Образец порядка рассмотрения обращений и запросов субъектов персональных данных

Что должно быть в документе

• кто принимает обращения и по каким адресам (почтовый и электронный), кто отвечает за рассмотрение;
• регистрация обращения в день поступления и журнал учёта обращений субъектов;
• требования к содержанию запроса субъекта или его представителя (часть 3 статьи 14 Закона);
• сроки ответов: 10 рабочих дней субъекту (часть 3 статьи 14 и часть 1 статьи 20 Закона) и Роскомнадзору (часть 4 статьи 20), с продлением не более чем на 5 рабочих дней;
• сроки действий по статье 21 Закона: уточнение — 7 рабочих дней, прекращение неправомерной обработки — 3 рабочих дня, уничтожение — 10 рабочих дней, отзыв согласия — до 30 дней, требование о прекращении обработки — 10 рабочих дней;
• уведомления об инцидентах: 24 часа о факте и 72 часа о результатах внутреннего расследования (часть 3.1 статьи 21 Закона);
• уведомления об изменении сведений реестра операторов и о прекращении обработки (часть 7 статьи 22 Закона);
• порядок мотивированного отказа и правила повторного запроса (часть 4 статьи 14 Закона).

Как оформить

1. Определите канал приёма обращений: почтовый адрес и адрес электронной почты, которые вы действительно читаете.
2. Назначьте ответственного за рассмотрение — как правило, ответственного за организацию обработки персональных данных.
3. Заведите журнал учёта обращений субъектов и правило регистрировать обращение в день поступления.
4. Перенесите в порядок сроки по видам обращений и закрепите, кто и как готовит ответ.
5. Утвердите порядок приказом руководителя и ознакомьте с ним работников, участвующих в рассмотрении.
6. Опубликуйте контакты для обращений в политике обработки персональных данных — субъект должен знать, куда писать.

Типовой образец, актуален на 2026 год. Это ориентир — заполните поля в квадратных скобках и адаптируйте под свои процессы. Чтобы собрать документ под ваш профиль, с подстановкой реквизитов и в актуальной редакции, воспользуйтесь сервисом.

УТВЕРЖДЁН
приказом [наименование оператора]
от «___» __________ 20__ г. № ____

ПОРЯДОК
рассмотрения обращений (запросов) субъектов персональных данных,
запросов Роскомнадзора и уведомлений об инцидентах
[наименование оператора, ИНН, ОГРН]

1. Общие положения
1.1. Настоящий Порядок устанавливает правила приёма, регистрации и рассмотрения обращений (запросов) субъектов персональных данных и их представителей, запросов уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзора), а также направления уведомлений в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ (далее — Закон).
1.2. Обращения принимаются по адресу: [почтовый адрес] и по электронной почте: [адрес]. Обращение регистрируется в день поступления в журнале учёта обращений субъектов персональных данных.
1.3. Рассмотрение обеспечивает ответственный за организацию обработки персональных данных: [должность, ФИО, контакты].
1.4. Запрос субъекта должен содержать номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе, сведения, подтверждающие участие субъекта в отношениях с оператором либо иным образом подтверждающие факт обработки, подпись субъекта или представителя (часть 3 статьи 14 Закона). Запрос может быть направлен в электронной форме и подписан электронной подписью.
1.5. Отказ допускается только по основаниям, установленным законом, и оформляется мотивированным ответом.

2. Сроки
2.1. Предоставление субъекту сведений об обработке его персональных данных (состав сведений — часть 7 статьи 14 Закона) — 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления (часть 3 статьи 14 Закона). Сообщение о наличии персональных данных и ознакомление с ними — при обращении либо в течение 10 рабочих дней с даты получения запроса (часть 1 статьи 20 Закона).
2.2. Ответ на запрос Роскомнадзора — 10 рабочих дней со дня получения запроса; продление — не более чем на 5 рабочих дней (часть 4 статьи 20 Закона).
2.3. Уточнение неточных персональных данных — 7 рабочих дней со дня представления субъектом подтверждающих сведений; на период проверки данные блокируются (части 1 и 2 статьи 21 Закона).
2.4. Уничтожение незаконно полученных или излишних персональных данных по обращению субъекта — 7 рабочих дней со дня представления сведений (часть 3 статьи 20 Закона).
2.5. Прекращение неправомерной обработки — 3 рабочих дня с даты выявления; при невозможности обеспечить правомерность обработки данные уничтожаются в течение 10 рабочих дней (часть 3 статьи 21 Закона).
2.6. Отзыв субъектом согласия — прекращение обработки и уничтожение данных в срок до 30 дней, если отсутствует иное правовое основание обработки (часть 5 статьи 21 Закона).
2.7. Требование субъекта о прекращении обработки — 10 рабочих дней; продление — не более чем на 5 рабочих дней (часть 5.1 статьи 21 Закона).
2.8. Уведомление Роскомнадзора об инциденте (неправомерной или случайной передаче персональных данных) — 24 часа о факте инцидента и 72 часа о результатах внутреннего расследования (часть 3.1 статьи 21 Закона).
2.9. Уведомление Роскомнадзора об изменении сведений реестра операторов — до 15-го числа месяца, следующего за месяцем изменения; о прекращении обработки — 10 рабочих дней (часть 7 статьи 22 Закона).

3. Оформление
3.1. Ответы субъектам и уполномоченному органу оформляются письменно; сведения предоставляются в доступной форме и не должны содержать персональные данные других субъектов.
3.2. Повторный запрос допускается по истечении 30 дней после первоначального обращения, если более короткий срок не установлен законом либо если в первоначальном ответе информация была предоставлена не в полном объёме (часть 4 статьи 14 Закона).
3.3. Подтверждение уничтожения персональных данных оформляется в соответствии с требованиями, установленными Роскомнадзором (часть 7 статьи 21 Закона).

Ответственный за организацию обработки персональных данных
_______________ / [ФИО] /

Частые вопросы