Что такое обязанность правового удержания и почему удаление не является абсолютным правом
Обязанность правового удержания означает систематическое управление теми ситуациями, в которых организация обязана сохранять данные, даже если первоначальная цель обработки уже достигнута. В Грузии эта тема регулируется законом «О защите персональных данных», и именно нормы этого закона создают рамки, в которых требование субъекта данных об удалении может быть правомерно отклонено. Задача этой страницы — выделить именно эти случаи хранения, установленные и допущенные законом, и объяснить, как организации ими управлять.
Основание заложено в статье 4 закона. Среди принципов обработки определено правило ограничения срока хранения: данные могут храниться только тот срок, который необходим для достижения соответствующей легитимной цели, а после её достижения они должны быть удалены, уничтожены или сохранены в деперсонализированной форме. Однако именно здесь встроено важное исключение: это требование не применяется, если обработка данных определена законом или изданным в соответствии с законом подзаконным нормативным актом, а хранение данных является необходимой и соразмерной мерой в демократическом обществе для защиты превосходящих интересов. Из этого исключения и вырастает вся практика правового удержания.
Законные основания хранения
Статья 5 закона регулирует основания обработки данных, которые имеют решающее значение для правового удержания. Два из них напрямую касаются нашей темы. Первое: обработка данных допустима, если она предусмотрена законом. Второе: обработка допустима, если она необходима для исполнения возложенных на ответственное лицо обязанностей законодательством Грузии. Когда конкретный закон или изданный на его основе нормативный акт устанавливает срок хранения — в налоговой, бухгалтерской, банковской или иной сфере — этот срок заменяет общее правило статьи 4, и удаление данных до истечения срока неправомерно.
Кроме того, перечень оснований включает такие случаи, как обработка с согласия субъекта данных, для исполнения обязательства по договору с субъектом, общедоступность данных, защита жизненно важных интересов, значимый публичный интерес и легитимные интересы. Каждое из этих оснований следует анализировать отдельно: если в момент требования об удалении какое-либо из них продолжает действовать, его наличие может стать основанием для отказа в удалении. Важна ещё одна норма: обязанность обоснования правового основания обработки возложена на ответственное лицо, то есть именно организация должна уметь установить и доказать, почему данные сохраняются.
Требование субъекта данных об удалении и сроки ответа
Статья 16 закона даёт субъекту данных право потребовать от ответственного лица прекращения, удаления или уничтожения обработки данных о нём, включая профилирование. Срок ответа определён ясно: не позднее 10 рабочих дней с момента требования, если законодательством Грузии не установлено иное, обработка должна быть прекращена и данные удалены или уничтожены, либо субъекту должно быть сообщено основание отказа с разъяснением порядка обжалования.
Субъект также вправе получить информацию о прекращении, удалении или уничтожении обработки непосредственно при совершении соответствующего действия, но не позднее 10 рабочих дней. Это значит, что внутренние процедуры организации должны быть привязаны к этим двум срокам, а не к интуитивным периодам ожидания.
Когда в удалении может быть отказано
Третий пункт статьи 16 называет четыре ситуации, в которых ответственное лицо вправе отказать в удовлетворении требования об удалении. Первая: существует любое из оснований, предусмотренных статьями 5 или 6, — в том числе когда обработка предусмотрена законом или необходима для исполнения законной обязанности. Вторая: данные обрабатываются для обоснования правового требования или защиты по иску. Третья: обработка необходима для осуществления права на свободу выражения или информации. Четвёртая: данные обрабатываются в публичных интересах для архивации, научных или исторических исследований либо в статистических целях, если удаление сделает достижение этих целей невозможным или существенно повредит ему.
При наличии любого из этих оснований на ответственное лицо возлагается обязанность обосновать соответствующее основание. Это очень важная деталь: отказ правомерен только тогда, когда он обоснован, а не тогда, когда организация просто не хочет освобождаться от данных. Суть управления правовым удержанием именно в этом: у каждого случая хранения должно быть документированное, основанное на законе основание и определённый срок.
Кроме того, если данные обрабатывались в общедоступной форме, субъект имеет дополнительное право — потребовать ограничения доступности и удаления копий данных или любой интернет-ссылки, связанной с данными. Это право особенно актуально для информации, опубликованной на веб-сайтах.
Уведомление получателей и их обязанности
Процесс удаления редко остаётся в границах одной организации. Согласно закону, ответственное лицо обязано уведомить всех получателей данных, а также всех иных ответственных лиц и уполномоченных на обработку лиц, которым оно передавало данные, о прекращении, удалении или уничтожении обработки. Исключение допускается только тогда, когда предоставление такой информации невозможно из-за множества лиц или непропорционально больших расходов.
Не менее важно последующее действие: получив информацию, эти лица обязаны прекратить обработку и удалить или уничтожить данные. Таким образом, надлежащее управление правовым удержанием требует ведения реестра получателей и уполномоченных лиц, чтобы обязанность уведомления реально исполнялась в нужный момент.
Ограничение прав и распределение бремени доказывания
Статья 21 закона устанавливает, что соответствующие права субъекта данных, включая право на удаление, могут быть ограничены, если это прямо предусмотрено законодательством Грузии, если этим не нарушаются основные права и свободы человека и если это необходимая и соразмерная мера в демократическом обществе. В числе оснований ограничения закон называет, например, интересы государственной безопасности, информационной безопасности и кибербезопасности, общественную безопасность, предупреждение и расследование преступлений, отправление правосудия, значимые для страны финансовые или экономические интересы, защиту государственных, коммерческих и профессиональных тайн, а также обоснование правового требования или защиты.
Ограничительная мера может применяться только в объёме, необходимом для достижения цели ограничения, а решение об ограничении и об отказе должно быть сообщено субъекту, кроме случая, когда предоставление информации поставит под угрозу достижение цели. Здесь следует отметить и решающее процессуальное правило: при ограничении права и отказе в требовании бремя доказывания возложено на ответственное за обработку лицо. Иначе говоря, в спорном случае именно организация должна доказать законность хранения, а не субъект — его неправомерность.
Команда Legal.ge поможет систематизировать обязанности правового удержания: мы составим документированную карту сроков хранения, действующих в вашей сфере, подготовим шаблоны обоснования отказов и проработаем процедуру уведомления получателей, чтобы у каждого сохранённого фрагмента данных было законное основание и определённый срок.