Оператор персональных данных: что делать при запросе на удаление

Кто считается оператором персональных данных - и точно ли это вы?

Менеджер позвонил по базе, человек взял трубку и сказал: «Откуда у вас мой номер? Удалите немедленно». Или пришло письмо: «Прошу прекратить обработку моих персональных данных». Что делать?

Первый шаг - понять, что вы обязаны реагировать. Потому что вы оператор персональных данных.

152-ФЗ «О персональных данных» называет оператором любое юрлицо, ИП или физлицо, которое «самостоятельно или совместно с другими организует и осуществляет обработку» данных. Обработка - это любое действие: хранение, запись, передача, использование. Ведёте базу контактов в CRM, звоните по списку, отправляете письма - вы оператор.

Не имеет значения, как получены данные: собрали сами через форму на сайте, купили у агентства или получили через специализированный сервис. Тот, кто данные использует, тот и несёт ответственность перед субъектом.

На каком основании человек может потребовать удалить его данные?

Закон устроен просто: у человека есть право отозвать согласие или потребовать прекратить обработку данных - в любой момент, без объяснений.

Два основных сценария, которые влияют на ваш срок:

• Субъект отозвал согласие на обработку. Срок у вас - 30 дней с момента получения требования.
• Субъект заявляет, что обработка ведётся без законного основания. Срок - 7 рабочих дней.

Оспорить это требование можно только если у вас есть законное основание продолжать обработку: действующий договор с самим человеком или прямое требование закона. «Мы заплатили за базу» или «данные взяты из открытого источника» основаниями не являются.

Как принять запрос на удаление правильно?

Когда человек говорит по телефону «удалите мой номер» - это уже запрос. Не нужно требовать от него письменного заявления, чтобы запустить процедуру. Нужно:

• Уточнить, как связаться с ним для подтверждения выполнения (если хочет).
• Сказать, что запрос принят и будет обработан в течение 30 дней.
• Зафиксировать дату обращения внутри компании.

Если запрос пришёл письменно - ответить тоже письменно. Это защита: если дойдёт до Роскомнадзора, у вас будет переписка с датами.

Хорошая практика - выделить отдельный email для таких обращений (например, privacy@вашдомен.ru) и разместить его в Политике обработки персональных данных на сайте.

Что нужно удалить и в какие сроки?

30 дней - это не «у нас есть месяц». Это крайний срок. На практике лучше удалять в течение нескольких рабочих дней, пока запрос не потерялся.

Где хранятся данные у типичного отдела продаж:

• CRM (Bitrix, AmoCRM, Salesforce или самописная).
• Email-рассылка (Unisender, SendPulse, Mailchimp).
• Мессенджер-боты и автодозвон.
• Рекламные аудитории - если телефон или email загружались в рекламный кабинет.
• Бэкапы баз данных.

По закону «уничтожение» означает, что восстановить данные нельзя. На практике для большинства операторов достаточно удалить из активных систем и зафиксировать это в журнале обращений. Бэкапы - по мере их создания, с пометкой, что конкретные записи подлежат удалению.

Если технически нельзя удалить за 30 дней (например, данные в архивном бэкапе без возможности точечного удаления) - данные блокируются: прекращается их активная обработка, до технического уничтожения.

Пошаговый алгоритм: от запроса до закрытия

1. 1Зафиксировать дату и суть. Открыть журнал учёта обращений субъектов ПДн. Записать: дата, ФИО (если назвал), канал (телефон / email / мессенджер), суть требования.

1. 1Проверить наличие данных. Проверить человека во всех системах: CRM, почтовый сервис, рекламные кабинеты. Если данных нет нигде - сообщить об этом субъекту и закрыть.

1. 1Оценить основание для продолжения. Есть ли действующий договор с этим человеком? Требует ли закон хранить его данные? Нет? Тогда удалять нужно.

1. 1Удалить из всех активных систем. Не ждать 30 дней - делать сразу. Прошёлся по всем системам из пункта 2, удалил везде.

1. 1Уведомить партнёров. Если данные передавались сторонним сервисам или партнёрам - направить им уведомление об обязанности удалить данные этого субъекта.

1. 1Зафиксировать выполнение. В том же журнале - что удалено, откуда, когда. Если запрос был письменный - ответить письменно с подтверждением.

Если данные были переданы партнёрам или сервисам?

Если данные человека хранятся у подрядчиков:

• Сервис email-рассылки.
• Колл-центр на аутсорсе.
• Рекламный кабинет с загруженной аудиторией.
• Партнёр, которому вы передали базу для совместной кампании.

Для каждого - направить запрос: удалить конкретный адрес или номер. Получить подтверждение. Зафиксировать.

Это не перекладывание ответственности. Оператор отвечает перед субъектом за всю цепочку. Партнёры выступают «обработчиками» по вашему поручению - они обязаны выполнять ваши требования.

Хорошо, когда с каждым партнёром заключено поручение на обработку персональных данных - тогда в нём прямо прописано, что при запросе субъекта партнёр обязан удалить данные по вашему запросу в согласованный срок.

Когда можно не удалять - законные исключения

| Основание | Пример | Можно ли отказать в удалении |

|---|---|---|

| Исполнение договора с субъектом | Клиент заключил договор, данные нужны для поставки | Да, до исполнения договора |

| Обязанность по закону | ФНС требует хранить документы 5 лет | Да, в части, которую требует закон |

| Защита жизни / здоровья | Экстренная ситуация | Да, в период угрозы |

| Научные или статистические цели | Только если данные обезличены | Да, если данные нельзя использовать для идентификации |

Если ни одно основание не применимо - удаляете. Даже если данные «куплены легально».

Смежная тема - как проверить законность закупки контактов перед их использованием: 152-ФЗ и покупка контактов - что законно.

Что будет если проигнорировать запрос?

Человек не получил ответ - подал жалобу в Роскомнадзор. РКН провёл проверку, нашёл нарушение - штраф.

За несоблюдение требования субъекта об уничтожении данных:

• Для должностных лиц: до 20 000 рублей.
• Для организаций: до 150 000 рублей при первичном нарушении.
• При повторном нарушении для организаций: до 500 000 рублей.

С 2022 года поправки существенно увеличили суммы и расширили полномочия РКН. С 2023 года одна жалоба субъекта достаточна для инициирования проверки - необязательно ждать масштабного нарушения.

Наличие Политики обработки ПДн на сайте - не защита. Если реального процесса работы с запросами нет, а документ лежит только «для галочки» - штраф будет.

О том, как DataLead работает в нишах с плотной конкуренцией и не нарушает закон о персональных данных - подробнее в статье: Перехват лидов: как не нарушить закон о персональных данных.

Как данные из внешних источников вписываются в 152-ФЗ?

Если вы используете данные через сервис типа DataLead - важно понимать, на каком основании они получены изначально.

DataLead работает с партнёрской сетью из ~37 владельцев больших данных. Данные передаются горячими - они отражают текущее поведение человека: он прямо сейчас изучает конкурентов, сравнивает предложения. Срок жизни - 24-72 часа, после чего данные обновляются. Технология включена в реестр ПО Минцифры и прошла экспертизу Сколково.

Это означает, что правовая база для получения данных у вас есть. Но если человек позвонил и попросил удалить его данные - вы как оператор выполняете стандартную процедуру: фиксируете запрос, удаляете из своих систем, уведомляете партнёров. Горячий характер данных в DataLead означает, что часть из них к тому моменту уже устарела и фактически не используется - но это не отменяет обязательство проверить и удалить активные записи.

О том, как вести учёт согласий и не получить предписание - в отдельной статье: Как вести учёт согласий чтобы не получить предписание РКН.

Чек-лист: что подготовить до первого запроса на удаление

text

МИНИМАЛЬНЫЙ НАБОР ОПЕРАТОРА ПЕРСОНАЛЬНЫХ ДАННЫХ:

[ ] Политика обработки персональных данных опубликована на сайте

[ ] Есть контактная точка для обращений субъектов (email или форма на сайте)

[ ] Ведётся журнал учёта обращений субъектов ПДн

[ ] Все системы с данными инвентаризированы (CRM, рассылка, реклама)

[ ] Назначен ответственный: кто принимает запрос, кто удаляет, кто отвечает

[ ] Заключён договор-поручение с каждым партнёром/сервисом, которому передаёте данные

[ ] Процедура удаления описана письменно - хотя бы в одном внутреннем документе

Этот список не покрывает всё 152-ФЗ, но закрывает 90% ситуаций, с которыми сталкивается отдел продаж при работе с внешними контактами.

Источники

• Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных» - consultant.ru
• КоАП РФ, статья 13.11 (в ред. Федерального закона от 14.07.2022 N 266-ФЗ) - consultant.ru
• Роскомнадзор - раздел «Субъектам персональных данных» - rkn.gov.ru
• Рекомендации РКН по организации работы с обращениями субъектов ПДн - pd.rkn.gov.ru
• Постановление Правительства РФ от 21.03.2012 N 211 «Об утверждении перечня мер по обеспечению безопасности персональных данных» - consultant.ru

Если работаете с внешними базами контактов и хотите понять, как DataLead вписывается в 152-ФЗ для вашей ниши, - начните с разговора с командой.