По нашему замеру Вордстата от 06.09.2026, запрос «субъект персональных данных» набирает 514 точных показов в месяц. За большинством из них - один и тот же вопрос: что делать, если ваши данные оказались где-то без вашего согласия, или наоборот - что компании грозит, если она не защитила данные своих сотрудников.

Эта инструкция закрывает обе ситуации: даёт определение, список прав и пошаговый порядок действий - как для тех, чьи данные нарушают, так и для тех, кто не хочет стать причиной чужих жалоб.

Кто такой субъект персональных данных по 152-ФЗ

Субъект персональных данных - физическое лицо, которое можно прямо или косвенно определить по информации о нём. ФИО, телефон, email, адрес, фотография, IP-адрес, номер паспорта - всё это персональные данные по ст. 3 Федерального закона №152-ФЗ «О персональных данных» от 27.07.2006. Субъектом считается любой человек, чьи данные кто-то собирает, хранит или использует.

Закон намеренно сделал это определение широким. Недостаточно, чтобы данные однозначно называли человека по имени - достаточно, чтобы их можно было использовать в связке с другими сведениями для его идентификации. Телефонный номер без имени, но в сочетании с должностью и названием компании - уже персональные данные.

Сторона, которая собирает и обрабатывает эти данные, называется оператором. Оператор может быть юридическим лицом, ИП или физическим лицом - главное, что он принимает решения о том, как, зачем и как долго хранить информацию о вас. Именно к нему предъявляются требования по 152-ФЗ.

Какие права есть у субъекта - четыре ключевых

Закон 152-ФЗ даёт субъекту четыре рабочих права: знать, кто и зачем обрабатывает его данные; потребовать исправить неточные сведения; потребовать их удалить; отозвать ранее данное согласие. Глава 3 закона закрепляет эти права, и оператор обязан выполнить законный запрос субъекта в установленный срок.

Право на доступ (ст. 14 152-ФЗ). Субъект может запросить у оператора: что именно хранится о нём, откуда получено, кому и на каком основании передано, как долго будет храниться. Оператор обязан предоставить эти сведения - либо объяснить, почему отказывает (основания для отказа ограничены законом).

Право на уточнение и исправление (ст. 20 152-ФЗ). Если данные неполные, устаревшие или неверные, субъект может потребовать их обновить. Оператор обязан внести изменения в течение 7 рабочих дней с момента подтверждения, что данные действительно неточны.

Право на удаление (ст. 21 152-ФЗ). Субъект вправе потребовать прекратить обработку данных, если согласие отозвано, если данные больше не нужны для первоначальной цели или если оператор нарушал закон при их обработке. Срок исполнения - 10 рабочих дней.

Право на отзыв согласия (ст. 9 152-ФЗ). Если обработка данных велась на основании согласия субъекта, он может это согласие отозвать в любой момент - и оператор обязан прекратить обработку. Исключение: данные всё равно могут обрабатываться, если для этого есть другое законное основание помимо согласия.

Когда подавать жалобу: три ситуации, когда права нарушены

Жалоба в Роскомнадзор оправдана в трёх случаях: оператор не ответил на законный запрос в срок; данные попали к третьим лицам без согласия субъекта; человек продолжает получать звонки или рассылки после отзыва согласия. В остальных случаях сначала стоит обратиться к оператору напрямую - это быстрее.

Ситуация 1: оператор не отвечает. Вы направили запрос с требованием предоставить информацию о своих данных или их удалить, прошёл установленный срок (10 рабочих дней), а ответа нет. Само по себе молчание - нарушение ст. 20 152-ФЗ, и это основание для жалобы.

Ситуация 2: данные попали в чужие руки. Сотрудник начал получать звонки от конкурентов на рабочий номер, который нигде не публиковал. Или в ленте появилась таргетированная реклама на основании данных, которые он явно не передавал. Это признак того, что данные ушли к третьим лицам без согласия.

Если телефоны ваших сотрудников уже попали в базы парсеров - кто-то их собрал с вашего сайта, из справочников или открытых источников. Посмотреть, как закрыть этот канал сбора.

Ситуация 3: продолжаются звонки после отзыва согласия. По ст. 15 152-ФЗ, оператор обязан прекратить использовать данные в маркетинговых целях после первого же требования субъекта. Если звонки продолжаются - жалоба в РКН с указанием даты требования и подтверждением, что оно было направлено.

Куда обращаться первым: к оператору или в Роскомнадзор

Закон параллельно открывает оба пути: можно идти сразу в Роскомнадзор, минуя оператора. На практике прямое обращение к оператору быстрее - он обязан ответить в течение 10 рабочих дней, тогда как РКН рассматривает жалобу до 30 дней. Если оператор ответил по существу - вопрос закрыт. Если не ответил - это само по себе нарушение, которое усиливает жалобу.

Что именно направлять оператору: письменный запрос (заказным письмом или на официальный email) с указанием ваших данных, описанием ситуации и конкретным требованием - удалить, исправить, предоставить информацию. Фиксируйте дату отправки: она понадобится при жалобе в РКН, если оператор не ответит.

Важный нюанс: если речь идёт о неправомерном распространении данных или утечке, РКН стоит уведомить параллельно - здесь регулятор вправе провести проверку и назначить штраф оператору, что выходит за рамки вашего личного запроса.

Как подать жалобу в Роскомнадзор онлайн: четыре шага

Подача занимает 15-20 минут. Нужно зайти на портал pd.rkn.gov.ru, заполнить форму с данными оператора и описанием нарушения, приложить доказательства. Форму можно подписать через ЕСИА (Госуслуги) или отправить без усиленной подписи - это не блокирует рассмотрение.

Шаг 1. Зайдите на портал pd.rkn.gov.ru, раздел «Обращения граждан». Альтернативный путь - rkn.gov.ru/treatments/ (общий портал обращений). Для вопросов о персональных данных лучше использовать pd.rkn.gov.ru - это профильный инструмент Уполномоченного органа по защите прав субъектов персональных данных.

Шаг 2. Заполните электронную форму: ваши ФИО и контакты, наименование оператора и его адрес (сайт, юридический адрес), описание нарушения с датами и фактами. Ссылайтесь на конкретные нормы 152-ФЗ - это ускоряет рассмотрение.

Шаг 3. Приложите доказательства: скриншоты переписки или звонков, копию вашего запроса к оператору и дату отправки, скриншоты страниц с вашими данными (если они опубликованы без согласия). Чем конкретнее доказательная база - тем быстрее РКН оценит ситуацию.

Шаг 4. Отправьте форму. Если есть ЕСИА - авторизуйтесь через Госуслуги перед заполнением: это ускоряет идентификацию заявителя. Без ЕСИА форму также примут, но РКН может запросить дополнительные документы.

Жалобу также можно подать в территориальный орган Роскомнадзора по месту регистрации - лично или заказным письмом. Это удобно, если у вас есть документы, которые сложно оцифровать.

Разбирать жалобы и ждать ответов - долгий путь. Если ваши сотрудники уже получают нежелательные звонки, а причина - в том, что их рабочие номера кто-то собрал с вашего сайта, посчитать под свою нишу можно прямо сейчас.

Что писать в жалобе: пять обязательных элементов

Жалоба без одного из этих пунктов рискует зависнуть на запросе уточнений: ваши данные, данные оператора, суть нарушения со ссылкой на норму 152-ФЗ, конкретное требование и доказательства. Размытое «они что-то нарушили» без фактов РКН не рассмотрит по существу.

1. Ваши данные. ФИО, адрес (почтовый или email для ответа), контактный телефон. Если подаёте как представитель другого субъекта - приложите доверенность.

2. Данные оператора. Название организации или ФИО физлица-оператора, адрес, сайт (если есть). Чем точнее - тем меньше времени уйдёт на идентификацию.

3. Суть нарушения. Что именно произошло, когда, где. Ссылка на конкретную статью 152-ФЗ не обязательна, но полезна: например, «оператор не ответил на запрос субъекта в срок (ст. 20 152-ФЗ)» или «продолжает звонить после отзыва согласия (ст. 15 152-ФЗ)».

4. Требование. Чего вы хотите: прекратить обработку данных, удалить их, привлечь оператора к ответственности, провести проверку. Без чёткого требования жалоба рассматривается как информационное сообщение, а не запрос на принятие мер.

5. Доказательства. Скриншоты, записи переговоров (если есть), распечатки переписки. Минимум - зафиксированное доказательство того, что нарушение произошло, и подтверждение вашего предыдущего обращения к оператору (если оно было).

Сроки: когда ждать ответа от оператора и Роскомнадзора

Оператор обязан ответить на запрос субъекта в течение 10 рабочих дней с момента получения (ст. 20 152-ФЗ). При запросе на исправление неточных данных срок - 7 рабочих дней после того, как вы подтвердили неточность. Роскомнадзор рассматривает жалобу до 30 дней с возможностью продления ещё на 30.

На практике: если оператор - крупная компания с отделом compliance, ответ часто приходит быстрее 10 дней. Если небольшая организация без выстроенного процесса - нередко запрос теряется. Именно поэтому фиксируйте дату отправки и способ отправки: заказное письмо с уведомлением или email с подтверждением получения.

Если оператор не ответил в срок - это самостоятельное нарушение. В жалобе в РКН это усиливает вашу позицию: вы не только указываете на основное нарушение, но и добавляете факт игнорирования законного запроса.

По КоАП РФ ст. 13.11 (в ред. Федерального закона от 30.11.2024 №420-ФЗ), за неуведомление Роскомнадзора об обработке персональных данных компании грозит штраф от 100 000 до 300 000 рублей. Это норма, действующая с 30 мая 2025 года. Подробнее о том, как вести учёт согласий, чтобы не получить штраф, - в отдельном материале.

Как компании защитить себя от жалоб своих сотрудников

Компания-оператор снижает риск жалоб, если выполнила три вещи до начала обработки данных: уведомила Роскомнадзор через портал pd.rkn.gov.ru; взяла у сотрудников согласие на обработку их персональных данных в письменном или электронном виде; назначила ответственного за работу с запросами субъектов. После запуска - ведёт реестр согласий и отвечает на запросы в срок.

Самое частое упущение: согласия взяли, уведомление подали, но не предусмотрели ни одного процесса для ответов на запросы субъектов. Сотрудник спрашивает: «Кому вы передали мой номер?» - и получает тишину. Именно это превращается в жалобу.

Второй тип риска - внешний. Данные сотрудников (телефоны, должности, email) оказываются в открытом доступе на сайте компании или в профессиональных справочниках. Парсеры собирают их автоматически и продают конкурентам. Юридически оператором остаётесь вы - и именно вас сотрудник может спросить, как его номер оказался у незнакомых продавцов.

Здесь возможности компании ограничены: закрыть внешние справочники полностью нельзя. Но можно существенно затруднить сбор данных с собственного сайта и убрать номера сотрудников из систем, которые их агрегируют. StopParsing закрывает ваш сайт и номера сотрудников от парсинга - именно ту часть периметра, которая ближайшая к жалобе. Отдать закрытие этого канала на подряд - и возвращаться к этому вопросу только при изменении структуры сайта.

Если у вас запрос к оператору как таковому или вы хотите понять, что делать при запросе на удаление данных от клиента - разбор на LEADLIFE: Клиент просит удалить свои данные - что делать оператору.

Источники