Как удалить аккаунт на электронную почту и все данные профиля — запрос на полное удаление

Согласно ст. 14 Федерального закона «О персональных данных», субъект персональных данных вправе требовать от оператора уничтожения его персональных данных в случае, если они не являются необходимыми для заявленной цели обработки. В данной ситуации пользователь просит удалить аккаунт, включая логин, историю и личную информацию. Это требование об уничтожении персональных данных, поскольку аккаунт и связанные с ним данные (например, адрес электронной почты, история действий) являются персональными данными. Цель обработки — предоставление доступа к сервису; после удаления аккаунта данные перестают быть необходимыми для этой цели. Следовательно, оператор обязан удовлетворить такое требование, если нет иных законных оснований для продолжения обработки (например, обязательное хранение по иным законам).

1. Субъект персональных данных имеет право на получение сведений, указанных в части 7 настоящей статьи, за исключением случаев, предусмотренных частью 8 настоящей статьи. Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
   — Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных», ст. 14

Далее, ст. 21 того же закона устанавливает обязанности оператора при обращении субъекта. В случае получения требования субъекта (в том числе об уничтожении данных) оператор обязан незамедлительно принять меры. Хотя в приведённом фрагменте напрямую говорится о блокировании при неправомерной обработке, по смыслу закона уничтожение данных по законному требованию субъекта также входит в обязанности оператора. Факты дела: пользователь явно заявляет об удалении аккаунта — это обращение субъекта. Оператор должен подтвердить личность, проверить обоснованность требования и в разумный срок произвести уничтожение всех персональных данных, связанных с этим аккаунтом.

1. В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению
   — Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных», ст. 21

Что касается уведомления пользователя о выполнении удаления — в предоставленном контексте нет нормы, прямо обязывающей оператора направлять такое уведомление. Пользователь просит «хотя бы короткого уведомления». По смыслу закона, оператор должен подтвердить факт исполнения требования, иначе субъект не сможет реализовать свои права. Вероятно, соответствующая обязанность может вытекать из общих принципов добросовестности (ст. 5–6 152-ФЗ) или из ч. 4 ст. 21 (которая не приведена в контексте, но обычно предусматривает уведомление субъекта). В отсутствие этой нормы в контексте можно предположить, что её следует искать в полном тексте ст. 21 или в ст. 18 (обязанность оператора отвечать на обращения). Однако, опираясь только на данный контекст, можно лишь указать, что норма об уведомлении субъекта не содержится в приведённых статьях.

О подтверждении личности пользователя: ни ст. 14, ни ст. 21, ни ст. 22 не устанавливают конкретных способов идентификации. Пользователь предлагает подтвердить владение аккаунтом через отправку письма с того же ящика — такой способ является разумным и не избыточным. Оператор вправе запросить минимальные сведения, необходимые для идентификации (например, ответ на то же письмо), и не должен требовать избыточную информацию, например паспортные данные, если иные способы достаточны. Законодательство о персональных данных в целом ориентирует на минимизацию сбора данных (ст. 5, не в контексте). В данном контексте соответствующие нормы отсутствуют, поэтому рекомендуется руководствоваться принципом соразмерности и ст. 14, дающей субъекту право на защиту своих прав.