Права субъекта персональных данных

Коротко

Основной перечень прав субъекта дан в ст. 24 Закона: знать о наличии своих данных и получать сведения о них, требовать изменения, блокирования, анонимизации, уничтожения или удаления, отозвать согласие, защищать свои права, в том числе требовать возмещения вреда. Встречные обязанности оператора и короткие сроки установлены в ст. 25 п. 2 и Правилах сбора, п. 16. Цифровой кодекс добавляет общее право на удаление, анонимизацию и ограничение обработки «независимо от основания их получения» (ст. 41 п. 1).

Права субъекта

Право	Норма	Что это значит
Знать и получать сведения	ст. 24 п. 1 пп. 1; Правила сбора, п. 15	Подтверждение факта обработки, цели, источники, способы, перечень данных, сроки обработки и хранения
Ознакомиться с данными бесплатно	ст. 25 п. 2 пп. 9	Оператор обязан дать возможность ознакомления безвозмездно
Изменить и дополнить	ст. 24 п. 1 пп. 2; ст. 13	При наличии оснований, подтверждённых документами
Блокировать или анонимизировать	ст. 24 п. 1 пп. 3	Если есть информация о нарушении условий сбора и обработки
Уничтожить или удалить	ст. 24 п. 1 пп. 4	Если данные собраны или обрабатываются с нарушением закона, а также в иных случаях
Удалить, анонимизировать, ограничить обработку	Цифровой кодекс, ст. 41	Независимо от основания получения данных, с исключениями
Отозвать согласие	ст. 24 п. 1 пп. 5	Подробнее см. в заметке «Согласие на сбор и обработку персональных данных»
Дать или не дать согласие на публикацию	ст. 24 п. 1 пп. 6	Распространение в общедоступных источниках
Возразить против автоматизированной обработки	ст. 19-1 п. 2	Подробнее см. в заметке об автоматизированной обработке
Получить сообщение о передаче третьему лицу	ст. 19 п. 1	Только если такое условие предусмотрено (например, в согласии)
Защита и возмещение вреда	ст. 24 п. 1 пп. 7	Морального и материального

Цифровой кодекс формулирует права шире: доступ к данным, контроль, удаление, ограничение обработки, информация о целях, правовых основаниях и способах обработки (ст. 37 п. 4). Права реализуются при подтверждении личности субъекта или полномочий представителя (ст. 37 п. 5).

Как подаётся обращение

Обращение подаётся собственнику или оператору письменно, в форме электронного документа «либо иным способом с применением элементов защитных действий» (ст. 10 п. 2; Правила сбора, п. 15). Контролировать приём и обработку обращений обязано лицо, ответственное за организацию обработки (ст. 25 п. 3 пп. 3).

Сроки ответа

Действие оператора	Срок	Норма
Изменить, дополнить данные по документам (или удалить, если изменить невозможно)	1 рабочий день	ст. 25 п. 2 пп. 8
Блокировать данные при информации о нарушении	1 рабочий день	ст. 25 п. 2 пп. 8
Уничтожить или удалить при подтверждении нарушения; снять блокирование, если нарушение не подтвердилось	1 рабочий день	ст. 25 п. 2 пп. 8
Сообщить сведения о данных субъекта или дать мотивированный отказ	3 рабочих дня	Правила сбора, п. 16
Рассмотреть возражение против автоматизированной обработки	3 рабочих дня	ст. 19-1 п. 3
Уведомить о передаче третьему лицу (если есть такое условие)	10 рабочих дней	ст. 19 п. 1
Прекратить обработку после отзыва согласия или дать мотивированный отказ	15 рабочих дней	ст. 8 п. 7

Интерпретация. Срок в один рабочий день входит в число самых коротких в мире для таких запросов. На практике он реалистичен, только если обращения поступают в отлаженный процесс: заранее назначенный исполнитель, шаблоны ответов, доступ к системам. Для сравнения: по GDPR на ответ даётся месяц.

Право на удаление по Цифровому кодексу

Владелец цифрового объекта обязан исполнить требование об удалении, анонимизации или ограничении обработки в порядке, установленном законодательством о персональных данных (ст. 41 п. 2). Если для данных установлен обязательный срок хранения, вместо удаления ограничивается доступ и приостанавливается обработка (ст. 41 п. 3). Требование не исполняется, если данные нужны, в частности, для защиты прав третьих лиц, рассмотрения дел о правонарушениях, правосудия, публичного интереса, прямо установленного законом, государственных функций (ст. 41 п. 4; Правила сбора, п. 25). Подробнее см. в заметке «Удаление, уничтожение, обезличивание и анонимизация».

Куда жаловаться

• Уполномоченный орган. Субъект вправе обратиться в уполномоченный орган с просьбой проверить оператора (Правила сбора, п. 24). Орган рассматривает обращения о соответствии содержания данных и способов обработки целям и принимает решение (ст. 27-1 пп. 3). Срок рассмотрения составляет 15 рабочих дней с возможным продлением не более чем до двух месяцев (АППК, ст. 76 пп. 1, 3).
• Суд. Действия собственника, оператора и третьего лица обжалуются, а споры рассматриваются в порядке, установленном законами (ст. 30). В суде можно требовать возмещения морального и материального вреда (ст. 24 п. 1 пп. 7).
• Административная ответственность. Уполномоченный орган принимает меры по привлечению нарушителей к ответственности (ст. 27-1 пп. 4). Штрафы за незаконные сбор и обработку и за несоблюдение мер защиты предусмотрены ст. 79 КоАП.

Сравнение с GDPR

Право	Казахстан	GDPR
Доступ	Сведения об обработке за 3 рабочих дня; ознакомление бесплатно	Копия данных и сведения об обработке (Art. 15)
Исправление	1 рабочий день по документам	Без неоправданной задержки (Art. 16)
Удаление	При нарушении закона (ст. 24), по требованию (ст. 41 ЦК)	Перечень оснований и исключений (Art. 17)
Ограничение обработки	Блокирование при нарушении; ограничение по ст. 41 ЦК	Art. 18
Переносимость	Нет	Art. 20
Возражение	Только против автоматизированной обработки (ст. 19-1)	Общее право, в том числе против маркетинга (Art. 21)
Общий срок ответа	1–15 рабочих дней в зависимости от действия	Один месяц с продлением ещё на два (Art. 12(3))
Жалоба регулятору	Уполномоченный орган, 15 рабочих дней	Надзорный орган (Art. 77)

Открытые вопросы

Открытый вопрос: копия данных. Закон говорит о праве «знать», «получать информацию» и «ознакомиться». Вправе ли субъект получить копию самих данных, например выгрузку, а не только описание того, что обрабатывается?

Открытый вопрос: «элементов защитных действий». Что считается допустимым способом подачи обращения помимо письменного и электронного документа: письмо на электронную почту, форма в приложении, чат поддержки?

Открытый вопрос: два режима удаления. Как соотносятся ст. 24 Закона (удаление при нарушении закона) и ст. 41 Цифрового кодекса (удаление по требованию независимо от основания)? Распространяется ли однодневный срок ст. 25 на требования по ст. 41?

Что ещё изучить

• Практику уполномоченного органа по жалобам субъектов и типичные решения.
• Судебную практику о возмещении морального вреда за нарушения в сфере персональных данных.
• Порядок реализации прав через государственный сервис контроля доступа.