Право на удаление данных в грузинском праве
Право требовать полного удаления своих данных в иностранной юридической терминологии нередко называют правом на забвение. В Грузии этот институт определён законом «О защите персональных данных»: субъект данных вправе потребовать прекращения обработки данных о нём — включая профилирование — а также удаления либо уничтожения данных. Это право не абсолютно: закон определяет законные основания отказа и альтернативные инструменты, такие как блокировка. На этой странице мы разъясняем, как механизм работает для субъекта и для организации.
Запрос и срок
Не позднее 10 рабочих дней с момента запроса субъекта — если законодательством не установлен иной срок — обработка должна быть прекращена либо данные удалены или уничтожены, либо субъекту сообщается основание отказа с разъяснением порядка обжалования. Кроме того, субъект вправе получить информацию о соответствующем действии незамедлительно по его совершении, но не позднее 10 рабочих дней. Организация обязана и совершить само действие, и уведомить о его результате — и уложиться при этом в оба установленных срока.
Когда возможен отказ
Закон называет четыре основания, по которым ответственное лицо вправе отказать в удовлетворении запроса: существует иное основание обработки; данные обрабатываются для правового требования или обоснования возражения по иску; обработка необходима для осуществления свободы выражения или информации; данные обрабатываются для архивирования в публичных интересах либо в научных, исторических или статистических целях, когда осуществление права сделает достижение этих целей невозможным или существенно навредит. При наличии любого из оснований бремя его обоснования лежит на самом ответственном лице — отказа в виде голой ссылки недостаточно.
Общедоступные данные и волна уведомлений
Особое правило применяется, когда данные субъекта обрабатываются в общедоступной форме: субъект может дополнительно потребовать ограничения доступности и удаления копий либо любой интернет-ссылки, связанной с данными. Решение об удалении не остаётся и в рамках одной организации: ответственное лицо обязано уведомить всех получателей данных и всех лиц, которым оно само передало данные, кроме случаев, когда это невозможно из-за множественности получателей или непропорциональных расходов. Получатели в свою очередь обязаны прекратить обработку и удалить или уничтожить данные. Правильно и своевременно исполненный запрос распространяется волной по всей цепочке передачи данных.
Отзыв согласия как особый случай
Если обработка опирается на согласие субъекта, отзыв — самый прямой путь к удалению: субъект вправе отозвать согласие в любое время без объяснений и обоснований, после чего обработка прекращается либо данные удаляются или уничтожаются не позднее 10 рабочих дней с момента требования, если иного основания не существует. Отзыв возможен в той же форме, в какой было дано согласие, а до отзыва субъект вправе получить информацию о возможных последствиях.
Блокировка — альтернатива, когда удаления не происходит
Закон определяет право на блокировку в пяти ситуациях: субъект оспаривает достоверность или точность данных; обработка незаконна, но субъект возражает против удаления и требует блокировки; данные больше не нужны для цели, но нужны субъекту для жалобы или иска; запрос на удаление рассматривается; данные необходимо сохранить как доказательство. Информация о решении по блокировке сообщается субъекту незамедлительно, но не позднее 3 рабочих дней с момента требования. Заблокированные данные, помимо хранения, могут обрабатываться иным образом только в строго определённых случаях — с согласия самого субъекта, для правового требования или возражения по иску, для защиты интересов ответственного или третьего лица либо в публичном интересе.
Куда обращаться субъекту и как выстроить ответ
При нарушении субъект обращается в Государственную службу аудита, суд или вышестоящий административный орган; у Службы можно потребовать блокировки до завершения рассмотрения заявления, а её решение обжалуется в суде. Для организации же решающее значение имеет заранее упорядоченный процесс: фиксация запросов, контроль сроков, документирование оснований и механизм уведомления получателей. Мы помогаем выстроить этот процесс целиком — от регистрации первого обращения до уведомления получателей, а также оценить конкретные запросы и подготовить обоснованные ответы. Обратитесь к нам за консультацией.
На практике запросы на удаление чаще всего начинаются в трёх ситуациях: субъект прекращает отношения с компанией и требует удалить профиль; данные были опубликованы или переданы третьему лицу, и субъект хочет ограничить их распространение; либо согласие было дано на время и теперь отзывается. В каждой ситуации различается круг оснований отказа: в первой решающим является наличие иного основания обработки, например установленной законом обязанности хранения; во второй — то, кому и в какой форме были переданы данные; в третьей — сохраняется ли иное основание после отзыва. Именно поэтому одинаковый ответ на все запросы опасен: организация, отвечающая на каждый запрос единым шаблоном, либо удаляет данные без необходимости, либо отказывает в запросах без достаточных правовых оснований.