Актуальность темы. С 1 марта 2026 года в России усилился контроль за оборотом персональных данных (ПД). Увеличились штрафы, расширился перечень оснований для ограничения доступа к ПД, а операторы получили жёсткие сроки реагирования на требования субъектов. Ниже ― подробная «инструкция» о том, при каких условиях и как именно допускается ограничение права доступа к персональной информации.
Что такое «право доступа» и когда оно может быть ограничено
Согласно ст. 14 Федерального закона № 152-ФЗ «О персональных данных», каждый человек имеет право:
- получать подтверждение факта обработки своих ПД;
- знакомиться с самими данными и способами их обработки;
- требовать уточнения, блокирования или уничтожения ПД, если они являются неполными, устаревшими, незаконно полученными или избыточными.
Однако в ч. 8 той же статьи чётко указано: это право может быть ограничено федеральными законами в следующих цубличных интересах:
- оборона страны и безопасность государства;
- охрана правопорядка и противодействие преступности;
- защита основ конституционного строя, нравственности, здоровья, прав и законных интересов третьих лиц.
Перечень законов, которые допускают ограничение, приведён в ст. 9 Закона № 149-ФЗ «Об информации…» и включает, в частности, Закон «О государственной тайне», «О полиции», «О противодействии терроризму» и др.
Особенности ограничения при обработке «разрешённых для распространения» данных
Если пользователь сам опубликовал свои ПД в открытом доступе и дал на это специальное согласие (ст. 10.1 152-ФЗ), он всё равно сохраняет «право на забвение»:
- достаточно направить оператору письменное требование о прекращении распространения;
- с момента получения требования у оператора есть ровно три рабочих дня на полное прекращение передачи таких данных;
- если ограничение прописано в вступившем в законную силу решении суда, сроки берутся из судебного акта, но минимум — те же три дня.
Содержание требования (п. 12 ст. 10.1):
- ФИО субъекта и контактные данные.
- Наименование оператора (если известно).
- Ссылка на конкретные ПД, распространение которых нужно прекратить.
- Подпись / усиленная квалифицированная электронная подпись.
Внутренний «коридор» оператора: как обосновать ограничение
Оператор не может произвольно закрыть доступ. Он должен:
- Провести оценку необходимости ограничения на основании нормативного акта (постановление Правительства, судебное решение, требование Роскомнадзора).
- Зафиксировать решение в журнале учёта обращений субъектов, шаблон утверждён Приказом Роскомнадзора № 996 от 2024 г.
- В течение 10 дней сообщить субъекту:
- законное основание ограничения;
- орган, принявший акт;
- срок действия ограничения (если он определён).
Ответственность за нарушение
| Нарушение | Статья КоАП РФ | Штраф 2026 г. |
|---|---|---|
| Неопубликована политика обработки ПД | 13.11 ч. 3 | до 300 000 ₽ (юр. лица) |
| Неисполнение требования субъекта | 13.11 ч. 1 | до 100 000 ₽ ИП / до 500 000 ₽ компания |
| Распространение без согласия | 13.11 ч. 2 | до 1 000 000 ₽ и конфискация носителей |
Кроме административной, возможна уголовная ответственность по ст. 137 УК РФ (нарушение неприкосновенности частной жизни) при массовой утечке или продаже базы.
Пошаговый алгоритм для субъекта: что делать, если доступ к вашим ПД ограничили незаконно
- Запросите копию приказа/решения, на котором основано ограничение.
- Направьте письменное возражение оператору или государственному органу в течение 30 дней с момента получения уведомления.
- Обжалуйте в Роскомнадзоре через электронную форму goo.su/rkn-pd — срок рассмотрения 15 дней.
- Идите в суд:
- по месту нахождения оператора;
- в течение 3 месяцев с момента нарушения;
- подавайте иск о признании ограничения незаконным и компенсации морального вреда (ст. 152 ГК РФ).
Практические советы для бизнеса
- Внедрите двухфакторную проверку любых требований субъекта: письмо + звонок на номер в договоре.
- Обновите политику конфиденциальности: укажите конкретные статьи законов, при которых доступ будет ограничен.
- Разместите на сайте QR-код на страницу жалоб: это снизит риск претензий к «необеспечению доступа» (ст. 13.11 ч. 3).
Краткое резюме
Ограничение права доступа к персональным данным возможно только на основании федерального закона, судебного решения или обоснованного требования государственного органа в сфере безопасности. Любой отказ оператора должен быть мотивирован, а субъект вправе оспорить его в Роскомнадзоре или в суде. Соблюдайте трёхдневный срок реагирования на требования и публикуйте политику обработки данных — это минимизирует риски многомиллионных штрафов в 2026 году.