Отзыв согласия на обработку персональных данных: что удалить

Представим небольшой интернет-магазин. Покупатель просит удалить его данные: аккаунт ему больше не нужен, рекламные письма надоели. Заказ ещё в пути. У поддержки осталась переписка, у бухгалтера - документы о покупке, а в сервисе рассылки уже подготовлено следующее письмо.

Если просто закрыть аккаунт, посылку ещё нужно доставить, бухгалтерские документы продолжают храниться, а реклама может уйти по расписанию. Владельцу предстоит разобрать одно обращение на несколько действий и объяснить результат покупателю.

Что именно просит человек?

Отзыв согласия прекращает действие ранее данного разрешения на обработку данных. Удаление аккаунта - функция вашего сервиса: она делает то, что предусмотрел разработчик. Поэтому сначала стоит прочитать само обращение, даже если оно пришло через кнопку «Удалить профиль».

В нашем примере есть как минимум просьба больше не присылать рекламу и просьба удалить сведения. Если покупатель также спрашивает, какие данные у вас остались, на этот вопрос понадобится отдельный ответ. Сотруднику поддержки удобнее видеть эти задачи по отдельности, с датой получения обращения и своим сроком.

Человек вправе отозвать согласие. Чтобы после отзыва продолжить обработку части данных, оператору, то есть в данном случае магазину, потребуется другое законное основание. Это предусмотрено статьёй 9 №152-ФЗ. Текст возле кнопки удаления должен объяснять, что произойдёт с аккаунтом и какие сведения могут сохраниться.

Когда нужно прекратить обработку и удалить данные?

Срок зависит от требования и события, от которого он отсчитывается. Нельзя ответить на любое письмо «рассмотрим в течение 30 дней» и до этого продолжать рассылку.

В первых двух строках действуют предусмотренные законом исключения, позволяющие обрабатывать данные без согласия. Рабочие дни считают по рабочему календарю. Продление требует уведомления с причинами; это не дополнительные дни, которые можно молча прибавить к каждому обращению. Статья 21, статья 20, статья 15 №152-ФЗ.

Заказ ещё едет: какие сведения останутся?

Адрес покупателя в нашем примере нужен для доставки. Магазин определяет, какие сведения необходимы для исполнения договора, и продолжает работать с ними на этом основании. Использовать тот же адрес для новой рекламной кампании уже нельзя обосновать доставкой заказа.

С бухгалтерскими документами другая причина хранения. Часть 1 статьи 29 №402-ФЗ устанавливает для перечисленных в этой части документов сроки по архивным правилам, но не менее пяти лет после отчётного года. Этот минимум не распространяется автоматически на всю переписку менеджера или список интересов покупателя.

Для каждой оставшейся группы данных полезна короткая запись: что сохраняем, зачем, на каком основании и до какого момента. Формулировка «на случай спора» без дальнейшего разбора не объясняет, почему нужен весь профиль. Когда основание хранения спорно или речь идёт о специальных категориях данных, потребуется отдельная правовая оценка.

Как убедиться, что обращается владелец данных?

Из-за ошибки можно удалить чужой аккаунт или раскрыть чужие сведения. Способ подтверждения выбирают по характеру запроса и риску: для обычного аккаунта одним из вариантов служит подтверждение через связанную с ним почту. Если доступ к старому адресу потерян, нужен доступный порядок обращения в поддержку.

Запрос представителя, спор о принадлежности аккаунта и запрос доступа к персональным данным потребуют своего разбора. В частности, требования к запросу сведений установлены статьёй 14 №152-ФЗ. Эти требования не следует автоматически переносить на каждую кнопку сайта: копия паспорта не должна становиться условием любой отписки от рекламы.

В интерфейсе до окончательного удаления удобно показать последствия и предложить подтвердить выбор. Это рекомендация по устройству сервиса, а не универсальная форма обращения, установленная законом.

Где остались копии после удаления аккаунта?

Вернёмся к письму, которое сервис рассылки уже подготовил нашему покупателю. Контакт можно удалить из основной базы и всё равно отправить рекламу из заранее собранного списка. Поэтому сотруднику, который ведёт обращение, нужен перечень мест, где используются данные этого человека:

• аккаунт, заказы и переписка с поддержкой;
• списки рассылок и запланированные отправки;
• выгрузки и рабочие документы сотрудников;
• сервисы подрядчиков, которым поручена обработка.

Рядом с каждым местом достаточно указать ответственного, нужное действие и его результат. Данные, которые сохраняются на законном основании, отмечают отдельно. Если обработку выполняет подрядчик по поручению магазина, прекращение или уничтожение нужно обеспечить и у него. Ответ «заявка принята» ещё не сообщает, что подрядчик выполнил работу. Статья 21 №152-ФЗ.

Такой список пригодится и при сверке сведений об обработке, указанных в уведомлении Роскомнадзору. Порядок подачи разобран в руководстве об уведомлении РКН для сайтов с формами. Отзыв одного покупателя при этом не означает, что магазин прекратил всю обработку персональных данных.

Можно ли оставить данные в резервной копии?

Название хранилища «резервная копия» само по себе не разрешает продлить хранение. Часть 6 статьи 21 применяется, когда уничтожение невозможно в сроки из частей 3-5.1 этой статьи. Тогда данные блокируют и обеспечивают уничтожение не позднее шести месяцев, если другой срок не установлен федеральным законом.

Для такой ситуации нужны конкретная причина невозможности, перечень затронутых данных и срок уничтожения. Нельзя заранее назначить всем обращениям полгода «на всякий случай».

Есть и практический вопрос к разработчику: что произойдёт, если магазин восстановит старую резервную копию? Удалённый контакт не должен снова попасть в активную рассылку или другую обработку без основания. Порядок восстановления лучше проверить заранее, пока настоящий покупатель ещё не получил письмо после отписки.

Чем подтвердить уничтожение и что ответить покупателю?

Приказ Роскомнадзора №179 определяет документы, которыми подтверждают уничтожение. При обработке без автоматизации нужен акт. При автоматизированной и смешанной обработке - акт и выгрузка из журнала событий. Их хранят три года с момента уничтожения данных.

В приказе перечислены сведения для этих документов. Система должна позволять их получить: скриншот пустого профиля не заменяет акт и выгрузку.

Покупателю нужен ответ по его просьбам: рекламные контакты прекращены, такие-то данные уничтожены, такие-то сохраняются для указанной цели и на конкретном основании. То, что ещё выполняется, описывают отдельно. Обещание «удалено всё» будет расходиться с фактом, если бухгалтерские документы продолжают храниться.

Одно тестовое обращение от начала до конца

На собственном тестовом аккаунте можно пройти тот же путь, что прошёл бы покупатель. Заранее обозначьте запись сотрудникам и сохраните результаты:

1. Отправьте обращение через способ, доступный без входа в кабинет. Убедитесь, что ответственный получил текст и дату.
2. Разделите просьбы, назначьте сроки и основания хранения оставшихся сведений.
3. Выполните действия по списку хранилищ и получателей, включая подготовленные отправки и подрядчиков.
4. Сверьте результат с документами об уничтожении и ответом человеку.
5. После очередной выгрузки или запланированного задания убедитесь, что контакт не вернулся в обработку без основания.

В нашем примере обращение будет разобрано, когда реклама прекратится, ненужные сведения будут уничтожены, а покупателю объяснят судьбу данных для доставки и бухгалтерского учёта. У каждого оставшегося документа к этому моменту должна быть своя причина хранения.