Журнал учёта обращений субъектов ПДн

Статья 14 закона 152-ФЗ закрепляет за субъектом персональных данных право получить от оператора информацию, касающуюся обработки его данных: подтверждение факта обработки, правовые основания и цели обработки, применяемые способы обработки, сведения о лицах, которым данные передаются, сроки их обработки и хранения.

На практике обращения делятся на несколько типов: запрос информации об обработке; требование уточнить, блокировать или уничтожить данные, если они неполны, неактуальны, недостоверны или обрабатываются незаконно; отзыв ранее данного согласия; жалоба на неправомерную обработку.

Журнал должен учитывать все эти типы обращений, а не только формальные письменные запросы — устные обращения, зафиксированные сотрудником, тоже стоит регистрировать, если они содержат существо требования, которое закон относит к правам субъекта.

Минимальный набор сведений, без которых журнал не выполняет свою функцию:

Журнал можно вести в бумажной или электронной форме — закон не устанавливает обязательного шаблона. Важно, чтобы записи было легко проверить хронологически и чтобы по каждой строке можно было восстановить дату получения обращения и дату фактического ответа.

Статья 20 закона 152-ФЗ устанавливает конкретные сроки для разных типов запросов. Оператор обязан предоставить субъекту персональных данных или его представителю возможность ознакомления с его персональными данными, а также сообщить запрашиваемую информацию в срок, установленный этой статьёй, при поступлении соответствующего запроса.

Пропуск установленного срока — самостоятельное нарушение, за которое предусмотрена административная ответственность по ст. 13.11 КоАП РФ, независимо от того, была ли обработка данных как таковая законной. Именно поэтому журнал обращений — не бюрократическая формальность, а инструмент контроля сроков.

Практический совет: журнал стоит вести так, чтобы дата истечения срока ответа была видна сразу — отдельной колонкой или через систему напоминаний, — а не вычислялась вручную каждый раз при проверке.

Ведение журнала логично возложить на ответственного за организацию обработки персональных данных, назначенного по ст. 22.1 закона 152-ФЗ, — именно он по закону обязан организовывать приём и обработку обращений субъектов персональных данных и контролировать поступающую корреспонденцию по этим вопросам.

Если обращение поступило непосредственно другому сотруднику — например, менеджеру, который работает с клиентом напрямую, — инструкция по обработке ПДн должна предписывать немедленную передачу такого обращения ответственному, а не самостоятельный ответ клиенту без регистрации.

Журнал служит не только для контроля сроков, но и как доказательная база при проверке Роскомнадзором: по нему видно, что организация системно работает с обращениями субъектов, а не реагирует на них хаотично или вовсе игнорирует.

Полезно периодически анализировать журнал не только по каждому обращению отдельно, но и в целом: если одна и та же категория жалоб повторяется — например, клиенты регулярно просят исключить их из рассылки, а этого не происходит с первого раза, — это сигнал пересмотреть сам процесс, а не только реагировать на отдельные обращения.

При проверке журнала обращений регулятор чаще всего выявляет четыре повторяющихся дефекта.

• Устные обращения не регистрируются. Клиент позвонил и попросил удалить его данные — просьба выполнена, но нигде не зафиксирована. При проверке невозможно подтвердить дату обращения и соблюдение срока ответа.
• Ответ даётся без регистрации в журнале. Сотрудник отвечает клиенту напрямую по почте, журнал не заполняется — теряется системный учёт, а при повторном обращении того же субъекта сложно восстановить историю.
• Не проверяются полномочия представителя. Если от имени субъекта обращается представитель, оператор обязан убедиться в наличии у него соответствующих полномочий, прежде чем предоставлять информацию о персональных данных.
• Игнорирование части обращения. Субъект в одном письме просит и предоставить информацию, и уничтожить часть данных — ответ на первую часть не должен подменять реакцию на вторую; каждое требование в обращении нужно закрыть отдельно.