Удаление персональных данных в Беларуси обычно начинается с обращения к оператору - организации, индивидуальному предпринимателю, государственному органу или иному лицу, которое организует и осуществляет обработку ваших данных.
Главный ориентир здесь - Закон Республики Беларусь «О защите персональных данных». Он закрепляет права субъекта персональных данных и обязанности оператора, в том числе право отозвать согласие, потребовать прекращения обработки и добиться удаления данных, если для дальнейшей обработки нет законного основания.
Когда можно требовать удаления данных
По пункту 1 статьи 10 Закона «О защите персональных данных» субъект персональных данных вправе отозвать свое согласие на обработку в любое время и без объяснения причин. Если именно согласие было основанием обработки, после его отзыва оператор должен проверить, может ли он продолжать обработку по другому законному основанию.
Отдельно пункт 1 статьи 13 Закона дает субъекту право требовать от оператора бесплатного прекращения обработки своих персональных данных, включая их удаление, если отсутствуют основания для такой обработки. Поэтому требование об удалении уместно, когда цель обработки уже достигнута, согласие отозвано, данные больше не нужны оператору или были получены без надлежащего основания.
Важно учитывать ограничение: удаление не всегда возможно сразу. Статья 6 Закона предусматривает случаи, когда персональные данные могут обрабатываться без согласия субъекта, например если это необходимо для исполнения обязанностей, установленных законодательными актами. В такой ситуации оператор может сохранить данные в пределах законной цели, но не должен использовать их шире, чем допускает соответствующее основание.
Как подать требование оператору
Практически лучше направить оператору письменное заявление. В нем стоит прямо указать две просьбы: отозвать согласие на обработку персональных данных по пункту 1 статьи 10 Закона и прекратить обработку, включая удаление данных, по пункту 1 статьи 13 Закона.
В заявлении обычно указывают:
- фамилию, имя, отчество заявителя;
- данные, по которым оператор сможет идентифицировать человека в своей системе;
- контакт для ответа;
- какие персональные данные или учетную запись нужно удалить;
- прямую формулировку об отзыве согласия и требовании удалить данные;
- дату и подпись, если заявление подается на бумаге.
Если сервис или организация принимает электронные обращения, можно использовать такой канал. Но способ обращения должен позволять подтвердить, кто направил требование и когда оно было подано. Для спорной ситуации надежнее сохранить копию заявления, подтверждение отправки, почтовую квитанцию, электронное уведомление или иной след направления запроса.
Что обязан сделать оператор
Статья 16 Закона «О защите персональных данных» возлагает на оператора обязанность прекращать обработку персональных данных, удалять или блокировать их, если отсутствуют основания для обработки. Если данные обрабатывает уполномоченное лицо по поручению оператора, оператор должен обеспечить выполнение этих действий и через него.
На практике после получения требования оператор должен:
- идентифицировать заявителя;
- проверить, какие данные обрабатываются и на каком основании;
- прекратить обработку, если законного основания больше нет;
- удалить или заблокировать данные в установленном порядке;
- сообщить заявителю результат рассмотрения обращения.
Если у оператора есть законная обязанность хранить часть данных, например из-за требований бухгалтерского, налогового, банковского или иного специального законодательства, он может отказать в полном удалении этой части. Но такой отказ должен быть связан с конкретным законным основанием, а дальнейшая обработка должна оставаться ограниченной соответствующей целью.
Что делать при отказе или молчании
Если оператор отказывает в удалении, игнорирует обращение или продолжает использовать данные без понятного основания, действия или бездействие оператора можно обжаловать.
Статья 15 Закона «О защите персональных данных» предусматривает право субъекта персональных данных обжаловать действия, бездействие и решения оператора, нарушающие его права при обработке персональных данных, в уполномоченный орган по защите прав субъектов персональных данных. Такое обращение подается в порядке, установленном законодательством об обращениях граждан и юридических лиц.
Статья 18 Закона относит к полномочиям уполномоченного органа рассмотрение жалоб субъектов персональных данных и требование от операторов изменения, блокирования или удаления персональных данных, если они недостоверны или получены незаконным путем.
Если решение уполномоченного органа не устраивает заявителя, статья 15 Закона допускает дальнейшее обжалование в суде в порядке, установленном законодательством.
Что проверить перед обращением
Перед отправкой заявления полезно понять, с каким оператором вы имеете дело и какие данные хотите удалить. Если речь идет об онлайн-сервисе, проверьте политику обработки персональных данных, пользовательское соглашение, контакты для обращений и разделы аккаунта, где можно отключить рассылки, удалить профиль или ограничить обработку.
Если данные передавались нескольким организациям, может потребоваться отдельное обращение к каждому оператору. Например, один оператор хранит учетную запись, другой обрабатывает платежные сведения, третий оказывает техническую поддержку по поручению основного оператора. В заявлении стоит просить не только удалить данные у самого оператора, но и обеспечить прекращение обработки у уполномоченных лиц, если они привлекались.
Также имеет смысл запросить информацию об обработке. Пункт 1 статьи 11 Закона дает субъекту право получать сведения, касающиеся обработки его персональных данных, а пункт 1 статьи 12 - один раз в календарный год бесплатно получать информацию о предоставлении его данных третьим лицам. Эти права помогают понять, какие данные есть у оператора и кому они передавались.
Нормативная база
- Закон Республики Беларусь «О защите персональных данных», в том числе пункт 3 статьи 4, статья 6, пункт 1 статьи 10, пункт 1 статьи 11, пункт 1 статьи 12, пункт 1 статьи 13, статья 15, статья 16 и статья 18.
- Решение Конституционного Суда Республики Беларусь «О соответствии Конституции Республики Беларусь Закона Республики Беларусь "О защите персональных данных"».
Этот материал носит информационный характер и не является юридической консультацией.