Примерная форма регламента реагирования на запросы/обращения субъектов персональных данных и их представителей, уполномоченных органов по поводу неточности персональных данных, неправомерности их обработки, отзыва согласия и доступа субъекта персональных данных к своим данным (ноябрь 2024)

>>

[полное наименование организации]

Утверждаю [подпись, Ф. И. О. руководителя организации] [число, месяц, год] М. П.

Правила рассмотрения запросов субъектов персональных данных или их представителей

[наименование организации]

1. Общие положения

1.1. Настоящие Правила разработаны в соответствии с ФЗ от 27 июля 2006 г. N 152-ФЗ "О персональных данных", Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утв. постановлением Правительства РФ от 15 сентября 2008 г. N 687, Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утв. постановлением Правительства РФ от 1 ноября 2012 г. N 1119, а также иными специальными требованиями и рекомендациями по технической защите конфиденциальной информации.

1.2. Настоящие Правила определяют порядок приема, учета (регистрации) и рассмотрения запросов субъектов персональных данных или их представителей в [наименование организации] (далее - оператор, запросы).

1.3. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

- подтверждение факта обработки персональных данных оператором;

- правовые основания и цели обработки персональных данных;

- цели и применяемые оператором способы обработки персональных данных;

- наименование и место нахождения оператора, сведения о лицах, которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании федерального закона;

- обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;

- сроки обработки персональных данных, в том числе сроки их хранения;

- порядок осуществления субъектом персональных данных прав, предусмотренных ФЗ от 27.07.2006 N 152-ФЗ "О персональных данных";

- информацию об осуществленной или о предполагаемой трансграничной передаче данных;

- наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;

- иные сведения, предусмотренные ФЗ от 27.07.2006 N 152-ФЗ "О персональных данных" или другими федеральными законами.

1.4. Сведения, указанные в п. 1.3 настоящих Правил, должны быть предоставлены субъекту персональных данных в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.

1.5. Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

2. Прием, регистрация и рассмотрение запросов

2.1. Сведения, касающиеся обработки персональных данных субъекта персональных данных, предоставляются оператором субъекту персональных данных или его представителю при обращении либо при получении запроса в соответствии с законодательством и настоящими Правилами.

2.2. Запрос может быть подан одним из следующих способов:

- лично;

- письменно;

- с использованием средств факсимильной связи или электронной связи, в том числе через официальный сайт оператора в сети Интернет.

2.3. При личном обращении субъект персональных данных или его представитель предъявляет документ, удостоверяющий его личность, а также документ, подтверждающий полномочия представителя (в случае обращения представителя).

2.4. Содержание устного обращения субъекта персональных данных или его представителя заносится в карточку личного приема. Если изложенные в устном обращении факты и обстоятельства являются очевидными и не требуют дополнительной проверки, ответ с согласия субъекта персональных данных или его представителя может быть дан устно в ходе приема, о чем делается запись в карточке личного приема.

2.5. Если при личном обращении субъект персональных данных или его представитель изъявил желание получить ответ в письменной форме, субъекту персональных данных или его представителю предлагается оформить письменный запрос.

2.6. Если в обращении содержатся вопросы, решение которых не входит в компетенцию оператора, субъекту персональных данных или его представителю дается разъяснение, куда и в каком порядке ему следует обратиться.

2.7. Письменные запросы подлежат регистрации как входящая корреспонденция и передаются [наименование должности лица, уполномоченного рассматривать запросы].

2.8. Днем поступления запроса считается дата его регистрации.

2.9. При рассмотрении запросов обеспечивается:

- объективное, всестороннее и своевременное рассмотрение запроса;

- принятие мер, направленных на восстановление или защиту нарушенных прав, свобод и законных интересов субъектов персональных данных;

- предоставление ответов по существу запроса.

2.10. По результатам рассмотрения запроса осуществляется подготовка одного из следующих ответов:

- о наличии персональных данных, относящихся к соответствующему субъекту персональных данных;

- об отказе в предоставлении информации о наличии персональных данных.

2.11. Ответ об отказе в предоставлении информации о наличии персональных данных должен быть мотивированным, содержать ссылку на положение ч. 8 ст. 14 ФЗ от 27 июля 2006 г. N 152-ФЗ "О персональных данных", являющееся основанием для такого отказа, и должен быть дан в срок, не превышающий тридцати дней со дня обращения субъекта персональных данных или его представителя либо с даты регистрации запроса.

2.12. Помимо подготовки ответа о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, оператор принимает следующие основные меры:

- блокирование - мера, осуществляемая в случае, если в запросе содержатся сведения, подтверждающие, что персональные данные являются неполными и (или) осуществляется неправомерная обработка указанных данных;

- уточнение (изменение) и снятие блокирования - мера, осуществляемая в подтверждение факта неточности персональных данных и устранение данной неточности;

- прекращение неправомерной обработки персональных данных - мера, осуществляемая в случае выявления неправомерной обработки персональных данных;

- уничтожение - мера, осуществляемая в случае, если обеспечить правомерность обработки персональных данных невозможно;

- прекращение неправомерной обработки персональных данных и уничтожение - мера, осуществляемая в случае достижения цели обработки персональных данных, отзыва субъектом персональных данных согласия на обработку его персональных данных, если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных;

- блокирование и уничтожение - мера, осуществляемая в случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в частях 3-5 ст. 21 ФЗ от 27 июля 2006 г. N 152-ФЗ "О персональных данных".

При принятии в соответствующих случаях указанных мер должно быть обеспечено соблюдение сроков, установленных ФЗ "О персональных данных".

2.13. Ответ на запрос должен быть направлен, выдан лично соответствующему лицу, обратившемуся с запросом, не позднее тридцати календарных дней со дня получения запроса, если более короткие сроки не установлены законодательством.

2.14. Если в запросе содержится просьба отправить ответ на электронную почту с указанием ее адреса, ответ на запрос отправляется в соответствии с требованиями законодательства на соответствующий адрес электронной почты.

2.15. Если в запросе указан почтовый адрес и телефон, ответственный исполнитель по телефону сообщает лицу, обратившему с запросом, о возможности лично забрать ответ на запрос и (или) запрошенные копии документов либо получить указанные документы по почтовому адресу.

2.16. Выдача ответа на запрос и (или) запрашиваемых копий документов производится ответственным исполнителем лично субъекту персональных данных после предъявления указанным лицом паспорта или иного документа, удостоверяющего его личность, либо представителю указанного субъекта после предъявления им паспорта или иного документа, удостоверяющего личность, а также доверенности, подтверждающей его полномочия на получение ответа на запрос.

3. Порядок ознакомления субъекта персональных данных или его представителя с документами, содержащими персональные данные указанного субъекта

3.1. Оператор обязан предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных.

3.2. [Должность уполномоченного лица] в пределах своих полномочий по просьбе субъекта персональных данных или его представителя дает пояснения, касающиеся запрошенных персональных данных и (или) информации, касающейся обработки персональных данных.

3.3. При ознакомлении с документами, содержащими персональные данные, если иное не установлено законодательством, субъекту персональных данных или его представителю должна быть предоставлена возможность снимать с них копии с использованием собственных технических средств, а также делать выписки.