Право на забвение в контексте персональных данных - это право субъекта данных потребовать прекращения обработки, уточнения, блокирования или удаления своих персональных данных, если они обрабатываются с нарушением закона, устарели или согласие на обработку отозвано. На сайтах это право реализуется через обращения пользователей и обязанность оператора реагировать на них в установленные сроки.
Коротко
- Субъект данных вправе отозвать согласие на обработку и потребовать удаления своих данных.
- Оператор обязан прекратить обработку и уничтожить данные, если правовые основания для их хранения отпали.
- Право на отзыв согласия закреплено в ст. 9 152-ФЗ, порядок уничтожения данных - в ст. 21.
- Игнорирование обращений пользователей повышает риск жалобы в Роскомнадзор и штрафа по ст. 13.11 КоАП.
- Механизм обработки таких запросов стоит закрепить в политике обработки персональных данных.
Что такое право на забвение применительно к сайту
Применительно к сайтам речь идёт не об абстрактном "праве быть забытым", а о конкретных нормах 152-ФЗ. Согласно ст. 9 закона, субъект персональных данных самостоятельно принимает решение о предоставлении своих данных и даёт согласие на их обработку, а также вправе отозвать это согласие в любой момент. После отзыва согласия оператор обязан прекратить обработку данных, если иное не предусмотрено законом или соглашением сторон.
Ст. 21 152-ФЗ конкретизирует действия оператора: при отзыве согласия, достижении цели обработки или выявлении неправомерной обработки персональные данные должны быть уничтожены либо обезличены в срок, установленный законом. Часть 4 ст. 21 отдельно регулирует ситуацию, когда достижение цели обработки невозможно, - оператор обязан прекратить обработку и уничтожить данные.
Кто и как может обратиться с требованием
Запрос на удаление или блокирование данных может подать сам субъект персональных данных, его представитель или уполномоченный орган по защите прав субъектов персональных данных. Обращение обычно оформляется в свободной форме - через форму обратной связи на сайте, электронную почту, указанную в политике конфиденциальности, или письменно.
Наличие понятного канала для таких обращений - не формальность, а часть требований к сайту, обрабатывающему персональные данные. Если на сайте вообще нет контактов для направления подобных запросов, это само по себе является нарушением требований к раскрытию информации об операторе, предусмотренных ст. 18 ч. 5 и ст. 22.1 152-ФЗ.
Сроки реагирования оператора
Ниже - ориентировочные сроки реагирования на типовые обращения, которые встречаются в практике работы с персональными данными на сайтах.
| Тип обращения | Что должен сделать оператор | Основание |
|---|---|---|
| Отзыв согласия на обработку | Прекратить обработку и уничтожить данные, если нет иных законных оснований для хранения | ст. 9, ст. 21 152-ФЗ |
| Запрос на уточнение данных | Внести необходимые изменения или заблокировать данные на период проверки | ст. 21 152-ФЗ |
| Запрос на предоставление сведений об обработке | Ответить субъекту с описанием целей и способов обработки его данных | ст. 20 152-ФЗ |
| Обращение об утечке данных | Уведомить уполномоченный орган в установленный срок | ст. 21 ч. 4, ст. 22.1 152-ФЗ |
Что должно быть закреплено в политике сайта
Чтобы право на отзыв согласия и удаление данных работало на практике, а не только на бумаге, в политике обработки персональных данных, размещённой на сайте (ст. 18.1, ст. 22 152-ФЗ), стоит прописать: перечень обрабатываемых данных, цели и сроки их обработки, порядок отзыва согласия, контакты для обращений и сроки рассмотрения запросов. Такой документ должен быть в открытом доступе и написан понятным языком, без избыточной юридической терминологии.
Отдельного внимания заслуживает форма согласия на сайте - если она сформулирована некорректно или согласие собирается автоматически без явного действия пользователя, само согласие может быть признано недействительным, что делает всю последующую обработку данных необоснованной.
Ответственность за нарушение прав субъекта данных
За нарушение общих требований к обработке персональных данных, включая игнорирование законных обращений субъектов данных, предусмотрена ответственность по ч. 1 ст. 13.11 КоАП - штраф для юридических лиц от 10 000 до 30 000 рублей. За обработку данных без согласия субъекта или с нарушением требований к содержанию согласия применяется ч. 2 ст. 13.11 КоАП - от 60 000 до 100 000 рублей, а при повторном нарушении по ч. 2.1 - от 100 000 до 300 000 рублей.
Отдельно предусмотрена ответственность по ч. 3.2 ст. 13.11 КоАП за неуведомление Роскомнадзора об утечке персональных данных в течение 24 часов с момента её обнаружения - штраф для юридических лиц от 100 000 до 150 000 рублей. С 30 мая 2025 года за сами утечки персональных данных введены оборотные штрафы, размер которых рассчитывается в процентах от выручки компании, без фиксированной суммы.
Что проверить у себя на сайте
- Есть ли на сайте политика обработки персональных данных с описанием прав субъекта на отзыв согласия.
- Указан ли понятный способ связи для запросов на удаление или уточнение данных.
- Корректно ли оформлено согласие на обработку данных в формах сайта - есть ли отдельное действие пользователя.
- Прописан ли внутренний регламент реагирования на обращения субъектов персональных данных.
- Уничтожаются ли данные после отзыва согласия или достижения цели обработки.
- Хранится ли история согласий и отзывов для подтверждения правомерности действий оператора.
- Уведомлены ли пользователи о целях обработки данных в соответствии со ст. 18 ч. 5 152-ФЗ.
- Есть ли на сайте актуальные реквизиты оператора и ответственного за обработку персональных данных.
Частые вопросы
Может ли пользователь потребовать полного удаления данных со всех серверов?
Право распространяется на данные, которые обрабатывает конкретный оператор. Если данные были переданы третьим лицам на законных основаниях, требование об удалении нужно адресовать и им отдельно.
Обязан ли сайт удалить данные сразу после запроса?
Оператор обязан прекратить обработку и уничтожить данные в срок, установленный законом, если для их дальнейшего хранения нет иных законных оснований, например обязанностей по бухгалтерскому или налоговому учёту.
Что делать, если данные нужны для исполнения договора?
Если обработка данных необходима для исполнения договора с субъектом, отзыв согласия не всегда означает немедленное удаление - оператор вправе продолжать обработку в объёме, необходимом для исполнения обязательств.
Нужно ли отвечать на анонимные обращения об удалении данных?
Для рассмотрения запроса важно идентифицировать субъекта данных. Если обращение не позволяет установить личность заявителя и его связь с конкретными данными, оператор может запросить уточняющую информацию.
Как убедиться, что политика сайта соответствует этим требованиям?
Удобный способ - провести проверку сайта на соответствие 152-ФЗ, которая покажет, какие документы отсутствуют или требуют доработки.
Если на вашем сайте пока нет чёткого порядка обработки обращений об отзыве согласия и удалении данных, стоит начать с актуализации политики конфиденциальности и формы согласия. Проверить, какие документы уже есть на сайте и чего не хватает, можно с помощью бесплатного аудита - это займёт несколько минут и покажет конкретные точки для доработки.