Сроки ответа на запрос человека о его данных

Три срока, которые постоянно путают: семь рабочих дней, десять рабочих дней и тридцать дней. Разбираем, какой к чему относится.

Короткий ответ

Если человек подтвердил, что его данные у вас неточные, их нужно исправить в срок не больше семи рабочих дней. Если подтвердил, что они получены незаконно или не нужны для цели, — уничтожить в тот же срок. А на простой вопрос «что вы обо мне храните» — ответить в течение десяти рабочих дней.

Нормы

Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

Это право человека из части 1 статьи 14 закона № 152-ФЗ. Обязанность организации — в части 3 статьи 20:

В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, оператор обязан внести в них необходимые изменения.

Три срока, которые путают

Семь рабочих дней — исправить неточные или уничтожить незаконные и ненужные данные после того, как человек это подтвердил (часть 3 статьи 20).
Десять рабочих дней — сообщить человеку, какие данные о нём есть, и дать с ними ознакомиться (часть 1 статьи 20). Срок можно продлить ещё на пять рабочих дней, если направить человеку мотивированное уведомление с причинами.
Тридцать дней — прекратить обработку и уничтожить данные после отзыва согласия (часть 5 статьи 21). Это другая ситуация, о ней отдельная статья.

Что ещё требует та же часть

После исправления или уничтожения организация уведомляет человека о том, что сделано, и принимает разумные меры, чтобы уведомить третьих лиц, которым эти данные передавались (часть 3 статьи 20). Если данные клиента лежат ещё у бухгалтерии на аутсорсе или в сервисе рассылок, исправлять придётся и там.

Как это организовать

Один адрес для таких обращений — его указывают в политике.
Журнал обращений: дата поступления, что просили, что сделано, дата ответа. По нему видно, уложились ли вы в срок.
Ответственный, который следит за сроками. Организовывать приём и обработку обращений — прямая обязанность ответственного за организацию обработки (часть 4 статьи 22.1).

Как это проверяют

Вопросы 34, 37 и 39 проверочного листа Роскомнадзора. Проверяющий просит показать журнал обращений и порядок работы с запросами, а при жалобе — переписку с конкретным человеком и даты.

Ещё по теме

Обязательство о неразглашении персональных данныхЗачем подпись о неразглашении и с кем её брать.Внутренний контроль по персональным даннымЧто проверять на внутреннем контроле и как часто.Ознакомление сотрудников с документами по ПДнКого и с какими документами знакомить под подпись.

Проверьте себя за минуту

Роскомнадзор публикует поимённый план профилактических визитов. Введите ИНН — покажу, есть ли ваша организация в плане на 2026 год и какие у вас даты.

Проверить по ИНН Задать вопрос письмом