Штрафы по 152-ФЗ до 15 млн ₽ — проверьте сайт бесплатно Проверить сайт →
Проверить сайт
Главная›База знаний›Запросы субъектов
База знаний · инструкция для оператора

Запрос субъекта персональных данных: как оператору отвечать и какие штрафы

Права субъектов 9 мин чтения

На запрос субъекта персональных данных оператор обязан ответить за 30 дней, а сведения предоставляются бесплатно 1 раз в год (ст. 20 152-ФЗ). Уточнение, блокирование и уничтожение данных выполняются за 7 рабочих дней (ст. 21). За невыполнение — штрафы по ст. 13.11 КоАП до 500 тыс ₽ для юрлица при повторном нарушении.

ст. 14 и ст. 20 152-ФЗ 30 дней · бесплатно 1 раз в год ст. 13.11 КоАП: ч. 4, ч. 5, ч. 5.1
Права субъекта · ст. 14 152-ФЗ

Что такое запрос субъекта персональных данных

Субъект персональных данных — это человек, чьи данные обрабатывает сайт или бизнес. Оператор — лицо, организующее и (или) осуществляющее обработку ПД (ст. 3 152-ФЗ). Запрос субъекта — главный инструмент контроля со стороны гражданина: любой человек может потребовать у оператора разобраться с его данными.

По ст. 14 152-ФЗ субъект вправе получить информацию о том, как обрабатываются его данные, а также потребовать:

  • уточнить свои персональные данные;
  • заблокировать или уничтожить персональные данные, если они обрабатываются неправомерно или стали неполными, устаревшими, недостоверными;
  • ознакомиться с данными, которые оператор о нём хранит.

Запрос может поступить письменно, по электронной почте или через форму на сайте. Важно зафиксировать дату поступления: от неё отсчитывается срок, в который оператор обязан ответить.

Порядок рассмотрения · ст. 20 152-ФЗ

Сроки ответа на запрос субъекта ПД

Правила рассмотрения запросов субъектов просты: оператор обязан принять обращение и выполнить требование в установленный законом срок. Рассмотрение запросов — не добровольная вежливость, а обязанность, за нарушение которой предусмотрена ответственность.

СитуацияСрок
Предоставление сведений о наличии и содержании ПД субъекта30 дней, бесплатно 1 раз в год (ст. 20 152-ФЗ)
Мотивированный письменный отказ в предоставлении сведений10 рабочих дней (ч. 2 ст. 20 152-ФЗ)
Блокирование ПД при неправомерной обработкене более 3 рабочих дней (ст. 21 152-ФЗ)
Уточнение, блокирование или уничтожение ПД по требованию субъекта7 рабочих дней (ст. 21 152-ФЗ)

Источник: ст. 20–21 152-ФЗ (актуальная редакция, сверка 04.08.2026).

Главный срок — 30 дней. Не ответили субъекту в течение 30 дней с даты запроса (или не дали мотивированный отказ за 10 рабочих дней) — состав по ч. 4 ст. 13.11 КоАП, даже если позже всё исправили.

Пошаговый план ответа на запрос субъекта

Когда приходит запрос от субъекта, важно действовать по чёткому алгоритму, чтобы уложиться в сроки и не получить штраф.

  1. Зафиксируйте дату поступления. От неё отсчитываются все сроки. Запрос по email, через форму на сайте или по почте — всё равно фиксируйте.
  2. Проверьте личность субъекта. Убедитесь, что запрос пришёл от того человека, чьи данные вы обрабатываете. При сомнениях запросите дополнительные сведения.
  3. Определите, что именно запрашивают. Информацию о себе? Уточнение? Блокировку? Уничтожение? От этого зависит срок и способ ответа.
  4. Соберите данные. Найдите все сведения о субъекте в своих информационных системах (CRM, базы, файлы).
  5. Подготовьте ответ. Если запрос на предоставление сведений — соберите информацию по ст. 14 152-ФЗ. Если на уточнение/блокировку/уничтожение — выполните действие.
  6. Направьте ответ. Письменно, на электронную почту или через форму — тем же способом, которым пришёл запрос.
  7. Запишите в журнал учёта. Дату поступления, суть запроса, дату ответа и что именно ответили.

Важно: если вы не можете выполнить требование, вы должны дать мотивированный письменный отказ в течение 10 рабочих дней (ч. 2 ст. 20 152-ФЗ).

Как правильно отказать в запросе

Отказать можно, но только по законным основаниям. И отказ должен быть мотивированным — то есть с чётким объяснением, почему вы не можете выполнить требование.

Когда можно отказать:

  • Субъект не подтвердил свою личность.
  • Запрос не относится к обработке ваших данных (например, субъект требует данные, которые вы не обрабатываете).
  • Запрос повторный (бесплатно сведения предоставляются 1 раз в год).
  • Есть законные основания для отказа (ст. 20 152-ФЗ).

Как оформить отказ:

  1. Составьте письменный ответ. Укажите: дату запроса, причину отказа со ссылкой на статью закона, свои контакты.
  2. Направьте ответ в течение 10 рабочих дней. Срок считается с даты получения запроса (ч. 2 ст. 20 152-ФЗ).
  3. Зафиксируйте отказ в журнале учёта. Укажите дату направления отказа и причину.

Штраф: если вы не дали мотивированный отказ в срок, это нарушение ч. 4 ст. 13.11 КоАП — штраф для юрлиц 40–80 тыс ₽.

Штрафы · ст. 13.11 КоАП

Штрафы за невыполнение запроса субъекта персональных данных

За нарушение прав субъекта предусмотрены отдельные составы: одно наказание — за непредоставление информации об обработке, другое — за невыполнение в срок требований об уточнении, блокировании или уничтожении данных.

СитуацияШтраф (физ / должн / ИП / юрлицо)
Непредоставление субъекту информации об обработке его ПД (ч. 4 ст. 13.11)2–4 тыс / 8–12 тыс / 20–30 тыс / 40–80 тыс ₽
Невыполнение в срок требования субъекта или РКН об уточнении, блокировании, уничтожении ПД (ч. 5 ст. 13.11)2–4 тыс / 8–20 тыс / 20–40 тыс / 50–90 тыс ₽
Повторное нарушение по ч. 5 (ч. 5.1 ст. 13.11)20–30 тыс / 30–50 тыс / 50–100 тыс / 300–500 тыс ₽

Источник: ст. 13.11 КоАП (актуальная редакция, сверка 04.08.2026).

Повторность привлечения резко увеличивает суммы. Штрафы за утечки (ч. 11–18 ст. 13.11 КоАП) — отдельная тема, в этой статье не рассматривается.

Внутренний контроль · ст. 18.1 152-ФЗ

Журнал учёта запросов субъектов

Журнал учёта запросов — практический инструмент оператора. В нём фиксируются дата поступления запроса, суть обращения и дата ответа. Это ваше доказательство соблюдения сроков при проверке Роскомнадзора: невыполнение требований субъекта в срок — уже состав по ст. 13.11 КоАП.

Ведение внутреннего контроля соответствия обработки законодательству — прямая обязанность оператора (ст. 18.1 ч. 1 п. 6 152-ФЗ). Организация обработки запросов субъектов (порядок работы, шаблоны ответов, журнал учёта) входит в состав внедрения 152-ФЗ по расчёту: проверка → шлюз → журнал согласий.

Запросить расчёт внедрения
База знаний

Связанные материалы

Вопросы и ответы

Частые вопросы

Что может потребовать субъект персональных данных?

Уточнить, заблокировать или уничтожить свои персональные данные, а также получить информацию о том, как они обрабатываются (ст. 14 152-ФЗ). Уточнение, блокирование и уничтожение по требованию субъекта выполняются в течение 7 рабочих дней, при неправомерной обработке данные блокируются не более чем на 3 рабочих дня (ст. 21 152-ФЗ).

В какой срок оператор обязан ответить на запрос субъекта?

По ст. 20 152-ФЗ сведения о наличии и содержании персональных данных предоставляются субъекту в течение 30 дней с даты получения запроса, бесплатно 1 раз в год. Если оператор отказывает в предоставлении сведений, он направляет мотивированный письменный ответ в течение 10 рабочих дней (ч. 2 ст. 20 152-ФЗ).

Что грозит за просрочку или невыполнение запроса?

Штрафы по ст. 13.11 КоАП. За непредоставление субъекту информации об обработке его ПД (ч. 4) — юрлицу 40–80 тыс ₽. За невыполнение в срок требования об уточнении, блокировании или уничтожении данных (ч. 5) — юрлицу 50–90 тыс ₽. За повторное нарушение (ч. 5.1) — юрлицу 300–500 тыс ₽. У физлиц, должностных лиц и ИП суммы ниже.

Зачем вести журнал учёта запросов субъектов?

Чтобы зафиксировать дату поступления запроса и дату ответа — это ваше доказательство соблюдения сроков при проверке Роскомнадзора. Ведение внутреннего контроля соответствия обработки законодательству — прямая обязанность оператора (ст. 18.1 ч. 1 п. 6 152-ФЗ).

Запрос пришёл по email или через форму на сайте — это официально?

Да. Запрос субъекта может поступить письменно, по электронной почте или через форму на сайте. Главное для оператора — зафиксировать дату поступления: именно от неё отсчитывается срок ответа по ст. 20 152-ФЗ.

Это связано с уведомлением Роскомнадзора об утечках?

Нет, это разные обязанности. Уведомление РКН об утечке (инциденте) — отдельная тема: первичное уведомление за 24 часа, итоги расследования за 72 часа (ч. 3.1 ст. 21 152-ФЗ). В этой статье разбираются запросы субъектов, а не инциденты.

Нужно внедрить комплаенс 152-ФЗ на ваш сайт?

Проверьте сайт бесплатно, получите план исправлений и оставьте заявку — рассчитаем точную смету внедрения за 1 рабочий день.

Оставить заявку