Важно: 10 рабочих дней — это примерно две календарные недели. Если письмо неделю пролежало в общей почте и никто не считал его своей задачей, у вас осталось около пяти дней на сбор сведений, согласование и отправку. Срок отсчитывается от даты получения запроса, а не от даты, когда о нём наконец узнал юрист (ч. 1 ст. 20 152-ФЗ).
Три обращения, которые в компании путают
Первое, что нужно сделать с письмом, — понять, что именно вам пришло. «Обращение субъекта» — это не один жанр, а как минимум пять разных ситуаций с разными сроками и разными последствиями. Ошибка в квалификации — самая частая причина, по которой ответ формально есть, но дан не в тот срок и не о том.
Право на доступ к персональным данным даёт ч. 1 ст. 14 152-ФЗ: человек вправе получить сведения об обработке своих данных, а также требовать уточнения, блокирования или уничтожения данных — неполных, устаревших, неточных, незаконно полученных или ненужных для заявленной цели обработки. Сведения предоставляются в доступной форме и не должны содержать персональных данных других людей (ч. 2 ст. 14). Дальше в статье речь пойдёт только о запросе сведений — это связка ст. 14 и ст. 20.
| Обращение | Что требует человек | Срок реакции оператора | Норма | Состав КоАП |
|---|---|---|---|---|
| Запрос сведений об обработке (тема статьи) | «Расскажите, какие мои данные и зачем вы обрабатываете» | 10 рабочих дней (+5 рабочих дней при мотивированном уведомлении). Мотивированный отказ — в тот же срок | ч. 3, 7 ст. 14; ч. 1–2 ст. 20 | ч. 4 ст. 13.11 КоАП |
| Отзыв согласия | «Отзываю своё согласие» | 30 календарных дней на прекращение обработки и уничтожение; при технической невозможности — блокирование и уничтожение до 6 месяцев | ч. 5, 6 ст. 21 | часть прямо не назначена |
| Требование прекратить обработку (не отзыв согласия) | «Прекратите обрабатывать мои данные» | 10 рабочих дней (+5 рабочих дней при мотивированном уведомлении) | ч. 5.1 ст. 21 | — |
| Требование уточнить, заблокировать, уничтожить | «Данные неточные или получены незаконно» | 7 рабочих дней со дня представления подтверждающих сведений; уничтожение — тоже 7 рабочих дней, с уведомлением субъекта и третьих лиц | ч. 3 ст. 20; ч. 2 ст. 21 | ч. 5 ст. 13.11 КоАП |
| Запрос уполномоченного органа (Роскомнадзора) | Требование регулятора, а не человека. Предписание — отдельная процедура по 248-ФЗ: срок в нём указан календарной датой (см. статью про запрос и предписание РКН) | 10 рабочих дней (+5 рабочих дней) | ч. 4 ст. 20 | — |
Две строки этой таблицы регулярно принимают за нашу тему. Отзыв согласия — не запрос сведений: там другой срок и другая процедура, её мы разобрали отдельно в материале Отзыв согласия на обработку персональных данных. А запрос по ч. 4 ст. 20 приходит не от человека, а от регулятора: срок совпадает — 10 рабочих дней, но адресат, состав документа и цена ошибки другие, об этом — в статье Пришёл запрос или предписание от Роскомнадзора: что делать пошагово.
Сроки ответа: 10 рабочих дней, а не 30 календарных
Базовый срок задан ч. 1 ст. 20 152-ФЗ: оператор обязан сообщить субъекту информацию о наличии его персональных данных и дать возможность ознакомиться с ними при обращении — либо в течение 10 рабочих дней с даты получения запроса. Если человек пришёл лично и сведения можно выдать сразу, ждать десять дней не требуется.
Срок можно продлить, но не молча. Продление — не более чем на 5 рабочих дней и только при направлении субъекту мотивированного уведомления с указанием причин. Максимум, который у вас есть в любом случае, — 15 рабочих дней. Уведомление о продлении должно уйти до истечения исходных десяти дней: продлевать уже просроченный срок нечего.
Дни именно рабочие, и это принципиально: десять рабочих дней — это примерно две календарные недели, а в праздничные периоды календарно и больше. Считать надо по производственному календарю, а не «плюс десять дней от даты письма».
Откуда берётся живучий миф про 30 дней. До 1 сентября 2022 года действовал существенно более длинный срок; части 1, 2 и 4 ст. 20 сейчас работают в редакции ФЗ от 14.07.2022 № 266-ФЗ. Старые шаблоны ответов, внутренние регламенты и даже судебные акты прошлых лет до сих пор ссылаются на прежний срок — если ваш шаблон писали до 2022 года, он почти наверняка устарел. С 2022 года ст. 14 и ст. 20 не менялись: последняя правка 152-ФЗ (ФЗ от 26.07.2026 № 265-ФЗ) касается ст. 12 и трансграничной передачи и наших статей не затрагивает.
На той же ст. 20 висят смежные сроки, о которых полезно помнить, когда запрос перерастает в требование:
- ознакомление субъекта с его собственными данными — безвозмездно (ч. 3 ст. 20);
- если человек доказал, что данные неполные, неточные или неактуальные, — внести изменения в течение 7 рабочих дней и уведомить его (ч. 3 ст. 20);
- если доказал, что данные получены незаконно или не нужны для заявленной цели, — уничтожить в 7 рабочих дней, уведомить субъекта и третьих лиц, которым данные передавались (ч. 3 ст. 20).
Что должно быть в самом запросе — и что делать, если реквизитов не хватает
Состав запроса задан ч. 3 ст. 14 152-ФЗ. Запрос должен содержать:
- номер основного документа, удостоверяющего личность субъекта или его представителя;
- сведения о дате выдачи этого документа и о выдавшем его органе;
- сведения, подтверждающие участие субъекта в отношениях с оператором, — номер договора, дата заключения, условное словесное обозначение и (или) иные сведения; либо сведения, иным образом подтверждающие факт обработки данных этим оператором;
- подпись субъекта или его представителя.
Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством РФ. Утверждённого бланка запроса или ответа не существует: закон формы не устанавливает, требования предъявляются к содержанию.
Самое тонкое место — что делать, если реквизитов не хватает. В 152-ФЗ нет нормы, разрешающей игнорировать неполный запрос: молчание не становится законным оттого, что человек не указал номер паспорта. Безопасная тактика — в тот же десятидневный срок письменно запросить недостающие реквизиты, зафиксировав дату отправки. Это рекомендация, а не норма, но она снимает главный риск: обвинение в том, что вы просто не ответили.
Законный ограничитель у бизнеса всё же есть — повторный запрос. Повторно те же сведения можно запрашивать не ранее чем через 30 дней после первого обращения, если более короткий срок не установлен федеральным законом, договором или соглашением сторон (ч. 4 ст. 14). Раньше — только если по первому запросу сведения дали не в полном объёме, и тогда повторный запрос должен содержать обоснование (ч. 5 ст. 14). В выполнении повторного запроса, не отвечающего этим условиям, оператор вправе отказать, но отказ должен быть мотивированным, и обязанность доказать его обоснованность лежит на операторе (ч. 6 ст. 14).
Проверить, готов ли ваш сайт к обращениям пользователей: указан ли адрес для запросов, есть ли политика и реквизиты оператора, из которых вы будете брать сведения для ответа.Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтЧто включить в ответ на запрос субъекта персональных данных: обязательный минимум по ч. 7 ст. 14
Хорошая новость, которую стоит проговорить сразу: закон называет минимальный набор сведений. Если закрыть позиции 1–10 ч. 7 ст. 14, ответ считается содержательным; выгружать всю базу и прикладывать внутренние документы не нужно. Но потолком этот список тоже не является: сама норма сформулирована как «информация… в том числе содержащая», а пункт 10 отсылает к иным сведениям, предусмотренным 152-ФЗ или другими федеральными законами, — то есть отраслевой федеральный закон может требовать большего.
| Что сообщить (ч. 7 ст. 14) | Как это звучит в письме | Где взять внутри компании |
|---|---|---|
| 1. Подтверждение факта обработки | «Подтверждаем, что ваши персональные данные обрабатываются» | Проверка по CRM, почте, базам, бухгалтерии |
| 2. Правовые основания и цели обработки | «Основание — договор №… / ваше согласие от…; цель — …» | Политика конфиденциальности, текст согласия |
| 3. Цели и применяемые способы обработки | «Обработка автоматизированная и неавтоматизированная: сбор, хранение, уточнение…» | Политика конфиденциальности |
| 4. Наименование и место нахождения оператора; лица, имеющие доступ к данным или которым они могут быть раскрыты по договору или по закону (кроме работников) | «Оператор: ООО …, адрес …; доступ имеют …» | Реквизиты оператора, раздел политики о передаче данных |
| 5. Обрабатываемые данные субъекта и источник их получения | «Обрабатываются: ФИО, телефон, e-mail…; источник — форма на сайте от …» | Выгрузка из CRM, реестр обработки |
| 6. Сроки обработки, в том числе сроки хранения | «Срок хранения — … с момента …» | Политика конфиденциальности, внутренние сроки хранения |
| 7. Порядок осуществления субъектом прав по 152-ФЗ | «Вы вправе требовать уточнения, блокирования, уничтожения; обращаться по адресу …» | Политика конфиденциальности |
| 8. Информация об осуществлённой или предполагаемой трансграничной передаче | «Трансграничная передача не осуществляется» либо перечень стран и получателей | Карта передач, договоры с зарубежными сервисами |
| 9. Наименование (ФИО) и адрес лица, обрабатывающего данные по поручению оператора | «Обработка поручена ООО …, адрес …» | Договор-поручение с подрядчиком (хостинг, колл-центр, рассылки) |
| 9.1. Информация о способах исполнения обязанностей по ст. 18.1 | «Назначено ответственное лицо, приняты локальные акты, проводится внутренний контроль…» | Приказ о назначении ответственного, локальные акты по ст. 18.1 |
| 10. Иные сведения, предусмотренные 152-ФЗ или другими федеральными законами | Отраслевые требования, если они есть | Отраслевое регулирование, юрист |
Обратите внимание на пункт 9.1 — сведения о том, какими способами вы исполняете обязанности по ст. 18.1. Его чаще всего теряют в чужих чек-листах, а он в перечне есть. Большая часть остальных позиций (2, 3, 6, 7) берётся прямо из вашей политики — если она написана по делу, а не скачана шаблоном: что в ней должно быть, мы разбирали в статье Политика конфиденциальности для сайта: что должно быть. Пункт 4 — из реквизитов оператора, пункт 5 — из выгрузки по системам, пункт 9 — из договора с подрядчиком, которому вы поручили обработку.
Одно ограничение при подготовке ответа критично: в нём не должно быть персональных данных других людей (ч. 2 ст. 14). На практике это значит вычищать из выгрузок и скриншотов чужие ФИО, телефоны и переписку — особенно если вы прикладываете фрагменты обращений в поддержку.
Отдельный сюжет: если данные получены не от самого субъекта, часть этих сведений оператор обязан был сообщить ему по своей инициативе ещё до начала обработки — наименование и адрес оператора, цель обработки и её правовое основание, предполагаемых пользователей данных, права субъекта и источник получения данных (ч. 3 ст. 18; исключения — в ч. 4 ст. 18). Запрос в такой ситуации нередко означает, что эту обязанность вы уже пропустили.
Когда отказать законно — и почему нельзя просто промолчать
Право на доступ не безусловное. Но ограничить доступ можно только тогда, когда это прямо позволяет федеральный закон, — это не лазейка «нам неудобно». В ч. 8 ст. 14 152-ФЗ названы основные такие случаи:
- интересы обороны страны, безопасности государства и охраны правопорядка;
- оперативно-разыскная деятельность и уголовное преследование;
- противодействие легализации преступных доходов и финансированию терроризма;
- если доступ субъекта нарушает права и законные интересы третьих лиц;
- сфера транспортной безопасности.
Формат отказа задан ч. 2 ст. 20: мотивированный ответ в письменной форме со ссылкой на положение ч. 8 ст. 14 или иного федерального закона, в тот же срок — не более 10 рабочих дней, с тем же продлением на 5 рабочих дней. То есть отказ по трудозатратам почти не отличается от ответа по существу.
Важно: отказать можно — промолчать нельзя. Отказ по ч. 8 ст. 14 законен, но он должен быть письменным, мотивированным, со ссылкой на конкретное основание и уложиться в те же 10 рабочих дней (ч. 2 ст. 20). Молчание — это самостоятельный состав: ч. 4 ст. 13.11 КоАП, невыполнение обязанности предоставить субъекту информацию, касающуюся обработки его данных.
Про ответственность — коротко, потому что не в ней суть. По состоянию на 31 августа 2026 года штраф по ч. 4 ст. 13.11 КоАП для юридического лица — 40 000–80 000 ₽, и скидка 50% за быструю оплату к ст. 13.11 не применяется. Не путайте составы: «не ответили на запрос сведений» — это ч. 4, а «не выполнили требование уточнить, заблокировать или уничтожить данные» — ч. 5 (для юрлиц 50 000–90 000 ₽).
Куда важнее второй слой последствий. Субъект вправе обжаловать действия или бездействие оператора в Роскомнадзор либо в суд (ч. 1 ст. 17) и требовать возмещения убытков и компенсации морального вреда в судебном порядке (ч. 2 ст. 17). Жалоба в РКН запускает свою логику: регулятор обязан рассмотреть обращение, вправе потребовать уточнить, заблокировать или уничтожить недостоверные либо незаконно полученные данные, обратиться в суд в защиту прав субъекта и привлечь виновных к ответственности (ст. 23). Одно непрочитанное письмо превращается в проверку всей вашей обработки.
Отписка тоже считается нарушением. Показательный пример: мировой судья судебного участка № 376 г. Москвы, дело № 05-1805/376/2024, постановление от 20.08.2024 — организацию привлекли по ч. 4 ст. 13.11 КоАП за то, что ответ был дан с нарушением срока и не содержал запрошенные сведения в полном объёме. Формальное «ваше обращение рассмотрено» без позиций ч. 7 ст. 14 суд нарушением признал. Учтите: в тексте того акта фигурирует прежний срок, действовавший до 1 сентября 2022 года; сейчас срок — 10 рабочих дней.
Каркас письма-ответа, уведомления о продлении и отказа
Готового официального образца нет — закон формы не устанавливает. Зато есть проверяемая структура: если письмо закрывает эти блоки, придраться к нему по содержанию сложно. Держите три каркаса под три сценария.
1. Ответ по существу
- Шапка: кому (ФИО субъекта, адрес или e-mail) и от кого (оператор, реквизиты).
- Ссылка на входящий: дата получения запроса, канал поступления, номер во внутреннем журнале.
- Подтверждение факта обработки персональных данных — пункт 1 перечня.
- Блоки по пунктам 2–6, 8, 9, 9.1 ч. 7 ст. 14 — по одному абзацу на позицию, коротко и по делу.
- Отдельный блок «как реализовать свои права» — пункт 7 перечня: куда писать, чтобы уточнить, заблокировать или удалить данные.
- Подпись ответственного за организацию обработки персональных данных (ст. 22.1) или уполномоченного руководителя, дата.
2. Уведомление о продлении срока (ч. 1 ст. 20)
- Отправить до истечения исходных 10 рабочих дней — иначе продлевать уже нечего.
- Прямо указать причины продления: закон требует именно мотивированного уведомления, формулы «в связи с производственной необходимостью» недостаточно.
- Назвать конкретную новую дату ответа в пределах +5 рабочих дней.
3. Мотивированный отказ (ч. 2 ст. 20)
- Ссылка на конкретное основание — пункт ч. 8 ст. 14 или норма иного федерального закона.
- Пояснение, почему это основание применимо именно к запросу этого человека.
- Тот же срок: 10 рабочих дней, с тем же продлением на 5 рабочих дней.
И отдельная строка про фиксацию, о которой вспоминают только при споре. Чем вы подтвердите дату получения запроса и дату отправки ответа: входящим номером в журнале, почтовой квитанцией и треком, логами почтового ящика, скриншотом отправленного письма. Прямой нормы «отвечать в той же форме, в какой поступил запрос» в законе нет, но на практике удобнее и безопаснее ответить тем же каналом и продублировать письменно.
Оговорка: это каркас, а не готовый юридический документ. Набор сведений в вашем ответе зависит от того, какие данные и на каком основании вы обрабатываете. Материал носит информационный характер и не является юридической консультацией.
Мини-регламент: кто принимает обращение и за сколько дней что делает
У оператора-юрлица должно быть лицо, ответственное за организацию обработки персональных данных: оно получает указания непосредственно от исполнительного органа организации и подотчётно ему (ч. 1–3 ст. 22.1). И приём с обработкой обращений и запросов субъектов или их представителей — прямая обязанность этого лица по п. 3 ч. 4 ст. 22.1. То есть «письмо лежало в общей почте, и никто не считал это своей задачей» — не мелкая неаккуратность, а организационный сбой в том месте, где закон уже назначил ответственного.
Раскладка внутри установленных законом 10 рабочих дней — наша рекомендация, а не норма. Но она делает срок выполнимым:
- День 0. Фиксация входящего: дата получения, канал, номер в журнале обращений.
- Дни 1–2. Проверка комплектности по ч. 3 ст. 14 и поиск субъекта в системах; если реквизитов не хватает — письменный запрос недостающего.
- Дни 3–7. Сбор сведений по перечню ч. 7 ст. 14 у всех держателей данных: маркетинг, продажи, поддержка, бухгалтерия, подрядчики.
- День 8. Согласование текста и подпись ответственного.
- Дни 9–10. Отправка и фиксация факта отправки.
Организационный минимум, без которого этот график не работает: назначенный ответственный, единый канал приёма обращений, указанный на сайте, журнал входящих с датами и три готовые заготовки писем из предыдущего раздела. Это буквально час работы один раз — и снятая паника при каждом входящем.
Наконец, про фон. По словам заместителя руководителя Роскомнадзора Милоша Вагнера (выступление 14 августа 2026 года, цитируется по «Интерфаксу»), за 2025 год и первое полугодие 2026 года в ведомство поступило более 145 тысяч обращений граждан по вопросам персональных данных — на 20% больше, чем за сопоставимый предыдущий период. Люди всё чаще пользуются своим правом на доступ, и вероятность получить такой запрос растёт для любого бизнеса с формой на сайте.