Подводный камень · Персональные данные
Бессрочное хранение данных
Срок хранения определён только как «столько, сколько необходимо», «пока существует ваш аккаунт и после этого» или «бессрочно»; удалённые данные «могут оставаться в резервных копиях»; согласие даётся бессрочно; а персональные данные, включая генетические, медицинские и финансовые, перечислены как передаваемый актив при слиянии, поглощении, реорганизации, банкротстве или продаже бизнеса правопреемнику, который может не быть связан текущей политикой.
- Тяжесть
- Серьёзно
- Как часто встречается
- Почти всегда
- Устоит ли?
- Часто ничтожно
- Формулировок
- 22
Как это выглядит в договоре
Redline ищет эти обороты в вашем тексте дословно. Составители редко придумывают новые формулировки — их копируют, поэтому одни и те же фразы всплывают в совершенно разных договорах.
В договорах на английском
- for as long as necessary
- as long as your account is active and thereafter as needed
- we may retain your information indefinitely
- residual copies may remain in our backup systems
- deleted content may persist
- retain for as long as we deem appropriate
- in the event of a merger, acquisition, reorganization, bankruptcy or sale of all or a portion of our assets
- your personal information may be among the assets transferred
- successor or acquirer
- subject to the acquirer's privacy policy
В договорах на русском
- бессрочно
- согласие действует бессрочно
- до достижения целей обработки
- в течение неограниченного срока
- Оператор вправе хранить данные после удаления аккаунта
- в архивных и резервных копиях
- в течение срока, определяемого Оператором
- в случае реорганизации, продажи бизнеса или его части
- правопреемнику Оператора
- персональные данные могут быть переданы приобретателю
- в случае банкротства
- база данных может быть отчуждена
Проверьте свой договор
Вставьте пункт, страницу или весь документ. Из браузера ничего не уходит: сопоставление идёт прямо здесь, на этой странице, с формулировками выше.
Чем это бьёт
Данные, отданные ради одной операции, лежат вечно в ожидании утечки, запроса, поглощения или разворота компании в сторону обучения ИИ; и продаются постороннему ровно тогда, когда компании уже безразлична её репутация.
Действует ли это условие у вас
Одно и то же условие бывает обычным в одной стране и ничтожным в другой. Ниже — что говорит закон там, где вы находитесь; это не разбор именно вашего договора.
152-ФЗ требует отдельного согласия на каждую цель и запрещает обусловливать услугу согласием на лишнюю обработку (ст. 9); трансграничная передача ограничена ст. 12, а с 2025 года утечка данных наказывается оборотным штрафом.
США
- Норма
- COPPA
- FTC
Евросоюз
- Норма
- GDPR Art 5(1)
Великобритания
- Норма
- CMA37
- GDPR
- ICO
Россия
- Норма
- 152-ФЗ
- ст. 21 ч. 4
- ст. 22
- ст. 5
Где это уже случалось
Предписания регуляторов, решения судов и договоры, из-за которых всё началось.
- FTC/DOJ v. Amazon (May 2023) — Alexa kept children's voice recordings and geolocation indefinitely by default
- FTC v. Avast (2024) — browsing data 'stored indefinitely' before sale; FTC v. 1Health.io (2023) — DNA samples retained beyond promised deletion, order requires destruction after 180 days
- FTC v. Toysmart (2000) — sale of customer list in bankruptcy blocked despite 'never shared' promise; RadioShack bankruptcy (2015) — sale of 117M customer records limited to a same-line buyer bound by the old policy
- 23andMe Chapter 11 (Mar 2025) — California AG alert urging deletion; acquired by TTAM Research Institute (July 2025) with privacy commitments
- FTC COPPA Rule amendments (Jan 2025) — written data retention policy, no indefinite retention
Что делать
По порядку: от того, что займёт минуту, до того, ради чего придётся написать письмо.
- Запросите письменно сроки хранения (ст. 14 152-ФЗ — ответ в течение 10 рабочих дней)
- Требуйте удаления и отзывайте согласие: в России оператор обязан прекратить обработку и уничтожить данные в течение 30 дней после отзыва (ст. 21 ч. 5 152-ФЗ)
- Проверьте, связывает ли условие о передаче правопреемника и обещает ли уведомление
- Для медицинских и генетических сервисов удаляйте данные при первых признаках финансовых проблем компании
- Новому оператору нужно собственное основание — требуйте удаления по ст. 21 152-ФЗ.
Что обычно идёт следом
Кто ставит одно такое условие, обычно ставит сразу несколько.