Коротко
Если компания игнорирует или отклоняет ваш запрос по GDPR — копию данных, удаление, утечку, которую она не объясняет, — вы можете бесплатно пожаловаться в орган по защите данных по статье 77 — обычно в стране, где вы живёте или работаете. Ради Meta, Google или TikTok не нужно обращаться в Ирландию: ваш собственный орган принимает жалобу и работает с ведущим органом страны, где у компании основное представительство в ЕС, по принципу «единого окна» GDPR. Сначала дайте компании шанс: она должна ответить в течение одного месяца с продлением ещё на два для сложных запросов, а ирландская Комиссия по защите данных требует, чтобы вы сначала обратились в организацию. Если орган не сообщит, как продвигается жалоба, в течение трёх месяцев, вы можете обратиться в суд.
До жалобы: сначала обратитесь к компании
Органы по защите данных ожидают, что вы сначала обратились в компанию. Ирландская Комиссия по защите данных (DPC) требует, чтобы вы подняли вопрос напрямую с организацией; британский ICO рекомендует это в большинстве случаев. По статье 12 компания должна выполнить ваш запрос в течение одного месяца. Для сложных или многочисленных запросов она может продлить срок ещё на два месяца, но обязана сообщить об этом в течение первого месяца и объяснить почему.
Отправьте запрос письменно через контакт по приватности, указанный в политике конфиденциальности компании, и сохраните доказательства: дату, копию отправленного и номер обращения. Если вы запрашиваете свои данные, см. как сделать запрос на доступ по GDPR; об удалении — право на удаление.
Какой орган: ваш собственный, даже для Meta, Google или TikTok
Пожаловаться можно в орган страны, где вы живёте, работаете или где произошло нарушение. В трансграничных делах по принципу GDPR «единого окна» орган страны основного представительства компании в ЕС становится ведущим органом; у Meta, Google и TikTok, среди прочих, оно в Ирландии, поэтому дело ведёт DPC. Вы всё равно общаетесь со своим органом на своём языке, а он сотрудничает с ведущим. Европейский совет по защите данных публикует список членов:
| Страна | Орган | Сайт |
|---|---|---|
| Ирландия | Комиссия по защите данных (DPC) | dataprotection.ie |
| Германия | Орган по защите данных вашей федеральной земли; федеральный BfDI публикует их список | bfdi.bund.de |
| Австрия | Datenschutzbehörde (DSB) | dsb.gv.at |
| Франция | CNIL | cnil.fr |
| Бельгия | Орган по защите данных (APD/GBA) | autoriteprotectiondonnees.be |
| Нидерланды | Autoriteit Persoonsgegevens | autoriteitpersoonsgegevens.nl |
| Люксембург | CNPD | cnpd.lu |
| Италия | Garante per la protezione dei dati personali | garanteprivacy.it |
| Испания | AEPD | aepd.es |
| Португалия | CNPD | cnpd.pt |
| Польша | UODO | uodo.gov.pl |
| Швеция | IMY | imy.se |
| Норвегия (ЕЭЗ) | Datatilsynet | datatilsynet.no |
| Великобритания | Офис уполномоченного по информации (ICO), по UK GDPR | ico.org.uk · 0303 123 1113 |
| Швейцария | Федеральный уполномоченный по защите данных и информации (FDPIC), по швейцарскому FADP | edoeb.admin.ch |
Как подать сильную жалобу
- Используйте онлайн-форму органа; форма DPC — на forms.dataprotection.ie/contact. Юрист не нужен, платы нет.
- Укажите, что и когда вы запросили: «запрос на доступ по статье 15, отправлен 2 сентября».
- Покажите, что пришло в ответ: ни ответа, отказ, неполный файл, шаблон.
- Назовите затронутое право: доступ (статья 15), удаление (статья 17), возражение, безопасность обработки после утечки.
- Приложите доказательства, которые просит DPC: ваш запрос, ответы, скриншоты, номера обращений.
- Скажите, чего вы хотите: данные, удаление, объяснение. Не отправляйте документы, если орган не просит.
Что дальше — и сроки
| Шаг | Срок |
|---|---|
| Компания отвечает на запрос | Один месяц; ещё до двух для сложных запросов, если она сообщит об этом в течение первого месяца (статья 12) |
| Орган сообщает о ходе жалобы | В течение трёх месяцев; если нет, можно обратиться в суд против органа (статья 78) |
| Собственное обязательство DPC | Отчёт о ходе или результате в течение трёх месяцев, затем периодические обновления |
| Иск против компании | Возможен в любое время, в том числе о компенсации (статьи 79 и 82) |
DPC сначала проверяет, входит ли вопрос в её компетенцию, затем ищет мирное урегулирование, если оно может сработать. Если нет, орган может отклонить жалобу, дать рекомендации, вынести предписание или начать расследование; расследования обычно ведутся при серьёзных или системных нарушениях. Трансграничные дела длятся дольше, потому что органам нужно сотрудничать.
Типичные жалобы после взлома или блокировки аккаунта
- Нет ответа на запрос на доступ к истории входов, устройствам и IP-адресам после захвата.
- Отказ удалить данные аккаунта, который вы закрыли или который создали от вашего имени.
- Утечка данных, которую компания не объясняет; см. что делать после утечки.
- Персональные данные в результатах поиска, которые сайт или поисковик не удаляет; см. удаление личной информации.
Орган по защите данных не может восстановить приостановленный аккаунт: это решение о модерации, которое оспаривают через платформу и пути DSA. Он может обязать компанию выдать или удалить ваши данные. Мы совмещаем оба направления в нашей работе по удалению результатов и защите приватности.
Часто задаваемые вопросы
Нужно ли жаловаться на Meta или TikTok в ирландский орган?
Нет. Жалуйтесь в свой собственный орган на своём языке. По принципу «единого окна» он сотрудничает с ирландской Комиссией по защите данных, которая ведёт дела компаний с основным представительством в ЕС в Ирландии.
Стоит ли жалоба по GDPR денег?
Нет. Жалобы в органы по защите данных бесплатны, и юрист не нужен.
Сколько это займёт?
Орган должен сообщить, как продвигается жалоба, в течение трёх месяцев. Простые дела могут закончиться раньше; трансграничные часто занимают больше времени.
Может ли орган вернуть мой заблокированный аккаунт?
Нет. Он следит за защитой данных, а не за правилами контента. Он может обязать компанию выдать копию ваших данных или удалить их; приостановки аккаунтов идут через апелляцию платформы и пути DSA.
Источники: Общий регламент по защите данных — Регламент (ЕС) 2016/679, статьи 12, 15, 17, 56 и 77–82, Европейский совет по защите данных — члены (национальные органы), Комиссия по защите данных (Ирландия) — рассмотрение жалоб физических лиц, ICO — жалобы о защите данных (Великобритания)