Персональные данные

Правила рассмотрения запросов субъектов персональных данных

Редактор ФТИ 7 октября 2026 8 мин чтения

Коротко

Какие сроки у запросов субъектов персональных данных: 10 рабочих дней и продление до 5, отдельные сроки для уточнения, отзыва согласия и требования прекратить обработку. Собираем сроки статей 14, 20 и 21 в одну схему и предлагаем структуру правил.

Коротко: на запрос человека о его персональных данных оператор отвечает в течение 10 рабочих дней, срок можно продлить не более чем на 5 рабочих дней мотивированным уведомлением (ч. 3 ст. 14, ч. 1 ст. 20 закона № 152-ФЗ). Отказать можно только письменным мотивированным ответом со ссылкой на закон (ч. 2 ст. 20). Отдельного документа «правила рассмотрения запросов» закон не требует. Это наша рекомендация: так сроки из статей 14, 20 и 21 собираются в один порядок, понятный любому работнику.

Локальные акты, инструкции и журналы по вашей ситуации · состав называем после разбора, до оплаты · правки до вашего «принимаю»

Документы по 152-ФЗ под ваш бизнес — 9 900 ₽

Собрать пакет →

Главное

Основной срок: 10 рабочих дней с обращения или получения запроса, продление до +5 рабочих дней (ч. 3 ст. 14, ст. 20).
Обращения бывают разные, и сроки у них разные: сведения, уточнение, отзыв согласия, требование прекратить обработку.
Отказ только письменный и мотивированный, со ссылкой на положение ч. 8 ст. 14 или иного закона (ч. 2 ст. 20).
Ознакомление безвозмездное (ч. 3 ст. 20).
Принимает обращения ответственный (у юрлица) или контролирует их приём (п. 3 ч. 4 ст. 22.1).

Какие обращения бывают и какие у них сроки

Чаще всего правила рассмотрения запросов пишут, забывая, что в законе не один срок. Сведём их.

Обращение	Норма	Срок и действие оператора
Запрос сведений об обработке (ч. 7 ст. 14)	Ч. 3 ст. 14, ч. 1 ст. 20	10 рабочих дней, продление до +5 по мотивированному уведомлению. Ознакомление с данными безвозмездно
Отказ в сведениях	Ч. 8 ст. 14, ч. 2 ст. 20	Письменный мотивированный ответ со ссылкой на положение ч. 8 ст. 14 или иного закона, в те же 10 рабочих дней (+5)
Повторный запрос	Ч. 4–6 ст. 14	Обычно не ранее чем через 30 дней; раньше — с обоснованием, если по первому запросу сведения даны не полностью. Отказ мотивированный, доказывает оператор
Требование уточнить, блокировать, уничтожить	Ч. 1 ст. 14, ч. 3 ст. 20, ст. 21	При неправомерной обработке или неточных данных — блокирование с момента обращения на период проверки (ч. 1 ст. 21). Изменения и уничтожение — 7 рабочих дней со дня предоставления подтверждающих сведений (ч. 3 ст. 20, ч. 2 ст. 21)
Неправомерная обработка выявлена	Ч. 3 ст. 21	Прекратить за 3 рабочих дня; если правомерность не обеспечить — уничтожить за 10 рабочих дней; уведомить субъекта
Отзыв согласия	Ч. 2 ст. 9, ч. 5 ст. 21	Прекратить обработку, уничтожить, если хранение не требуется, в срок до 30 дней, если иное не следует из договора или закона
Требование прекратить обработку	Ч. 5.1 ст. 21	10 рабочих дней, +5 по мотивированному уведомлению; исключения — п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11
Запрос Роскомнадзора	Ч. 4 ст. 20	10 рабочих дней, +5 по мотивированному уведомлению

Если человек не согласен с ответом, он вправе обжаловать действия оператора в Роскомнадзор или в суд, а в суде также требовать возмещения убытков и компенсации морального вреда (ст. 17). Про отзыв согласия и требование прекратить обработку подробнее: отзыв согласия на обработку персональных данных и прекращение обработки.

Что должно быть в запросе

Ч. 3 ст. 14 перечисляет, что содержит запрос:

номер основного документа, удостоверяющего личность субъекта или представителя, дату выдачи и выдавший орган;
сведения, подтверждающие участие субъекта в отношениях с оператором (номер и дата договора, условное словесное обозначение), либо сведения, иным образом подтверждающие факт обработки;
подпись субъекта или представителя.

Запрос можно направить электронным документом с электронной подписью. Ответ оператор даёт в той же форме, в какой направлен запрос, если в нём не указано иное (ч. 3 ст. 14). Что делать, если реквизитов не хватает, закон прямо не говорит, и не сказано, останавливается ли срок. Наша рекомендация: сразу запросить недостающее, но срок не считать остановленным.

Пошаговая схема

Принять и зарегистрировать. В день поступления, в одном месте: так не потеряется письмо в общей почте. Журнал: журнал обращений субъектов. Это практика, закон журнала не требует.
Определить тип. Сведения, уточнение, отзыв, прекращение или жалоба: от этого зависит срок.
Установить, кто обратился. Сверить реквизиты из запроса с данными, которые у вас есть, и полномочия представителя. Наша рекомендация: чужие данные по ошибочному запросу не выдавать, ведь сведения не должны содержать данные других субъектов (ч. 2 ст. 14).
Собрать сведения. Позиции ч. 7 ст. 14 (п. 1–10 и п. 9.1): подтверждение обработки, основания и цели, способы, оператор и лица с доступом, данные и источник, сроки, порядок осуществления прав, трансграничная передача, обработчик, способы исполнения ст. 18.1.
Решить: ответить, отказать или продлить. Продление — только уведомлением с причинами.
Отправить в той же форме, в которой пришёл запрос.
Зафиксировать дату и способ отправки и сохранить копию. Это практика: бремя доказывания обоснованности отказа закон прямо возлагает на оператора для повторного запроса (ч. 6 ст. 14), а для остальных случаев по нашему прочтению безопаснее считать так же.

Внутренний срок на подпись ответа лучше сделать короче 10 рабочих дней, чтобы остался запас. Это наша рекомендация. Образцы самих ответов даны в статье об ответе на запрос субъекта.

Из чего состоят правила

Структуру закон не задаёт. Предлагаем такую. Если нужен короткий документ, берите разделы 1–5.

Раздел	Что в нём	Откуда
1. Общие положения	Для кого правила, кто принимает обращения	Практика; п. 3 ч. 4 ст. 22.1
2. Виды обращений	Таблица выше со сроками	Ст. 14, 20, 21
3. Приём и регистрация	Где и как принимаются, куда писать, срок регистрации	Практика
4. Проверка запроса	Реквизиты, полномочия, защита данных третьих лиц	Ч. 2, 3 ст. 14
5. Ответ, продление, отказ	Формы, сроки, ссылки на нормы	Ст. 20, ч. 8 ст. 14
6. Исполнение требований	Блокирование, уточнение, прекращение, уничтожение	Ст. 20, ст. 21
7. Контроль и учёт	Журнал, хранение, периодическая проверка	Практика; п. 4 ч. 1 ст. 18.1
8. Приложения	Образцы ответа, отказа, уведомления о продлении	Практика

Кто за что отвечает

Ответственный за организацию обработки получает указания от руководителя и организует приём и обработку обращений или контролирует их (п. 3 ч. 4 ст. 22.1). Подписывает ответ, как правило, руководитель: закон этого не требует, это практика. Распределение ролей лучше записать в инструкции ответственного.

Какие штрафы грозят за нарушение сроков

Без запугивания, по тексту ст. 13.11 КоАП. Давность привлечения к административной ответственности один год (ст. 4.5 КоАП).

Нарушение	Часть ст. 13.11	Граждане / должностные лица / ИП / юрлица
Не предоставлена информация, касающаяся обработки	Ч. 4	2–4 тыс. ₽ / 8–12 тыс. ₽ / 20–30 тыс. ₽ / 40–80 тыс. ₽
Не выполнено в срок требование об уточнении, блокировании или уничтожении	Ч. 5	2–4 тыс. ₽ / 8–20 тыс. ₽ / 20–40 тыс. ₽ / 50–90 тыс. ₽
То же повторно	Ч. 5.1	20–30 тыс. ₽ / 30–50 тыс. ₽ / 50–100 тыс. ₽ / 300–500 тыс. ₽

Подробнее о других составах: штрафы за нарушения в области персональных данных.

Как мы помогаем

Пакет «Документы по 152-ФЗ» за 9 900 ₽ закрывает локальные акты, инструкции и журналы под вашу ситуацию. Нужны ли именно правила рассмотрения запросов и в каком виде, решаем на разборе. Состав называем до оплаты, правки включены, пока вы не напишете «принимаю». А если вопросы появляются регулярно, есть сопровождение по персональным данным: 1 990 ₽ в месяц или 19 900 ₽ в год, в него входят консультации по вопросам о персональных данных в рабочие дни, изменения в реестре и обновление документов.

Разберём ситуацию, поможем подготовить документы и порядок работы с обращениями · «Старт» (уведомление, документы, документы для сайта) — 14 900 ₽ вместо 18 700 ₽

Запрос пришёл, а порядка нет

Смотреть услуги ФТИ →

Какие документы по персональным данным нужны и какие закон называет прямо, разобрано в обзоре комплекта документов. С чего начинается публичная часть, показано в обзоре по политике обработки. О том, когда уведомлять должен сам оператор, читайте в статье об уведомлении субъекта.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

В какой срок нужно ответить на запрос субъекта персональных данных?

В течение 10 рабочих дней с обращения или получения запроса (ч. 3 ст. 14 закона № 152-ФЗ). Срок можно продлить не более чем на 5 рабочих дней, направив субъекту мотивированное уведомление с указанием причин (ч. 1 ст. 20).

Что должно быть в запросе субъекта персональных данных?

Номер основного документа, удостоверяющего личность, дата выдачи и выдавший орган, сведения, подтверждающие участие субъекта в отношениях с оператором либо факт обработки, и подпись (ч. 3 ст. 14). Запрос можно направить электронным документом с электронной подписью.

Нужно ли оператору иметь правила рассмотрения запросов?

Отдельного документа закон не требует. Но он называет задачу организовать приём и обработку обращений (п. 3 ч. 4 ст. 22.1), а по запросу Роскомнадзора оператор подтверждает принятые меры (ч. 4 ст. 18.1). Правила помогают это показать. Это наша рекомендация.

Можно ли отказать в предоставлении сведений?

Можно в случаях, названных в ч. 8 ст. 14 или иных законах, а на повторный запрос, не отвечающий ч. 4–5 ст. 14, можно мотивированно отказать (ч. 6 ст. 14). Отказ даётся письменно, мотивированно, со ссылкой на положение закона, в те же 10 рабочих дней с возможным продлением на 5 (ч. 2 ст. 20).

Можно ли брать плату за предоставление сведений?

Ознакомление с персональными данными оператор обязан предоставить безвозмездно (ч. 3 ст. 20).

Как часто субъект может направлять повторные запросы?

Не ранее чем через 30 дней после первоначального, если более короткий срок не установлен законом, нормативным актом или договором с субъектом (ч. 4 ст. 14). Раньше можно, если сведения даны не в полном объёме, но с обоснованием (ч. 5).

Какие сроки при требовании уточнить или уничтожить данные?

Изменения вносят в течение 7 рабочих дней со дня предоставления подтверждающих сведений, уничтожение незаконно полученных или ненужных для цели данных — также 7 рабочих дней (ч. 3 ст. 20). При неправомерной обработке или неточных данных их блокируют с момента обращения на период проверки (ч. 1 ст. 21).

Какой штраф за невыполнение запроса субъекта?

Ч. 4 ст. 13.11 КоАП за непредоставление информации: для юрлиц 40–80 тыс. ₽, для ИП 20–30 тыс. ₽. Ч. 5 за невыполнение в срок требования об уточнении, блокировании или уничтожении: юрлица 50–90 тыс. ₽, ИП 20–40 тыс. ₽.

Кто в организации принимает обращения субъектов?

Закон называет задачей ответственного организовывать приём и обработку обращений или контролировать их (п. 3 ч. 4 ст. 22.1). Распределение ролей, например, кто подписывает ответ, лучше записать во внутреннем документе.

Поможете ли вы подготовить документы для работы с обращениями?

Да, в рамках пакета «Документы по 152-ФЗ» за 9 900 ₽: локальные акты, инструкции и журналы по вашей ситуации. Состав называем после разбора, до оплаты, правки включены до вашего «принимаю».