Обращение субъекта персональных данных: как ответить

Кратко

Обращение субъекта персональных данных — это просьба человека узнать, какие его данные у вас есть, исправить их, отозвать согласие или потребовать прекращения обработки и уничтожения данных. Закон РК «О персональных данных и их защите» обязывает ответить по существу или дать мотивированный отказ, а на исправление, блокирование или уничтожение данных при обоснованном требовании отводит один рабочий день. Отвечать «когда будет время» или игнорировать такое обращение — нарушение независимо от размера компании.

Актуально на 23 сентября 2026 года.

Какие права у субъекта персональных данных

Источник: Закон РК от 21 мая 2013 года № 94-V «О персональных данных и их защите», ст. 24, п. 1. Общие требования того же закона к хранению переписки с клиентами разобраны отдельно — закон РК о персональных данных: где хранить переписку.

Как обработать обращение: шаги по порядку

Пример с датами

Компания получила 10 сентября 2026 года обращение бывшего клиента с требованием уничтожить его данные — согласие отозвано. Данные обрабатывались только на основании согласия, без договора, который требовал бы их дальнейшего хранения. Проверка основания: иного законного основания продолжать обработку нет → требование обоснованно → данные нужно уничтожить не позднее 11 сентября — одного рабочего дня по ст. 25, п. 2, пп. 8 того же закона. Если бы данные были нужны для исполнения ещё действующего договора, отказ должен был бы называть этот договор как основание, а не общую формулировку вроде «не можем по внутренним правилам».

Когда можно отказать

Отказ правомерен, если для дальнейшей обработки есть отдельное законное основание — действующий договор, обязанность хранить документы определённый срок по другому закону и подобное. Отказ обязан быть мотивированным: называть конкретное основание, а не ссылаться на общую политику компании.

Если такие запросы нужно учитывать отдельно от обычных обращений, пригодится образец граф из статьи Журнал учёта обращений субъектов персональных данных.

Частые ошибки

• Отвечать только на часть обращения. Человек попросил и объяснить источник данных, и удалить их — ответ «данные удалены» без объяснения источника закрывает обращение лишь наполовину.
• Путать отзыв согласия с обязанностью хранить данные по другому основанию. Если данные нужны, например, для бухгалтерского учёта по отдельному закону, отзыв согласия на обработку для одной цели не обязывает удалить их из учёта, который ведётся по другой.
• Не проверять личность обратившегося. Исправление или удаление данных по запросу постороннего человека — новое нарушение поверх старого, а не его устранение.
• Не документировать исполнение. Устное «сделали» не защищает компанию при повторном обращении того же человека или при проверке.

Как проверить, что процесс работает

1. Возьмите последнее такое обращение и сверьте дату ответа с датой поступления — уложились ли в срок.
2. Проверьте, что переписка и факт исполнения сохранены отдельно от самого обращения — на случай, если запись обращения позже удалят по регламенту хранения.
3. Спросите у сотрудника, который первым получает такие обращения, знает ли он, куда их передавать дальше. Ответ «не уверен» означает, что процесса по факту нет, есть только правило на бумаге.

Как это устроено в TehProf.kz Support

Обращение субъекта персональных данных можно вести как обычную заявку с приоритетом и точным крайним сроком: приоритет отражает срочность, а крайний срок — конкретные дата и время, которые заменяют обычный расчётный SLA решения на жёсткий дедлайн (Настройка SLA, приоритетов и крайнего срока). Так срок ответа виден прямо на карточке заявки, а не только в голове у того, кто её принял. Внутренние заметки на заявке подходят для фиксации хода проверки — кто подтвердил личность обратившегося и на каком основании принято решение, — не показываясь клиенту.

Частые вопросы

Как обрабатывать обращение о прекращении обработки персональных данных?

Проверить личность обратившегося, определить, есть ли ещё законное основание для обработки помимо отозванного согласия, и либо прекратить обработку и уничтожить данные — в течение одного рабочего дня, если требование обоснованно, — либо дать письменный мотивированный отказ.

Сколько времени есть на ответ по обращению субъекта персональных данных?

Сам закон о персональных данных прямо называет только один срок — один рабочий день на исправление, блокирование или уничтожение данных при обоснованном требовании (ст. 25, п. 2, пп. 8). По остальным информационным запросам закон отсылает к срокам, установленным законодательством РК в целом — подробнее про сроки обращений вообще — Срок ответа на обращение в Казахстане: 15 дней по АППК.

Можно ли отказать в обращении субъекта персональных данных?

Да, если для дальнейшей обработки есть отдельное законное основание — например действующий договор или обязанность хранить данные по другому закону. Отказ должен называть это основание, а не быть общей отпиской.

Нужно ли отвечать на такое обращение письменно?

Закон не описывает форму ответа дословно, но письменный ответ с указанием даты, основания и результата — единственный способ доказать, что обращение обработано, если оно повторится или дойдёт до проверки.

Связанные статьи

• Персональные данные в форме обратной связи: согласие
• Обращения граждан: сроки и порядок рассмотрения
• Срок ответа на обращение в Казахстане: 15 дней по АППК
• Как написать в техподдержку: образец обращения
• Настройка SLA, приоритетов и крайнего срока