Как потребовать удалить персональные данные из сервиса или базы

Вы зарегистрировались в онлайн-школе, маркетплейсе или приложении, а потом решили уйти – но сервис продолжает хранить ваш телефон, почту и историю и слать рассылки. По закону вы не обязаны мириться с этим: обработка персональных данных строится на вашем согласии, а согласие можно забрать обратно. Право на отзыв согласия и на удаление данных закреплено в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных». Разберём, чем отличается отзыв согласия от удаления, как правильно оформить требование, в какой срок оператор обязан его исполнить и что делать, если он молчит или отказывает.

Ваши права на свои данные по 152-ФЗ

Закон считает вас субъектом персональных данных, а сервис – оператором. У вас есть несколько ключевых прав, которыми можно пользоваться независимо друг от друга:

• Отозвать согласие на обработку в любой момент – это прямо предусмотрено статьёй 9 ФЗ № 152-ФЗ. Объяснять причину и ждать «разрешения» оператора не нужно: отзыв – ваше безусловное право.
• Требовать прекращения обработки и удаления данных. После отзыва согласия и при отсутствии других законных оснований оператор обязан прекратить обработку и уничтожить ваши данные.
• Получить доступ к своим данным и сведениям об их обработке (ст. 14 ФЗ № 152-ФЗ): какие данные о вас собраны, откуда получены, для чего используются и кому передавались.
• Требовать уточнения, блокирования неточных или незаконно полученных данных.

Важная оговорка: удаление возможно не всегда мгновенно и не во всех случаях. Если у оператора есть самостоятельное законное основание хранить данные (например, исполнение договора, требования бухгалтерского или налогового учёта, хранение чеков), часть сведений он вправе сохранить на установленный срок. Но использовать их для рассылок и маркетинга после отзыва согласия он уже не может.

Отзыв согласия и удаление: в чём разница

Эти два требования часто смешивают, хотя они работают по-разному.

• Отзыв согласия – вы заявляете, что больше не разрешаете обрабатывать данные на основании вашего согласия. С этого момента оператор должен прекратить ту обработку, которая держалась только на согласии (рекламные рассылки, профилирование, передача партнёрам).
• Удаление (уничтожение) – физическое стирание данных из базы. Оператор обязан это сделать, когда отпало основание для обработки: достигнута цель, истёк срок, либо вы отозвали согласие и других оснований хранить данные нет.

На практике в одном заявлении удобно заявить и отзыв согласия, и требование удалить данные, и требование подтвердить факт удаления. Так оператору сложнее ограничиться формальной отпиской.

В какой срок обязаны удалить данные

Закон устанавливает конкретные сроки реагирования. После того как оператор получил ваше требование (например, отзыв согласия), он обязан прекратить обработку и уничтожить персональные данные в срок, установленный статьёй 21 ФЗ № 152-ФЗ – по общему правилу это не более 30 дней. На запрос о доступе к данным и сведениях об их обработке оператор отвечает быстрее – в течение установленного законом короткого срока.

Чтобы сроки начали течь и вы могли их доказать, важно зафиксировать момент получения требования оператором:

1. Найдите реквизиты оператора и контакты для обращений – обычно они указаны в политике конфиденциальности и пользовательском соглашении сервиса.
2. Направьте требование письменно: на электронную почту для обращений по персональным данным и продублируйте на юридический адрес заказным письмом с описью вложения.
3. Сохраните подтверждение отправки и доставки – скриншот письма, почтовую квитанцию и опись. От даты получения отсчитывается срок на удаление.

Если по истечении срока данные так и не удалены, а рассылки продолжаются, у вас на руках уже есть доказательства нарушения для жалобы и суда.

Как составить требование об удалении данных

Требование оформляется письменно, и закон предъявляет к нему конкретные условия – без них оператор вправе не исполнять запрос.

• Подтверждение личности. Укажите ФИО, контакты и сведения, по которым оператор сможет вас идентифицировать в базе (телефон, e-mail, логин, номер заказа или договора). Это требование закона – оператор должен убедиться, что данные удаляет именно их владелец, а не посторонний.
• Чёткие требования: отозвать согласие, прекратить обработку, удалить (уничтожить) персональные данные и письменно подтвердить факт удаления.
• Ссылки на нормы – статьи 9, 14 и 21 ФЗ № 152-ФЗ. Это показывает, что вы понимаете свои права.
• Способ ответа – на какой адрес или почту направить подтверждение, и срок, в который вы ждёте ответ.

Если речь не только о данных, а ещё и об отказе от платной услуги или возврате денег, само требование можно усилить по правилам составления претензии – об этом подробно в материале «Как написать претензию».

Если данные не удалили: куда жаловаться и что взыскать

Когда оператор проигнорировал требование, отказал без оснований или продолжает обработку, у вас есть несколько рычагов:

1. Жалоба в Роскомнадзор. Это уполномоченный орган по защите прав субъектов персональных данных. По жалобе он вправе провести проверку оператора и выдать предписание об устранении нарушения. Подать обращение можно через официальный сайт ведомства или Госуслуги.
2. Требование компенсации морального вреда. За незаконную обработку и нарушение ваших прав вы вправе требовать компенсацию морального вреда – это право предусмотрено самим 152-ФЗ, а взыскивается компенсация по правилам гражданского законодательства. О том, как обосновать и взыскать её, читайте в материале «Как взыскать компенсацию морального вреда».
3. Иск в суд. Если нарушение продолжается, через суд можно обязать оператора прекратить обработку и удалить данные, а также взыскать убытки и компенсацию.

Полезно заранее собрать доказательства: переписку с оператором, скриншоты с вашими данными в сервисе, продолжающиеся рассылки и уведомления. Чем полнее доказательства, тем выше шансы на удовлетворение требований – гарантировать конкретный исход в каждом деле нельзя, всё решает суд по обстоятельствам.