Статья 41 утверждает три правомочия — удаление (необратимое уничтожение данных), анонимизация (преобразование данных в форму, исключающую установление их принадлежности субъекту) и ограничение обработки (приостановление операций при сохранении данных).
Цель статьи - наделить субъекта персональных данных эффективным механизмом прекращения или ограничения обработки данных, когда их дальнейшая обработка более не оправдана или нежелательна для субъекта.
Суть и логика статьи
Вы вправе требовать удалить, анонимизировать или ограничить обработку данных независимо от того, как они были получены. Даже если вы сами дали согласие и всё было законно — вы имеете право «передумать».
Кодекс дает четкий критерий того, что такое настоящая "анонимизация". Это действия, после которых определить владельца данных становится невозможным, а не просто «сложным». Если же данные можно расшифровать обратно (псевдонимизация), они остаются персональными. При этом право на удаление данных не абсолютно и ограничено предусмотренными законом исключениями.
Обязанность исполнения и отсылка к процедуре. Кодекс прямо закрепляет обязанность платформ и организаций выполнять требования граждан, тогда как порядок, сроки и формы обращений регулируются специальным законодательством о персональных данных. Неполнота или отсутствие подзаконных инструкций не дают права игнорировать запрос пользователя.
Коллизия с обязательными сроками хранения. Пункт 3 статьи решает частую коллизию: если закон обязывает организацию хранить данные определенный срок, полностью удалить их по первому требованию нельзя, но обязанное лицо должно ограничить доступ к данным и приостановить их обработку. Это является сбалансированным решением.
Из этого правила есть три исключения, когда обработка продолжается вопреки требованию граждан: вступившее в силу решение суда, исполнение прямой обязанности по закону или договору, а также архивное хранение.
Основания неисполнения требования. Норма задает четкий и исчерпывающий перечень из 6 оснований, когда требование гражданина не подлежит исполнению. В их числе — защита жизни и здоровья, права третьих лиц, правосудие, выполнение госфункций, статистика/наука (при условии анонимизации) и прямо установленный законом публичный интерес.
При этом на организации или госоргане лежит бремя доказывания. Нельзя давать формальные отписки, организация или орган обязаны обосновать и доказать, почему данные необходимы именно для этой цели и по такому-то основанию.
Ссылаться на «публичный интерес» можно только если он прямо прописан в законе — подзаконные акты или внутренние инструкции не применимы.
Практические примеры
- Вы зарегистрировались в приложении доставки или маркетплейсе, активно им пользовались, но решили закрыть аккаунт и потребовали полностью удалить ваши данные (телефон, адрес, историю поиска).
- Компания не имеет права отказать или оставить ваш номер в своей рекламной базе «на всякий случай». Даже если изначально вы добровольно поставили галочку-согласие, вы вправе его отозвать.
- Вы закрыли счет в банке и просите немедленно уничтожить всю информацию о вас. Однако по законодательству банковские организации обязаны хранить первичные документы и историю платежей определенное время.
Цель статьи - наделить субъекта персональных данных эффективным механизмом прекращения или ограничения обработки данных, когда их дальнейшая обработка более не оправдана или нежелательна для субъекта.
Суть и логика статьи
Вы вправе требовать удалить, анонимизировать или ограничить обработку данных независимо от того, как они были получены. Даже если вы сами дали согласие и всё было законно — вы имеете право «передумать».
Кодекс дает четкий критерий того, что такое настоящая "анонимизация". Это действия, после которых определить владельца данных становится невозможным, а не просто «сложным». Если же данные можно расшифровать обратно (псевдонимизация), они остаются персональными. При этом право на удаление данных не абсолютно и ограничено предусмотренными законом исключениями.
Обязанность исполнения и отсылка к процедуре. Кодекс прямо закрепляет обязанность платформ и организаций выполнять требования граждан, тогда как порядок, сроки и формы обращений регулируются специальным законодательством о персональных данных. Неполнота или отсутствие подзаконных инструкций не дают права игнорировать запрос пользователя.
Коллизия с обязательными сроками хранения. Пункт 3 статьи решает частую коллизию: если закон обязывает организацию хранить данные определенный срок, полностью удалить их по первому требованию нельзя, но обязанное лицо должно ограничить доступ к данным и приостановить их обработку. Это является сбалансированным решением.
Из этого правила есть три исключения, когда обработка продолжается вопреки требованию граждан: вступившее в силу решение суда, исполнение прямой обязанности по закону или договору, а также архивное хранение.
Основания неисполнения требования. Норма задает четкий и исчерпывающий перечень из 6 оснований, когда требование гражданина не подлежит исполнению. В их числе — защита жизни и здоровья, права третьих лиц, правосудие, выполнение госфункций, статистика/наука (при условии анонимизации) и прямо установленный законом публичный интерес.
При этом на организации или госоргане лежит бремя доказывания. Нельзя давать формальные отписки, организация или орган обязаны обосновать и доказать, почему данные необходимы именно для этой цели и по такому-то основанию.
Ссылаться на «публичный интерес» можно только если он прямо прописан в законе — подзаконные акты или внутренние инструкции не применимы.
Практические примеры
- Вы зарегистрировались в приложении доставки или маркетплейсе, активно им пользовались, но решили закрыть аккаунт и потребовали полностью удалить ваши данные (телефон, адрес, историю поиска).
- Компания не имеет права отказать или оставить ваш номер в своей рекламной базе «на всякий случай». Даже если изначально вы добровольно поставили галочку-согласие, вы вправе его отозвать.
- Вы закрыли счет в банке и просите немедленно уничтожить всю информацию о вас. Однако по законодательству банковские организации обязаны хранить первичные документы и историю платежей определенное время.
- Банк не может сразу стереть данные из-за требования закона, но обязан «заморозить» их обработку. Это значит, что ваши контакты должны переноситься в закрытый архив.
Полная версия материала опубликована на портале "Юрист" Параграф по ссылке. Авторы и члены рабочей группы Мажилиса Парламента по разработке Цифрового кодекса: Утеген Д., Дайырбеков Р., Кабышев Е.