«Дайте согласие на обработку персональных данных» — эту галочку мы ставим по десять раз в неделю, не читая. А потом звонки от незнакомых компаний, реклама, будто подслушанная, и смутное ощущение, что данные живут где-то своей жизнью. Хорошая новость: с 15 ноября 2021 года в Беларуси действует отдельный Закон «О защите персональных данных», и он даёт человеку не пожелания, а конкретные права с конкретными сроками.1 Разберём, что именно вы можете потребовать и как.

О чём вообще этот закон

Персональные данные — это любая информация, по которой вас можно опознать: имя, телефон, адрес, номер документа, а нередко и связка более мелких сведений. Тот, кто их собирает и использует, на языке закона называется оператором — это и магазин, и банк, и сайт, и работодатель. Согласие, которое у вас просят, по закону должно быть свободным, однозначным и информированным: то есть вам обязаны понятно объяснить, кто, что и зачем собирает.1 А раз согласие ваше — вы вправе им управлять.

Отдельно закон выделяет специальные персональные данные — сведения о здоровье, а также биометрию и генетику. К ним отношение строже, и по общему правилу их обработка требует отдельного согласия.1 Так что если у вас просят отпечаток, скан лица или медицинские сведения «до кучи» с обычной анкетой, это повод спросить, зачем именно и на каком основании.

Согласие можно отозвать — но у отзыва есть границы

Статья 10 закона прямо закрепляет право отозвать согласие. Сделать это можно в любой момент, и оператор обязан прекратить обработку в пятнадцатидневный срок после получения вашего заявления.1 Отдельно платить за это не нужно.

Две важные оговорки, чтобы не было завышенных ожиданий. Во-первых, отзыв не имеет обратной силы: обработка, которая шла до отзыва, незаконной не становится.1 Во-вторых, согласие — не единственное законное основание собирать данные. Если компания обрабатывает их не по вашему согласию, а во исполнение договора с вами или требований закона (например, банк по правилам о противодействии отмыванию денег), отзыв согласия сам по себе обработку не прекратит. Отзывать имеет смысл там, где всё держалось именно на галочке — рассылки, маркетинг, необязательные сервисы.

Право узнать, что о вас собрали и зачем

Вы можете не гадать, а спросить. Статья 11 даёт право получить информацию об обработке своих данных: какие данные есть, откуда взяты, зачем используются, кому передаются и как долго хранятся. На такое заявление оператор обязан ответить в течение пяти рабочих дней.1 Раз в календарный год эту информацию предоставляют бесплатно.

Эта же статья даёт право потребовать исправления: если данные неполные, устаревшие или неточные, вы вправе настаивать на их изменении, и на это у оператора пятнадцать дней.1 Есть и смежное право — узнать, кому ваши данные передавали (статья 12); такую информацию тоже дают бесплатно раз в год.1

Право потребовать прекращения обработки и удаления

Самое сильное право описано в статье 13: если законных оснований обрабатывать ваши данные больше нет, вы можете потребовать бесплатно прекратить обработку и удалить данные. Получив такое заявление, оператор обязан в пятнадцатидневный срок прекратить обработку, удалить данные и уведомить вас об этом.1

Реалистичная деталь: если технической возможности удалить данные нет, закон разрешает оператору вместо удаления заблокировать их — то есть прекратить любое использование — и в тот же срок сообщить вам об этом.1 Это не лазейка «ничего не делать», а признание того, что в некоторых системах физическое стирание записи невозможно; но пользоваться заблокированными данными оператор уже не вправе.

Как правильно составить заявление оператору

Все эти права реализуются через заявление оператору. По статье 14 оно подаётся в письменной форме либо в виде электронного документа.1 Чтобы оператор не отказал по формальным причинам, в заявлении стоит указать:

  • фамилию, имя, отчество и адрес места жительства (места пребывания);
  • дату рождения;
  • идентификационный номер (при отсутствии — номер документа, удостоверяющего личность);
  • суть требования — что именно вы просите: отозвать согласие, дать информацию, исправить, прекратить обработку и удалить;
  • личную подпись, а для электронного документа — электронную цифровую подпись.

Ответ вам направят в той же форме, в какой было подано заявление, если вы не попросили иначе.2 Практический совет: подавайте так, чтобы у вас осталось подтверждение — второй экземпляр с отметкой о принятии, почтовое отправление с уведомлением или электронное сообщение с фиксацией отправки. От этой даты пойдёт отсчёт срока.

Оператор молчит или отказал: куда жаловаться

Если оператор нарушил ваши права, статья 15 даёт право обжаловать его действия или бездействие.1 Уполномоченный орган по защите прав субъектов персональных данных в Беларуси — Национальный центр защиты персональных данных (НЦЗПД), он действует на основании закона и Указа Президента от 28 октября 2021 г. № 422.34

Обратиться в Центр можно и без предварительной переписки с оператором, но на практике полезно сначала подать оператору заявление — тогда в жалобе будет видно, что вы пытались решить вопрос и что из этого вышло.2 По правилам Центра жалобу подают в течение трёх месяцев со дня, когда вы узнали о нарушении своих прав; рассматривают её не позднее одного месяца со дня регистрации, а при необходимости срок могут продлить ещё на месяц с уведомлением заявителя.2 В жалобе указывают ваши данные, суть нарушения и информацию о том, пытались ли вы восстановить права. Подать можно письменно или электронным документом с ЭЦП.2

Чего закон не обещает

Чтобы не разочароваться, полезно понимать пределы своих прав.

  • Не всё держится на вашем согласии. Обработку по договору, по требованию закона или для защиты жизненно важных интересов отзыв согласия не отменяет — основания разные.1
  • Удаление иногда заменяется блокировкой. Если стереть данные технически нельзя, оператор обязан их заблокировать, а не проигнорировать требование.1
  • Отзыв не стирает прошлое. Обработка до отзыва остаётся законной, а вышедшие ранее публикации и записи из оборота не изымаются.1
  • Права требуют вашей активности. Никто не удалит данные «по умолчанию» — нужно подать заявление и, если понадобится, жалобу.

Три частые ситуации

Навязчивые рекламные звонки и рассылки. Если компания шлёт рекламу, потому что вы когда-то поставили галочку согласия, это тот самый случай, где отзыв работает: подайте заявление об отзыве согласия — и обработка ради маркетинга должна прекратиться в пятнадцать дней.1 Если же откуда компания взяла ваш номер вообще непонятно, начните с заявления по статье 11 — вас обязаны уведомить об источнике и целях.1

Карта лояльности магазина. Пока вы пользуетесь картой, часть данных обрабатывается для самой программы. Но если вы решили из неё выйти, вы вправе отозвать согласие и потребовать прекращения обработки и удаления — с той же оговоркой, что данные, которые магазин обязан хранить по закону (например, для бухгалтерии), могут остаться на законном основании.1

Данные у бывшего работодателя или старого сервиса. Здесь важно основание. Часть сведений организация хранит в силу требований закона определённые сроки, и удалить их по вашему требованию нельзя — это законное основание помимо согласия.1 А вот то, что держалось только на согласии и больше не нужно, вы вправе потребовать удалить или заблокировать.1

Короткий алгоритм

  • Решите, что вам нужно: узнать об обработке, исправить, отозвать согласие или удалить данные.
  • Подайте оператору письменное или электронное заявление с обязательными реквизитами и сохраните подтверждение отправки.
  • Дождитесь срока: пять рабочих дней на информацию, пятнадцать дней — на отзыв, исправление, прекращение и удаление.
  • Если ответа нет или он вас не устроил — в течение трёх месяцев подайте жалобу в Национальный центр защиты персональных данных.

Персональные данные перестали быть абстракцией: это ваш телефон, который перепродают, и ваш адрес, который всплывает в чужой базе. Закон не сделает работу за вас, но даёт рычаги — и, в отличие от галочки о согласии, эти строки стоит прочитать внимательно.