Документ предоставлен КонсультантПлюс

		КонсультантПлюс | Готовое решение | Актуально на 15.04.2025		
Каковы обязанности оператора персональных данных

		Оператор персональных данных определяет состав персональных данных, подлежащих обработке, цель их обработки и непосредственно обрабатывает такие данные. К персональным данным относится любая информация об определенном (определяемом) физлице.
На оператора возлагается ряд обязанностей, например, уведомить Роскомнадзор об обработке персональных данных. За невыполнение обязанностей оператора могут привлечь к ответственности.		

Оглавление:
1. Как уведомить Роскомнадзор об обработке персональных данных
2. Как опубликовать политику обработки персональных данных
3. Как обрабатывать персональные данные
4. Как хранить персональные данные
5. Когда требуется блокировать персональные данные
6. Как уточнить персональные данные
7. Как предоставить по запросу и обращению сведения об обработке персональных данных
8. В каких случаях нужно прекратить обработку персональных данных
9. Какая ответственность предусмотрена для оператора за нарушение его обязанностей

1. Как уведомить Роскомнадзор об обработке персональных данных
Оператор обязан уведомить Роскомнадзор о своем намерении осуществлять обработку персональных данных (за исключением отдельных случаев) (ч. 1 ст. 22 Закона о персональных данных).
Уведомление о намерении осуществлять обработку персональных данных нужно подать в Роскомнадзор до начала их обработки (ч. 1 ст. 22 Закона о персональных данных).

Обязан ли индивидуальный предприниматель уведомлять Роскомнадзор об обработке персональных данных
Если индивидуальный предприниматель осуществляет обработку персональных данных (например, своих работников и (или) клиентов-физлиц), он признается оператором персональных данных и по общему правилу должен уведомить Роскомнадзор о своем намерении осуществлять обработку таких данных (п. 2 ст. 3, ч. 1 ст. 22 Закона о персональных данных, п. 1 Положения о Роскомнадзоре).
Вести обработку персональных данных без уведомления Роскомнадзора можно лишь в исключительных случаях, перечисленных в ч. 2 ст. 22 Закона о персональных данных (ч. 1 ст. 22 указанного Закона), например если вы осуществляете обработку таких данных исключительно без использования средств автоматизации (п. 8 ч. 2 ст. 22 Закона о персональных данных).
Если ИП обработку персональных данных не осуществляет (в частности, у него нет работников, чьи данные он получает, и обработку персональных данных клиентов-физлиц он не ведет), то оператором персональных данных он не является и уведомлять Роскомнадзор он не должен. Это следует из п. 2 ст. 3, ч. 1 ст. 22 Закона о персональных данных.	

Составьте уведомление по форме, приведенной в Приложении N 1 к Приказу Роскомнадзора от 28.10.2022 N 180. В нем укажите, в частности (ч. 3, 3.1 ст. 22 Закона о персональных данных):
 •	свое наименование (фамилию, имя, отчество), адрес;
 •	цель обработки персональных данных. Для каждой цели необходимо указать ряд сведений, в частности: категории персональных данных, категории субъектов, способы обработки персональных данных;
 •	дату начала обработки персональных данных;
 •	срок или условие прекращения обработки персональных данных;
 •	сведения об обеспечении безопасности персональных данных в соответствии с установленными требованиями к защите таких данных.

Что указывать в качестве средств обеспечения безопасности персональных данных при заполнении уведомления об обработке персональных данных
Оператор при обработке персональных данных обязан принимать или обеспечивать принятие необходимых мер для защиты персональных данных. В том числе безопасность персональных данных достигается путем применения соответствующих организационных и технических мер при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности персональных данных (ч. 1, п. 2 ч. 2 ст. 19 Закона о персональных данных).
Требования к защите персональных данных при их обработке в информационных системах персональных данных утверждены Постановлением Правительства РФ от 01.11.2012 N 1119. Требования о защите информации, содержащейся в государственных информационных системах, иных информационных системах госорганов, государственных унитарных предприятий, государственных учреждений, с использованием шифровальных (криптографических) средств утверждены Приказом ФСБ России от 18.03.2025 N 117.
Выбор средств защиты информации для системы защиты персональных данных осуществляет оператор в соответствии с нормативными правовыми актами, принятыми во исполнение ч. 4 ст. 19 Закона о персональных данных, в том числе (п. 4 Требований, утвержденных Постановлением Правительства РФ от 01.11.2012 N 1119):
 •	Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденными Приказом ФСТЭК России от 18.02.2013 N 21;
 •	Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности, утвержденными Приказом ФСБ России от 10.07.2014 N 378.
Меры по обеспечению безопасности персональных данных при их обработке, осуществляемой без использования средств автоматизации, предусмотрены п. п. 13 - 15 Положения, утвержденного Постановлением Правительства РФ от 15.09.2008 N 687.

		См. также: Какие меры по защите персональных данных физлиц нужно принимать при обработке этих данных		

Уведомление должно быть подписано уполномоченным лицом (ч. 3 ст. 22 Закона о персональных данных).
		Образец заполнения уведомления о намерении обрабатывать персональные данные		
Роскомнадзор на основании этого уведомления в течение 30 дней с даты его поступления должен внести сведения в реестр операторов (ч. 4 ст. 22 Закона о персональных данных).
Если сведения, содержавшиеся в ранее поданном уведомлении, изменились, то нужно уведомить Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем, в котором возникли изменения, обо всех произошедших за указанный период изменениях. Если вы прекратили обработку персональных данных, нужно уведомить Роскомнадзор в течение 10 рабочих дней с даты прекращения обработки персональных данных (ч. 7 ст. 22 Закона о персональных данных). Данные уведомления необходимо составлять по формам, приведенным соответственно в Приложениях N N 2 и 3 к Приказу Роскомнадзора от 28.10.2022 N 180.
Если вы намерены осуществлять трансграничную передачу персональных данных, следует направить в Роскомнадзор соответствующее уведомление. Оно подается отдельно от уведомления о намерении осуществлять обработку персональных данных (ч. 3 ст. 12 Закона о персональных данных).
		Образец заполнения уведомления об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных		
		Образец заполнения уведомления о прекращении обработки персональных данных		
		Образец уведомления о намерении осуществлять трансграничную передачу персональных данных		

1.1. Кто является оператором персональных данных
Оператор персональных данных - это государственный орган, муниципальный орган, юридическое или физическое лицо, которые самостоятельно или совместно с другими лицами организуют и (или) осуществляют обработку персональных данных, определяют цели такой обработки, состав подлежащих обработке персональных данных, а также перечень совершаемых с ними действий (операций) (п. 2 ст. 3 Закона о персональных данных). Например, организация является оператором персональных данных в отношении своих сотрудников и иных физлиц, чьи данные получает.
Роскомнадзор ведет реестр операторов персональных данных. Сведения вносятся в реестр и исключаются из него на основании уведомлений, подаваемых операторами (ч. 4, 4.1 ст. 22, п. 3 ч. 5 ст. 23 Закона о персональных данных, п. п. 1, 5.2.4 Положения о Роскомнадзоре). Проверить, включены ли вы в этот реестр, можно на портале персональных данных, который ведет Роскомнадзор: http://pd.rkn.gov.ru/.
Если вы не включены в реестр Роскомнадзора, вы не перестаете быть оператором персональных данных и не освобождаетесь от связанных с этим статусом обязанностей (Информация Роскомнадзора).

2. Как опубликовать политику обработки персональных данных
Вы обязаны опубликовать или иным образом обеспечить неограниченный доступ к вашей политике обработки персональных данных, к сведениям о реализуемых требованиях к защите таких данных. Документ можно разместить на вашем официальном сайте или на информационном стенде в офисе, если сайта у вас нет. Если же вы осуществляете сбор персональных данных с использованием информационно-телекоммуникационных сетей, то обязаны (ч. 2 ст. 18.1 Закона о персональных данных, Письмо Роскомнадзора от 19.10.2021 N 08-71063):
 •	опубликовать политику обработки персональных данных и сведения о реализуемых требованиях к защите персональных данных в соответствующей сети, в том числе на страницах принадлежащего вам сайта, с помощью которых собираются данные;
 •	обеспечить возможность доступа к этому документу с использованием средств такой сети.
По запросу Роскомнадзора вы должны представить документы, определяющие политику обработки персональных данных, и подтвердить, что приняли необходимые меры, в том числе в рамках политики обработки персональных данных (ч. 4 ст. 18.1 Закона о персональных данных).
Обратите внимание: Правительство РФ устанавливает перечень мер, направленных на обеспечение выполнения обязанностей по Закону о персональных данных и по принятыми в соответствии с ним нормативными правовыми актами, операторами-госорганами (ч. 3 ст. 18.1 Закона о персональных данных). Так, для таких операторов предусмотрены специальные правила опубликования политики обработки персональных данных. Документы подлежат опубликованию на официальном сайте госоргана в течение 10 дней после их утверждения (п. 2 Перечня мер, направленных на выполнение обязанностей операторами-госорганами, утвержденного Постановлением Правительства РФ от 21.03.2012 N 211).

В чем отличие политики оператора в отношении обработки персональных данных и положения об обработке персональных данных
Отличия политики оператора в отношении обработки персональных данных и положения об обработке персональных данных в следующем:
 1)	по характеру документа политика оператора в отношении обработки персональных данных - это внешний документ организации, который оператор обязан опубликовать или обеспечить к нему неограниченный доступ иным способом (ч. 2 ст. 18.1 Закона о персональных данных). В то время как положение об обработке персональных данных - это локальный нормативный акт организации, то есть ее внутренний документ. Такой вывод можно сделать из п. 2 ч. 1 ст. 18.1 Закона о персональных данных;
 2)	требования к содержанию политики оператора в отношении обработки персональных данных в законодательстве не установлены. Определение содержания политики отнесено к компетенции оператора (Письмо Роскомнадзора от 19.10.2021 N 08-71063). Для этого оператор может руководствоваться Рекомендациями Роскомнадзора. В то время как общие требования к содержанию положения об обработке персональных данных установлены в п. 2 ч. 1 ст. 18.1 Закона о персональных данных;
 3)	требования к порядку принятия политики оператора в отношении обработки персональных данных в законодательстве также не установлены. На практике ее обычно утверждает руководитель организации без каких-либо дополнительных согласований. В то время как положение, которое определяет в числе прочего порядок хранения и использования персональных данных работников организации, может потребовать согласования с профсоюзом при его наличии в организации (ч. 2 ст. 8, ст. 87, ч. 1 ст. 372 ТК РФ);
 4)	требования к ознакомлению работников организации с политикой и положением различаются. С положением, которое определяет в числе прочего порядок хранения и использования персональных данных работников организации, должны быть ознакомлены все ее работники под подпись (ч. 2 ст. 22, ч. 3 ст. 68, п. 8 ч. 1 ст. 86, ст. 87 ТК РФ). В то время как с политикой оператора в отношении обработки персональных данных в обязательном порядке должны быть ознакомлены только те работники, которые непосредственно осуществляют обработку персональных данных (п. 6 ч. 1 ст. 18.1 Закона о персональных данных).
Требования оформлять политику и положение двумя разными документами в законодательстве нет. Вы можете утвердить единый документ с учетом всех изложенных выше требований. Однако на практике, как правило, принимают два документа. Мы рекомендуем оформить отдельно политику в отношении обработки персональных данных и отдельно положение об обработке персональных данных для того, чтобы было легче подтвердить наличие в организации обоих этих документов.
		Образец политики оператора в отношении обработки персональных данных		
		Образец положения об обработке и защите персональных данных работников (иных лиц)		

3. Как обрабатывать персональные данные
Назначьте ответственного за организацию обработки персональных данных, если вы - юрлицо. В обязанности такого ответственного входит, в частности, внутренний контроль за соблюдением законодательства РФ о персональных данных (ч. 1, 4 ст. 22.1 Закона о персональных данных).
Вы должны обрабатывать персональные данные с соблюдением принципов, предусмотренных ст. 5 Закона о персональных данных.
Обрабатывайте персональные данные только в случаях, предусмотренных ч. 1 ст. 6 Закона о персональных данных. Например, обработка персональных данных нужна, если заключается и исполняется договор, стороной которого (выгодоприобретателем или поручителем по которому) является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем (п. 5 ч. 1 ст. 6 Закона о персональных данных).
Получите согласие на обработку персональных данных физлица (п. 1 ч. 1 ст. 6, ст. ст. 9, 10.1 Закона о персональных данных). Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий такого субъекта на обработку его персональных данных (ч. 1 ст. 10.1 Закона о персональных данных).
Разъясните физлицу юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку, если в соответствии с федеральным законом предоставление данных и (или) получение вами согласия на их обработку являются обязательными (ч. 2 ст. 18 Закона о персональных данных).
Есть случаи, когда получать согласие не нужно.
Субъект персональных данных или его представитель по общему правилу могут дать такое согласие в любой форме, которая позволяет подтвердить факт его получения оператором (ч. 1 ст. 9 Закона о персональных данных).
В случаях, предусмотренных федеральным законом, оператор вправе обрабатывать персональные данные только с письменного согласия их субъекта. Оно может быть дано в бумажной или электронной форме (ч. 4 ст. 9 Закона о персональных данных). Сведения, которые должно содержать согласие, перечислены в п. п. 1 - 9 ч. 4 ст. 9 этого Закона. В частности, оно должно содержать сведения о субъекте персональных данных, цель обработки таких данных, перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных.
Требования к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, утверждены Приказом Роскомнадзора от 24.02.2021 N 18.

Что указать в перечне действий с персональными данными при оформлении согласия на их обработку
В согласии на обработку персональных данных должны быть перечислены все те действия, которые будут совершаться оператором с персональными данными. Это следует из п. 1 ч. 1 ст. 6, п. 7 ч. 4 ст. 9 Закона о персональных данных. Действия, которые могут осуществляться с персональными данными в рамках их обработки, определены Законом о персональных данных. В том числе к таким действиям относятся: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Закона о персональных данных).

		См. также: Что считается обработкой персональных данных		

Важно! Согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, могут быть предоставлены операторам как непосредственно, так и с использованием информационной системы Роскомнадзора (п. 6 ст. 10.1 Закона о персональных данных). Через информационную систему Роскомнадзора данные согласия предоставляются (получаются) в соответствии с Правилами, утвержденными Приказом Роскомнадзора от 21.06.2021 N 106.

		См. также:
 •	В каком порядке должна осуществляться обработка персональных данных физлиц
 •	Какие существуют требования к обработке персональных данных работников организации	 •		

3.1. Какой порядок проведения аудита при обработке персональных данных оператором
Оператор должен принимать меры, чтобы обеспечить выполнение своих обязанностей, связанных с обработкой персональных данных. Состав и перечень этих мер оператор определяет самостоятельно (ч. 1 ст. 18.1 Закона о персональных данных). Осуществление внутреннего контроля и (или) аудита при обработке персональных данных - одна из этих мер (п. 4 ч. 1 ст. 18.1 Закона о персональных данных).
Понятие внутреннего контроля и (или) аудита Закон о персональных данных не содержит, но он определяет предмет этих мероприятий - это проверка соответствия обработки персональных данных Закону о персональных данных и принятым в соответствии с ним нормативным правовым актам, а также требованиям к защите персональных данных, политике оператора в отношении их обработки и локальным актам оператора (по смыслу п. 4 ч. 1 ст. 18.1 Закона о персональных данных).
На практике отличие внутреннего контроля от аудита в том, что внутренний контроль обычно проводится силами самой организации, поскольку его проведение - это обязанность лица, ответственного за организацию обработки персональных данных в организации (п. 1 ч. 4 ст. 22.1 Закона о персональных данных). Для проведения аудита, как правило, привлекают специализированную организацию. Для этого необходимо заключить с этой организацией договор оказания услуг.
Вы вправе по своему усмотрению провести только одно мероприятие (внутренний контроль или аудит) или оба сразу (по смыслу п. 4 ч. 1 ст. 18.1 Закона о персональных данных).
Порядок проведения аудита при обработке персональных данных законодательством РФ не установлен. Вы можете утвердить его локальным нормативным актом. На практике обычно принимают положение о внутреннем контроле и (или) аудите. Применительно к проведению аудита в этом документе можно определить, в частности:
 •	случаи проведения аудита персональных данных;
 •	требования к организации, привлекаемой для проведения аудита персональных данных;
 •	оформление результатов аудита.

3.2. Как проводить оценку вреда, который может быть причинен субъектам персональных данных
Чтобы обеспечить выполнение обязанностей, связанных с обработкой персональных данных, вы должны принимать ряд мер, среди которых и оценка вреда, который может быть причинен субъектам персональных данных при нарушении Закона о персональных данных. Требования к такой оценке утверждены Приказом Роскомнадзора от 27.10.2022 N 178 (п. 5 ч. 1 ст. 18.1 Закона о персональных данных, п. 1 Приказа Роскомнадзора от 27.10.2022 N 178).
Вам нужно определить одну из степеней вреда, который может быть причинен субъекту. Всего предусмотрено три степени вреда: высокая, средняя и низкая (п. 2 Требований N 178).
Например, о средней степени вреда речь идет в том случае, когда вы распространяете персональные данные на своем официальном сайте в сети Интернет (пп. 2.2 п. 2 Требований N 178).
Если по итогам оценки установлено, что субъекту могут быть причинены различные степени вреда, нужно применять более высокую степень (п. 6 Требований N 178).
Результаты оценки вреда нужно оформить актом оценки вреда (п. 3 Требований N 178).
Акт оценки потенциального вреда субъектам персональных данных должен содержать, в частности, наименование и адрес оператора, дату проведения оценки вреда, фамилию, имя, отчество (при наличии), подпись лица (лиц), проводивших оценку, степень вреда, которая может быть причинена субъекту персональных данных (п. 4 Требований N 178).
Акт в электронной форме, подписанный в установленном порядке, равнозначен акту на бумажном носителе, который подписан собственноручной подписью (п. 5 Требований N 178).
		Образец акта оценки возможного вреда субъектам персональных данных		

4. Как хранить персональные данные
Храните персональные данные не дольше, чем этого требуют цели их обработки, если срок хранения не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных (ч. 7 ст. 5 Закона о персональных данных).
Примите (обеспечьте принятие) необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий с персональными данными (п. 3 ч. 1 ст. 18.1, ч. 1 ст. 19 Закона о персональных данных). Соблюдайте Требования к защите персональных данных при их обработке в информационных системах персональных данных, утвержденные Постановлением Правительства РФ от 01.11.2012 N 1119, Требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных, утвержденные Постановлением Правительства РФ от 06.07.2008 N 512, Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденное Постановлением Правительства РФ от 15.09.2008 N 687.
По общему правилу при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, оператор обязан обеспечить, в частности, хранение таких данных граждан РФ с использованием баз данных, находящихся на территории РФ (ч. 5 ст. 18 Закона о персональных данных).

Нужно ли проводить классификацию информационных систем персональных данных (ИСПДн)
Обязанность проводить классификацию информационных систем установлена п. п. 14, 14.2 Требований о защите информации в ГИС. Эти Требования распространяются на государственные информационные системы (за некоторым исключением) и на муниципальные информационные системы, если иное не установлено законодательством РФ о местном самоуправлении (п. 3 Требований о защите информации в ГИС). В том числе эти правила применяются и при обработке в государственной информационной системе информации, содержащей персональные данные. Это следует из п. п. 2, 5 Требований о защите информации в ГИС.
Вы также можете в добровольном порядке применять Требования о защите информации в ГИС, в этом случае вы также проводите классификацию своей информационной системы персональных данных (п. п. 6, 14 указанных Требований).
В иных случаях проведение классификации информационных систем персональных данных не установлено ни Законом о персональных данных, ни Требованиями, утвержденными Постановлением Правительства РФ от 01.11.2012 N 1119.
При обработке персональных данных в информационных системах нужно правильно определить необходимый уровень защищенности этих данных. Всего таких уровней четыре (п. п. 3, 8 Требований, утвержденных Постановлением Правительства РФ от 01.11.2012 N 1119). От уровня защищенности персональных данных в информационных системах напрямую зависит то, какие требования необходимо выполнять для обеспечения их защищенности (п. п. 13 - 16 Требований, утвержденных Постановлением Правительства РФ от 01.11.2012 N 1119). Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных утверждены Приказом ФСТЭК России от 18.02.2013 N 21.
Обратите внимание, что класс средства защиты информации, содержащейся в определенных информационных системах (включая ГИС), определяется, в частности, в зависимости от уровня значимости информации. Есть всего три таких уровня. Речь идет о защите информации в этих системах с использованием шифровальных (криптографических) средств (п. п. 1, 8 Требований, утвержденных Приказом ФСБ России от 18.03.2025 N 117).	

Как уведомить Роскомнадзор о неправомерной или случайной передаче (утечке) персональных данных, которая повлекла нарушение прав субъектов персональных данных
Для учета информации об утечке персональных данных Роскомнадзор ведет специальный реестр, определяет порядок и условия взаимодействия с операторами в рамках его ведения (ч. 10 ст. 23 Закона о персональных данных).
Если вы, Роскомнадзор или другое заинтересованное лицо выявите неправомерную или случайную передачу (предоставление, распространение, доступ) персональных данных, которая повлекла нарушение прав субъектов персональных данных, вы обязаны в течение 24 часов с момента выявления направить в Роскомнадзор первичное уведомление. В нем необходимо сообщить (п. 1 ч. 3.1 ст. 21 Закона о персональных данных, п. 2 Порядка, утв. Приказом Роскомнадзора от 14.11.2022 N 187):
 •	о произошедшем инциденте, в частности о содержании базы данных, ставшей доступной неограниченному кругу лиц (скомпрометированная база данных);
 •	предполагаемых причинах инцидента;
 •	предполагаемом вреде, нанесенном правам субъектов персональных данных;
 •	принятых мерах по устранению последствий;
 •	лице, которое вы уполномочили взаимодействовать с Роскомнадзором по вопросам, связанным с инцидентом.
В первичном уведомлении вы также должны указать данные о себе, включая адрес электронной почты (при наличии). Помимо этого в Роскомнадзор следует представить и иные находящиеся в вашем распоряжении сведения и материалы, связанные с инцидентом (п. п. 2.2, 2.3 Порядка, утв. Приказом Роскомнадзора от 14.11.2022 N 187).
Кроме того, в течение 72 часов с момента выявления инцидента вы должны направить в Роскомнадзор дополнительное уведомление. В нем необходимо сообщить о результатах внутреннего расследования инцидента: предоставить информацию о причинах, нанесенном вреде, дополнительно принятых мерах по устранению последствий инцидента, решении о проведении внутреннего расследования (с реквизитами). Отразите сведения о лицах, действия которых стали причиной утечки данных (при их наличии) (п. 2 ч. 3.1 ст. 21 Закона о персональных данных, п. 3 Порядка, утв. Приказом Роскомнадзора от 14.11.2022 N 187).
При нарушении этого срока Роскомнадзор вправе направить вам требование о необходимости предоставить соответствующие сведения. Для ответа у вас есть один рабочий день со дня получения требования (п. п. 12, 13 Порядка, утв. Приказом Роскомнадзора от 14.11.2022 N 187).
Уведомления вы можете направить в виде бумажного или электронного документа. Во втором случае заполните специализированную форму, размещенную на портале персональных данных Роскомнадзора в Интернете. Для этого вам необходимо пройти идентификацию и аутентификацию в ЕСИА. Заполненную форму нужно подписать электронной подписью (п. п. 5, 7 Порядка, утв. Приказом Роскомнадзора от 14.11.2022 N 187).
Если представленные сведения окажутся неполными или некорректными, Роскомнадзор в течение трех рабочих дней со дня получения уведомления может затребовать у вас недостающие сведения или пояснения. Вы будете обязаны направить их в госорган одним из указанных способов. Срок - три рабочих дня со дня получения запроса (п. п. 10, 11 Порядка, утв. Приказом Роскомнадзора от 14.11.2022 N 187).
Уведомления также необходимо направлять в таких случаях (п. п. 14, 15, 17 Порядка, утв. Приказом Роскомнадзора от 14.11.2022 N 187):
 •	Роскомнадзор выявил неправомерное распространение скомпрометированной базы данных;
 •	вы, Роскомнадзор, любое заинтересованное лицо установили неправомерную или случайную передачу персональных данных, содержащихся в базе данных, характеристики которых полностью соответствуют ранее скомпрометированной.	

		См. также:
 •	Какие меры по защите персональных данных физлиц нужно принимать при обработке этих данных
 •	Какие меры по защите персональных данных работников должны приниматься при обработке этих данных	 •		

5. Когда требуется блокировать персональные данные
Блокируйте персональные данные или обеспечьте блокирование (если обработка осуществляется другим лицом, действующим по вашему поручению), если выявлена неправомерная обработка таких данных. Сделайте это на период проверки с момента обращения субъекта персональных данных (его представителя) или по запросу субъекта персональных данных (его представителя) либо Роскомнадзора (ч. 1 ст. 21 Закона о персональных данных).
Если выявлены неточные персональные данные, оператор должен блокировать такие данные или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) (ч. 1 ст. 21 Закона о персональных данных):
 •	при обращении субъекта персональных данных (его представителя);
 •	по запросу субъекта персональных данных (его представителя) либо Роскомнадзора.
Это надо сделать с момента обращения субъекта персональных данных (его представителя) или получения указанного запроса на период проверки, если такое блокирование не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

6. Как уточнить персональные данные
Если подтверждено, что персональные данные неточные, оператор на основании сведений, представленных субъектом персональных данных (его представителем) либо Роскомнадзором, или иных необходимых документов должен уточнить их либо обеспечить уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных (ч. 2 ст. 21 Закона о персональных данных).
При этом оператор обязан уведомить субъекта персональных данных (его представителя) о внесенных изменениях и принятых мерах и принять разумные меры для уведомления третьих лиц, которым такие персональные данные были переданы (ч. 3 ст. 20 Закона о персональных данных).

7. Как предоставить по запросу и обращению сведения об обработке персональных данных
По запросу или обращению физлица (его представителя) по общему правилу физлицо имеет право на получение сведений, касающихся обработки персональных данных. Эти сведения вы должны предоставить ему (его представителю) в течение 10 рабочих дней с момента обращения либо получения оператором запроса. Указанный срок может быть продлен в случае направления мотивированного уведомления о причинах такого продления, но не более чем на пять рабочих дней (ч. 1, 3 ст. 14 Закона о персональных данных).
По запросу Роскомнадзора сообщите необходимую информацию в течение 10 рабочих дней с даты его получения. Этот срок может быть продлен в случае направления мотивированного уведомления о причинах продления, но не более чем на пять рабочих дней (ч. 4 ст. 20 Закона о персональных данных).

7.1. Кто может запрашивать персональные данные у оператора
По общему правилу запросить персональные данные у оператора могут:
 •	субъект персональных данных. Оператор должен безвозмездно предоставить ему возможность ознакомиться с относящимися к нему персональными данными, а также сообщить субъекту информацию о наличии относящихся к нему персональных данных (ч. 1, 3 ст. 20 Закона о персональных данных);
 •	третьи лица при условии наличия согласия субъекта персональных данных (ст. 7 Закона о персональных данных).
Без согласия субъекта персональных данных третьи лица могут запрашивать у оператора персональные данные только в предусмотренных федеральным законом случаях (ст. 7 Закона о персональных данных), в частности:
 •	органы прокуратуры в связи с осуществлением ими прокурорского надзора вправе получать доступ к персональным данным, необходимым для осуществления прокурорского надзора (ч. 2.1 ст. 4 Закона о прокуратуре);
 •	полиция в связи с расследуемыми уголовными делами и находящимися в производстве делами об административных правонарушениях, а также в связи с проверкой заявлений и сообщений о преступлениях, административных правонарушениях и происшествиях вправе по мотивированному запросу получать необходимую информацию, в том числе персональные данные (п. 4 ч. 1 ст. 13 Закона о полиции);
 •	налоговые органы в рамках проведения контрольных мероприятий;
 •	суд (ст. 57 ГПК РФ, ч. 4 ст. 66 АПК РФ);
 •	судебные приставы-исполнители для создания условий для применения мер принудительного исполнения и понуждения должника к исполнению требований в исполнительном документе вправе запрашивать необходимые сведения, в том числе персональные данные (п. 2 ч. 1 ст. 64 Закона об исполнительном производстве);
 •	нотариус для совершения нотариальных действий вправе запрашивать персональные данные (ст. 15 Основ законодательства РФ о нотариате);
 •	юрлицо для целей установления бенефициарных владельцев вправе запрашивать у своих учредителей и участников необходимые персональные данные (п. 5 ст. 6.1 Закона о противодействии легализации преступных доходов);
 •	арбитражный управляющий в рамках дела о банкротстве вправе без предварительного обращения в арбитражный суд запрашивать сведения о должнике, о лицах, входящих в состав его органов управления, о контролирующих и других заинтересованных по отношению к должнику лицах, о принадлежащем им имуществе, о контрагентах и об обязательствах должника (п. 1 ст. 20.3 Закона о банкротстве).
Финансовый управляющий в рамках дела о банкротстве гражданина вправе без предварительного обращения в арбитражный суд получать информацию об имуществе гражданина и его супруга (супруги), а также об их счетах и вкладах, в том числе по банковским картам, остатках и переводах электронных денежных средств. Аналогичную информацию о родственниках гражданина (кроме его супруга или супруги) и принадлежащем им имуществе финансовый управляющий может получать в судебном порядке без проведения заседания (п. 7 ст. 213.9 Закона о банкротстве).
У работодателя запросить персональные данные работника без его письменного согласия третьи лица могут в случаях, когда это необходимо для предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных ТК РФ или иными федеральными законами (ч. 1 ст. 88 ТК РФ). Например, это могут делать профсоюзы для осуществления своей уставной деятельности (п. 1 ст. 17 Закона о профсоюзах, Разъяснения Роскомнадзора).
Также работодатель обязан сам передавать персональные данные работников в Фонд социального страхования РФ и Пенсионный фонд РФ. Получать согласие работников для этого не нужно (Разъяснения Роскомнадзора).

8. В каких случаях нужно прекратить обработку персональных данных
Если выявлено, что обработка осуществляется неправомерно, прекратите в срок не более трех рабочих дней с даты этого выявления обработку персональных данных или обеспечьте ее прекращение лицом, действующим по вашему поручению (ч. 3 ст. 21 Закона о персональных данных).
По требованию субъекта персональных данных вы обязаны немедленно прекратить обработку его данных, если она осуществляется для продвижения товаров, работ, услуг на рынке путем прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации (ч. 2 ст. 15 Закона о персональных данных).
Если обеспечить правомерность обработки персональных данных невозможно, в срок не более 10 рабочих дней с даты выявления неправомерной обработки персональных данных уничтожьте такие персональные данные или обеспечьте их уничтожение (ч. 3 ст. 21 Закона о персональных данных).
Уведомьте физическое лицо (его представителя) об устранении допущенных нарушений или об уничтожении персональных данных, а также Роскомнадзор, если обращение (запрос) получено от него (ч. 3 ст. 21 Закона о персональных данных).
Если цели обработки персональных данных достигнуты, вы по общему правилу должны прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора). Это нужно сделать в срок, не превышающий 30 дней с даты достижения цели обработки персональных данных (ч. 4 ст. 21 Закона о персональных данных).
Если субъект персональных данных отозвал согласие на обработку его персональных данных, вы по общему правилу должны прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по вашему поручению). Если при этом сохранение персональных данных более не требуется для целей обработки персональных данных, вы по общему правилу должны уничтожить такие данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по вашему поручению). Это нужно сделать в срок не более 30 дней с даты поступления указанного отзыва (ч. 5 ст. 21 Закона о персональных данных).
Если субъект персональных данных обратился к вам с требованием о прекращении обработки персональных данных, вы обязаны в течение 10 рабочих дней с даты получения требования прекратить ее или обеспечить ее прекращение (если обработка осуществляется другим лицом). Исключение - случаи, предусмотренные п. п. 2 - 11 ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11 Закона о персональных данных. Указанный срок может быть продлен в случае направления мотивированного уведомления о причинах такого продления, но не более чем на пять рабочих дней (ч. 5.1 ст. 21 названного Закона).
Если субъект персональных данных направил требование прекратить обработку данных, разрешенных для распространения, прекратите передачу, распространение, предоставление таких данных, доступ к ним. Действие согласия этого субъекта на обработку его персональных данных, разрешенных для распространения, прекращается с момента поступления этого требования (ч. 12, 13 ст. 10.1 Закона о персональных данных).
Если уничтожить персональные данные в течение установленного срока невозможно, заблокируйте персональные данные или обеспечьте их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по вашему поручению) и обеспечьте уничтожение данных в срок не более шести месяцев. Иной срок может быть установлен федеральными законами (ч. 6 ст. 21 Закона о персональных данных).
Подтвердить уничтожение персональных данных в случаях, предусмотренных ст. 21 Закона о персональных данных, нужно в соответствии с Требованиями, утвержденными Приказом Роскомнадзора от 28.10.2022 N 179 (ч. 7 ст. 21 названного Закона).

8.1. Как уничтожить персональные данные и подтвердить их уничтожение
Уничтожение предполагает совершение действий, в результате которых нельзя восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожены материальные носители персональных данных (п. 8 ст. 3 Закона о персональных данных). Уничтожение персональных данных вы можете возложить, например, на комиссию, созданную на основании приказа.
Подтвердите уничтожение персональных данных следующими документами (п. п. 1, 2, 7 Требований, утвержденных Приказом Роскомнадзора от 28.10.2022 N 179):
 •	актом об уничтожении - если обрабатываете данные без использования средств автоматизации;
 •	актом об уничтожении и выгрузкой из журнала регистрации событий в информационной системе персональных данных - если обрабатываете данные с использованием средств автоматизации либо одновременно применяете два способа обработки.
Формы этих документов нормативно не определены. Можете разработать их самостоятельно.
Акт об уничтожении персональных данных должен содержать, в частности (п. 3 Требований N 179):
 •	наименование юрлица и адрес оператора, фамилию, имя, отчество (при наличии), должность, подпись лица (лиц), уничтожившего персональные данные субъекта, перечень категорий уничтоженных персональных данных, способ и причину их уничтожения;
 •	наименование уничтоженного материального носителя, содержащего персональные данные субъекта, с указанием количества листов каждого материального носителя (при обработке данных без использования средств автоматизации);
 •	наименование информационной системы персональных данных, из которой уничтожены персональные данные субъекта (при обработке данных с использованием средств автоматизации).
Акт в электронной форме, подписанный в установленном порядке, равнозначен акту на бумажном носителе, подписанному собственноручной подписью лиц, уничтоживших данные (п. 4 Требований N 179).
Выгрузка из журнала должна содержать фамилию, имя, отчество (при наличии) субъекта или иную информацию, относящуюся к определенному физлицу, чьи персональные данные были уничтожены, перечень категорий уничтоженных персональных данных, наименование информационной системы персональных данных, из которой были уничтожены персональные данные, причину и дату их уничтожения (п. 5 Требований N 179).
Если выгрузка из журнала не позволяет указать отдельные сведения, их нужно внести в акт (п. 6 Требований N 179).
Акт и выгрузку из журнала нужно хранить в течение трех лет с момента уничтожения персональных данных (п. 8 Требований N 179).
		Образец акта об уничтожении персональных данных		

9. Какая ответственность предусмотрена для оператора за нарушение его обязанностей
За невыполнение обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, вас могут привлечь к административной ответственности. Например, максимальный штраф для организации:
 •	за невыполнение в установленные сроки требования субъекта персональных данных (его представителя) либо Роскомнадзора об уточнении персональных данных в случае, когда они являются неполными, устаревшими, неточными, составляет 90 тыс. руб., за повторное правонарушение - 500 тыс. руб. (ч. 5, 5.1 ст. 13.11 КоАП РФ);
 •	за невыполнение при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, обязанности обеспечить, в частности, хранение персональных данных граждан РФ с использованием баз данных, находящихся на территории РФ, составляет 6 млн руб., за повторное правонарушение - 18 млн руб. (ч. 8, 9 ст. 13.11 КоАП РФ).
Если действия физлица содержат признаки преступления, то его могут привлечь к уголовной ответственности.
Подробнее ознакомиться с ответственностью для оператора за нарушение своих обязанностей вы можете в отдельных материалах.

		См. также:
 •	Какие штрафы и иные административные наказания могут назначить в связи с осуществлением контроля и надзора в сфере персональных данных
 •	Кто и какую ответственность несет за нарушение законодательства о персональных данных
 •	Как привлекают к административной ответственности за нарушения в сфере персональных данных	 •