Персональные данные — это любые сведения, относящиеся к прямо или косвенно определённому человеку. Не только паспорт и адрес: телефон, номер автомобиля, фотография с подписью, связка «фамилия плюс место работы» тоже входят в это понятие. Обработку регулирует Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных»; он же определяет, что российское законодательство в этой области состоит из него самого и принятых в соответствии с ним нормативных правовых актов. Государственный оператор или частный — обязанности одинаковые.
Закон о персональных данных построен не на запрете публикации, а на цели. Обработка должна ограничиваться достижением конкретных, заранее определённых и законных целей; содержание и объём данных должны соответствовать этим целям, а избыточные данные обрабатывать нельзя. Хранение допускается не дольше, чем этого требуют цели, и по их достижении данные подлежат уничтожению или обезличиванию. Отсюда главный практический приём: спорят не о том, вправе ли оператор вообще вас знать, а о том, для какой цели ему нужны именно эти сведения именно в открытом доступе.
Дальше начинается процедура, и в ней всё держится на сроках. Получив ваше обращение или запрос, оператор обязан заблокировать спорные данные на период проверки. Подтвердив неправомерность обработки, он обязан прекратить её в срок не более трёх рабочих дней, а если сделать обработку законной невозможно — уничтожить данные в срок не более десяти рабочих дней и уведомить вас об этом. При отзыве согласия срок другой — тридцать дней, и при обращении с требованием о прекращении обработки — десять рабочих дней.
Отдельная история — поисковая выдача. Оператор поисковой системы не размещал ваши данные и по закону о персональных данных за чужой сайт не отвечает. Обязанность прекратить выдачу ссылок установлена законом об информации: она касается сведений недостоверных, распространяемых с нарушением законодательства либо неактуальных, утративших значение для заявителя. Требование подаётся по прямо описанной форме, ответ даётся в течение десяти рабочих дней, а отказ обжалуется в суд.
Отдельно закон говорит об утечке. Если произошла неправомерная или случайная передача данных, нарушившая права людей, оператор обязан уведомить уполномоченный орган в течение двадцати четырёх часов об инциденте и в течение семидесяти двух часов — о результатах внутреннего расследования. Для вас это практический признак: если ваши сведения появились в открытом доступе из чужой базы, у оператора уже есть обязанность, которую он, скорее всего, не исполнил, и её неисполнение работает в вашу пользу.
Наконец, ответственность. Обработка персональных данных в случаях, не предусмотренных законодательством, либо несовместимая с целями сбора, влечёт для граждан административный штраф от десяти до пятнадцати тысяч рублей, для должностных лиц — от пятидесяти до ста тысяч, для юридических — от ста пятидесяти до трёхсот тысяч рублей. Штраф идёт в бюджет и вам ничего не возвращает, но постановление по такому делу становится сильным доказательством в вашем иске об удалении и о взыскании убытков.