Внимание, автоматизированные запросы от субъектов ПД

Крупные операторы персональных данных с октября 2026 года получили всплеск запросов об обработке персональных данных от субъектов ПД.

Это стало следствием деятельности прайваси-активистов, которые выложили автоматизированный скрипт, работающий как расширение Chrome (ссылка на GitHub). Мы в Lukash & Partners изучили ситуацию и код.

• Скрипт ориентирован на кандидатов на вакансии, которые, скорее всего, не были приняты на работу.

• Перечень получателей уже прописан в коде — это крупные российские компании (банки, телеком и т. д.). На GitHub представлены реквизиты 51 компании.

• Скрипт шлет запросы отмечаемым субъектом ПД компаниям из списка. Учет наличия отношений с компанией не предусмотрен. То есть, если субъект ПД никогда не был связан с каким-либо оператором персональных данных, скрипт все равно может отправить запрос. Это создает необоснованную нагрузку на подразделения DPO операторов персональных данных.

• Адреса для рассылки, скорее всего, собраны из реестра операторов персональных данных Роскомнадзора (email ответственного за обработку ПД).

Рассылаются 2 вида писем. Узнать запросы можно по формату шаблона из скрипта. Для первичного понимания приводим скриншоты ниже.

• Отзыв согласия на обработку персональных данных.

• Запрос на предоставление информации, касающейся обработки персональных данных субъекта персональных данных.

Рекомендации

1. Проверить доставляемость писем на email ответственного за организацию обработки персональных данных. При необходимости внести изменения в реестр операторов персональных данных Роскомнадзора.

2. Шаблон запроса на предоставление информации, касающейся обработки персональных данных субъекта персональных данных, на данный момент не содержит сведений, подтверждающих участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведений, иным образом подтверждающих факт обработки персональных данных оператором. При отсутствии таких сведений запрос считается не соответствующим ст. 14 152-ФЗ, и в случае непредоставления ответа по правилам ст. 14 152-ФЗ оператор не будет нести ответственность по ч. 4 ст. 13.11 КоАП РФ. Данная позиция подтверждалась Роскомнадзором на ДОД.

3. Отзыв согласия на обработку персональных данных не распространяется на случаи обработки персональных данных кандидатов на основании законного интереса (п. 7 ч. 1 ст. 6 152-ФЗ). Законный интерес может быть обоснован сроком исковой давности по спорам о трудоустройстве. Исходя из текущей практики применения законного интереса, этот момент рекомендуется описать в ЛНА компании.

4. У оператора персональных данных нет обязанности подтверждать субъекту персональных данных факт уничтожения его персональных данных при отзыве согласия.

5. В ч. 5 ст. 13.11 КоАП РФ установлена ответственность за невыполнение требования субъекта персональных данных. Такие требования предусмотрены, например, ст. 10.1, ст. 15 152-ФЗ. Формально отзыв согласия не является требованием, поэтому ответственность за отсутствие ответа субъекту на отзыв согласия не предусмотрена ч. 4 и ч. 5 ст. 13.11 КоАП РФ. Однако в случае продолжения обработки ПД после отзыва согласия может быть возбуждено дело о нарушении по ч. 1 ст. 13.11 КоАП РФ, а также субъект может обратиться в Роскомнадзор, которому уже нужно будет предоставить довольно большой объем информации. Рекомендуем не игнорировать отзывы согласий от субъектов ПД, но отвечать соразмерно требованиям закона и деловой этики.

Концептуальная рекомендация

Поскольку скрипт в первую очередь направлен на использование кандидатами на вакантные должности, необходимо организовать учет работы с кандидатами на вакантные должности (если это еще не сделано) и принять меры по уничтожению их ПД. Нужно исключить ситуацию, когда нельзя определить обратившегося субъекта персональных данных, источник получения, в какой системе ПД могут находиться. Рекомендация касается прямой работы с кандидатами, работы с рекрутинговыми компаниями и работы с кандидатами через онлайн-сервисы.

Примечание. У Lukash & Partners можно запросить запись мероприятия «Обработка персональных данных в рекрутинговой функции компании».