Как потребовать удалить свои персональные данные

Ваши персональные данные хранятся у гораздо большего числа организаций, чем вы помните: интернет-магазины, доставки, клиники, спортзалы, сервисы бронирования, бывшие работодатели. У каждой из них есть обязанности перед вами, а у вас — набор прав, которыми можно пользоваться. Разберём, какие именно и как.

Что закон относит к персональным данным

Это любая информация, относящаяся к прямо или косвенно определённому человеку. Не только паспорт и адрес: телефон, электронная почта, история заказов, данные о поездках, фотография, а в ряде случаев и сетевые идентификаторы, по которым вас можно узнать.

Организация, которая эти данные собирает и обрабатывает, называется оператором. Оператором становится почти любая компания, у которой есть клиенты или сотрудники.

Три разных права, которые часто путают

Право на доступ. Вы можете запросить, какие именно ваши данные обрабатываются, откуда получены, с какой целью и кому передаются. Оператор обязан ответить.

Отзыв согласия. Если обработка идёт на основании вашего согласия — например, для рассылок или маркетинга, — вы вправе отозвать его в любой момент, без объяснения причин. После отзыва оператор должен прекратить эту обработку.

Требование об уточнении, блокировании или уничтожении. Применяется, когда данные неполные, неточные, устаревшие, получены незаконно или больше не нужны для заявленной цели.

Разница принципиальна: отзыв согласия прекращает обработку, у которой согласие было основанием. Но у части обработки основание другое — исполнение договора или прямое требование закона. Например, магазин не сможет удалить данные о покупке, пока не истекли сроки хранения бухгалтерских документов, а работодатель обязан хранить кадровые документы установленный срок независимо от вашего желания.

Как составить обращение

Форма свободная, но в обращении должны быть сведения, по которым вас можно однозначно идентифицировать, и понятное требование. Практический минимум:

• фамилия, имя, отчество;
• сведения, подтверждающие ваше отношение к оператору: номер договора, номер заказа, адрес электронной почты или телефон, на который зарегистрирован аккаунт;
• что именно вы требуете — предоставить сведения, отозвать согласие, уничтожить данные;
• способ, которым хотите получить ответ;
• дата и подпись.

Отправлять лучше так, чтобы у вас остался след отправки: через официальную форму обращения с сохранением подтверждения, на адрес электронной почты, указанный в политике обработки персональных данных, или почтой с уведомлением. Обращение, отправленное в чат поддержки, формально тоже обращение, но доказать факт и дату сложнее.

Контакты ответственного за обработку персональных данных и адрес для обращений организация обязана публиковать — обычно они в политике конфиденциальности внизу сайта.

Сроки

Закон устанавливает конкретные сроки ответа и исполнения — на практике речь идёт о днях, а не месяцах. Отсчёт идёт с момента получения обращения, поэтому подтверждение отправки важно. Если оператор запросил уточнения, срок обычно начинает течь заново с момента, когда вы их предоставили, — затягивание уточнениями стоит фиксировать.

Что делать при отказе или молчании

Первый шаг — повторное обращение с прямым указанием, что предыдущее осталось без ответа, и с приложением подтверждения отправки. Часть обращений просто теряется, и повтор решает вопрос.

Если ответа нет и после повтора либо отказ не мотивирован, следующий адрес — Роскомнадзор как надзорный орган в сфере персональных данных. К жалобе прикладывают переписку и подтверждения отправки: без них рассмотрение затянется.

Отдельно существует судебный порядок — в том числе для требований о компенсации, если нарушением причинён вред. Это более длинный путь, и здесь имеет смысл консультация юриста.

Данные в поисковой выдаче — отдельная история

Удаление данных у оператора и удаление ссылки из результатов поиска — разные процедуры с разными адресатами. Поисковая система не является источником информации: она индексирует чужие страницы. Поэтому логичный порядок — сначала добиться удаления или изменения на самом сайте-источнике, затем обращаться к поисковым системам за обновлением выдачи.

Если убрать со стороны источника не удаётся, у поисковых систем есть собственные процедуры для обращений граждан по удалению ссылок на определённую информацию о себе.

Что снижает объём данных на будущее

• отдельная электронная почта для регистраций в сервисах;
• отказ от необязательных полей в анкетах — многие поля не обязательны, хотя выглядят таковыми;
• внимание к галочкам о согласии на рекламу: они отзываются отдельно от основного согласия;
• удаление аккаунтов в сервисах, которыми вы перестали пользоваться, — брошенный аккаунт остаётся в базе и попадает в утечки.

Материал носит справочный характер. Формулировки конкретного обращения и оценку перспектив в спорной ситуации лучше согласовать с юристом.