Журнал учёта обращений субъектов персональных данных: обязателен ли, образец, сроки

Журнал учёта обращений субъектов персональных данных — это учётный документ оператора, в котором регистрируются все обращения и запросы граждан (субъектов ПДн) или их представителей о своих персональных данных и фиксируются результаты их рассмотрения. В журнал попадают запросы на доступ к сведениям об обработке, требования уточнить, заблокировать или уничтожить данные, а также отзывы согласия на обработку — то есть всё, что подпадает под права субъекта из главы 3 152-ФЗ.

Это не то же самое, что уведомление в Роскомнадзор об обработке персональных данных: уведомление оператор подаёт регулятору о своём намерении обрабатывать ПДн, а обращение по журналу подаёт сам человек, чьи данные обрабатываются, — напрямую оператору. Это два разных документа с разным адресатом и разным поводом.

Журнал ведут не «для галочки»: без него сложно доказать проверяющему, что каждое обращение зарегистрировано и обработано в срок, установленный статьями 14 и 20 152-ФЗ. На проверках Роскомнадзор запрашивает копии обращений граждан по вопросам уточнения, удаления или уничтожения ПДн и копии ответов оператора — иметь единый реестр таких обращений вместо разрозненной переписки заметно упрощает подготовку к проверке.

Статья 14 152-ФЗ даёт субъекту персональных данных право получить от оператора сведения об обработке его данных, а также потребовать их уточнения, блокирования или уничтожения, если данные неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели обработки. Право прямо не абсолютно — часть 8 статьи 14 перечисляет пять оснований, по которым доступ может быть ограничен (например, обработка в целях обороны и охраны правопорядка или если доступ нарушает права третьих лиц).

Часть 7 статьи 14 определяет, что именно вправе узнать субъект: подтверждение факта обработки, правовые основания и цели обработки, применяемые способы обработки, наименование и место нахождения оператора, сами обрабатываемые данные и источник их получения, сроки обработки и хранения, порядок реализации своих прав, сведения о трансграничной передаче, данные обработчика-подрядчика (если обработка ему поручена) и сведения о способах исполнения обязанностей по статье 18.1 152-ФЗ.

Запрос субъекта, по части 3 статьи 14, должен содержать номер документа, удостоверяющего личность, сведения о его выдаче, данные, подтверждающие отношения с оператором (номер договора и т. п.), и подпись — в том числе в форме электронного документа с электронной подписью. Повторно обратиться за теми же сведениями субъект вправе не ранее чем через 30 дней после первого обращения (ч.

4 ст. 14), кроме случая, когда первый ответ не был предоставлен в полном объёме (ч. 5 ст. 14) — тогда повторный запрос с обоснованием можно направить раньше.

152-ФЗ не устанавливает документ с названием «журнал учёта обращений субъектов ПДн» и не утверждает для него типовую форму — в этом принципиальное отличие от уведомления в Роскомнадзор, где форма утверждена отдельным приказом регулятора. Но пункт 3 части 4 статьи 22.1 152-ФЗ прямо обязывает ответственного за организацию обработки персональных данных «организовывать приём и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществлять контроль за приёмом и обработкой таких обращений и запросов».

Как именно организовать приём и учёт — оператор решает сам. На практике для этого заводят отдельный журнал, а не полагаются на общий документооборот входящей корреспонденции: в общем реестре теряются специфичные для 152-ФЗ статусы, сроки продления и основания отказа, а при проверке приходится демонстрировать инспектору весь массив входящих писем вместо одной понятной таблицы.

Единого бланка журнала в законе нет, поэтому ниже — рабочая структура граф, которая покрывает требования статей 14 и 20 152-ФЗ и годится как образец для собственной формы оператора. Журнал обычно ведут в виде книги или таблицы с последовательно пронумерованными листами; при большом потоке обращений форму переносят в электронную таблицу или CRM, сохраняя тот же набор граф.

↔ таблицу можно прокрутить вбок

Пример заполненных строк — как это может выглядеть на практике:

↔ таблицу можно прокрутить вбок

Базовый срок ответа на обращение или запрос субъекта — десять рабочих дней с момента обращения либо с даты получения запроса (ч. 3 ст. 14, ч. 1 ст. 20 152-ФЗ); срок можно продлить не более чем на пять рабочих дней, направив субъекту мотивированное уведомление о причинах продления. Тот же десятидневный срок с той же возможностью пятидневного продления действует и для мотивированного письменного отказа в предоставлении сведений (ч.

2 ст. 20) — ссылку на конкретное основание отказа нужно указать, опираясь на часть 8 статьи 14 или другой федеральный закон.

↔ таблицу можно прокрутить вбок

Если после исправления или уничтожения данных оператор передавал их третьим лицам, часть 3 статьи 20 обязывает уведомить об изменениях не только самого субъекта, но и «принять разумные меры» для уведомления этих третьих лиц. Именно фиксация даты уведомления и предпринятых мер — то, что графа «результат рассмотрения» в журнале должна показывать в первую очередь.

Журнал заводят как отдельный документ, а не смешивают с общей входящей корреспонденцией — иначе специфичные для 152-ФЗ сроки и статусы теряются в общем потоке писем. Форму журнала утверждают приказом по организации либо оформляют приложением к политике обработки персональных данных, там же указывают ответственного за ведение, место и порядок хранения.

Устные обращения — например, вопрос сотрудника отделу кадров «покажите, что у вас есть в моём личном деле» — тоже стоит фиксировать в журнале с датой и результатом: закон не делает исключения для формы обращения, право на доступ по статье 14 не привязано к письменной форме запроса как обязательному условию для самого факта обращения, хотя формальный запрос с подтверждающими сведениями (ч. 3 ст. 14) закон описывает отдельно.