Каждая ошибка при работе с персональными данными (ПДн) – это риск штрафов, судебных разбирательств и репутационных потерь. В статье собраны самые популярные вопросы, связанные с защитой прав субъектов персональных данных в надзорных органах, а также актуальная информация о последних законодательных изменениях.

Общий обзор прав субъектов персональных данных

Субъект персональных данных – это физическое лицо, к которому относятся сведения, позволяющие установить его личность. В России их права защищаются Федеральным законом «О персональных данных» (№ 152‑ФЗ) и рядом подзаконных актов.

• Право на доступ к своим данным.
• Право на исправление (обновление, дополнение) неверных сведений.
• Право на удаление (право «быть забытым»), если данные более не нужны.
• Право на ограничение обработки в определённых случаях.
• Право на переносимость данных (получить их в машиночитаемом виде).
• Право отозвать согласие на обработку в любой момент.

Все эти права реализуются через обращения к надзорным органам, главным из которых является Роскомнадзор.

Надзорные органы и их функции

Роскомнадзор

Роскомнадзор (Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций) – основной орган, отвечающий за контроль за соблюдением требований к обработке персональных данных.

• Проводит проверки (плановые и внеплановые) организаций‑операторов.
• Выдаёт предписания об устранении нарушений.
• Ведёт реестр операторов персональных данных.
• Рассматривает жалобы субъектов и принимает решения о наложении штрафов.

Другие надзорные органы

В некоторых отраслях (например, банковской, медицинской) надзорные функции могут выполнять также Центробанк РФ, Минздрав, Минтруд и др. Однако в вопросах защиты прав субъектов ПДн они действуют в тесном взаимодействии с Роскомнадзором.

Часто задаваемые вопросы (FAQ)

1. Каким образом субъект может подать жалобу в надзорный орган?

   Субъект имеет право обратиться в Роскомнадзор в любой момент. Основные способы:

   • Онлайн‑форма на официальном сайте rkn.gov.ru (раздел «Обращения граждан»).
   • Почтовое отправление (рекомендованная почта с уведомлением).
   • Личное посещение регионального отделения Роскомнадзора.

   В обращении необходимо указать:

   • ФИО и контактные данные.
   • Подробное описание проблемы (какие данные, когда и кем обработаны).
   • Копии документов, подтверждающих нарушение (если есть).

   Важно: сохраняйте копию обращения и подтверждение о его получении.

2. Сколько времени занимает рассмотрение жалобы?

   Согласно статье 14;1 ФЗ «О персональных данных», Роскомнадзор обязан рассмотреть обращение в течение 30 календарных дней. При необходимости срок может быть продлён до 60 дней, о чём субъект будет уведомлён.

3. Какие санкции могут быть наложены на оператора за нарушение прав субъектов?

   Санкции зависят от тяжести нарушения:

   • Штрафы для юридических лиц – от 200 000 до 5 000 000 рублей.
   • Штрафы для должностных лиц – от 30 000 до 500 000 рублей.
   • При повторных нарушениях возможна приостановка деятельности оператора.

   В 2025‑2026 гг. наблюдается тенденция к ужесточению штрафов в связи с ростом количества крупных утечек.

4. Как изменились критерии признания стран «обеспечивающих адекватную защиту персональных данных»?

   В июле 2025 года Совет Федерации одобрил законопроект, уточняющий критерии адекватности. Основные нововведения:

   1. Требование наличия законодательных гарантий прав субъектов, аналогичных российским.
   2. Обязательное наличие механизмов надзора со стороны независимых органов.
   3. Проведение регулярных аудитов по защите ПДн.

   Эти изменения влияют на трансграничную передачу данных: компании теперь обязаны проверять, соответствует ли страна‑получатель новым требованиям.

5. Почему за последние три года количество утечек персональных данных уменьшилось?

   Снижение утечек – результат комплексных мер, принятых в 2023‑2025 гг.:

   • Ужесточение требований к технической защите (шифрование, многофакторная аутентификация).
   • Проведение масштабных проверок операторами в рамках программы «Безопасные данные».
   • Повышение осведомлённости персонала через обязательные тренинги.
   • Внедрение системы уведомления о нарушениях в течение 72 часов.

6. Какие документы необходимо подготовить оператору при проверке Роскомнадзора?

   Оператор обязан предоставить:

   1. Политику обработки персональных данных.
   2. Регистр операторов (перечень всех баз данных).
   3. Акты согласия субъектов (если обработка основана на согласии).
   4. Отчёты о проведённых оценках воздействия на защиту данных (DPIA).
   5. Журналы доступа к персональным данным за последние 12 месяцев.
   6. Документацию по мерам технической и организационной защиты.

   Отсутствие любого из перечисленных документов может стать основанием для вынесения предписания.

7. Как субъект может потребовать удаление своих данных?

   Субъект направляет запрос оператору с указанием:

   • Точных данных, которые необходимо удалить.
   • Основания для удаления (например, утрата цели обработки).

   Оператор обязан выполнить запрос в течение 30 дней. Если оператор отказывается, субъект может обратиться в Роскомнадзор, который вынесет предписание об удалении.

8. Что такое «право на переносимость данных» и как его реализовать?

   Субъект имеет право получить свои персональные данные в машиночитаемом формате (например, CSV, JSON) и передать их другому оператору без препятствий. Для реализации необходимо:

   1. Подать письменный запрос оператору.
   2. Указать желаемый формат и способ передачи.
   3. Оператор обязан предоставить данные в течение 30 дней.

   Если оператор отказывается, субъект может обратиться в надзорный орган.

Практические рекомендации для субъектов и операторов

Для субъектов

• Ведите личный реестр согласий и запросов к операторам.
• Регулярно проверяйте политику конфиденциальности сайтов и приложений.
• При подозрении на утечку немедленно сообщите в Роскомнадзор и в банк (если речь о финансовых данных).

Для операторов

• Обновляйте политику обработки в соответствии с последними законодательными изменениями (законопроекты 2025‑2026 гг.).
• Внедряйте автоматизированные системы мониторинга доступа к ПДн.
• Проводите регулярные аудиты и тесты на проникновение.
• Обучайте персонал: каждый сотрудник должен знать, как правильно реагировать на запросы субъектов.

Защита прав субъектов персональных данных – это совместная задача государства, надзорных органов и самих операторов. Современные законодательные инициативы (законопроект от 25 июня 2025 года, изменения в критериях адекватности стран) направлены на усиление контроля и повышение ответственности за нарушения.

Субъекты должны активно пользоваться своими правами, а операторы – внедрять лучшие практики защиты. В случае конфликтов надзорные органы, в первую очередь Роскомнадзор, готовы рассмотреть обращения и обеспечить соблюдение закона.

Помните: своевременное обращение в надзорный орган и правильная подготовка документов могут существенно сократить риски штрафов и судебных разбирательств.