Право на видалення за GDPR: висновки EDPB 2025 року
Оновлено для 2026 року
Дія EDPB щодо видалення у 2025 році
Європейська рада із захисту даних провела масштабну перевірку у 2025 році. Вона охопила Статтю 17 GDPR — право на видалення. У ній взяли участь 32 органи захисту даних з країн ЄС та ЄЕП. Усі діяли одночасно. Метою було виявити широкомасштабні порушення, а не окремі випадки.
Ця дія є Скоординованою системою правозастосування (CEF). Дев'ять органів захисту даних з тих пір відкрили офіційні розслідування на основі її результатів.
Сім повторюваних порушень
Звіт CEF визначив сім проблем, виявлених у перевірених організаціях:
- Слабкі процедури обробки запитів на видалення
- Надто широке відхилення обґрунтованих запитів
- Надмірне навантаження на осіб, що подають запити
- Неспроможність знайти всі персональні записи у різних системах
- Порушення 30-денного вікна реагування за GDPR
- Погане інформування заявників про результати розгляду
- Неналежна анонімізація замість видалення. Організації стверджували про «анонімізацію», але записи залишалися пов'язаними з конкретними людьми.
Сьомий пункт є найскладнішим. Він стосується будь-якої організації, яка використовує цей підхід для скорочення кількості персональних записів, що зберігаються.
Анонімізація проти видалення
Право на видалення за GDPR не завжди означає повне знищення даних. Преамбула 65 допускає цей підхід, коли видалення нездійсненне. Резервні стрічки та аналітичні системи — типові приклади.
CEF демонструє, що ця можливість використовується неналежно. Організації позначають процес «анонімізацією», щоб уникнути справжнього видалення. Але процес і далі залишає записи пов'язаними з реальними людьми.
EDPB проводить чітку межу.
Справжня анонімізація означає, що зв'язок між записами і особою не може бути відновлений. Контролер не має способу відновити цей зв'язок. Жодна третя сторона не має способу відновити його. Такі записи виходять за межі дії GDPR. Запит вважається виконаним.
Псевдонімізація — інша справа. Повторне встановлення зв'язку можливе за наявності відповідного ключа. Персональні записи продовжують існувати. Запит не вважається виконаним. Записи мають бути видалені або ключ знищений.
Дворівневий підхід
Організації, що використовують цей підхід в аналітиці, потребують двох рівнів.
Рівень 1 — Прийом: Сирі персональні записи потрапляють сюди. Ці записи є предметом запитів на видалення. Коли особа реалізує права за Статтею 17, записи цього рівня видаляються.
Рівень 2 — Аналітика: Сюди потрапляють лише анонімізовані результати. Якщо процес був повним і незворотним, ці результати не є персональними. Вони не змінюються при надходженні запиту на видалення.
Ця схема працює лише тоді, коли крок маскування проходить три перевірки.
По-перше: незворотність. Зворотні токени та зашифровані заміни не підходять.
По-друге: повнота. Необхідно обробити всі типи ідентифікаторів. Самих лише імен недостатньо.
По-третє: задокументованість. Організація повинна мати змогу показати органу захисту даних, як працює метод.
Ритейлер, що замінює імена клієнтів зашифрованими токенами, виконав псевдонімізацію — а не справжнє видалення. Аналітичний рівень і далі містить персональні записи. Запити на видалення до нього застосовуються.
Наш посібник із відповідності GDPR охоплює правову основу для кожного підходу. Наш огляд відповідності безпеки містить перелік необхідних засобів контролю. Для покрокової допомоги дивіться наш посібник з аудиту анонімізації GDPR.