В базе компании обнаружили неверный паспортный номер клиента. Если сведения проверяют, их нельзя использовать как будто ошибки нет. Для такой ситуации закон предусматривает «блокирование персональных данных».
Блокирование не удаляет сведения из базы. Оно временно останавливает их обработку, кроме действий, которые нужны для уточнения данных.
Сегодня же разберем, когда оператор обязан поставить данные на блокировку, сколько она длится и что происходит после проверки.
О понятии
Итак, блокирование персональных данных — это временное прекращение их обработки. Например, оператор может ограничить работу со спорной записью, пока проверяет ее точность или законность получения.
Оператор определяет цели и правила работы с данными. Подробнее этот статус мы разобрали в отдельной статье.
Обращаясь к первоисточнику, определение содержит статья 3 Закона № 152-ФЗ «О персональных данных». Закон называет блокированием временное прекращение обработки. Однако действия, необходимые для уточнения персональных данных, во время блокировки допускаются.
Проще говоря, данные сохраняются, но работать с ними в обычном режиме временно нельзя.
Пример ситуации
Допустим, клиент сообщает банку, что в его анкете указан чужой адрес. Банк блокирует спорные данные на время проверки. Если ошибка подтвердится, сведения исправят, а блокировку снимут.
Но оператор блокирует данные не по любому обращению. Закон называет конкретные основания.
Когда данные нужно заблокировать
Основные правила содержит статья 21 Закона № 152-ФЗ. Блокировка нужна при проверке неправомерной обработки и неточных данных.
Если при обращении человека выявлена неправомерная обработка, данные блокируют с момента обращения на период проверки. Кроме того, то же правило действует при запросе Роскомнадзора.
А вот при проверке возможной неточности блокировка тоже нужна. Однако здесь есть оговорка: мера не должна нарушать права и законные интересы человека или третьих лиц.
Блокировка начинается на период проверки, а не после окончательного подтверждения нарушения. Так спорные данные не продолжают использовать во время разбирательства.
Право потребовать такую меру закреплено и в статье 14 Закона № 152-ФЗ. Основанием могут быть неполные, устаревшие, неточные, незаконно полученные или ненужные для цели сведения.
А вот дальнейшие действия зависят от результата проверки.
Что происходит после проверки
Если неточность подтверждается, оператор исправляет сведения. Срок — 7 рабочих дней со дня представления данных, которые подтверждают правильную информацию. В итоге после уточнения блокировку снимают.
Если выявлена неправомерная обработка, порядок другой. Оператор должен прекратить ее в срок не более 3 рабочих дней с даты выявления.
Если сделать обработку правомерной невозможно, данные уничтожают. На это закон дает не более 10 рабочих дней с даты выявления нарушения.
Если обращение привело к устранению нарушения либо уничтожению данных, оператор уведомляет человека. А если обращение поступило через Роскомнадзор, сообщить о результате нужно и ведомству.
Кроме того, статья 20 устанавливает отдельный срок. Если человек докажет незаконность получения или ненужность данных, их уничтожают в течение 7 рабочих дней.
Что делать, если данные нельзя сразу уничтожить
Иногда обязанность уничтожить сведения уже возникла, но выполнить ее в установленный срок невозможно. В таком случае статья 21 требует блокировать данные.
Затем оператор обеспечивает их уничтожение. В таком случае максимальный срок составляет 6 месяцев, если федеральный закон не устанавливает другой период.
Шесть месяцев — не дополнительный срок хранения «на всякий случай». Это предел для ситуации, когда уничтожить данные в основной срок невозможно.
Если сведения обрабатывает подрядчик по поручению, оператор должен обеспечить блокирование и у него.
Как блокирование работает на практике
Закон не устанавливает одну обязательную техническую кнопку. Главное — прекратить обычную обработку спорных данных.
Например, в системе можно ограничить операции с записью и оставить только проверку или исправление. Если сведения есть в нескольких рабочих системах, одной отметки в CRM может быть недостаточно.
Кстати, у нас на сайте есть отдельный материал про информационную систему персональных данных. Карта ИСПДн помогает понять, где именно продолжается обработка сведений.
Для бумажных документов оператор, в свою очередь, организационно ограничивает работу со спорными сведениями.
Чем блокирование отличается от уничтожения
Эти действия решают разные задачи. При блокировании сведения сохраняются временно, а после уничтожения их содержание нельзя восстановить.
| Критерий | Блокирование | Уничтожение |
|---|---|---|
| Что происходит | Обычная обработка временно прекращается | Содержание данных становится невосстановимым |
| Сведения сохраняются | Да | Нет |
| Можно уточнять данные | Да, если это нужно для исправления | Нет |
| Типичная ситуация | Идет проверка точности или законности | Оснований сохранять данные больше нет |
Кроме того, удаление записи из интерфейса программы не всегда означает уничтожение по закону. Например, сведения могут остаться в другой системе.
Подтверждение уничтожения регулирует приказ Роскомнадзора № 179. При автоматизированной обработке используют акт и выгрузку из журнала регистрации событий.
Блокирование и отзыв согласия — одно и то же?
Нет. Отзыв согласия касается правового основания обработки, а блокирование временно останавливает операции с данными.
Если согласие отозвано, оператор проверяет, осталось ли другое законное основание. В таком случае обработку прекращают и при необходимости уничтожают данные. Сам отзыв не означает немедленную блокировку каждой записи.
Человек также может потребовать прекратить обработку. По статье 21 оператор по общему правилу делает это в течение 10 рабочих дней. Срок можно продлить максимум на 5 рабочих дней с мотивированным уведомлением. При этом закон предусматривает случаи, когда обработку разрешено продолжить без согласия.
Поэтому сначала нужно понять, чего требует человек: исправления, блокирования, уничтожения или прекращения обработки.
Как оператору отработать требование
Практический порядок можно выстроить так:
- Определите спорные данные. Уточните, к каким сведениям относится обращение.
- Зафиксируйте основание. Например, человек сообщает о неточности или незаконном получении.
- Обеспечьте блокирование. Если данные есть у обработчика по поручению, передайте требование и ему.
- Проведите проверку. Сверьте источник, документы и правовое основание обработки.
- Примите решение. Исправьте данные и снимите блокировку либо прекратите обработку и уничтожьте сведения.
- Сообщите о результате. Уведомите человека и, когда это требуется, Роскомнадзор.
Кроме того, действия стоит фиксировать. Так можно подтвердить дату обращения, момент блокирования и результат проверки.
Формальная отметка «заблокировано» не поможет, если данные продолжают уходить в рассылку, отчет или внешний сервис. Нужно остановить именно обработку.
Если оператор игнорирует законное требование, человек вправе обратиться в Роскомнадзор или суд. Такое право закрепляет статья 17 Закона № 152-ФЗ.
Кстати, внутренний порядок должен совпадать с публичными документами компании. У нас на сайте мы отдельно разобрали политику конфиденциальности.
В итоге блокирование дает время проверить спорные сведения, не продолжая обычную обработку до решения вопроса.