Требование прекратить обработку или удалить персональные данные: когда возможно
Требование удалить персональные данные работает не автоматически: сначала нужно определить оператора, какие именно данные он обрабатывает, цель и правовое основание обработки. Отзыв согласия может прекратить обработку, основанную только на согласии, но оператор вправе продолжить её, если закон или договор дают самостоятельное основание. В споре важно требовать не абстрактное «забыть всё», а конкретные действия и ответ.
Когда можно требовать прекращения
Начните с инвентаризации: название оператора, сайт или сервис, категории данных, источник получения, цель, кому данные передаются и на каком основании вы считаете обработку незаконной или ненужной. Право субъекта включает получение информации об обработке, требование уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных либо не являющихся необходимыми для заявленной цели данных. Но результат зависит от основания обработки. Например, организация может быть обязана хранить часть сведений по налоговым, бухгалтерским, банковским, трудовым или иным требованиям закона. Поэтому требование лучше разделять: прекратить маркетинговое использование, удалить аккаунтные данные, исправить ошибку, прекратить распространение — вместо одного неопределённого требования.
Отзыв согласия и другие основания
Если обработка основана на согласии, его можно отозвать. Однако отзыв согласия не означает, что любые данные должны быть немедленно уничтожены: закон допускает обработку без согласия в перечисленных случаях. Оператор должен оценить, осталось ли другое правовое основание и нужна ли информация для соответствующей цели. Если цель достигнута или необходимость исчезла, действует обязанность прекратить обработку и уничтожить данные в установленный законом срок, если нет исключения. Для спора полезно запросить у оператора правовое основание, цели, сроки обработки и хранения, а также сведения о лицах, которым данные поручены или раскрыты. Ответ помогает понять, что именно можно оспаривать предметно.
Как составить требование оператору
В требовании укажите свои данные в объёме, достаточном для идентификации, контакты для ответа, отношения с оператором и конкретные наборы данных или операции. Сформулируйте, чего вы хотите: прекратить обработку для определённой цели, уничтожить данные, исправить неточность, отозвать согласие, прекратить распространение. Сошлитесь на договор, номер аккаунта или дату обращения, но не отправляйте лишние паспортные сведения в открытом письме, если оператор их не требует обоснованно. Попросите сообщить о выполненных действиях и об основании сохранения тех данных, которые оператор считает необходимым оставить. Направляйте обращение по каналу, позволяющему подтвердить отправку и содержание.
Сроки ответа и уничтожения
Федеральный закон устанавливает разные сроки для разных ситуаций, поэтому не стоит использовать один универсальный срок из шаблона. На запрос субъекта об информации оператор отвечает в предусмотренный законом период; при выявлении неправомерной обработки применяются сроки блокирования, прекращения и уничтожения, а при достижении цели или отзыве согласия — отдельные правила. Для данных, разрешённых субъектом для распространения, предусмотрен специальный механизм и сокращённые сроки прекращения распространения в установленных случаях. Перед претензией сверяйте действующую редакцию закона: сроки и состав обязанностей менялись. В своём обращении фиксируйте дату получения оператором, потому что от неё часто считается обязанность совершить действие или дать ответ.
Распространённые данные и публикации
Отдельный режим действует для персональных данных, которые субъект разрешил для распространения. Согласие на такую обработку оформляется отдельно, а субъект может установить запреты и условия. Если сведения опубликованы без законного основания или продолжение распространения нарушает требования закона, требование должно указывать конкретный материал, страницу, аккаунт, фотографию или иной объект, позволяющий оператору найти публикацию. Удаление из одной соцсети не гарантирует исчезновения копий у независимых получателей или из поисковой выдачи; к разным операторам могут потребоваться отдельные обращения. Сохраняйте URL, скриншоты и дату фиксации до удаления, если нарушение уже произошло и может понадобиться доказательство.
Что делать при отказе или молчании
Если оператор отказал, прочитайте мотивировку: он должен объяснить правовое основание дальнейшей обработки, если считает требование необоснованным. Сопоставьте его ответ с реальной целью и объёмом данных. Например, обязанность хранить документы о совершённой операции не всегда оправдывает продолжение рекламных рассылок или публичную публикацию профиля. Можно направить уточнённое требование, отделив обязательное хранение от спорных операций. При отсутствии ответа или при продолжающемся нарушении субъект вправе обратиться в Роскомнадзор и в предусмотренных случаях в суд. Не удаляйте переписку и подтверждения отправки: без них труднее показать, что оператор получил конкретное требование и не выполнил его.
Доказательства и обращение в Роскомнадзор
Для обращения в Роскомнадзор подготовьте последовательную хронологию: когда и какие данные стали обрабатываться, откуда вы об этом узнали, что направили оператору, какой получили ответ и в чём именно видите нарушение. Приложите копии требования, ответа, подтверждения доставки, скриншоты и ссылки. В электронной приёмной выбирайте тему, связанную с защитой прав субъектов персональных данных, и избегайте передачи сведений, не нужных для рассмотрения. Роскомнадзор оценивает соблюдение законодательства оператором; спор о компенсации или иных гражданско-правовых требованиях может потребовать суда. Если данные используются для мошенничества, угроз или иных правонарушений, вопрос может выходить за пределы компетенции Роскомнадзора и требовать обращения в другой орган.
Границы права на удаление
Право на удаление имеет границы. Архивное хранение, исполнение закона, бухгалтерский учёт, защита прав в споре, выполнение договора или иные прямо предусмотренные основания могут оправдывать сохранение определённой информации. Кроме того, «удаление» и «уничтожение» в юридическом смысле не всегда равны отключению аккаунта в интерфейсе. Если важен конкретный результат, просите оператора подтвердить прекращение определённых операций и уничтожение данных там, где для хранения нет основания. Для медицинских, банковских, трудовых, государственных реестров и иных регулируемых сфер сроки хранения и доступ определяются специальными нормами; универсальное требование из интернета может быть неприменимо.
Частые вопросы
Можно ли потребовать удалить данные одним письмом?
Можно направить одно обращение, но лучше перечислить конкретные данные, цели и действия. Чем точнее требование, тем легче проверить исполнение и оспорить мотивированный отказ.
Отзыв согласия всегда прекращает обработку?
Нет. Если у оператора есть другое законное основание для конкретной обработки, она может продолжаться. При этом операции, основанные только на отозванном согласии, должны оцениваться отдельно.
Куда жаловаться, если оператор игнорирует обращение?
По вопросам соблюдения законодательства о персональных данных можно обратиться в Роскомнадзор через официальную приёмную, приложив требование, доказательство его направления и материалы, подтверждающие спорную обработку.