Сайт или приложение отказывается удалить аккаунт и персональные данные: требование оператору и жалоба в Роскомнадзор

Если сайт или приложение отказывается удалить аккаунт и персональные данные, направьте оператору письменное требование. Попросите закрыть профиль, прекратить обработку и уничтожить сведения, для хранения которых больше нет законного основания. При отказе или молчании можно обратиться в Роскомнадзор и суд.

Короткий алгоритм действий

Сначала сохраните доказательства: сделайте скриншоты профиля, настроек, переписки с поддержкой и опубликованной политики конфиденциальности. Выгрузите чеки, историю заказов и другие нужные документы, поскольку после закрытия аккаунта доступ к ним может исчезнуть.

Затем выясните, кто является оператором персональных данных. Это может быть владелец сайта, российское юридическое лицо приложения, банк, маркетплейс или партнер иностранной платформы.

После этого направьте требование по адресу из политики обработки данных. Укажите аккаунт, отзовите согласие, потребуйте прекратить обработку и удалить сведения. Если законный срок прошел, подавайте жалобу в Роскомнадзор.

Удаление аккаунта и уничтожение данных - не одно и то же

Аккаунт представляет собой техническую учетную запись, через которую пользователь входит в сервис. Персональные данные могут храниться отдельно: в истории заказов, переписке с поддержкой, системе рассылок, журналах безопасности, резервных копиях и базах подрядчиков.

Поэтому в обращении нужно заявить несколько самостоятельных требований:

• закрыть учетную запись и прекратить возможность входа;
• убрать публичный профиль из доступа других пользователей;
• отозвать согласие на обработку персональных данных;
• прекратить обработку сведений;
• уничтожить данные, которые больше не нужны;
• отключить рекламные сообщения и профилирование;
• сообщить, какие сведения будут сохранены и на каком основании.

Простая просьба «удалите мой аккаунт» может быть воспринята только как отключение доступа. Требования лучше формулировать со ссылкой на права субъекта, перечисленные в статье 14 Федерального закона о персональных данных.

Сначала найдите оператора персональных данных

Название приложения не всегда совпадает с наименованием компании, которая обрабатывает сведения. Информацию об операторе ищите в политике конфиденциальности, пользовательском соглашении, кассовом чеке, банковской выписке или карточке приложения.

В политике должны быть указаны наименование оператора, контакты, цели обработки, категории данных и сроки их хранения. Подробнее содержание документа разобрано в инструкции о том, как оформить политику обработки персональных данных на сайте.

Если вход выполнялся через телефон, социальную сеть или сторонний сервис, данные могут находиться сразу у нескольких операторов. Правила идентификации пользователей и распределения ответственности рассмотрены в материале об авторизации пользователей на сайте.

Направляйте требование непосредственно юридическому лицу, указанному в политике. Сообщение обычному продавцу, администратору группы или разработчику программы может не считаться обращением к оператору.

Когда данные должны быть удалены

Оператор обязан обрабатывать только те сведения, которые нужны для конкретной и законной цели. Когда цель достигнута, дальнейшее хранение обычно прекращается.

Основанием для удаления может быть:

• отзыв согласия, если другого основания для обработки нет;
• прекращение использования сервиса и достижение цели обработки;
• незаконное получение сведений;
• обработка избыточных или ненужных данных;
• использование информации для цели, которая не сообщалась человеку;
• истечение установленного срока хранения.

Порядок прекращения обработки, блокирования и уничтожения установлен статьей 21 Федерального закона о персональных данных.

Отзыв согласия особенно важен, если компания использует телефон, электронную почту и историю поведения для рекламы. Отдельно можно потребовать исключить контакты из базы рассылок. Дополнительные способы защиты разобраны в статье о том, как отказаться от рекламных звонков и сообщений.

Когда компания вправе сохранить часть сведений

Право на удаление данных не является абсолютным. Отзыв согласия не запрещает обработку, если она необходима на основании закона или действующего договора.

Например, организация может сохранить отдельные документы:

• для исполнения незавершенного заказа или возврата денег;
• для бухгалтерского и налогового учета;
• для выполнения требований банковского законодательства;
• для рассмотрения претензии или судебного спора;
• для подтверждения ранее совершенных операций;
• для предотвращения мошенничества в предусмотренных законом пределах.

Однако такие основания не позволяют бессрочно хранить весь аккаунт. Компания должна отделить обязательные документы от рекламного профиля, фотографии, описания, списка интересов и других сведений, которые больше не требуются.

В ответе оператору следует назвать конкретные категории сохраняемых данных, цель, правовое основание и срок хранения. Общих формулировок «для безопасности», «по внутренним правилам» или «данные не удаляются» недостаточно.

Как составить требование оператору

Точного универсального документа для удаления любого аккаунта на сайте нет. В образец нужно добавить требования закрыть учетную запись, прекратить обработку на основании обращения субъекта, уничтожить ненужные сведения и предоставить письменный отчет.

В обращении укажите:

1. Наименование оператора и его адрес.
2. Свои ФИО и контакт для ответа.
3. Телефон, электронную почту, логин или номер аккаунта.
4. Дату регистрации и сведения, подтверждающие отношения с сервисом.
5. Какие данные обрабатываются и почему дальнейшее хранение незаконно.
6. Требование закрыть аккаунт и удалить публичную страницу.
7. Отзыв ранее предоставленного согласия.
8. Требование прекратить обработку и уничтожить сведения.
9. Просьбу перечислить данные, которые компания намерена сохранить.
10. Требование сообщить основания и сроки их дальнейшего хранения.

Дополнительно попросите заблокировать спорные сведения на время проверки. Это особенно важно, если профиль остается общедоступным или компания продолжает использовать контакты для рекламы.

Если оператор уже ответил отказом, можно адаптировать жалобу на обработку персональных данных. В ней нужно заменить адресата на владельца сервиса и сформулировать ее как повторное требование об устранении нарушения.

Не направляйте незашифрованную копию паспорта, если оператор может установить личность по подтвержденной почте, телефону или данным аккаунта. Если требуется дополнительная идентификация, попросите предоставить безопасный способ передачи документа и объяснить необходимость его получения.

Как направить требование

Используйте канал, указанный в политике обработки персональных данных. Это может быть специальная форма, адрес электронной почты ответственного сотрудника или почтовый адрес организации.

Надежнее одновременно:

• отправить сообщение с почты, привязанной к аккаунту;
• сохранить подтверждение отправки формы;
• направить заказное письмо с описью вложения;
• зафиксировать номер обращения в службе поддержки.

При отправке через личный кабинет сделайте скриншот до его удаления. В нем должны быть видны дата, содержание обращения и номер заявки.

Для формального запроса сведений о данных закон допускает электронный документ, подписанный электронной подписью. На практике многие операторы принимают обращения через подтвержденный аккаунт или связанную электронную почту, если могут достоверно определить заявителя.

В какие сроки должен ответить сайт

Сведения об обработке персональных данных предоставляются в течение 10 рабочих дней. При наличии уважительных причин оператор может продлить срок не более чем на пять рабочих дней, но обязан сообщить об этом заявителю.

Требование прекратить обработку также исполняется в течение 10 рабочих дней, если у оператора нет самостоятельного законного основания продолжать работу с данными.

После отзыва согласия ненужные сведения уничтожаются в срок до 30 дней. Такой же срок действует после достижения цели обработки, если договор или закон не предусматривает иное.

Если проверка подтверждает незаконную обработку, компания должна прекратить ее в течение трех рабочих дней. Когда сделать обработку законной невозможно, данные уничтожаются не позднее десяти рабочих дней с момента выявления нарушения.

Если заявитель подтвердил, что информация получена незаконно или не нужна для объявленной цели, предусмотрен отдельный семидневный срок ее уничтожения.

Законные и незаконные причины отказа

Законным может быть мотивированный ответ о сохранении отдельных платежных, бухгалтерских или договорных документов. Оператор должен объяснить, какие именно записи остаются, на основании какого закона и когда они будут уничтожены.

Сомнительными являются ответы:

«Удаление аккаунта технически не предусмотрено». Внутреннее устройство сервиса не отменяет обязанности прекратить незаконную обработку.

«Вы согласились с пользовательским соглашением». Согласие можно отозвать, а условия соглашения не могут разрешать бессрочную обработку без цели.

«Информация останется в архиве навсегда». Архив или резервная копия не создают самостоятельного основания для хранения.

«Удалите приложение самостоятельно». Удаление программы с устройства не закрывает учетную запись на сервере.

«Мы храним данные для безопасности». Компания должна указать конкретную цель, состав информации и срок хранения.

Если после закрытия аккаунта фотография, имя или описание продолжают отображаться публично, зафиксируйте страницу. Порядок удаления изображения дополнительно разобран в статье о том, что делать при публикации фотографии или видео без согласия.

Как пожаловаться в Роскомнадзор

Жалобу подают после отказа, нарушения срока или получения формальной отписки. Обязательный досудебный порядок для обычного требования по закону о персональных данных не установлен, но предварительное обращение к оператору помогает доказать нарушение.

Скачать образец и бланк жалобы в Роскомнадзор

В жалобе укажите:

• наименование и сайт оператора;
• адрес страницы или название приложения;
• логин, телефон либо почту аккаунта;
• когда было направлено требование;
• какой ответ получен;
• какие сведения продолжают обрабатываться;
• почему основания для хранения отсутствуют;
• какие сроки были нарушены.

Попросите провести проверку, запросить у оператора основания обработки, выдать предписание и решить вопрос об административной ответственности.

Приложите требование, подтверждение отправки, ответ компании, скриншоты аккаунта, политики и продолжающихся рассылок. Жалобу можно направить через электронную приемную или в территориальное управление ведомства.

Можно ли обратиться в суд

Через суд можно потребовать:

• закрыть аккаунт и удалить публичный профиль;
• прекратить незаконную обработку;
• уничтожить сведения;
• предоставить информацию о получателях данных;
• возместить доказанные убытки;
• компенсировать моральный вред.

Перед иском целесообразно направить претензию о компенсации морального вреда. В ней опишите последствия: рассылки, звонки, доступ посторонних к профилю, потерю контроля над данными или необходимость неоднократно обращаться в поддержку.

Для обращения в суд можно адаптировать исковое заявление в суд общей юрисдикции. Обычно спор о прекращении обработки и компенсации морального вреда рассматривает районный суд.

Иск о защите прав субъекта персональных данных разрешено подать по месту жительства истца. Это специальное правило закреплено в статье 29 Гражданского процессуального кодекса РФ.

Госпошлина за неимущественный иск физического лица составляет 3 000 рублей. Если спор непосредственно связан с платной потребительской услугой, вопрос о льготе по госпошлине и применении Закона о защите прав потребителей проверяется отдельно.

Штраф 50 процентов, потребительская неустойка и компенсация морального вреда по Закону о защите прав потребителей не возникают автоматически только из-за нарушения правил обработки данных.

Что должен сделать владелец сайта или приложения

После получения обращения оператору нужно проверить личность заявителя, определить используемые базы и разделить сведения по правовым основаниям.

Доступ к аккаунту и публичной странице следует прекратить без необоснованной задержки. Данные для рекламы, персонализации и необязательной аналитики удаляются, если согласие отозвано и другого основания нет.

Сохраняемые сведения необходимо перечислить в ответе пользователю. Следует указать цели, основания и сроки хранения, а также сообщить о прекращении обработки и уничтожении остальных данных.

Если удаление аккаунтов не отражено во внутренних документах, нужно обновить политику, регламент ответов и пользовательский интерфейс. Изменения в составе целей, баз и способов обработки могут потребовать уточнения сведений в Роскомнадзоре. Порядок действий раскрыт в статье об уведомлении Роскомнадзора об обработке персональных данных.

FAQ: удаление аккаунта и персональных данных с сайта

Обязан ли сайт удалить историю покупок вместе с аккаунтом?

Не всегда. Отдельные документы могут храниться для бухгалтерского учета, возврата денег или разрешения спора. Компания должна удалить необязательный профиль и объяснить основания сохранения каждой категории сведений.

Достаточно ли удалить приложение с телефона?

Нет. Программа исчезнет с устройства, но аккаунт и данные останутся на сервере. Нужно использовать функцию закрытия профиля или направить требование оператору.

Может ли компания потребовать копию паспорта?

Оператор вправе проверить, что запрос поступил от владельца данных. Однако он не должен собирать избыточные сведения, если личность можно подтвердить через аккаунт, телефон или связанную почту.

Что делать, если поддержка не отвечает?

Сохраните подтверждение отправки и дождитесь установленного срока. После его окончания направьте жалобу в Роскомнадзор, приложив обращение и доказательства его получения компанией.

Можно ли потребовать удалить данные из резервных копий?

Да. Резервная копия не разрешает хранить сведения бессрочно. Если немедленное удаление невозможно, данные должны быть заблокированы и уничтожены в предусмотренный законом срок.