Что такое блокирование персональных данных
Коротко
Блокирование персональных данных — временное прекращение обработки персональных данных. Данные остаются в системе, но оператор перестаёт их собирать, систематизировать, накапливать, использовать, распространять и передавать. Исключение одно: обработку можно продолжить, если она нужна, чтобы уточнить эти же данные.
Что происходит с данными при блокировании
Блокирование — это пауза, а не стирание. Запись в базе, карточка клиента, анкета сотрудника остаются на месте, но работать с ними нельзя: нельзя передать их в другой отдел, выгрузить в рассылку, отдать подрядчику, использовать для решения по человеку.
В законе о персональных данных блокирование описано через перечень действий, которые прекращаются: сбор, систематизация, накопление, использование, распространение, в том числе передача. Формулировка одна и та же в статье 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и в подзаконных правилах.
На практике это выглядит так: оператор помечает запись как заблокированную, снимает её из выгрузок и рассылок, закрывает к ней доступ сотрудникам и подрядчикам, а в журнале фиксирует дату и причину. Сами данные при этом сохраняются — иначе нельзя было бы потом уточнить их или доказать, что обработка была законной.
Зачем блокируют, а не удаляют
Удаление необратимо: восстановить данные после него нельзя. Блокирование обратимо, поэтому его включают там, где сначала нужно разобраться, а потом решать судьбу данных.
Второй смысл — прекратить вред, не теряя доказательств. Если человек оспаривает, откуда у оператора его данные и на каком основании они обрабатывались, удаление лишает обе стороны предмета спора. Заблокированная запись обработку останавливает, но остаётся доказательством.
Третий смысл — не нарушить закон, пока идёт проверка. При проверке точности данных блокирование включают с момента обращения человека, и использовать данные можно только для уточнения. Если при обращении выявлена неправомерная обработка, оператор блокирует данные на период проверки. Требование прекратить обработку исполняют в сроки и с исключениями, установленными законом.
Блокирование, удаление и уничтожение
| Блокирование | Удаление и уничтожение | |
|---|---|---|
| Что происходит с данными | Остаются в системе, обработка приостановлена | Становятся недоступны или носитель уничтожается |
| Обратимо ли | Да: обработку можно возобновить | Нет: восстановить нельзя |
| Зачем нужно | Разобраться в основании, уточнить данные, остановить обработку на время | Прекратить обработку навсегда, когда основания нет |
| Что с доступом | Доступ сотрудников и подрядчиков закрывают, запись помечают | Запись и копии убирают из систем и выгрузок |
Когда оператор включает блокирование
- Человек оспаривает точность своих данных, и оператор проверяет, что в них неверно. С момента обращения блокирование включают на период проверки, если оно не нарушает права человека и третьих лиц, и использовать данные можно только для уточнения.
- Человек требует прекратить обработку или удалить данные: если при обращении выявлена неправомерная обработка, данные блокируют на период проверки. Неправомерную обработку прекращают в течение трёх рабочих дней с выявления, а если обеспечить её правомерность нельзя — уничтожают данные в течение десяти рабочих дней.
- Данные оказались недостоверными или полученными незаконно — по требованию уполномоченного органа по защите прав субъектов персональных данных их блокируют или удаляют.
- Данные больше не нужны для цели, ради которой собирались, но срок хранения по закону ещё не вышел: обработку прекращают, запись оставляют до истечения срока.
- Согласие отозвано: обработку прекращают в срок до 30 дней, а те действия, под которые остались другие основания, продолжают.
Сколько длится блокирование
Блокирование длится, пока не отпадёт причина, из-за которой его включили. Дальше два исхода: причину устранили — данные уточнили, человек подтвердил согласие, нашлось законное основание, — и обработку возобновляют; причину устранить нельзя — данные удаляют.
Ответ на обращение человека оператор даёт по статье 20 закона о персональных данных. Разбор с самими данными идёт по статье 21: прекратить неправомерную обработку, а если правомерность обеспечить нельзя — уничтожить данные в срок до 10 рабочих дней с даты выявления; уточнить данные и снять блокирование — в срок 7 рабочих дней со дня представления подтверждающих сведений; при отзыве согласия — прекратить обработку в срок до 30 дней.
Частые вопросы
Блокирование — это то же самое, что удаление?
Нет. При блокировании данные остаются в системе, прекращается только обработка, и позже её можно возобновить. При удалении данные исчезают безвозвратно.
Можно ли во время блокирования использовать данные для отчёта?
Нет. Использование входит в перечень действий, которые при блокировании прекращаются. Исключение одно — обработка, необходимая для уточнения этих же данных.
Что делать, если технически нельзя удалить данные?
Если уничтожить данные в установленный срок невозможно, оператор блокирует их и обеспечивает уничтожение не позднее шести месяцев, если федеральный закон не устанавливает иной срок. Правило про невозможность удаления есть в законодательстве о персональных данных; конкретный порядок и срок уведомления смотрят в законе, который применяет оператор.
Кто решает, блокировать данные или удалять?
Оператор — по основанию, которое нашлось при разборе обращения или проверки. Если основание для обработки отпало совсем, данные удаляют; если вопрос ещё открыт или данные нужно уточнить, их блокируют.
Нужно ли фиксировать блокирование документально?
Да, оператор ведёт учёт: что заблокировано, когда, по чьему обращению и на каком основании. Без такой записи невозможно ни доказать прекращение обработки, ни вовремя её возобновить или удалить данные.
Когда данные в компании живут в CRM, рассылках и у подрядчиков
Чтобы было видно, где лежат персональные данные и кто их обрабатывает
Блокирование включают не по команде из закона, а по обращению человека или требованию органа. В этот момент выясняется, что данные клиентов и сотрудников разбросаны по CRM, таблицам, мессенджерам и сервисам подрядчиков, и остановить их обработку в одном месте недостаточно.
Я собираю цифры компании в одну картину: откуда приходят данные, где хранятся и кто к ним имеет доступ. С этой картой видно, что именно блокировать и где, чтобы обработка действительно прекратилась.