Блокирование персональных данных: что это и когда применяется 152-ФЗ

Что такое блокирование персональных данных простыми словами

При блокировании карточка клиента или сотрудника, чьи данные оказались под вопросом, исключается из любых процессов: рассылок, передачи третьим лицам или аналитики, до завершения проверки. Само хранение персональных данных при этом продолжается, так как оператор не получит права их удалить, пока не пройдет через установленную законом процедуру.

Чем блокирование отличается от уничтожения

Блокирование можно отменить, если выяснится, что хранение ПДн законно. Уничтожение отменить нельзя: данные удаляются без возможности восстановления.

По сути это две разные стадии: блокирование — временная изоляция данных, как карантин, а под уничтожением понимается их безвозвратное удаление.

Если после жалобы клиента сразу удалить его карточку из базы, не проверив основания для хранения, при последующем споре или проверке РКН подтвердить законность прежней обработки будет нечем, потому что данных уже нет.

В каких случаях оператор обязан заблокировать данные

Закон предусматривает два самостоятельных сценария блокирования: по жалобе на неправомерную обработку или неточность данных, и как временная мера перед уничтожением, если удалить персональные данные сразу технически невозможно.

Сценарий 1. Жалоба или запрос (ст. 21 ч. 1 152-ФЗ). Субъект ПДн, его представитель или Роскомнадзор обращаются к оператору и указывают, что ПДн обрабатываются неправомерно либо являются неточными. С момента такого обращения оператор обязан заблокировать данные этого человека на период проверки. Для неточных ПДн есть оговорка: блокировка допускается, только если она не нарушает права и законные интересы самого субъекта или третьих лиц.

Сценарий 2. Истек срок хранения, но уничтожить сразу не получается (ст. 21 ч. 6 152-ФЗ). Например, субъект отозвал согласие или достигнута цель обработки, и персональные данные пора удалить, но они «вшиты» в архивную систему, а техническая выгрузка займет время. В этом случае оператор обязан немедленно заблокировать ПДн и обеспечить их уничтожение в срок не более 6 месяцев.

Сколько длится блокировка персональных данных

Фиксированного срока для самой проверки закон не называет, но устанавливает четкие дедлайны для каждого следующего шага. На практике весь цикл укладывается в среднем в 15–20 дней.
После блокировки события могут развиваться по двум сценариям:

1. Жалоба была на неточность ПДн. При подтверждении факта оператор обязан уточнить ПДн в течение 7 рабочих дней со дня получения подтверждающих сведений и сразу снять блокировку (ст. 21 ч. 2 152-ФЗ).
2. Жалоба была на неправомерную обработку. Оператор обязан прекратить ее в течение 3 рабочих дней с даты выявления нарушения. Если легализовать обработку не получается, персональные данные нужно уничтожить в течение 10 рабочих дней (ст. 21 ч. 3 152-ФЗ).

Складывая эти сроки, получаем ориентир: 15–20 календарных дней от блокировки до итогового решения. Это не отдельная норма закона, а оценка на основе совокупности установленных дедлайнов. По итогам оператор уведомляет субъекта или регулятора о результате, то есть об устранении нарушения или об уничтожении данных.

Что можно делать с заблокированными персональными данными

Практически ничего, кроме самой проверки. Закон прямо называет единственное разрешенное действие — обработку в целях уточнения персональных данных.

Правило-исключение зафиксировано прямо в определении блокирования (п. 7 ст. 3 152-ФЗ): обработка приостанавливается, кроме случаев, когда она нужна для уточнения данных. С момента блокировки запрещено:

• передавать заблокированные данные третьим лицам, включая подрядчиков и партнеров;
• использовать их в маркетинговых рассылках или для аналитики;
• продавать, распространять или иным образом вводить в оборот.

Разрешено одно: запросить у субъекта подтверждающие документы, сверить сведения с другими источниками, провести внутреннюю проверку. Любое действие за этими рамками является самостоятельным нарушением, даже если первоначальная жалоба окажется необоснованной.

Как правильно оформить блокирование персональных данных

Закон не устанавливает форму документа, но при проверке РКН учитываются два следа: юридический и технический.

Скрыть карточку клиента в интерфейсе CRM, не оформив документы и не оставив технического следа, для регулятора равносильно отсутствию блокировки: проверить факт и дату нечем.

Что грозит за нарушение порядка блокирования персональных данных?

Ответственность установлена ч. 5 ст. 13.11 КоАП РФ: норма охватывает невыполнение в срок требования об уточнении, блокировании или уничтожении персональных данных. Для ИП штраф составляет сумму от 20 000 до 40 000 рублей, для должностных лиц — от 8 000 до 20 000 рублей. Санкция для юридических лиц за такое нарушение — 50 000–90 000 рублей. При повторном нарушении (ч. 5.1) предусмотрен штраф размером от 300 000 до 500 000 рублей для юридических лиц, и от 50 000 до 100 000 рублей для ИП.

Если компания игнорирует обращение и продолжает неправомерную обработку без блокировки, добавляется самостоятельное нарушение по ч. 1 ст. 13.11 КоАП в размере от 150 000 до 300 000 рублей для юридических лиц. Оба штрафа накладываются одновременно, независимо друг от друга.

Заключение

Таким образом, блокирование персональных данных — это законный способ выиграть время для разбирательства, не теряя доказательств и не нарушая права субъекта. Игнорирование жалобы квалифицируется законодательством как самостоятельное нарушение. Блокирование, в свою очередь, является единственным вариантом, который защищает компанию с обеих сторон.

Если в компании еще не выстроен алгоритм реагирования на такие обращения, разумнее подготовить его заранее. Эксперты нашей команды готовы помочь вам в этом вопросе.

Поделиться в социальных сетях:

Наталия Рагулина

Руководитель юридического отдела

8 лет опыта

более 300 выигранных дел

Автор статьи

128 публикаций на сайте

Подробнее о специалисте