Клиент требует удалить свои данные: что обязан сделать оператор и в какие сроки
Субъект вправе запросить информацию о своих данных и отозвать согласие. Разбираем сроки ответа, когда обработку можно продолжить законно, как оформить уничтожение и чем грозит игнорирование запроса.
Клиент требует удалить свои данные: что делать оператору
Рано или поздно это происходит у каждого: клиент пишет «удалите все мои данные и не звоните мне больше». Или запрашивает, какую информацию о нём вы храните. Реакция бизнеса обычно одна из двух — либо игнорируют, либо в панике стирают вообще всё, включая документы, которые обязаны хранить по закону. Оба варианта неправильные. Разбираем, что оператор обязан сделать и в какие сроки.
Какие права есть у субъекта
Закон даёт человеку несколько конкретных прав в отношении своих данных:
- Право знать — получить подтверждение факта обработки и сведения о ней
- Право на доступ — узнать, какие именно данные о нём обрабатываются
- Право на уточнение — потребовать исправить неточные данные
- Право отозвать согласие — в любой момент, без объяснения причин
- Право на уничтожение — потребовать удалить данные, если нет других законных оснований
Сроки: сколько времени у оператора
Это первое, что нужно знать, потому что просрочка — самостоятельное нарушение.
| Ситуация | Срок |
|---|---|
| Ответ на запрос субъекта | 10 рабочих дней (+5 при обоснованном продлении) |
| Уничтожение данных при отзыве согласия | 30 дней |
| Уничтожение при достижении цели обработки | 30 дней |
| Удаление при выявленном нарушении принципов обработки | 10 дней |
Важно: отсчёт начинается с момента получения обращения, а не с момента, когда до него дошли руки. Поэтому нужен регламент: кто принимает такие обращения, куда они попадают и кто отвечает.
Отзыв согласия не всегда означает удаление
Здесь главная ошибка бизнеса. Клиент отозвал согласие — но это не автоматически обязывает стереть всё.
После отзыва оператор обязан прекратить обработку, которая велась на основании согласия. Но если для части данных есть другое законное основание, обработка продолжается законно.
Такие основания перечислены в законе (п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11 152-ФЗ). На практике чаще всего работают:
| Основание | Пример |
|---|---|
| Исполнение договора | Клиент отозвал согласие, но услуга ещё оказывается |
| Требование закона | Бухгалтерские документы хранятся 5 лет, налоговые — 4 года |
| Защита прав оператора | Данные нужны для судебного спора с этим клиентом |
| Медицинские цели | Медкарта пациента хранится по отраслевым нормам |
Порядок действий правильный такой: получили отзыв → прекратили обработку по согласию → проверили, есть ли другие основания → то, что под них не попадает, уничтожили в 30 дней → уведомили субъекта.
Что нельзя удалять по требованию клиента
Частая паника: «клиент требует удалить всё, стираем базу». Так делать нельзя — вы нарушите другие законы. Не подлежат удалению по одному лишь требованию:
- Первичные бухгалтерские документы (срок хранения по закону)
- Кадровые документы уволенных сотрудников (сроки по архивному законодательству)
- Медицинская документация (отраслевые сроки)
- Данные, необходимые для исполнения действующего договора
В ответе субъекту это нужно объяснить со ссылкой на конкретную норму — тогда отказ будет законным.
Как оформить уничтожение
Просто нажать Delete недостаточно. Процесс должен быть документально зафиксирован:
- Акт об уничтожении персональных данных — основной документ, подтверждающий факт
- Указание, какие данные, в каком объёме и каким способом уничтожены
- Дата уничтожения и подписи ответственных лиц
- Уведомление субъекта о выполнении его требования — составляется в свободной форме
Акт — это ваше доказательство перед Роскомнадзором. Без него формально считается, что данные вы не уничтожили.
Чем грозит игнорирование запроса
Клиент, чьё обращение проигнорировали, идёт с жалобой в Роскомнадзор. Это самый частый триггер внеплановой проверки. Дальше:
- Штраф за непредоставление информации субъекту — до 80 000 руб.
- Штраф за неуничтожение данных — до 90 000 руб.
- И главное — начавшаяся проверка не ограничится этим эпизодом: инспектор посмотрит документы целиком
Практика: одна жалоба недовольного клиента раскручивается в полноценную проверку с проверкой всего пакета документов. Ответить на запрос в срок дешевле в разы.
Что нужно подготовить заранее
- Регламент работы с обращениями субъектов — кто принимает, кто отвечает, за какой срок
- Шаблоны ответов — на запрос информации, на отзыв согласия, на отказ с обоснованием
- Форма акта об уничтожении
- Журнал обращений — фиксация даты получения и даты ответа
- Понятный канал приёма обращений — адрес, указанный в политике обработки ПДн
Что делать прямо сейчас
- Проверьте, указан ли в вашей политике обработки ПДн адрес для обращений субъектов
- Назначьте ответственного, который эти обращения реально читает
- Подготовьте шаблоны ответов и форму акта об уничтожении заранее — в момент запроса будет некогда
- Заведите журнал учёта обращений с датами
- Проверьте, знаете ли вы по каждой категории данных, есть ли основание хранить их после отзыва согласия
Главный вывод
Запрос клиента об удалении данных — не повод для паники и не то, что можно игнорировать. У вас 10 рабочих дней на ответ и 30 дней на уничтожение того, что не покрыто другими законными основаниями. Ключ в подготовке: регламент, шаблоны ответов и форма акта, сделанные заранее, превращают потенциальную проверку в рутинную процедуру на полчаса.
Источники
- Статьи 14, 20, 21 Федерального закона № 152-ФЗ (права субъекта, обязанности оператора)
- Часть 1 статьи 6 Федерального закона № 152-ФЗ (основания обработки)
- Части 4, 5 статьи 13.11 КоАП РФ (ответственность)
- Рекомендации Роскомнадзора по работе с обращениями субъектов ПДн
Нет регламента работы с запросами клиентов? Оставьте заявку — подготовим шаблоны ответов, акт уничтожения и регламент под ваш бизнес. Или пройдите бесплатный экспресс-аудит.