Статья 25. Устранение нарушений законодательства в области оборота, хранения, обработки персональных данныхПостановление № 48-9 Межпарламентской Ассамблеи государств-участников СНГ

При выявлении случаев неправомерного оборота (обработки) персональных данных при обращении субъекта персональных данных либо уполномоченного органа по защите прав субъектов персональных данных оператор (держатель) персональных данных обязан осуществить блокирование персональных данных, оборот которых осуществляется неправомерно, или, если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора (держателя), обеспечить их блокирование с момента такого обращения или получения указанного запроса на период проверки.

В случае выявления неточных персональных данных в результате исполнения запроса субъекта персональных данных или уполномоченного органа по защите прав субъектов персональных данных оператор персональных данных обязан осуществить блокирование таких персональных данных или, если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора (держателя), обеспечить их блокирование с момента получения запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

В случае подтверждения факта неточности персональных данных путем получения сведений, представленных субъектом персональных данных либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов оператор (держатель) персональных данных обязан уточнить персональные данные или, если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора, обеспечить их уточнение в течение разумного срока со дня представления таких сведений и снять блокирование персональных данных.

При выявлении случаев неправомерной обработки персональных данных, осуществляемой оператором (держателем) или лицом, действующим по его поручению, оператор (держатель) обязан незамедлительно прекратить неправомерную обработку персональных данных или обеспечить ее прекращение лицом, действующим по его поручению. В случае если обеспечить правомерность обработки персональных данных невозможно, оператор в тот же срок обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных, а в случае, если запрос был направлен уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.

В случае достижения цели обработки персональных данных оператор (держатель) обязан прекратить обработку персональных данных или, если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора (держателя), обеспечить ее прекращение и уничтожить персональные данные или обеспечить их уничтожение в срок, не превышающий 30 дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором между оператором и субъектом персональных данных либо национальным законодательством.

В случае отзыва субъектом персональных данных согласия на оборот (обработку) его персональных данных оператор (держатель) обязан незамедлительно прекратить их оборот (обработку) или обеспечить прекращение их оборота (обработки), если оборот (обработка) персональных данных осуществляется другим лицом, действующим по поручению оператора (держателя). В случае если сохранение персональных данных более не требуется для целей обработки персональных данных, оператор персональных данных обязан также уничтожить такие персональные данные или, если оборот (обработка) персональных данных осуществляется другим лицом, действующим по поручению оператора (держателя), обеспечить их уничтожение в разумный срок, не превышающий 30 календарных дней с момента получения указанного отзыва, если иное не предусмотрено договором между оператором и субъектом персональных данных либо национальным законодательством.

При отсутствии возможности уничтожения персональных данных в течение установленного срока оператор (держатель) осуществляет блокирование таких персональных данных или, если оборот (обработка) персональных данных осуществляется другим лицом, действующим по поручению оператора (держателя), обеспечивает их блокирование и уничтожение в срок не более чем шесть месяцев, если иной срок не установлен национальным законодательством.