Статья 21. Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, уточнению, блокированию и уничтожению персональных данных

Статья 21. Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, уточнению, блокированию и уничтожению персональных данных

1. В случае выявления недостоверных персональных данных или неправомерных действий с ними оператора при обращении или по запросу субъекта персональных данных или уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование персональных данных, относящихся к соответствующему субъекту персональных данных, с момента такого обращения или получения такого запроса на период его проверки.

2. В случае подтверждения факта недостоверности персональных данных оператор на основании документов, представленных субъектом персональных данных, уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить их и снять блокирование.

3. В случае выявления неправомерных действий с персональными данными оператор в срок, не превышающий 3 рабочих дней с даты такого выявления, обязан устранить допущенные нарушения. В случае невозможности устранения допущенных нарушений оператор обязан в срок, не превышающий трех рабочих дней с даты установления неправомерности действий с персональными данными обязан уничтожить персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных, а также уполномоченный орган по защите прав субъектов персональных данных, если обращение или запрос, были направлены указанным органом.

4. В случае достижения цели обработки персональных данных оператор обязан незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий трех рабочих дней с даты достижения цели обработки персональных данных, если иное не предусмотрено федеральными законами, и уведомить об этом субъекта персональных данных, а также уполномоченный орган по защите прав субъектов персональных данных, если обращение или запрос, были направлены указанным органом.

5. В случае отзыва субъектом персональных данных согласия на обработку своих персональных данных, оператор обязан прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий трех рабочих дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между оператором и субъектом персональных данных. Об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных.