Права субъекта персональных данных закреплены в Федеральном законе от 27 июля 2006 года №152-ФЗ «О персональных данных». Некоторые из них:
1 Право на доступ к своим персональным данным и информации об их обработке. Субъект вправе запросить у оператора:
- подтверждение факта обработки персональных данных оператором;
- правовые основания и цели обработки персональных данных;
- цели и применяемые оператором способы обработки персональных данных;
- наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;
- обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
- сроки обработки персональных данных, в том числе сроки их хранения;
- порядок осуществления субъектом персональных данных прав, предусмотренных настоящим Федеральным законом;
- информацию об осуществленной или о предполагаемой трансграничной передаче данных;
- наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;
9.1) информацию о способах исполнения оператором обязанностей, установленных статьей 18.1 настоящего Федерального закона; - иные сведения, предусмотренные настоящим Федеральным законом или другими федеральными законами.
Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе если они обрабатываются в целях следствия, разведки, противодействии отмыванию доходов, транспортной безопасности, а также если доступ к данным нарушает права других субъектов ПД.
Сведения должны предоставляться в доступной форме, срок предоставления — 10 рабочих дней с момента обращения или получения запроса (может быть продлён не более чем на 5 рабочих дней при наличии мотивированного уведомления оператора с указанием причин продления).
Запрос должен содержать
- номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя,
- сведения о дате выдачи указанного документа и выдавшем его органе,
- сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения),
- либо сведения, иным образом подтверждающие факт обработки персональных данных оператором,
- подпись субъекта персональных данных или его представителя.
Запрос может быть направлен в форме электронного документа и подписан электронной подписью
Оператор предоставляет сведения субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.
Если все сведения предоставлены, то повторный запрос можно подать не ранее, чем через 30 дней после первоначального запроса. До этого срока повторный запрос можно подать только если сведения не предоставлены в полном объёме.
Если запрос подан в нарушение данного правила, Оператор вправе отказать. При этом должен быть выдан мотивированный отказ (примерную форму желающим я предоставлю).
- Право требовать уточнения, блокирования или уничтожения персональных данных. Субъект может обратиться к оператору с требованием об исправлении неточных, устаревших, неполных или незаконно полученных данных, а также об их блокировании (временном прекращении обработки) или уничтожении, если данные не являются необходимыми для заявленной цели обработки.
- Право на обжалование действий или бездействия оператора. Если субъект считает, что оператор нарушает требования закона при обработке данных или иным образом нарушает его права и свободы, он вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке. Также субъект имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда в судебном порядке.
- Право требовать прекращения использования персональных данных для рекламных целей, звонков и рассылок. Обработка данных в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации допускается только при условии предварительного согласия субъекта.
- Право возражать против решений, принятых на основании автоматизированной обработки персональных данных, и требовать разъяснений порядка таких решений. Автоматизированные решения, порождающие юридические последствия в отношении субъекта или иным образом затрагивающие его права и законные интересы, могут приниматься только при наличии письменного согласия субъекта или в случаях, предусмотренных федеральными законами.
Некоторые документы, которые подтверждают права субъекта персональных данных и регулируют их обработку:
- Политика обработки персональных данных(ПД). Документ описан в ст. 18.1 ФЗ №152-ФЗ.
- Положение об обработке и защите ПД. Также существует положение об обработке ПД без средств автоматизации.
- Перечень должностей работников, допущенных к обработке ПД.
- Соглашения о неразглашении ПД. Документ должны подписывать все сотрудники, у которых есть доступ к сведениям о клиентах.
- Согласие на обработку персональных данных. Документ подтверждает добровольное решение гражданина передать оператору свою личную информацию для определённых целей.
- Акты об уничтожении ПД.
- Договоры с третьими лицами, которым поручена обработка.
- Приказы и распоряжения, например, о назначении ответственного за организацию обработки ПД, о создании комиссии по обеспечению безопасности ПД и другие.
- Документы по защите и безопасности ПД(для информационных систем ПД- ИСПДн). К ним относятся перечень информационных систем ПД, акт классификации ИСПД, модель угроз безопасности ПД и план мероприятий по обеспечению безопасности ПД.
