Подводный камень · Персональные данные
Препятствия для удаления данных
Обращения о правах требуют отправки по почте или нотариально заверенного письма, копии паспорта или оплаты; согласие можно отозвать «только письменно на наш почтовый адрес»; удаление подменяется «деактивацией» или ставится в зависимость от «наших потребностей в хранении»; оператор «вправе» удовлетворить запрос или «оставляет за собой право отказать».
- Тяжесть
- Очень дорого
- Как часто встречается
- Часто
- Устоит ли?
- Часто ничтожно
- Формулировок
- 19
Как это выглядит в договоре
Redline ищет эти обороты в вашем тексте дословно. Составители редко придумывают новые формулировки — их копируют, поэтому одни и те же фразы всплывают в совершенно разных договорах.
В договорах на английском
- requests must be submitted in writing by mail
- we may charge a reasonable fee
- we may require notarized proof of identity
- we reserve the right to refuse requests
- deactivate your account
- we will retain information as necessary to comply with our legal obligations
- we may not be able to delete
- within a reasonable time
- you may withdraw consent by contacting us at our postal address
- except as otherwise required by law we may continue to use
В договорах на русском
- отзыв согласия осуществляется путём направления письменного заявления по почтовому адресу Оператора
- заказным письмом с уведомлением
- с приложением копии документа, удостоверяющего личность
- Оператор вправе продолжить обработку персональных данных после отзыва согласия
- деактивация аккаунта
- в разумный срок
- Оператор вправе отказать в удалении
- за исключением случаев, когда хранение необходимо Оператору
- Оператор рассматривает обращение в течение 30 дней
Проверьте свой договор
Вставьте пункт, страницу или весь документ. Из браузера ничего не уходит: сопоставление идёт прямо здесь, на этой странице, с формулировками выше.
Чем это бьёт
Согласие, которое даётся одним кликом, а отзывается заказным письмом, согласием не является; обещания удаления с оговорками про резервные копии, «юридические цели» и производные данные оставляют всё на месте; законные сроки тихо подменяются собственными.
Действует ли это условие у вас
Одно и то же условие бывает обычным в одной стране и ничтожным в другой. Ниже — что говорит закон там, где вы находитесь; это не разбор именно вашего договора.
152-ФЗ требует отдельного согласия на каждую цель и запрещает обусловливать услугу согласием на лишнюю обработку (ст. 9); трансграничная передача ограничена ст. 12, а с 2025 года утечка данных наказывается оборотным штрафом.
США
- Норма
- CCPA
- CPRA
- FTC
Евросоюз
- Норма
- GDPR Art 7(3)
Великобритания
- Норма
- Consumer Rights Act 2015
- GDPR
- ICO
Россия
- Норма
- 152-ФЗ
- ст. 13.11 ч. 4 КоАП
- ст. 21 ч. 5
- ст. 9 ч. 2
Где это уже случалось
Предписания регуляторов, решения судов и договоры, из-за которых всё началось.
- FTC v. 1Health.io/Vitagene (2023) — deceived consumers about the ability to delete genetic data
- FTC/DOJ v. Amazon Alexa (2023) — parents' deletion requests defeated, recordings retained
- CNIL v. Google and Facebook (Jan 2022) — refusing cookies required several clicks vs one to accept
- EDPB Guidelines 03/2022 on deceptive design patterns — impeding consent withdrawal
Что делать
По порядку: от того, что займёт минуту, до того, ради чего придётся написать письмо.
- Направляйте обращение тем же каналом, каким давали согласие, — такова позиция Роскомнадзора — и дополнительно по электронной почте с уведомлением о прочтении
- Называйте законный срок
- После его истечения обращайтесь в Роскомнадзор
- Сфотографируйте препятствие (плата, нотариус, только бумажная почта)
- В России оператор обязан ответить на запрос в течение 10 рабочих дней (ст. 14, 20 152-ФЗ), отзыв согласия составляется в свободной форме, а после отзыва данные уничтожаются в течение 30 дней (ст. 21 ч. 5 152-ФЗ).
Что обычно идёт следом
Кто ставит одно такое условие, обычно ставит сразу несколько.