Правовая роль компании
Устанавливаю, кем выступает компания — оператором или лицом, действующим по его поручению, и кто отвечает перед субъектом за доступ к его персональным данным.
Защита оператора по требованиям субъекта персональных данных
Субъект требует предоставить сведения, исправить данные, прекратить обработку или удалить записи, а компания должна определить объём своих обязанностей и подтвердить ответ. Как адвокат проверяю содержание обращения, полномочия заявителя, основания хранения и даты действий оператора. Сопоставляю запрос с данными в системах и у обработчиков, готовлю ответ с учётом прав третьих лиц. При жалобе в Роскомнадзор или иске разбираю каждый спорный эпизод: что компания получила, что сообщила и какие операции выполнила. На консультации определяю, какие документы сохранить и какие вопросы требуют срочной проверки, чтобы позиция оператора опиралась на факты, а исправление нарушения имело подтверждение.
Коротко
Предмет работы — запрос субъекта и подтверждённые действия оператора. Проверяю, как компания ведёт обработку персональных данных: 1 субъект обратился или сотни, оператор обязан ответить в срок и подтвердить действия документами. Готовлю ответ и позицию оператора, оцениваю риск штрафа по КоАП.
Когда нужна помощь
Обращение одного субъекта требует соблюдения сроков ответа и сохранения сведений об удалении или блокировании.
- Запуск нового сервисаДо запуска определяю, кто будут субъекты обработки персональных данных и как компания будет отвечать на их запросы. Проверяю будущий порядок ответа оператора.
- Запрос субъектаПолучен запрос субъекта или его представителя. Готовлю ответ на полном комплекте: обращение, журнал регистрации, ответ и сведения об удалении или блокировании.
- Изменение модели обработкиКомпания меняет сервис, подрядчика или маршрут данных. Проверяю, как это влияет на ответы субъектам и сроки оператора, чтобы изменения не привели к нарушениям.
- Инцидент с даннымиПроизошла утечка или ошибочная передача, и субъект требует объяснений. Фиксирую события, проверяю обязанности оператора и готовлю ответ в срок.
- Требование РоскомнадзораСубъект пожаловался регулятору. Проверяю, какие обязанности и сроки нарушены по мнению органа. Сопоставляю жалобу с отправленным ответом и подтверждением его доставки, готовлю объяснения Роскомнадзору.
- Спор с субъектомЗаранее определяю требование субъекта, объём сведений и доказательства. Проверяю, как было реализовано право субъекта на доступ к своим данным.
Даже если спор касается обработки персональных данных одного субъекта, оператор обязан соблюсти сроки и порядок ответа полностью, иначе возможны штрафы за нарушение порядка обработки данных. Сохраните обращение, журнал регистрации, ответ и сведения об удалении или блокировании.
Чего делать нельзя
Ошибки, которые осложняют правовую защиту компании — Защита оператора по требованиям субъекта персональных данных
- Не подтверждайте факты и обязательства без проверки. До подписания акта, объяснения или ответа сопоставьте изложенное с документами. Неточная формулировка может повлиять на доказательства и последующую позицию компании.
- Не откладывайте проверку полученных документов. Срок и порядок ответа, возражений или обжалования зависят от вида документа и применимой процедуры. Зафиксируйте дату получения и выясните, какое действие требуется именно в вашей ситуации.
- Не поручайте правовую переписку без согласования позиции. Рабочие письма и сообщения могут стать доказательствами. Отделяйте подтверждённые факты от предположений, указывайте реальные полномочия сотрудника и сохраняйте исходную переписку.
- Не подменяйте и не уничтожайте документы. Сохраните оригиналы, электронные файлы и сведения об их отправке. Исправление текущей работы не должно сопровождаться оформлением доказательств задним числом.
Суть дела
Роль компании и содержание запроса определяют обязанности по доступу к данным, отзыву согласия и уничтожению записей.
Границы объекта
Устанавливаю технические и юридические границы обработки: что именно запросил субъект и какие действия оператора подтверждены документами. Разделяю требование о доступе к сведениям, отзыв согласия и просьбу об уничтожении записей: для них могут различаться основания и необходимые операции.
Применимое основание
Проверяю основание хранения, передачи и раскрытия сведений по законодательству о персональных данных в редакции на дату событий. Согласие субъекта на обработку персональных данных сопоставляю с целью, составом сведений и сроком; при ином основании выясняю, сохраняется ли оно после обращения.
Надёжность доказательственной базы
Проверяю, подтверждают ли документы с датами, что оператор ответил субъекту и исполнил его требование. Комплект: обращение, журнал регистрации, ответ и сведения об удалении или блокировании.
Действия второй стороны
Оцениваю, кто обратился: сам субъект персональных данных (субъект ПДн) или его представитель, и подтверждены ли полномочия представителя.
Исполнимость требования
Проверяю, какие сведения оператор обязан предоставить, что допустимо не раскрывать для защиты прав третьих лиц и можно ли исполнить требование субъекта в срок. Если часть записей нужна для исполнения сохраняющейся обязанности, отделяю её от данных, обработку которых можно прекратить, и обосновываю это в ответе.
Кто участвует
Собственник продукта определяет порядок обработки, а руководитель отвечает за сроки и подписывает ответ субъекту.
| Участник | Полномочие и документ |
|---|---|
| Собственник продукта | Утверждает модель обработки и порядок ответа. Предмет решения: запрос субъекта и подтверждённые действия оператора. Уточняет, в каких функциях продукта используются сведения заявителя и можно ли прекратить отдельную операцию без удаления всей учётной записи. |
| Руководитель компании | Отвечает за соблюдение сроков оператора и подписывает ответ субъекту или регулятору. Назначает сотрудников, которые собирают сведения из подразделений, проверяет готовность ответа и организует сохранение подтверждений отправки. |
| Технический специалист | Реализует удаление и блокирование данных; его действия подтверждают право субъекта на защиту персональных данных. Проверяет записи в рабочих системах и доступные журналы, указывает, где операция завершена и какие копии требуют отдельной проверки. |
| Контрагент | Лицо, обрабатывающее данные по поручению, исполняет требования оператора в сроки, указанные в договоре. Сообщает, какие данные заявителя находятся у него, и передаёт подтверждение выполненных операций; один ответ оператора не доказывает удаление у подрядчика. |
| Компетентный орган или суд | Роскомнадзор проверяет исполнение обязанностей, суд оценивает требования субъекта и законность действий органа. Позицию строю на их полномочиях. |
| Адвокат | Как адвокат проверяю законность действий оператора, готовлю ответ субъекту и регулятору, представляю компанию в споре. Отделяю доводы о нарушении права на доступ от требований о прекращении обработки и компенсации, чтобы по каждому вопросу были свои доказательства. |
Что это за дела
Восстанавливаю путь обращения от получения до ответа и операций с данными в системах компании.
Спор начинается с конкретного обращения: субъект хочет узнать, какие сведения о нём есть у компании, изменить их или прекратить использование. Объект правовой проверки: запрос субъекта и подтверждённые действия оператора. Содержание требования определяет, какие системы и документы предстоит проверить.
Восстанавливаю движение обращения от получения до отправки ответа и выполнения операций с данными. В комплект входят обращение, журнал регистрации, ответ и сведения об удалении или блокировании. Каждая дата — поступления запроса, ответа, удаления — получает собственное подтверждение. Проверяю также доставку ответа: подготовленный файл ещё не подтверждает, что сведения направлены заявителю.
Проверяю требования законодательства о персональных данных и основания возможной административной ответственности. Даже при обработке персональных данных одного субъекта порядок ответа требует отдельного внимания. Обработка персональных данных без согласия субъекта допускается при наличии другого законного основания; его нужно соотнести именно со спорной операцией, а не со всей деятельностью компании.
Обязанности и сроки оператора при обращении субъекта подтверждаю отдельными документами; общий регламент их не заменяет. Проверяю, какие исключения позволяют ограничить объём предоставляемых сведений. Если запрос подал представитель, проверяю полномочия на получение сведений и отделяю их от согласия на обработку данных самого представителя.
Итог проверки — позиция оператора, в которой каждое действие подтверждено датой и документом. Если субъект требует удалить данные или прекратить обработку, проверяю основания и фиксирую исполнение. Отдельно оцениваю риск штрафов оператору за нарушения в области персональных данных.
Что говорит закон: доступ субъекта к своим данным
Субъект вправе получать сведения об обработке и требовать уточнения, блокирования или уничтожения данных.
1. Субъект персональных данных имеет право на получение сведений, указанных в части 7 настоящей статьи, за исключением случаев, предусмотренных частью 8 настоящей статьи. Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.Закон о персональных данных, положение о праве субъекта на доступ
Комментарий адвоката Вруцкогоадвокат · рег. № 78/8790
Проверяю право на получение сведений отдельно от оснований уточнения, блокирования и уничтожения данных. Для ответа важно установить содержание запроса и подтвердить действия оператора: сообщение о готовности удалить записи не заменяет сведения о выполненной операции.
Что нужно доказать
Проверяю основания хранения и раскрытия сведений, полномочия заявителя и датированные подтверждения исполнения запроса.
- Квалификация. Устанавливаю, выступает ли компания оператором по спорной обработке и какие обязанности при обращении субъекта у неё возникают, и оцениваю их исполнение по датированным документам.
- Законное основание. Для хранения и раскрытия сведений проверяю законное основание обработки; ответственность оцениваю по обстоятельствам нарушения.
- Полномочия. Проверяю полномочия лица, подавшего запрос, и полномочия органа, направившего требование.
- Документирование. Файлы не должны противоречить фактическим операциям. Проверяемый комплект: обращение, журнал регистрации, ответ и сведения об удалении или блокировании.
- Контроль исполнения. Сверяю, исполнил ли оператор требование в срок и чем это подтверждено; от этого зависит риск штрафа.
- Способ защиты. Для возражений против удаления нужны основания дальнейшего хранения; для спора о сроке ответа — даты получения и отправки. Выбираю защиту по содержанию требования субъекта.
Порядок действий
Сначала выделяю самостоятельные требования субъекта и сохраняю исходное сообщение с заголовками письма.
- 1Описать объектЗафиксировать границы и участников. Объект: запрос субъекта и подтверждённые действия оператора. Уточнить, просит ли заявитель предоставить сведения, исправить записи или прекратить обработку, и выделить каждое самостоятельное требование.
- 2Сохранить материалыСохранить исходные версии и метаданные. Комплект: обращение, журнал регистрации, ответ и сведения об удалении или блокировании. Сохранить сообщение вместе с заголовками письма или отметкой о вручении; связать запись в журнале с конкретным обращением, а не только с фамилией заявителя.
- 3Исследовать нормыПроверить основания обработки и правила ответа на дату обращения. Разделить операции, основанные на согласии, договоре или сохраняющейся обязанности, и выяснить, какие из них затрагивает требование.
- 4Оценить рискОценить последствия и доказуемость: соблюдены ли обязанности и сроки оператора при обращении субъекта. Отдельно проверить, были ли раскрыты данные посторонним, сохранились ли спорные записи и подтверждено ли выполнение поручений обработчиками.
- 5Выбрать маршрутВыбрать маршрут: ответ субъекту, исправление нарушения или защита перед регулятором. Учитываю, какие сведения оператор обязан раскрыть и какие ограничения закона применимы к запросу.
- 6Исполнить решениеПодготовить и направить ответ на запрос субъекта персональных данных с подтверждением даты. Указать, что предоставлено и какие действия выполнены; при ограничении доступа изложить основание, не раскрывая сведения о других людях.
- 7Исследовать результатИсследовать исполнение и оформить подтверждение. Если субъект заявляет обработку персональных данных без согласия субъекта, ответственность оцениваю по документам об основаниях обработки и по фактическим действиям компании. Сопоставить итоговый ответ с журналами систем и подтверждениями подрядчиков. Сохранить материалы, которыми компания сможет подтвердить исполнение при повторном обращении или проверке.
Досудебный порядок
До ответа проверяю дату получения запроса, доступ субъекта к данным и подтверждения удаления или блокирования.
- Сохранить первоначальное обращение до изменения записей в системах: по нему проверяются содержание требования и дата получения. Приложить журнал регистрации, отправленный ответ и сведения об удалении или блокировании.
- Проверить, какие обязанности и сроки оператора возникли после получения обращения. Разделить срок ответа и срок выполнения операции, назначить ответственных за сбор сведений и отправку.
- Проверить, что содержит запрос субъекта персональных данных и подтверждены ли полномочия заявителя. При сомнениях в личности или полномочиях выяснить, каких подтверждений не хватает, и исключить передачу сведений постороннему.
- Определить, какие сведения предоставить субъекту и какие допустимо не раскрывать для защиты прав третьих лиц. Подготовить объяснение ограничения доступа, чтобы отказ не сводился к общей ссылке на конфиденциальность.
- Сверить заявленные цели и субъекты обработки персональных данных с фактическими операциями. Если заявлена компенсация, запросить описание нарушения и подтверждение последствий; не смешивать этот вопрос с исполнением запроса о доступе.
До ответа субъекту проверяю, как компания реализовала его право на доступ к своим персональным данным.
Через суд
Вид требования и состав сторон определяют суд и порядок рассмотрения спора субъекта с оператором.
| Вопрос | Что подтверждаю |
|---|---|
| Компетенция суда | Подсудность проверяю по предмету требования и составу сторон. Спор субъекта с оператором и оспаривание решения органа рассматриваются в разном порядке. Не переношу правила арбитражного процесса на любой иск гражданина: сначала устанавливаю вид производства и компетенцию суда. |
| Надлежащие стороны | Определяю, кто заявитель, кто оператор и кто обрабатывал данные по поручению; каждую дату подтверждаю документом. Разграничиваю действия компании и подрядчика, выясняю, кто определял цель обработки и кому было адресовано обращение. |
| Предмет требования | Уточняю, что требует субъект: доступ, уточнение, удаление или возмещение. Отправной точкой служит дата получения оператором запроса субъекта персональных данных. |
| Цифровые подтверждения | Подтверждаю сроки ответа журналом и перепиской. Комплект: обращение, журнал регистрации, ответ и сведения об удалении или блокировании. Для электронных материалов проверяю связь с заявителем и спорным периодом; выгрузка без даты и источника может не подтверждать нужный эпизод. |
| Нормативное основание | Основание хранения и объём обязанности по ответу проверяю для каждой спорной операции. Отзыв согласия сопоставляю с иными основаниями обработки; возражение против компенсации — с доказательствами нарушения и заявленных последствий. |
| Исполнение решения | После решения суда сопоставляю предписанные действия с возможностями систем и поручениями подрядчикам. Фиксирую выполнение каждой операции и направление необходимых сообщений. Полномочия представителя проверяю по документам, подтверждающим право действовать от имени субъекта. |
Регламент рассмотрения запросов помогает объяснить действия компании, но исполнение в конкретном споре подтверждают обращение, переписка, журналы и документы о выполненных операциях.
Документы
Схема передачи данных, договоры с обработчиками и логи показывают, кто и как исполнил запрос субъекта.
| Документ | Что он доказывает |
|---|---|
| Схема процесса | Показывает участников, точки передачи данных и ответственных: из неё видно, как оператор обработал запрос субъекта. |
| Договорная база | Договоры с обработчиками показывают, кто отвечает перед субъектом персональных данных (субъект ПДн) за исполнение запроса. |
| Технические материалы | Журналы и логи подтверждают, как реализовано право субъекта на защиту персональных данных. Состав: обращение, журнал регистрации, ответ и сведения об удалении или блокировании. |
| Деловая переписка | Переписка с субъектом подтверждает, когда поступил запрос и когда оператор ответил. |
| Документ органа | Требование или протокол органа определяют, какие обязанности оператора оспариваются. |
| Объём последствий | Проверяю, что запрос субъекта персональных данных должен содержать и что в нём было на самом деле; от этого зависят обязанности оператора и объём ответа. |
Каждый документ подтверждает, как реализовано право субъекта на доступ к своим данным.
Размер и расчёт
Расходы включают аудит ответа, доработку регламента и шаблонов, настройку журналов и удаления данных.
| Элемент | Как подтверждается |
|---|---|
| Правовой аудит | Проверка процедуры с момента получения оператором запроса субъекта персональных данных до ответа. |
| Переработка файлов | Доработка регламента, по которому идёт реагирование на запросы субъектов персональных данных, и шаблонов ответов; объём зависит от числа процессов и обработчиков. |
| Технические меры | Настройка журналов и удаления данных, чтобы рассмотрение запросов субъектов персональных данных укладывалось в срок. |
| Договорные платежи | Платежи обработчикам за исполнение запросов субъектов подтверждаются договорами и актами; их размер зависит от объёма операций. |
| Подтверждённые убытки | Потери компании и требования субъекта оцениваю по документам. Адекватная защита прав субъектов персональных данных и обработка персональных данных, разрешенных субъектом для распространения, проверяются отдельно. |
| Судебные расходы | Расходы на представительство перед регулятором и в суде подтверждаются договорами; риск штрафов по КоАП оцениваю отдельно. |
Каждый элемент расчёта связываю с обязанностями и сроками оператора при обращении субъекта.
Сроки давности
Срок исполнения запроса определяю отдельно от срока обращения в суд с учётом вида требования и даты события.
| Действие | Срок | Начало и условие | Норма |
|---|---|---|---|
| Претензия по денежному требованию | 30 календарных дней | Применимость претензионного порядка проверяю по характеру денежного требования. Штраф по ст. 13.11 КоАП РФ рассматривается в отдельной процедуре и не является таким требованием. | ч. 5 ст. 4 АПК РФ |
| Оспаривание решения органа | 3 месяца | Начало срока связываю с тем, когда компания узнала о нарушении своих прав решением органа; применимость этого порядка к конкретному акту проверяю отдельно. | ч. 4 ст. 198 АПК РФ |
| Апелляционная жалоба | 1 месяц | Дату принятия решения и применимые исключения проверяю по судебному акту. При пропуске срока оцениваю основания восстановления и подтверждающие документы. | ч. 1 ст. 259 АПК РФ |
| Кассационная жалоба | 2 месяца | Отсчёт связываю со вступлением обжалуемого акта в законную силу. Проверяю предыдущие стадии обжалования и доказательства причин пропуска, если он допущен. | ч. 1 ст. 276 АПК РФ |
Срок ответа субъекту и срок обращения в суд решают разные задачи. Приведённые сроки арбитражного процесса применимы только к соответствующему производству; их нельзя автоматически использовать для любого спора о данных. Начало срока проверяю по виду требования и подтверждённой дате события. Срок исполнения запроса субъекта определяю отдельно.
Виды дел
Проверяю фактическую обработку, готовлю формы ответов и согласую с обработчиками исполнение требований субъекта.
Предварительный аудит
Сравниваю заявленный порядок работы с фактическими операциями. Предмет аудита: запрос субъекта и подтверждённые действия оператора.
Разработка файлов
Готовлю регламент ответа на запросы субъектов, шаблоны ответов и формы журнала регистрации.
Согласование условий
Согласую с обработчиками сроки и порядок исполнения требований субъектов и подтверждения исполнения.
Ответ регулятору
Готовлю объяснения Роскомнадзору по жалобе субъекта. Сопоставляю поставленные органом вопросы с запросом, ответом компании и журналами операций; подтверждаю, какие сведения были предоставлены и почему часть данных сохранена.
Досудебная претензия
Отвечаю на претензию субъекта и проверяю, какие обязанности оператора она затрагивает.
Судебное представительство по требованию субъекта
Представляю компанию в споре об удалении данных и устранении нарушений; сначала устанавливаю реальный процесс.
Что влияет на исход
Позицию оператора укрепляют верное определение его роли, журнал получения запросов и подтверждённая дата ответа.
Верная правовая роль
Исход зависит от того, верно ли определены роли: кто оператор, кто обработчик и кто субъекты обработки персональных данных.
Действующая редакция
Применяю редакцию закона на дату событий; от неё зависят правила обработки запросов субъектов персональных данных.
Достоверный цифровой след
Журнал с датой получения оператором запроса субъекта персональных данных и дата ответа — главные доказательства соблюдения срока; без них риск штрафов оператору растёт.
Согласованные файлы
Обращение, журнал и ответ не должны противоречить друг другу: они вместе показывают запрос субъекта и подтверждённые действия оператора.
Своевременная реакция
Ответ субъекту в срок и с приложениями — основной довод оператора при проверке и в суде.
Исполнимое требование
Для требования удалить записи проверяю, какие данные и системы оно охватывает, остаются ли законные основания хранения и можно ли подтвердить выполнение. Позицию оператора формулирую так, чтобы было понятно, что удалено, что сохранено и по какой причине.
Возможные исходы
Спор может завершиться предоставлением сведений об обработке и подтверждений действий с учётом прав третьих лиц.
- Спор может завершиться ответом, который удовлетворит субъекта персональных данных (субъект ПДн). Для этого готовлю сведения о спорной обработке и подтверждения выполненных действий. Достаточность ответа зависит от содержания обращения и фактических операций компании.
- Субъект может получить доступ к своим данным в допустимом объёме с учётом прав третьих лиц. Если часть сведений не раскрывается, оператору потребуется объяснить ограничение; общая ссылка на коммерческую тайну сама по себе не описывает причины отказа.
- Возможна корректировка процесса: оператор исправляет порядок ответа и подтверждает исполнение обязанностей документами. Изменения регламента сопровождаются проверкой конкретного запроса, поскольку новая инструкция не устраняет автоматически прежнюю просрочку.
- Регулятор может проверить журнал учета запросов субъектов персональных данных и поставить вопрос об административной ответственности. Готовлю пояснения по датам и содержанию ответа; исправление нарушения учитывается отдельно от оценки уже совершённых действий.
Показать все результатыСвернуть
- Суд может удовлетворить требования субъекта полностью, частично или отказать в них в зависимости от доказательств. Требования о доступе, прекращении обработки и компенсации оцениваются по своим основаниям, поэтому итог по ним может различаться.
- Возможно уточнение, удаление или блокирование данных с фиксацией даты и способа исполнения. При сохранении части записей проверяю основание и пределы их использования, а также необходимость действий у лица, обрабатывающего данные по поручению оператора.
Практика дел
Расхождение регламента с операциями и отсутствие даты получения запроса мешают подтвердить соблюдение порядка ответа.
Регламент расходится с реальными действиями
В регламенте описаны категории субъектов обработки персональных данных, которых компания на деле не обрабатывает. Сверяю документы с операциями. Объект сверки: запрос субъекта и действия оператора.
Объект описан неточно
Не зафиксирована дата получения оператором запроса субъекта персональных данных, и срок ответа нечем подтвердить.
Доступ выдан без границ
Сотрудники и подрядчики имеют доступ к данным без ограничений; это осложняет ответ субъекту.
Следы событий сохранены поздно
Журналы перезаписаны, и исполнение требований субъекта и сроки ответа нечем подтвердить.
Процедуры смешаны
Ответ на запрос смешан с позицией по жалобе на обработку персональных данных без согласия субъекта: ответственность в этих процедурах оценивается по-разному.
Типичные ошибки
Ответ без проверки доверенности и чужой шаблон создают риск раскрытия сведений постороннему и пропуска обязанностей.
- Формально назвать роль. Отвечать представителю без проверки полномочий: согласие представителя субъекта персональных данных и доверенность нужно проверить до ответа, иначе сведения получит посторонний.
- Скопировать чужой документ. Чужой шаблон не учитывает ваш журнал учета запросов субъектов персональных данных, сроки и роли; ответ по нему не подтверждает исполнение обязанностей оператора.
- Потерять исходную версию. Без исходного обращения и журнала трудно доказать дату поступления запроса. Комплект: обращение, журнал регистрации, ответ и сведения об удалении или блокировании.
- Ответить без приложений. Ответить без приложений и не проверить основания: обработка персональных данных без согласия субъекта — ответственность оператора оценивается по документам.
- Смешать разные процедуры. Смешивать ответ субъекту с ответом регулятору и с позицией по штрафу. У каждой процедуры свои сроки и свой адресат, и ответ по одной не заменяет ответа по другой.
- Попросить неисполнимое. Просить у регулятора или суда то, что нельзя проверить. Позиция должна опираться на цели и субъекты обработки персональных данных, указанные в документах компании, и на фактические операции.
Возмещение ущерба
Возможный штраф за нарушение сроков ответа оцениваю отдельно от требования субъекта о компенсации вреда.
- Нарушение сроков ответа может повлечь административную ответственность. Проверяю даты получения обращения и отправки сведений, содержание требования и доказательства исполнения. Возможный штраф оцениваю отдельно от требования субъекта о компенсации: это разные последствия нарушения.
- Заявленный вред субъекту персональных данных разбираю по конкретным обстоятельствам. Уточняю, какие действия оператора оспариваются, какие последствия описаны и чем они подтверждены. Оценка вреда субъектам персональных данных в документах компании не заменяет проверку индивидуального требования.
- Расходы на удаление и блокирование данных, поиск записей и доработку систем подтверждаются заданиями, актами и расчётами. Проверяю связь каждой работы со спорным обращением, чтобы обычные затраты на обслуживание системы не включались в расчёт без объяснения.
- Даже спор о данных одного человека может потребовать проверки нескольких систем и подрядчиков. Отделяю необходимые расходы на исполнение запроса от затрат на исправление общего процесса. Их наличие ещё не означает, что всю сумму можно взыскать с другой стороны.
Показать все последствияСвернуть
- Если субъекты обработки персональных данных предъявляют денежные требования, проверяю основание и расчёт каждого из них. Разделяю имущественные потери и компенсацию морального вреда, сопоставляю доводы с перепиской и обстоятельствами раскрытия либо использования сведений.
- Расходы на судебное представительство подтверждаются договором, актами, платёжными документами и составом выполненной работы. Возможность возмещения и размер оцениваются в соответствующем процессе. Затраты на ответ регулятору и на внутренние исправления учитываю отдельно.
Комментарий адвоката Вруцкого
адвокат · рег. № 78/8790
В этой услуге начинаю с самого обращения и даты его получения. Фраза «удалите мои данные» может затрагивать несколько операций: использование аккаунта, рассылку, хранение договорных документов и передачу подрядчику. Проверяю каждую из них отдельно, поскольку прекращение одной операции не подтверждает прекращение всех остальных. Для позиции оператора нужны основания хранения, содержание ответа и записи о фактическом выполнении требования.
Ответ должен соответствовать тому, что компания действительно сделала. Если сотрудник сообщил об удалении, а записи остались в рабочей системе, переписка создаёт дополнительное противоречие. Сопоставляю письмо с журналами и подтверждениями обработчиков; при обнаружении расхождения выясняю его причину и определяю, какие действия и пояснения необходимы.
На консультации прошу сохранить исходный запрос, подтверждение получения, отправленный ответ и сведения о спорных операциях. Если уже поступила жалоба или иск, отдельно разбираю доводы заявителя и сроки соответствующей процедуры. Защиту строю по проверенным документам; вывод о законности всей обработки не делаю только потому, что ответ был отправлен вовремя.
Что я беру на себя
Устанавливаю хронологию запроса, проверяю основания обработки и собираю подтверждения действий оператора.
- Карта фактов. Устанавливаю участников и последовательность событий: когда поступил запрос субъекта и какие действия оператор подтвердил документами.
- Правовая проверка. Сопоставляю факты с правилами ответа субъекту, основаниями обработки и условиями административной ответственности.
- Подтверждения. Собираю документы, которые подтверждают действия оператора и опровергают доводы о вреде субъекту персональных данных. Материалы: обращение, журнал регистрации, ответ и сведения об удалении или блокировании.
- Процессуальные файлы. Готовлю ответы субъекту и регулятору, отзывы и возражения; проверяю, как в компании идёт обработка запросов субъектов персональных данных.
- Представительство. Объясняю Роскомнадзору последовательность работы с обращением и основания действий компании. В суде отвечаю на доводы об объёме доступа, сохранении записей и последствиях нарушения, опираясь на документы оператора.
- Контроль результата. Проверяю исполнение ответа и соблюдение сроков оператора. Сопоставляю сообщения компании с журналами операций и подтверждениями подрядчиков, отмечаю оставшиеся расхождения. Уточняю роли сотрудников и порядок, по которому субъекты обработки персональных данных получают ответ.
Как я веду дело
Порядок работы адвоката — Защита оператора по требованиям субъекта персональных данных
- 1Разбор ситуацииСмотрю документы компании и обстоятельства, определяю маршрут и называю перспективу без приукрашивания. Если задача решается силами самой компании — говорю об этом прямо.
- 2Сбор документовОпределяю, какие договоры, внутренние документы, переписка и материалы органа относятся к задаче. Недостающие сведения получаем доступным законным способом; судебные запросы возможны в соответствующей процедуре.
- 3Подготовка документовГотовлю необходимые по задаче документы: договор, ответ, возражения, заявление или жалобу. Согласуем содержание и порядок подписания; проверяем полномочия лица, которое направляет документ.
- 4Представительство по задачеПо согласованному поручению веду переговоры, представляю интересы в компетентном органе или суде. Заранее объясняю, когда необходимо личное участие представителя компании и какие документы потребуются.
- 5Результат и дальнейшие действияРазбираю полученное решение или подготовленный документ и объясняю последующие действия. Исполнение судебного акта, обжалование и дополнительные этапы входят в работу в объёме, предусмотренном соглашением.
- 6Связь на всех этапахСогласуем контактное лицо компании и порядок информирования. Сообщаю о значимых событиях и необходимых решениях в пределах принятого поручения.
Сам или с адвокатом
Компания регистрирует запрос и сохраняет исходные материалы, а адвокат проверяет обязанности по ответу субъекту.
Что делает компания
Компания фиксирует обращения и собирает исходные материалы, даже если речь об обработке персональных данных 1 субъекта.
- Регистрировать каждое обращение в журнале с датой поступления и ответственным. Эти записи подтверждают, как реализовано право субъекта на доступ к своим данным и соблюдён ли срок.
- Сохранить обращение с отметкой о получении, журнал регистрации и отправленный ответ вместе с подтверждением доставки. Приложить сведения об удалении или блокировании и указать, из какой системы они получены.
- Указать, кто в компании — субъект, осуществляющий обработку персональных данных, и кто отвечает за ответ.
Работа адвоката
Адвокат оценивает квалификацию, подтверждения, сроки и процедуру защиты.
- Соотнести факты с правилами предоставления сведений субъекту и основаниями обработки в редакции на дату событий.
- Проверить, какие сведения оператор обязан предоставить субъекту, а какие допустимо не раскрывать для защиты прав третьих лиц, и подготовить ответ с приложениями.
- Проверить сроки и объём ответа, сопоставить сообщения оператора с выполненными операциями и определить, какие расхождения требуют исправления или пояснения.
Регистрацию обращений ведёт компания, а квалификацию, ответ и оценку риска по КоАП стоит поручить адвокату.
Стоимость зависит от объёма работы и того, до какой инстанции дойдёт дело. Размер вознаграждения определяется соглашением об оказании юридической помощи и фиксируется в нём вместе с объёмом работ — ст. 25 ФЗ «Об адвокатской деятельности и адвокатуре». Скрытых платежей нет: всё, что не в соглашении, не оплачивается.
| Этап работы | Когда нужен | Что вы получаете | Цена |
|---|---|---|---|
| Разбор задачи компании | До подписания, ответа на требование или иска | Оценка рисков и план действий; если справитесь своими силами — скажу прямо | от 10 000 ₽ |
| Документы и переписка | Договор, протокол разногласий, претензия, ответ органу | Проект документа, согласованный с вами до подписания или отправки | по соглашению |
| Представительство в компетентном суде | Спор дошёл до суда | Иск или отзыв, расчёты, доказательства, участие в заседаниях | по соглашению |
| Апелляция и кассация | Решение не устроило | Жалоба и участие в вышестоящем суде | по соглашению |
| Выезд по вопросу бизнеса | Проверка, переговоры, встреча в офисе компании | Разбор на месте и план ближайших действий | от 50 000 ₽ |
Константин Александрович Вруцкий
№ 78/8790 · адвокат · в профессии с 2006 года
Я веду поручение лично. При обращении разбираю задачу, необходимые действия и объём помощи, который закрепляю в соглашении.
Сведения, полученные в связи с обращением за юридической помощью, охраняются адвокатской тайной.
Личное ведениеВеду дело лично по письменному соглашению с адвокатом; в нём закрепляю поручение и объём помощи.
Честная оценкаНе обещаю результата. Оцениваю перспективы и риски; если задача решается своими силами, говорю прямо.
Адвокатская тайнаСведения, полученные в связи с обращением за юридической помощью, охраняются адвокатской тайной.
Понятные следующие шагиОбъясняю значение документа или решения и следующие действия. Объём представительства и обжалования закрепляю в соглашении.
Частые вопросы
Подготовку ответа начинаю с регистрации обращения, проверки срока и полномочий получателя сведений.
С чего начать ответ на запрос субъекта?
С регистрации обращения и проверки срока ответа. Затем устанавливаю, какие обязанности у оператора возникли. Объект проверки: запрос субъекта и подтверждённые действия оператора. Сохраните исходное сообщение и отметку о получении до любых изменений в системах; отдельно проверьте, кто вправе получить ответ.
Какие нормы применяются?
Проверяю законодательство о персональных данных и правила соответствующей процедуры защиты. Применимость нормы зависит от содержания требования, роли компании и даты действий. Право на доступ, отзыв согласия и требование о компенсации не свожу к одной обязанности.
Подойдёт ли типовой ответ?
Нет. Ответ зависит от того, какие данные обрабатываются, и от содержания запроса. Шаблон может помочь со структурой, но основания хранения, список операций и подтверждения исполнения должны относиться к заявителю. Не включайте в ответ сведения о других людях без проверки допустимости раскрытия.
Что сохранить до исправления нарушения?
Обращение, журнал и ответ с датами — они подтверждают сроки и действия оператора. Проверяемый комплект: обращение, журнал регистрации, ответ и сведения об удалении или блокировании. Для электронной переписки сохраните также сведения об отправке и доставке: дата создания ответа не равна дате его направления.
Показать все вопросыСвернуть
Как отвечать на претензию субъекта о компенсации?
Разбираю заявленное нарушение, сумму и описанные последствия, проверяю подтверждения. Денежное требование рассматриваю отдельно от запроса о доступе или удалении: необходимость ответа и выполнения операций с данными сохраняется независимо от разногласий по компенсации.
Какой суд рассматривает спор?
Подсудность определяю по предмету требования, составу сторон и виду производства. Иск субъекта к компании и обжалование акта регулятора могут рассматриваться по разным правилам. До подготовки возражений проверяю полученный судебный документ и срок ответа на него.
Что делать, если ответ отправлен с опозданием?
Устанавливаю фактическую дату получения запроса, причину задержки и содержание направленного ответа. Проверяю, выполнены ли требуемые операции. Просрочку нельзя устранить изменением даты в журнале; для защиты сохраняю достоверную хронологию и документы об исправлении нарушения.
Что получает компания после завершения защиты по требованию субъекта?
Компания получает правовую позицию, проект ответа субъекту и комплект подтверждений исполнения его запроса. Отдельно определяю, какие сведения следует предоставить, что допустимо скрыть для защиты прав третьих лиц и как зафиксировать соблюдение срока. Если заявлен штраф, проверяю конкретный состав и доказательства вины оператора.