Правовой анализ: Удаление адреса электронной почты из истории заказов Wildberries после удаления аккаунта

Краткий ответ

Да, вы имеете право потребовать от Wildberries удалить ваш адрес электронной почты из истории заказов после удаления аккаунта, однако реализация этого права может столкнуться с определёнными законодательными ограничениями, связанными с обязанностью оператора хранить отдельные сведения в силу иных нормативных актов (налоговое, бухгалтерское законодательство, законодательство о защите прав потребителей). Тем не менее, само по себе хранение адреса электронной почты как персональных данных после достижения цели обработки и отзыва согласия — без достаточных правовых оснований — является неправомерным.

Нормативная база

1. Закон Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных»

Данный Закон является основным нормативным актом, регулирующим отношения в сфере обработки и защиты персональных данных в Республике Беларусь.

Права субъекта персональных данных (статья 11)

Согласно статье 11 Закона № 99-З, субъект персональных данных имеет право:

• получать информацию, касающуюся обработки своих персональных данных, включая подтверждение факта обработки, источник получения данных, правовые основания и цели обработки, сроки обработки, а также иные сведения;
• требовать изменения (уточнения, исправления) своих персональных данных в случае их неполноты, неточности или устаревания;
• отозвать согласие на обработку персональных данных.

Источник: Закон Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных», статья 11 (etalonline.by; zakony-by.com)

Отзыв согласия и прекращение обработки

При отзыве согласия на обработку персональных данных оператор обязан прекратить обработку персональных данных и уничтожить их (или обеспечить их уничтожение), если иное не предусмотрено законодательными актами. Это означает, что:

1. Цель обработки достигнута — после исполнения заказа и истечения сроков, связанных с гарантией, возвратом и другими потребительскими правами, продолжение обработки персональных данных (включая адрес электронной почты) теряет правовое основание.
2. Согласие отозвано — субъект вправе в любой момент отозвать согласие, после чего оператор не вправе продолжать обработку, за исключением случаев, когда обработка осуществляется без согласия на основании иных норм закона.
3. Принцип минимизации — оператор должен обрабатывать только те данные, которые необходимы для достижения конкретной цели. Адрес электронной почты, как правило, не является необходимым элементом для соблюдения требований налогового или бухгалтерского учёта.

Обработка без согласия

Закон допускает обработку персональных данных без согласия субъекта в случаях, предусмотренных законодательными актами (например, для целей налогового учёта, бухгалтерской отчётности, исполнения требований контрольно-надзорных органов). Однако адрес электронной почты как таковой не относится к данным, которые обязаны храниться в составе бухгалтерских или налоговых документов. В этих документах должны содержаться сведения о сделке (наименование товара, цена, дата, способ оплаты), но не обязательно персональные данные покупателя в объёме, включающем email.

2. Ответственность за нарушение законодательства о защите персональных данных

Административная ответственность (статья 23.7 КоАП)

Согласно статье 23.7 Кодекса Республики Беларусь об административных правонарушениях (от 6 января 2021 г. № 91-З):

«Умышленные незаконные сбор, обработка, хранение или предоставление персональных данных физического лица либо нарушение его прав, связанных с обработкой персональных данных, — влекут наложение штрафа в размере до пятидесяти базовых величин.»

Источник: Кодекс Республики Беларусь об административных правонарушениях, статья 23.7 (etalonline.by)

Уголовная ответственность (статья 203² УК)

Согласно статье 203² Уголовного кодекса Республики Беларусь (от 9 июля 1999 г. № 275-З):

«Несоблюдение мер обеспечения защиты персональных данных лицом, осуществляющим обработку персональных данных, повлекшее по неосторожности их распространение и причинение тяжких последствий, — наказывается штрафом, или лишением права занимать определенные должности или заниматься определенной деятельностью...»

Источник: Уголовный кодекс Республики Беларусь, статья 203² (etalonline.by)

3. Практика применения: прецедент с Wildberries

Национальный центр защиты персональных данных Республики Беларусь (НЦЗПД) уже рассматривал аналогичные жалобы в отношении Wildberries. Согласно публикации от 15 февраля 2023 года:

«Интернет-магазин wildberries.by (юрлицо ООО "ИМВБРБ") проинформировал [НЦЗПД]... Wildberries больше не будет хранить удалённые личные данные покупателей.»

Источник: СБ. Беларусь сегодня, 15.02.2023 (sb.by)

Это означает, что НЦЗПД уже признал правомерность требований покупателей об удалении персональных данных после прекращения отношений с маркетплейсом, и Wildberries принял соответствующие меры.

Кроме того, на официальном сайте НЦЗПД размещена информация о механизме реализации прав субъекта персональных данных, включая образцы заявлений об отзыве согласия и прекращении обработки.

Источник: Национальный центр защиты персональных данных (cpd.by)

Порядок действий

Для реализации своего права на удаление адреса электронной почты из истории заказов рекомендуется следующий порядок действий:

Шаг 1. Направление письменного заявления оператору

Подайте письменное заявление (в электронной или бумажной форме) оператору персональных данных — юридическому лицу, осуществляющему обработку персональных данных на территории Республики Беларусь (для wildberries.by — ООО «ИМВБРБ»). В заявлении укажите:

• ФИО, паспортные данные, адрес места жительства;
• требование об отзыве согласия на обработку персональных данных;
• требование об удалении (уничтожении) адреса электронной почты из истории заказов;
• правовое обоснование (статья 11 Закона № 99-З).

Шаг 2. Ожидание ответа

Оператор обязан рассмотреть заявление и предоставить ответ в установленный законодательством срок (как правило, до 1 месяца).

Шаг 3. Обращение в НЦЗПД (при отказе или бездействии)

Если оператор отказал в удовлетворении требования или не ответил, субъект персональных данных вправе обратиться с жалобой в Национальный центр защиты персональных данных Республики Беларусь:

• Адрес: 220034, г. Минск, ул. Сурганова, 23а
• Сайт: cpd.by
• Электронное обращение: через форму на сайте НЦЗПД

Шаг 4. Обращение в суд (при необходимости)

В случае неудовлетворения жалобы в административном порядке возможно обращение в суд с иском о защите прав субъекта персональных данных, возмещении морального вреда и понесённых убытков.

Важные оговорки

Вывод

Вы имеете законное право потребовать от Wildberries удалить ваш адрес электронной почты из истории заказов после удаления аккаунта, основываясь на статье 11 Закона Республики Беларусь № 99-З «О защите персональных данных». При отказе оператора вы вправе обратиться с жалобой в Национальный центр защиты персональных данных, который уже имеет успешную практику разрешения аналогичных споров с Wildberries. Однако следует учитывать, что часть сведений о заказах может подлежать хранению в силу иных законодательных актов, хотя это не обязательно включает адрес электронной почты как персональные данные.