Удаление персональных данных по требованию субъекта порядок

Человек отозвал согласие и потребовал удалить его данные. Многие компании реагируют так, будто это просьба, которую можно отложить или обойти ссылкой на внутренние регламенты. Закон смотрит иначе. С момента, когда требование поступило, у оператора начинают течь жёсткие сроки, измеряемые днями, а в случае утечки часами. И финал процедуры это не просто нажатие кнопки удалить, а подтверждение уничтожения по правилам, установленным надзорным органом. Порядок удаления данных по требованию субъекта расписан в статье 21 закона 152-ФЗ, и каждая часть этой статьи привязана к своему сроку.

Откуда берётся само право

Право человека требовать уничтожения данных вытекает из части 1 статьи 14. Субъект вправе требовать уточнения данных, их блокирования или уничтожения, если данные неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели обработки. Это право на доступ и контроль над данными, а механизм его исполнения раскрывает статья 21, которая описывает обязанности оператора по устранению нарушений, уточнению, блокированию и уничтожению.

Блокирование на время проверки

Первый шаг при споре это не удаление, а блокирование. Часть 1 статьи 21 обязывает оператора при выявлении неправомерной обработки заблокировать данные с момента обращения или получения запроса на период проверки. То же правило действует при выявлении неточных данных, при условии что блокирование не нарушит права самого человека или третьих лиц. Логика простая. Пока идёт разбирательство, данные нельзя использовать, но и стирать их раньше времени тоже нельзя, чтобы не уничтожить то, что может понадобиться для уточнения.

Если неточность подтвердилась, по части 2 оператор обязан уточнить данные в течение семи рабочих дней со дня представления подтверждающих сведений и снять блокирование. Это сценарий исправления, а не удаления.

Сроки на прекращение и уничтожение

Дальше всё зависит от основания. При выявлении неправомерной обработки часть 3 статьи 21 даёт оператору срок не более трёх рабочих дней с даты выявления, чтобы прекратить такую обработку. Если сделать обработку правомерной невозможно, оператор обязан в срок не более десяти рабочих дней с даты выявления уничтожить данные. Об устранении нарушений или об уничтожении оператор обязан уведомить человека, а если обращение пришло через надзорный орган, то и этот орган.

При достижении цели обработки работает часть 4. Оператор обязан прекратить обработку и уничтожить данные в срок не более тридцати дней с даты достижения цели, если иное не предусмотрено договором с участием субъекта или законом.

При отзыве согласия включается часть 5. Оператор прекращает обработку и, если сохранение данных больше не требуется для целей обработки, уничтожает их в срок не более тридцати дней с даты поступления отзыва. Оговорка про необходимость сохранения это не лазейка для бесконечного хранения, а признание того, что у оператора может быть иное законное основание помимо согласия.

Отдельно стоит требование о прекращении обработки. Часть 5.1 статьи 21 обязывает оператора в срок не более десяти рабочих дней с даты получения такого требования прекратить обработку, за исключением случаев, предусмотренных пунктами 2 11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 закона. Этот срок тоже может быть продлён не более чем на пять рабочих дней при направлении мотивированного уведомления.

Когда уничтожить нельзя

Часть 6 статьи 21 закрывает практический вопрос. Если уничтожить данные в установленный частями 3 5.1 срок невозможно, оператор блокирует данные и обеспечивает их уничтожение в срок не более шести месяцев, если иной срок не установлен федеральными законами. То есть невозможность мгновенного стирания не освобождает от обязанности, а лишь переносит её на ограниченный горизонт при обязательном блокировании.

Подтверждение уничтожения

Часть 7 статьи 21 добавляет финальное требование. Подтверждение уничтожения данных осуществляется в соответствии с требованиями, установленными надзорным органом по защите прав субъектов. Это значит, что нельзя просто заявить, что данные удалены. Нужно зафиксировать факт уничтожения в форме, которую признаёт регулятор. Отсутствие такого подтверждения превращает фактическое удаление в недоказуемое, и при проверке оператор оказывается в положении, когда обязанность вроде бы исполнена, но доказать это нечем.

На что смотрит надзорный орган

При жалобе на неудаление данных инспектор проверяет основание требования и привязанный к нему срок. Отзыв согласия это тридцать дней по части 5. Требование прекратить обработку это десять рабочих дней по части 5.1. Выявленная неправомерная обработка это три рабочих дня на прекращение и десять на уничтожение по части 3. Дальше проверяется уведомление человека о принятых мерах и наличие подтверждения уничтожения по части 7. Слабым местом почти всегда оказывается либо пропущенный срок, либо отсутствие документального следа уничтожения.

Отдельный блок касается утечек. Часть 3.1 статьи 21 при установлении факта неправомерной или случайной передачи данных, повлёкшей нарушение прав субъектов, обязывает оператора в течение двадцати четырёх часов уведомить надзорный орган о произошедшем инциденте, предполагаемых причинах, предполагаемом вреде и принятых мерах, а в течение семидесяти двух часов сообщить о результатах внутреннего расследования. Это уже не дни, а часы, и реагировать приходится в режиме инцидента.

Пример из практики

Пользователь сервиса рассылок отозвал согласие на обработку и потребовал удалить профиль. Компания удалила учётную запись из интерфейса, но контакт остался в резервных копиях и в выгрузке для рекламной площадки. Через полтора месяца человек снова получил рассылку и подал жалобу. Здесь нарушены сразу несколько норм. Не выдержан тридцатидневный срок по части 5 в части реального прекращения обработки. Нет подтверждения уничтожения по части 7. Правильная тактика это вести единый реестр требований об удалении, фиксировать дату поступления, основание и крайний срок, охватывать удалением все хранилища включая копии и поручённую обработку, и оформлять подтверждение уничтожения.

Частые ошибки

Первая ошибка путать удаление учётной записи в интерфейсе с уничтожением данных во всех системах. Вторая считать тридцать дней при отзыве согласия и десять рабочих дней при требовании прекратить обработку одним и тем же сроком. Третья игнорировать обязанность блокировать данные на период проверки по части 1. Четвёртая забывать про уведомление человека о принятых мерах. Пятая откладывать уведомление о утечке, тогда как часть 3.1 отводит на это двадцать четыре и семьдесят два часа.

Частые вопросы

Можно ли отказать в удалении, сославшись на договор. Частично да. Части 4 и 5 прямо допускают иной порядок, если он предусмотрен договором, стороной или выгодоприобретателем по которому является субъект, либо если у оператора есть иное законное основание обработки. Но это нужно обосновать, а не заявить общими словами.

Что делать, если данные технически невозможно сразу стереть. Применять часть 6, то есть блокировать данные и уничтожить их в срок не более шести месяцев.

Нужно ли уведомлять самого человека об уничтожении. Да. Часть 3 при устранении нарушений или уничтожении прямо требует уведомить субъекта или его представителя.

Если поступило требование об удалении и при этом есть риск утечки или спор с человеком, выстроить корректную последовательность действий помогает юридическое сопровождение по персональным данным. Обсудить конкретный кейс можно через контакты.