прав, включая одобрение на измененных условиях

3

Автоматизм исключителен

у человека нет всего материала и полномочия отклониться от подсказки системы

4

Вывод письменно

квалификацию фиксируют с обоснованием, проверку останавливают на первом "нет"

Если ст.16 применима, процесс ведут по одному из четырех маршрутов

маршрут А

Человек в контуре

доступ к материалу, полномочие отклониться и журнал решений

маршрут Б

Письменное согласие

обособленная форма и альтернатива, в кадрах недоступен (п.6 ст.86 ТК)

маршрут В

Федеральный закон

закон разрешает решение и сам задает меры защиты прав

маршрут Г

Отказ от автоматизма

решение целиком возвращают человеку

Контекст 2026: закон об ИИ 243-ФЗ от 26.07.2026 требований к автоматизированным решениям не вводит, а рекламная сегментация ст.16 не запускает

Забвение

Требование к поисковой системе

ст.10.3 149-ФЗ, вне 152-ФЗ: жалоба в Роскомнадзор по ПД предмета не создает (позиция 28.01.2022)

адресат - оператор поисковой системы, с 01.10.2024 без рекламного признака (158-ФЗ)

три основания: распространение с нарушением закона, недостоверность, неактуальность

10 рабочих дней, из выдачи убирают ссылки, а сам материал остается

не забываются неистекшие сроки преследования и непогашенная судимость

недостоверность доказывает заявитель, факт обращения не раскрывают

Данные умершего

Правомочия наследников

ч.7 ст.9 152-ФЗ: сведения остаются ПД, требования к обработке не смягчаются

согласие дают наследники призванной очереди, принявшие наследство (КС, 1176-О от 30.05.2024)

фактического принятия наследства достаточно, свидетельства не ждут

прижизненная воля субъекта сильнее воли наследников

изображение и частную жизнь защищают дети, супруг и родители (ст.152.1, 152.2 ГК)

наследник не владелец данных: его согласие сверяют с интересами умершего

1

Выписать требования

по просительной части

2

Назначить норму и срок

тип дней и продление по треку

3

Проверить адресата

при поручении - своя часть

4

Записать в журнал

исполнитель по каждому треку

• Как пишет заявитель
• Что это по закону
• Норма
• Реквизиты

• "зачем вам мои данные"
• запрос сведений
• ч.7 ст.14, ч.1 ст.20
• нужны

• "исправьте мой телефон"
• уточнение по подтверждающим сведениям
• ч.3 ст.20, ч.2 ст.21
• не нужны

• "удалите мои данные"
• уничтожение, отзыв или прекращение
• ч.3 ст.20, чч.5, 5.1 ст.21
• не нужны

• "перестаньте мне звонить"
• прекращение продвижения, немедленно
• ч.2 ст.15
• не нужны

• "уберите мое фото с сайта"
• прекращение передачи распространяемых ПД
• ч.12 ст.10.1
• свой перечень

• "почему отказал алгоритм"
• возражение против автоматизированного решения
• чч.3, 4 ст.16
• не нужны

Практика: реквизиты ч.3 ст.14 нужны только запросу сведений, а требования письма рассматривают независимо: АС Москвы отменил отказ надзора, переквалифицировавшего запрос (А40-208475/2025, первая инстанция)

• Каналы входящего
• почтовый адрес
• все публичные адреса почты
• адрес ответственного из реестра операторов

• личный кабинет
• формы на сайте
• чат и колл-центр
• фронт-офис
• способ отзыва из текста согласия

Регистрация в день поступления

дата и время, канал, полный текст и доказательство получения: срок течет с получения, а не с регистрации

Первая линия

"удалите мои данные" в чате - требование со сроком, а не жалоба на сервис. Контакт сразу передают ответственному

Очистка до пересылки

лишние сканы и данные третьих лиц внутрь не пересылают, оригинал держат в папке с ограниченным доступом

Запрос пришел обработчику

молчать нельзя: подтвердить обработку по поручению, раскрыть свою часть и адресовать к оператору

Важно: ответ "только через личный кабинет" или "приходите с паспортом" уже отказ: АС Москвы признал требование явки нарушением ч.3 ст.14 (А40-208475/2025, первая инстанция). Дубль письма по двум каналам злоупотреблением не является, а способ отзыва в отдельном согласии с 01.09.2025 стал проверяемым каналом

Зеркальность

Проверяют связь с учетной записью

личный кабинет решил задачу входом, телефон - кодом из сообщения или контрольными вопросами

копия паспорта у клиента, известного по номеру телефона, - сбор без основания

ответ по одному совпадению ФИО - раскрытие ПД постороннему, то есть инцидент

добор сведений сверх перечня с последующим согласием Роскомнадзор отверг (28.01.2022)

опечатку в одном реквизите оценивают по всему пакету документов

Данных не хватает: два вопроса и четыре исхода

меры нужны, риск высокий

Запросить недостающее

запрос о данных клиента банка без реквизитов документа

меры не нужны, риск высокий

Мотивированно отказать

бумажный запрос к онлайн-сервису без связи с учетной записью

меры не нужны, риск низкий

Исполнить

отзыв согласия на рассылку от незарегистрированного пользователя

меры нужны, риск низкий

По обстоятельствам

исполнить либо принять меры, ответ дать в пределах срока

Правило: отказ по неидентификации называет недостающий реквизит и уходит в основной срок: запрос недостающего срок не приостанавливает, а молчание равно непредоставлению сведений

• Кто обращается
• Чем подтверждает
• Что проверить
• Чего не требовать

• Представитель по доверенности
• простая письменная доверенность, ее может представить и сам доверитель (Минцифры, 10.07.2019)
• полномочие именно на это действие: сведения, отзыв согласия и уничтожение - разные полномочия
• нотариальной формы и новых сведений о представляемом

• Законный представитель
• свидетельство о рождении, акт о назначении опекуна или попечителя
• соответствие статуса возрасту и дееспособности субъекта
• документов сверх подтверждающих статус

• Адвокат
• адвокатский запрос с реквизитами соглашения, ордера или доверенности (приказ Минюста № 288)
• режим запроса: свой срок и ответственность по ст.5.39 КоАП
• данных третьих лиц, не являющихся доверителями, без их согласия (позиция Роскомнадзора 22.09.2023)

• Наследник
• документы о принятии наследства, в том числе фактическом
• призванную очередь и линию требования: доступ или согласие на обработку
• завершенного наследственного дела и свидетельства

Граница: проверка полномочий не превращается в самостоятельный сбор данных: оператору нужен документ о полномочии, а не сведения сверх необходимого для ответа

Скелет ответа, ч.7 ст.14

По каждому пункту текст или "неприменимо"

• 1
• подтверждение факта обработки

• 2
• правовые основания и цели

• 3
• способы обработки

• 4
• лица с доступом и получатели, кроме работников

• 5
• какие ПД заявителя и их источник

• 6
• сроки обработки и хранения

• 7
• порядок реализации прав

• 8
• трансграничная передача

• 9
• обработчик: наименование и адрес

• 10
• меры по ст.18.1 и иные сведения по закону

Форма ответа - форма входящего

бумага на бумагу, электронный на электронный, указание заявителя обязательно (ч.3 ст.14). Требование явиться в офис образует состав ч.4 ст.13.11 КоАП

Отсылка к политике - не ответ

политика описывает обработку вообще, а заявитель спрашивает о себе. Техническая выгрузка из ИСПД доступной формой тоже не является

Полнота каждого письма

неполный ответ образует тот же состав, что молчание, и собрать полноту из нескольких писем нельзя

Быстрая отписка хуже

Второй кассационный суд признал моментом правонарушения дату неполного ответа, отправленного назавтра после запроса (№ 16-1734/2025, штраф 40 000 ₽ устоял)

Бесплатно и без "вы уже знаете"

ознакомление безвозмездно, а осведомленность заявителя из договора или кабинета основанием отказа не служит

vs

Работает

Основание названо законом

ч.8 ст.14: оборона, безопасность, оперативно-разыскная деятельность, противодействие легализации и иные случаи федерального закона

права третьих лиц: их данные маскируют, а документ выдают в части заявителя

повторный запрос о тех же сведениях раньше 30 дней без обоснования (чч.4-6 ст.14)

неподтвержденная личность с указанием недостающего реквизита

иное основание из пп.2-11 ч.1 ст.6 при требовании прекратить обработку

Не работает

Основание придумано оператором

чрезмерность запроса: фильтра, как в ст.12 GDPR, в законе нет

"сведения конфиденциальны и выдаются только по запросу суда"

коммерческая тайна без нормы и внутренние правила оператора

специальный статус, например финансового управляющего: обязанность ответить подтвердил 3 КСОЮ, хотя дело прекратил за давностью (16-2744/2025)

обезличивание вместо уничтожения или прекращения обработки

• Скелет отказа
• дата получения
• требование словами заявителя
• норма с пунктом
• почему норма применима

• что выдается при частичном отказе
• право обжаловать в Роскомнадзор или суд
• подпись

отправка в 10 рабочих дней

1

Заблокировать сразу

спорные данные с момента обращения, не дожидаясь документов, и не весь массив о человеке

2

Проверить основание

уточнение - при дефекте записи, уничтожение - если ПД незаконно получены или не нужны для цели

3

Исполнить в срок трека

при ином основании из пп.2-11 ч.1 ст.6 назвать норму и срок, до которого данные хранятся

4

Уведомить получателей

субъекту - о результате, третьим лицам с прежней версией - разумными мерами (чч.1-3 ст.21)

5

Подтвердить артефактом

акт об уничтожении по приказу № 179 прикладывают к ответу, выгрузку о блокировании хранят с ним

Требование Роскомнадзора

Исполняют наравне с требованием субъекта

санкция та же: ч.5 ст.13.11 КоАП - юрлицу 50-90 тыс. ₽, повторно по ч.5.1 - 300-500 тыс. ₽. Состав есть, только если данные обладают признаками диспозиции: апелляция отменила предупреждение ТСЖ, данные которого раскрыл сам заявитель (А56-105866/2025, 28.06.2026)

Данные из ГИС

Исправляют и у источника

если ошибка пришла из государственной системы, требование адресуют и ее оператору: такой маршрут Минцифры назвало для мессенджера MAX (31.08.2026)

17 из 75

вопросов листа

срабатывают от входящего субъекта

2 года

переписки

копии обращений и ответов истребуют за 2 года

3 года

акт и выгрузка

хранят подтверждения уничтожения (п.8 приказа № 179)

1 год

давность

по чч.4, 5 ст.13.11 КоАП с даты неполного ответа

Минимальные поля журнала

входящий номер, дата и время, канал

заявитель, статус, способ проверки личности

дословная просительная часть

норма и срок по каждому треку

продление с реквизитами уведомления

исполнитель и результат по треку

дата, способ и доказательство отправки

уведомление третьих лиц и повторность

Типовые провалы

конвейер замкнут на клиентский сервис без ответственного

заявителю и регулятору сообщают разные версии

ответ хранят без акта или выгрузки

ответ ушел почтой без доказательства

150 000 ₽

редкая высокая сумма

восемь сим-карт на паспорт абонента без его ведома (2-6115/2025)

5 000 ₽

из заявленных 100 000 ₽

одному истцу по массовой утечке, апелляция 01.08.2023

225 000 ₽

убытки с заявителя

за более чем 200 избирательных жалоб на одно издание (А19-1402/2024)

Обычная компенсация

реклама без согласия или нарушение права работника на информацию оцениваются порядка десяти тысяч ₽, имущественный вред почти не взыскивают

Коллективные иски

по сообщениям прессы, после утечки сервиса доставки 33 клиента заявили по 100 000 ₽: объединенное требование дает и сумму, и публичный сюжет

Для оператора: по делу о жалобах на рекламу суд счел злоупотреблением формальные, систематические и избирательные жалобы, механизм переносим на обращения в Роскомнадзор. Расходы на ответы подтверждают договорами и актами

• Что осталось
• Как решается
• Опора

• Аккаунт и переписка
• законом не урегулированы и спорны, на деле решают пользовательское соглашение и переданные логин и пароль
• договор с площадкой

• Контент и активы
• наследуются исключительные права на охраняемый контент и ЦФА, а сам аккаунт нотариат объектом ИС не считает
• пп.90, 91 ПП ВС № 9, 259-ФЗ, ФНП

• Медицинские документы
• супругу, близким родственникам по закрытому перечню и названным пациентом лицам, если нет прижизненного запрета
• ч.3.1 ст.13 323-ФЗ, КС № 1-П

• Сведения о счетах
• выдачу распечатки матери клиента, позже принявшей наследство, апелляция сочла малозначительной, но тайну наследование не снимает
• 10-3796/2025, ч.2 ст.183 УК

Без согласия наследников

Законный оборот

регистрация смерти, нотариат и архив

похоронное дело и книги захоронений

страховые и судебные процедуры

в объеме функции (ст.5, 7 152-ФЗ), а доступ перевозчика тел к данным умерших 4 ААС счел конкурентным преимуществом (А10-4767/2014)

Срок: охрана данных умершего бессрочна, а хранение нет. Им назначают цель, состав и срок, затем уничтожают или сдают в архив, где сведения о частной жизни закрыты 75 лет с создания документа, раньше по письменному разрешению наследников (ст.25 125-ФЗ)

• Механизм
• Что включает
• Данные иностранца

• Защита и права
• национальный режим ч.3 ст.62 Конституции
• в полном объеме

• Локализация, ч.5 ст.18
• сбор ПД граждан РФ
• вне требования, если массив отделен

• Приземление, 236-ФЗ
• иностранный ресурс, из России больше 500 тыс. в сутки, ряд лиц без порога
• входят наравне с данными граждан

• ТПД, ст.12
• получатель за рубежом
• возврат в страну гражданства тоже ТПД

Гражданство не проверить

способ выбирает оператор (Роскомнадзор 19.01.2015, Минкомсвязь 25.08.2015), по экспертному подходу поле гражданства, версия ресурса или геолокация

Спорно

по гражданству иностранец в России вне локализации, а по местонахождению втягивает оператора в приземление, поэтому держат оба сценария

Спецкатегория: связка гражданства, страны рождения и языка, по экспертному подходу, раскрывает национальность, а отчет о национальном составе персонала эксперты относят к спецкатегории

1

Договор

заключение и прекращение, 3 рабочих дня, орган по месту работы иностранца

2

Трудоустройство

подает организация по трудоустройству, по каждому иностранцу, 3 рабочих дня

3

Зарплата ВКС

ежеквартально, в орган, выдавший разрешение на работу

4

Ходатайство ВКС

подает сам иностранец с двумя согласиями, сведения видны на сайте МВД

Форма задает состав сведений, и запрос сверх ее полей основания не имеет

Приложенное согласие не основание, его отзыв обязанности не отменяет

Чье это согласие, спорно, УМВД по Тюменской области (27.08.2026) за подающее лицо

Миграционная биометрия с 29.12.2021

дактилоскопия и фото по 274-ФЗ за 30 дней у въехавших для работы и за 90 дней у въехавших не для работы на срок свыше 90 дней (п.13 ст.5 115-ФЗ). Частному оператору этот слой основания не дает

Ошибка: уведомления шлют по месту нахождения работодателя, хотя адресат определяется местом работы, а при патенте на два субъекта уведомляют оба органа

ч.3 ст.10 152-ФЗ

Закон называет оператора, а не способ

судимость обрабатывают госорганы в пределах полномочий и иные лица в случаях и порядке федеральных законов. Согласия среди условий нет, и, по экспертному подходу, подпись кандидата случая закона не создает, хотя вопрос спорен

• Ситуация
• Вывод
• Опора

• Педагог, финансы, транспорт
• допустима для должности, где закон ограничивает функцию лицам с судимостью
• ст.331 ТК и отраслевые нормы

• Банк
• только должности перечня закона о банках, для прочих анкета нарушает ч.3 ст.10
• 12-1517/2016

• Анкета о себе и родне
• нарушение ч.3 ст.10 и избыточность по ч.5 ст.5, приказ об исключении анкеты допущенную обработку не исцеляет
• А55-21355/2018

• Справка о судимости
• по позиции Минцифры (12.10.2022) наличие и отсутствие без деталей идут по ст.6, Роскомнадзор устно (14.08.2026) наличие относит к ст.10
• спорно

• Бенефициары контрагента
• прямой нормы о проверке их судимости нет, согласие пробел не закрывает
• ч.3 ст.10 152-ФЗ

Хранение: после кадрового решения хранят факт предъявления справки с датой, номером и органом. С 01.02.2027 работодатели-юрлица в эксперименте с цифровым профилем (ПП № 710 в ред. ПП № 1217) получат сведения МВД через ЕСИА, но право на запрос дает только закон

ИП

Реестр открыт по закону

ст.6 129-ФЗ, кроме документа о личности и места жительства

контрагент обходится без согласия по пп.2, 5, 7 и 11 ч.1 ст.6, а удалить себя из реестра нельзя (КС, 1346-О)

только реестровые сведения публикуют без нарушения, сверх реестра нужно основание (Роскомнадзор устно 27.08.2025)

выгрузка и перепродажа реестра, по экспертному подходу, выходят за цель раскрытия, реестр не общедоступный источник по ст.8

Самозанятый

Открытого реестра нет

по экспертному подходу, публично виден лишь статус НПД

ФИО и ИНН заказчик получает в чеке для учета и по договору

ИНН и адрес отгрузки остаются личными, как у ИП без помещения

довод о публичности не работает, статус спорен, практики нет

с данными клиентов он, как и ИП, оператор с уведомлением (Роскомнадзор устно, 22.08.2025)

Спорно

Управление Роскомнадзора по ЦФО (2022, 2025) и сам Роскомнадзор устно (14.08.2026) не дают ИП в объеме ЕГРИП прав субъекта. Надежнее трактовка ПД без согласия

Рассылки

по ст.18 закона о рекламе нужно согласие абонента, а контакты ИП с площадок Роскомнадзор устно (14.08.2026) допускает, если площадка не ограничивает

главное

Право исполняют по треку, сроку и доказательству

оператор квалифицирует каждое требование, ставит ему норму и срок, отвечает полно и хранит артефакт исполнения

Квалификация первым шагом

просительную часть разбирают на требования, и каждое получает свою норму, срок и реквизиты

Лестница, а не один срок

семь значений, рабочие и календарные дни, продление до 5 рабочих дней только у десятидневных сроков

Любой канал запускает срок

карта каналов и регистрация в день поступления важнее единого окна, удобного оператору

Личность без добора

проверяют средствами, которыми оператор уже пользуется, а отказ называет недостающее

Полнота и след

ответ по ч.7 ст.14 поштучно, отказ только по норме, исполнение подтверждают актом и журналом