Subject Request

---
name: subject-request
description: >
  Локализация РФ (dsar → обращение субъекта ПДн). Обработка обращения субъекта
  персональных данных: подтверждение личности, поиск данных по системам, оценка
  оснований для отказа, черновики уведомления о получении и ответа по существу в
  сроки ФЗ-152. Используй, когда пришло обращение субъекта: доступ, уточнение,
  блокирование, уничтожение, отзыв согласия, возражение против продвижения.
argument-hint: '[текст обращения субъекта или путь к нему]'
---

<!--
Независимое ревью другим провайдером (`codex`/OpenAI) выполнено 2026-08-27 — 1 находка применена:
добавлено самостоятельное требование о прекращении обработки по ч. 5.1 ст. 21 (10 раб. дней + 5);
добавлен отдельный от ст. 21 ч. 2 срок уничтожения по ст. 20 ч. 3 (7 раб. дней при доказанной
неправомерности получения/ненужности ПДн); убран перенос начала течения срока на дату подтверждения
личности; разграничены сроки ст. 10.1 для оператора и для нарушившего закон третьего лица.
Плюс оговорка по «сомнительному»: реквизиты акта по Приказу № 179 и трёхлетний срок хранения.
-->

# /subject-request — обращение субъекта ПДн

Проводит обращение субъекта от получения до ответа по существу в сроки ФЗ-152, не пропуская проверку личности и оснований.

## Права субъекта (ФЗ-152)

| Право | Норма | Суть |
|---|---|---|
| Доступ / сведения об обработке | ст. 14 | получить информацию об обработке его ПДн |
| Уточнение, блокирование, уничтожение | ст. 21 | при неполноте/неточности/неправомерности или достижении цели |
| Отзыв согласия | ст. 9 ч. 2 | прекратить обработку, если она держалась на согласии |
| Возражение против продвижения | ст. 15 ч. 2 | оператор обязан **немедленно** прекратить обработку в целях продвижения товаров, работ, услуг и политической агитации. **Общий 10-дневный срок здесь не применяется** |
| Прекращение передачи ПДн, разрешённых для распространения | ст. 10.1 | субъект вправе в любое время потребовать прекратить передачу/распространение. **Различай двух адресатов требования:** если оно адресовано оператору, который сам распространял ПДн по такому согласию, — он обязан прекратить передачу третьим лицам и уведомить их **с момента поступления требования**; если ПДн продолжает распространять **иное лицо**, получившее их с нарушением ст. 10.1 (без надлежащего согласия/с превышением условий), — оно обязано прекратить обработку и уничтожить полученные ПДн в течение **3 рабочих дней** с момента получения требования `[сверено 2026-08-27 — точную формулировку сверить по первоисточнику]` |

*Обработка в целях продвижения допускается только с **предварительного** согласия и **признаётся
осуществляемой без согласия, пока оператор не докажет обратное** (ст. 15 ч. 1) — бремя доказывания
на операторе. Параллельно действует ст. 18 ФЗ от 13.03.2006 № 38-ФЗ «О рекламе» (реклама по сетям
электросвязи — только с предварительного согласия абонента; санкция по ст. 14.3 КоАП налагается
независимо от ФЗ-152) `[ФЗ-38 — смежная зона, сверить]`.*

## Сроки — их несколько, не путай их между собой

`[устоялось — сверено 2026-08-06, дополнено 2026-08-27]`

**10 рабочих дней — не только срок ответа на запрос.** Тот же по длительности, но самостоятельный
и по-другому считаемый срок даёт **ч. 5.1 ст. 21**: получив требование субъекта прекратить обработку
его ПДн, оператор обязан прекратить обработку в течение **10 рабочих дней** со дня получения
требования (продление — не более чем на **5 рабочих дней**, с уведомлением субъекта о причинах)
`[сверено 2026-08-27]`. Это требование самостоятельно — не своди его к «ответу на запрос» из ст. 20 ч. 1.

| Ситуация | Срок | Норма |
|---|---|---|
| Ответ на запрос / предоставление информации об обработке | **10 рабочих дней** + продление **не более чем на 5 рабочих дней** по мотивированному уведомлению | ст. 20 ч. 1, ст. 14 ч. 3 |
| Требование субъекта **прекратить обработку** его ПДн | **10 рабочих дней** со дня получения требования + продление **не более чем на 5 рабочих дней** | ст. 21 ч. 5.1 `[сверено 2026-08-27]` |
| Блокирование на период проверки | с момента обращения / получения запроса | ст. 21 ч. 1 |
| Уточнение при подтверждённой неточности | **7 рабочих дней** со дня представления сведений | ст. 21 ч. 2 |
| Уничтожение ПДн при доказанных субъектом неправомерном получении оператором его ПДн либо их ненужности для заявленной цели обработки | **7 рабочих дней** со дня представления таких доказательств/сведений — **отдельный срок от ст. 21 ч. 2, не путать оба «семидневных» срока между собой** | ст. 20 ч. 3 `[сверено 2026-08-27]` |
| Прекращение неправомерной обработки | **3 рабочих дня**; при невозможности сделать обработку правомерной — уничтожение в **10 рабочих дней** | ст. 21 ч. 3 |
| Достижение цели обработки | прекращение и уничтожение в **30 дней** с даты достижения цели | ст. 21 ч. 4 |
| Отзыв согласия | прекращение и уничтожение в **30 дней** с даты поступления отзыва | ст. 21 ч. 5 |
| Невозможно уничтожить в срок | **блокирование** + уничтожение в срок **не более 6 месяцев** | ст. 21 ч. 6 |
| Возражение против продвижения | **немедленно** | ст. 15 ч. 2 |
| Прекращение распространения ПДн, разрешённых для распространения (см. таблицу прав выше) | оператором — с момента поступления требования; иным лицом при нарушении ст. 10.1 — **3 рабочих дня** | ст. 10.1 `[сверено 2026-08-27]` |

**Не отвечай «у нас 10 рабочих дней» на требование об уничтожении (ст. 20 ч. 3 — 7 рабочих дней) или
отзыв согласия (ст. 21 ч. 5 — 30 дней)** — там действуют деструктивные сроки ст. 20/21, а не срок
ответа на запрос. При этом **требование прекратить обработку по ч. 5.1 ст. 21 тоже укладывается
в 10 рабочих дней — это совпадение длительности с ответом на запрос, а не одно и то же требование.**

## Подтверждение уничтожения (Приказ РКН от 28.10.2022 № 179, в силе с 01.03.2023)

Уничтожили — оформи доказательство, иначе перед РКН уничтожения не было:
- **обработка с использованием средств автоматизации** — подтверждение составляют **акт об уничтожении ПДн И выгрузка из журнала регистрации событий в ИСПДн**;
- **без средств автоматизации** — акт об уничтожении ПДн;
- если выгрузка из журнала не позволяет отразить часть требуемых сведений, недостающее вносится в акт.

**Реквизиты акта:** сведения об операторе; сведения о лицах, обрабатывающих ПДн по поручению
(если привлекались); ФИО субъектов, чьи ПДн уничтожены; перечень уничтоженных категорий ПДн;
основание и способ уничтожения. Список, вероятно, неполон — приказ, по всей видимости, также
требует: дату уничтожения (может не совпадать с датой составления акта); сведения о лицах,
непосредственно осуществивших уничтожение, и их подписи; указание носителей/ИСПДн, с которых
уничтожены ПДн `[состав реквизитов — неполный, сверить дословно по первоисточнику]`. Срок хранения
подтверждающих документов — **3 года**, это срок из самого приказа, а не оценочный ориентир
`[точную формулировку и охват срока — сверить по первоисточнику]`.

## Инструкции

1. **Загрузи профиль.** Плейсхолдеры → останови, cold-start.
2. **Классифицируй обращение:** доступ / уточнение / блокирование / уничтожение / отзыв согласия / возражение против продвижения / жалоба. Одно обращение может нести несколько требований — раздели.
3. **Проверь личность.** Ответ по существу — только убедившись, что обращается сам субъект или его представитель (доверенность). Запрос данных сверх необходимого для идентификации — сам по себе избыточная обработка; не запрашивай лишнее.
4. **Зафиксируй срок — по таблице выше, отдельно по каждому требованию.** Ответ на запрос — 10 рабочих дней + до 5 (ст. 20 ч. 1, ст. 14 ч. 3). Требование прекратить обработку — свои 10 рабочих дней + до 5 (ст. 21 ч. 5.1). Уничтожение при доказанной неправомерности получения/ненужности — 7 рабочих дней (ст. 20 ч. 3). Отзыв согласия, прекращение неправомерной обработки — **свои сроки ст. 21**. Возражение против продвижения — **немедленно** (ст. 15 ч. 2). **Отсчёт — с даты обращения/получения требования, а не переносится на дату последующего подтверждения личности заявителя** `[сверено 2026-08-27]`: проверка личности — условие для ответа **по существу**, а не точка начала течения срока. Укажи каждый срок отдельной датой.
5. **Найди данные по системам.** Пройди по карте обработок из профиля: где эти ПДн (CRM, бухгалтерия, бэкапы, у обработчиков по поручению). Отметь, что реально проверено, в «Прочитано».
6. **Оцени основания для отказа/ограничения.** Право может быть ограничено, если обработка необходима по закону, для исполнения договора, защиты прав и др. (ст. 14 ч. 8, ст. 21). Отказ — мотивированный, со ссылкой на норму. `[решить]` на спорных.
7. **Отзыв согласия / уничтожение — проверь остаточные основания.** Если помимо согласия есть другое законное основание (напр., хранение по НК/бухучёту), полное уничтожение может быть невозможно — блокируй/ограничь и объясни субъекту. Если уничтожить в срок невозможно — **блокирование и уничтожение в срок не более 6 месяцев** (ст. 21 ч. 6), а не молчание.
8. **Если уничтожали — оформи подтверждение** по Приказу РКН № 179 (акт + выгрузка из журнала событий ИСПДн при автоматизированной обработке). Приложи проект акта к результату.
9. **Составь два черновика:** (а) уведомление о получении обращения; (б) ответ по существу. Не отправляй — покажи, отправит ответственный.

## Формат вывода

```markdown
[ШАПКА — по конфигу ## Выводы]

# Обращение субъекта: [тип] — [субъект]

**Получено:** [дата] · **Личность:** [подтверждена / нужно подтвердить]

## Что требует субъект и срок по каждому требованию
| Требование | Право, норма | Срок | Крайняя дата |
|---|---|---|---|
| [требование] | [ст.] | [из таблицы сроков] | [дата] |

## Где данные (проверено)
- [система] — [есть/нет] — [у обработчика по поручению: да/нет]

## Оценка оснований
- [требование] → [удовлетворить / ограничить / мотивированный отказ, ст.] `[решить]`

## Подтверждение уничтожения (если уничтожали, Приказ РКН № 179)
- Акт об уничтожении ПДн: [проект / приложен]
- Выгрузка из журнала регистрации событий в ИСПДн: [есть / запрошена у ИБ]

## Черновик уведомления о получении
> [текст]

## Черновик ответа по существу
> [текст]
```

## Проверки перед выдачей
- [ ] Личность/представительство проверены до ответа по существу
- [ ] Срок зафиксирован **по каждому требованию отдельно** (ст. 20 ч. 1/ст. 14 ч. 3 — ответ; ст. 21 ч. 5.1 — прекращение обработки; ст. 20 ч. 3 — уничтожение при доказанной неправомерности получения/ненужности, 7 раб. дней; ст. 21 чч. 1–6 — деструктивные сроки; ст. 15 ч. 2 — немедленно; ст. 10.1 — прекращение распространения) `[сверено 2026-08-27]`
- [ ] Отсчёт срока — от даты обращения/получения требования, не от даты подтверждения личности
- [ ] Возражение против продвижения не поставлено в общий 10-дневный конвейер
- [ ] Проверены остаточные основания при отзыве согласия/уничтожении
- [ ] При уничтожении подготовлено подтверждение по Приказу РКН № 179 (акт + выгрузка из журнала событий ИСПДн)
- [ ] Проверены обработчики по поручению (данные могут быть у них)
- [ ] Отказ — мотивированный, со ссылкой на норму

## Закрой деревом следующих шагов