Право на удаление данных

Что это значит

Право на удаление - требование субъекта данных стереть его персональные данные, когда основание для обработки отпало: цель достигнута, согласие отозвано, возражение удовлетворено или данные обрабатывались незаконно. Условия задаёт GDPR, а не внутренняя политика фирмы.

Это не право стереться когда угодно и везде. Если данные нужны для обязанности по закону, например для архивации документов, или для защиты правовых требований, в удалении отказывают и заявителю объясняют причину.

От удаления следует отличать ограничение обработки: данные остаются сохранёнными, но, кроме хранения, с ними больше ничего не делают. Удалением можно считать и необратимую анонимизацию, но не псевдонимизацию, при которой с помощью дополнительной информации данные снова можно связать с конкретным человеком.

Как это работает на практике

Заявление рассматривают без неоправданной задержки, максимум за один месяц, а если случай сложный, срок продлевают. Ответ готовит ответственное лицо, если оно назначено, и в нём должно быть сказано, что стёрто, что осталось и на каком правовом основании.

Удаление охватывает все копии, включая резервные и системы обработчика, которого связывает договор об обработке. Бухгалтерскую и зарплатную систему при этом не чистят: данные там лишь ограничивают до конца срока хранения.

Когда бывший покупатель клиента требует удаления, мы помогаем разложить данные: контакт в списке для email-маркетинга удаляют сразу, счета и договоры остаются до конца срока хранения, а переписка по открытой дебиторке - до её погашения. У каждой категории своё основание и своя дата удаления.

На что обратить внимание

Фирмы по заявлению стирают и счета, и расчётные листки. При налоговой проверке документа потом не хватает, расход не признают и налог доначислят с санкцией, хотя обязанность хранить учётную документацию имеет приоритет перед требованием об удалении.

Обратная ошибка - пропустить запрос или ответить поздно. Срок идёт с момента доставки на любой контакт компании, в том числе на общий e-mail, а просрочка - самостоятельное нарушение, о котором субъект может сообщить надзорному органу. Помогает журнал запросов, который ведут рядом с реестром операций обработки.