«Забудьте меня»: как казахстанцам удалить свои данные из приложений и интернет-магазинов

Казахстанцы могут потребовать от интернет-магазинов, банков и мобильных приложений удалить свои персональные данные – от номера телефона и ИИН до фотографий и истории покупок. Однако удаление аккаунта не гарантирует, что вся информация исчезнет. Какие сведения компании обязаны уничтожить, что могут сохранить и куда жаловаться в случае отказа, корреспондент BAQ.KZ выяснила в Министерстве искусственного интеллекта и цифрового развития РК.

Какие данные можно потребовать удалить?

Каждый раз, заказывая доставку, совершая покупки в интернете или регистрируясь в приложении, казахстанцы оставляют персональные данные. Сервисы получают номера телефонов, домашние адреса, историю заказов, а иногда фотографии, ИИН и банковские реквизиты.

Но может ли пользователь потребовать удалить эту информацию?

«Статьей 41 Цифрового кодекса Республики Казахстан закреплено право субъекта персональных данных требовать удаления, анонимизации либо ограничения обработки своих персональных данных, размещенных или обрабатываемых в цифровой среде, независимо от основания их получения, за исключением случаев, предусмотренных законами Республики Казахстан», - пояснили в Министерстве искусственного интеллекта и цифрового развития РК.

Это означает, что гражданин вправе обратиться в интернет-магазин, службу доставки, банк или другой цифровой сервис с требованием удалить сведения о себе. Однако компания может сохранить часть информации, если этого требует закон.

Как удалить свои данные из приложения?

Отправить запрос можно через официальный сайт компании, электронную почту, службу поддержки или личный кабинет.

В обращении необходимо указать название организации, данные для идентификации заявителя и перечень сведений, которые требуется удалить. Также рекомендуется сослаться на статью 41 Цифрового кодекса и статью 18 Закона РК «О персональных данных и их защите».

При этом гражданин не обязан предоставлять лишние персональные сведения. Отдельной кнопки удаления данных в приложении может не быть. Однако компания обязана рассмотреть поступившее требование.

Сколько времени есть у компании?

При отзыве согласия на обработку персональных данных у сервиса есть 15 рабочих дней, чтобы прекратить обработку информации или объяснить причины отказа.

«В соответствии с пунктом 6-3 Правил сбора, обработки персональных данных, утвержденных приказом от 21 октября 2020 года № 395/НҚ, при отзыве согласия собственник и (или) оператор, а также третье лицо обязаны в течение 15 рабочих дней прекратить обработку персональных данных, если их хранение или обработка не требуется в соответствии с законодательством Республики Казахстан, либо представить мотивированный отказ», - добавили в ведомстве.

Кроме того, пользователь может запросить информацию о том, какие данные о нем хранит компания, для чего использует и как долго собирается их хранить.

Ответ на такой запрос должен поступить в течение трех рабочих дней, если законом не предусмотрен другой срок.

Номер телефона, ИИН, фотографии и банковская карта

Редакция BAQ.KZ попросила министерство отдельно разъяснить, какие сведения компании обязаны удалять по требованию граждан.

В ведомстве пояснили:

• Номер телефона – подлежит удалению, если у компании больше нет законных оснований его хранить.
• ИИН – может быть удален, но сохраняется в документах, если этого требует законодательство.
• Домашний адрес – подлежит удалению, если больше не нужен для выполнения обязательств или других законных целей.
• Фотографии и биометрия – подлежат удалению при отсутствии законных оснований для дальнейшего использования.
• История покупок – может быть удалена или обезличена, но отдельные сведения сохраняются для бухгалтерского и налогового учета.
• Банковские реквизиты – сохраненные данные карты подлежат удалению, если основания для их обработки отсутствуют. Информация о совершенных платежах может храниться в соответствии с законом.

Таким образом, требовать удаления можно, но не все сведения компания обязана уничтожить.

Удалили аккаунт – данные тоже исчезли?

Нет, не обязательно. Даже после удаления учетной записи часть информации может оставаться в системах компании.

Например, сервис вправе хранить сведения о платежах и заказах, если это необходимо для исполнения требований законодательства.

При этом, как подчеркнули в министерстве, удаление персональных данных должно исключать возможность их восстановления.

«При наличии обязанности удалить персональные данные соответствующие меры должны обеспечивать невозможность их последующего восстановления, в том числе из резервных копий, если на такие данные не распространяются законные основания для дальнейшего хранения», - рассказали в министерстве.

Передавать информацию пользователя третьим лицам после удаления аккаунта компания также может только при наличии законных оснований.

Можно ли удалить историю заказов и платежей?

Казахстанцы могут потребовать удаления истории покупок в интернет-магазинах и приложениях доставки. Однако не все сведения.

В министерстве объяснили, что финансовые операции, бухгалтерские и налоговые документы могут храниться даже после удаления аккаунта.

«При этом сохранение персональных данных не подразумевает дальнейшего использования для любых целей. Обработка должна ограничиваться целями, для которых предусмотрено соответствующее правовое основание», - рассказали в ведомстве.

Единого срока хранения истории заказов, покупок и платежей нет. Он зависит от вида документов и требований законодательства.

Как запретить сервисам присылать рекламу?

Если пользователь ранее согласился на обработку своих данных, он вправе отозвать это согласие. Для этого достаточно направить уведомление компании.

«Если использование персональных данных для направления рекламных сообщений, персонализированных предложений или проведения аналитики осуществлялось исключительно на основании согласия гражданина, после его отзыва соответствующая обработка должна быть прекращена», - сообщили в ведомстве.

На прекращение обработки отводится 15 рабочих дней, если нет других законных оснований для ее продолжения.

Как проверить, действительно ли данные удалены?

Это один из самых сложных вопросов. Пользователь может получить ответ об удалении информации, но самостоятельно проверить, осталась ли она на серверах компании, практически невозможно.

В министерстве подтвердили, что специального механизма для такой проверки нет.

«Законодательством не предусмотрен универсальный технический механизм, позволяющий каждому гражданину самостоятельно проверить факт физического удаления всех его персональных данных из информационных систем и резервных копий организаций», - добавили в министерстве.

Однако можно запросить у компании сведения о том, какие данные она продолжает обрабатывать, зачем и на каком основании.

Если возникают сомнения, гражданин вправе обратиться в уполномоченный орган.

Требовать удаления своих данных можно и у зарубежных платформ, включая международные маркетплейсы и социальные сети.

Как пояснили в министерстве, иностранная регистрация компании не освобождает ее от требований казахстанского законодательства, если ее деятельность подпадает под его действие.

Однако возможность привлечь такую компанию к ответственности зависит от конкретных обстоятельств и применимого законодательства.

Куда жаловаться, если данные не удаляют?

Если сервис игнорирует обращение, отказывает без законных оснований или продолжает неправомерно обрабатывать информацию, гражданин может пожаловаться в Комитет информационной безопасности Министерства искусственного интеллекта и цифрового развития РК.

Обращение можно направить через e-Otinish. К нему рекомендуется приложить первоначальный запрос в компанию, полученный ответ и другие подтверждающие документы.

За нарушения законодательства о персональных данных предусмотрена административная ответственность по статье 79 КоАП РК.

Таким образом, казахстанцы могут требовать удаления личной информации, но удаление аккаунта не гарантирует уничтожения всех данных. Часть сведений компании вправе хранить по закону, а проверить, действительно ли остальная информация исчезла из их систем, пользователь самостоятельно не может.