Личные данные в интернете: деиндексация и право на забвение

Цифровая эпоха превратила персональную информацию в один из самых ценных и одновременно самых уязвимых активов человека. Утечки баз, случайные публикации, старые аккаунты и агрессивная работа поисковых систем создают ситуацию, при которой каждый пользователь оставляет обширный цифровой след. В этой статье мы подробно разберём, что такое личные данные в интернете, как работают деиндексация данных, удаление личных данных и право на забвение, а также дадим практические инструменты защиты.

Согласно Федеральному закону №152-ФЗ «О персональных данных», к персональным данным относится любая информация, прямо или косвенно относящаяся к идентифицированному или идентифицируемому физическому лицу. Это ФИО, дата рождения, паспортные данные, адрес, телефон, e-mail, а также сведения о доходах, состоянии здоровья и семейном положении.

Закон выделяет несколько категорий данных:

- Общие — ФИО, контакты, адрес.

- Специальные — раса, национальность, политические взгляды, религия, здоровье.

- Биометрические — фотография лица, отпечатки пальцев, голос.

- Обезличенные — данные, по которым невозможно определить конкретного человека.

Основными источниками утечек становятся социальные сети, форумы, базы клиентов компаний, взломанные сервисы государственных структур и, конечно, даркнет, где регулярно продаются массивы с миллионами записей. Граница между публичной и приватной информацией размыта: пользователь может добровольно указать место работы в профиле, но не рассчитывает, что оно окажется в общей поисковой выдаче рядом с домашним адресом.

Последствия раскрытия персональных данных серьёзны: финансовое мошенничество (оформление кредитов на чужое имя), шантаж, репутационные атаки, спам, нежелательные звонки, доксинг. Поисковые системы усиливают проблему: они индексируют страницы, сохраняют кэш и формируют сниппеты, из-за которых информация остаётся доступной, даже если оригинал удалён.

Особенно уязвимы публичные лица, предприниматели, госслужащие, но обычные пользователи страдают не меньше. По данным экспертов по кибербезопасности, только в 2023 году в России произошли утечки более 1 миллиарда записей, а в мире эта цифра исчисляется десятками миллиардов. Это делает вопрос защиты данных актуальным для каждого.

Концепция «права на забвение» родилась в 2014 году, когда Суд ЕС вынес решение по делу Google Spain SL против Марио Костехи Гонсалеса. Испанец потребовал удалить из поисковой выдачи ссылки на устаревшую новость о его финансовых проблемах. Суд признал право граждан требовать деиндексации неактуальной или избыточной информации.

В Европе право на забвение закреплено в статье 17 GDPR — Общего регламента по защите данных. Оно позволяет субъекту требовать удаления его данных при отсутствии законных оснований для их дальнейшей обработки. Ограничения касаются свободы выражения мнений, научных исследований и общественного интереса.

В России аналогичный механизм появился с принятием ФЗ-264 от 2015 года, внёсшего поправки в ФЗ-149 «Об информации, информационных технологиях и о защите информации». Российский подход отличается: он ориентирован именно на поисковые системы (обязывая их прекратить выдачу ссылок), а не на удаление первоисточника. Также в РФ отдельно предусмотрено удаление данных о судимостях — за исключением тяжких и особо тяжких преступлений.

Право подать запрос имеет:

- сам субъект персональных данных;

- законный представитель (для несовершеннолетних и недееспособных);

- в отдельных случаях — наследники.

Основаниями для удаления являются недостоверность, неактуальность, распространение с нарушением закона. Отказ возможен, если информация имеет общественно значимый характер, касается непогашенной судимости за тяжкие преступления или связана с профессиональной деятельностью публичной фигуры. Контроль за соблюдением закона осуществляет Роскомнадзор, а спорные ситуации всё чаще доходят до суда — уже сформировалась обширная судебная практика.

Деиндексация — это удаление ссылки из результатов поиска, при котором сама страница на сайте-источнике продолжает существовать. Это ключевое отличие от полного удаления информации: страница остаётся, но найти её через Яндекс или Google становится значительно сложнее. Для большинства пользователей этого достаточно, ведь до 95% трафика к персональным данным идёт именно из поисковой выдачи.

Поисковые системы работают на трёх уровнях. Индекс — база данных всех проиндексированных страниц. Кэш — сохранённая копия страницы, доступная даже при недоступности оригинала. Сниппет — фрагмент текста в результатах поиска, часто раскрывающий персональные данные ещё до перехода на сайт.

Для подачи запроса используются:

- Яндекс — форма «Удаление информации из результатов поиска» в помощи вебмастера и специальная форма для реализации права на забвение.

- Google — форма «Удаление информации о себе» и отдельная форма запроса согласно законодательству ЕС/РФ.

- Mail.ru — обращение через службу поддержки.

- Bing — форма Content Removal.

К заявлению нужно приложить копию паспорта (для верификации личности), точные URL-адреса, обоснование (недостоверность, неактуальность, нарушение закона). Срок рассмотрения — от 10 рабочих дней до месяца. При отказе можно направить претензию повторно, обратиться в Роскомнадзор или подать иск в суд.

Технические ограничения важны: деиндексация в Яндексе действует по всему миру, но Google часто применяет её только для российских или европейских региональных доменов. Через VPN пользователи из других стран всё равно могут находить удалённые ссылки — это правовой пробел, который пока не решён.

Если деиндексация скрывает информацию, то полное удаление устраняет её с ресурса. Оптимальная стратегия — комбинировать оба подхода. Начинать следует с прямого обращения к администрации сайта: у большинства ресурсов есть контактный e-mail, форма обратной связи или раздел «Удаление данных». В обращении необходимо указать ссылку, суть требования и правовое основание (ссылка на ФЗ-152 или GDPR для зарубежных площадок).

Если владелец сайта игнорирует запрос, следующий шаг — обращение к хостинг-провайдеру и регистратору домена. Данные о них можно узнать через whois-сервисы. Провайдеры обязаны реагировать на официальные жалобы, особенно если речь идёт о распространении данных с нарушением закона.

Роскомнадзор принимает жалобы физических лиц через электронную приёмную на официальном сайте. К обращению прикладываются доказательства (скриншоты, ссылки, копия паспорта). Ведомство может выдать предписание об удалении или заблокировать ресурс. При грубых нарушениях подаётся заявление в прокуратуру или иск в суд с требованием удаления информации и компенсации морального вреда.

Специфика социальных сетей:

- ВКонтакте, Одноклассники — форма поддержки, стандартные сроки 3–7 дней.

- Telegram — жалоба через @notoscam или abuse@telegram.org.

- Instagram — форма «Сообщить о нарушении конфиденциальности».

- YouTube* — Privacy Complaint Process.

*Instagram принадлежит Meta, признанной экстремистской организацией и запрещённой в РФ.

Отдельная категория — сайты-агрегаторы, справочники, брокеры данных и сайты-«пробивы», продающие персональную информацию. С ними работать сложнее: часто они базируются в юрисдикциях, недружественных к российским запросам. Здесь помогают ORM-агентства (Online Reputation Management), которые за плату берут на себя всю рутину. Стоимость услуг варьируется от 15 000 до нескольких сотен тысяч рублей в зависимости от объёма работы. Самостоятельно решить вопрос можно бесплатно, но потребуется 20–100 часов времени и настойчивость.

Кейс 1. Удаление данных после утечки базы. После крупной утечки клиентской базы одного из ритейлеров в 2022 году пользователь обнаружил свои ФИО, телефон и адрес в открытом доступе. Он подал заявку через форму Яндекса, приложив паспорт и обоснование. Через 12 дней ссылки были деиндексированы. Параллельно направлено обращение в Роскомнадзор, ресурс-источник заблокирован по решению ведомства.

Кейс 2. Устаревшая публикация о суде. Предприниматель нашёл в выдаче Google новость 2011 года о хозяйственном споре, который давно урегулирован. Через форму права на забвение он потребовал деиндексации по основанию «неактуальность». Google одобрил запрос: ссылка перестала показываться в российской версии.

Кейс 3. Фейковый аккаунт. Женщина обнаружила поддельный профиль от своего имени с оскорбительным контентом. Направлено обращение в поддержку соцсети с приложением паспорта. Аккаунт удалён за 48 часов. Дополнительно поданы запросы на деиндексацию сохранённых копий страницы в поисковиках.

Кейс 4. Данные на сайте-агрегаторе. Номер телефона и домашний адрес оказались на «жёлтом» справочнике. После двух проигнорированных писем администрации была подана жалоба в РКН со ссылкой на ст. 6 ФЗ-152 (обработка данных без согласия). Сайт удалил информацию в течение 20 дней.

Кейс 5. Иск против СМИ. Гражданин добился через суд удаления новости пятилетней давности о своём административном правонарушении, доказав отсутствие общественной значимости и неактуальность. Суд обязал редакцию убрать статью и компенсировать 30 000 рублей морального вреда.

Кейс 6. Работа с зарубежным ресурсом через GDPR. Российский пользователь потребовал удаления данных с европейского сайта, сославшись на статью 17 GDPR. После двух недель переписки и обращения к DPO (Data Protection Officer) информация была удалена.

Типичные ошибки заявителей: отсутствие точных URL, нечёткое обоснование, неполный пакет документов, попытки давления вместо ссылок на закон. Работающие стратегии: юридически корректное обращение, параллельная работа с сайтом и поисковиком, использование Роскомнадзора как рычага, обращение в суд при принципиальных отказах.

Лучшая защита — не допускать распространения данных. Начните с аудита собственного цифрового следа. «Загуглите» своё ФИО в кавычках, дополните запросами с номером телефона, e-mail, никнеймами, старыми учебными заведениями. Проверьте выдачу и в Яндексе, и в Google, и в Bing — результаты различаются. Обратите внимание на картинки, видео, старые форумы.

Настройки приватности в социальных сетях — базовая гигиена. Скройте номер телефона и e-mail от посторонних, закройте список друзей, ограничьте видимость фотографий. В мессенджерах отключите показ номера и последнего входа посторонним. В Telegram настройте, кто может добавлять вас в группы и звонить.

Используйте отдельные e-mail и, по возможности, дополнительные номера для регистрации на разных ресурсах. Специальные сервисы предлагают одноразовые почтовые адреса и виртуальные номера. Обязательно включите двухфакторную аутентификацию везде, где это доступно, и заведите менеджер паролей (Bitwarden, KeePass, 1Password) — это защитит от взломов, которые становятся источником утечек.

Отказывайтесь от передачи данных в бонусные программы, опросы, «розыгрыши» и сомнительные приложения. Каждая заполненная анкета — потенциальная точка утечки. Работайте с cookies: используйте браузеры с усиленной приватностью (Firefox, Brave), расширения для блокировки трекеров (uBlock Origin, Privacy Badger).

Регулярно мониторьте упоминания. Google Alerts, Яндекс.Оповещения, специализированные сервисы (Brand24, Медиалогия) присылают уведомления о новых упоминаниях ваших ФИО или контактов. Настройте оповещения и на данные близких. Отдельная задача — обучение членов семьи, особенно пожилых родственников и детей. Объясните им, что нельзя выкладывать документы, билеты, посадочные талоны в открытый доступ, а на просьбы «подтвердить данные» отвечать нужно только после проверки источника.

· Составьте полный список ссылок и ресурсов, где размещена нежелательная информация.

· Сделайте скриншоты каждой страницы с фиксацией даты, URL и содержимого.

· Определите категорию данных (общие, специальные, биометрические) и правовое основание для удаления (недостоверность, неактуальность, отсутствие согласия).

· Подготовьте копию паспорта (с закрытыми лишними полями) и сопроводительное заявление со ссылкой на статьи ФЗ-152 и ФЗ-149.

· Направьте обращение владельцу сайта через контактную форму, e-mail администратора или раздел «Удаление данных».

· Параллельно подайте заявку на деиндексацию в Яндекс и Google через официальные формы права на забвение.

· Если ресурс зарубежный — используйте формулировки на английском со ссылкой на GDPR (статья 17).

· При отказе или молчании владельца сайта — обратитесь с жалобой в Роскомнадзор через электронную приёмную.

· Проверьте наличие данных у брокеров и на агрегаторах (2GIS, справочники, сайты-«пробивы»), направьте им запросы.

· Настройте Google Alerts и Яндекс.Оповещения на своё ФИО, номер телефона и e-mail.

· При необходимости обратитесь в суд или к юристу, специализирующемуся на цифровом праве и защите персональных данных.

· Через 2–4 недели проведите повторную проверку выдачи, зафиксируйте результаты.

· Настройте приватность всех аккаунтов, включите двухфакторную аутентификацию, смените пароли на скомпрометированных сервисах.

· Раз в 3–6 месяцев повторяйте аудит цифрового следа.

Обычно от 10 до 30 календарных дней с момента подачи корректного запроса. При сложных случаях (спорное основание, отсутствие документов) срок может увеличиваться до 60 дней. При отказе можно подать повторное обращение с уточнёнными аргументами.

В большинстве случаев можно справиться самостоятельно. Формы обращений в поисковики, соцсети и Роскомнадзор бесплатны. Юрист необходим при судебных разбирательствах, работе со сложными зарубежными ресурсами или требованиях компенсации.

Используйте GDPR (для стран ЕС) или локальные законы страны хостинга. Обратитесь к хостинг-провайдеру, регистратору домена. В крайнем случае — подайте жалобу в Роскомнадзор, который может заблокировать доступ к сайту с территории РФ.

Действует с ограничениями. Если информация общественно значима (например, касается публичной фигуры или сохраняющегося интереса), в удалении откажут. Если публикация устарела, неактуальна и её общественная значимость исчерпана, суды всё чаще встают на сторону заявителей.

Работать нужно по каждому источнику отдельно. Приоритет — крупным площадкам с высоким рейтингом в выдаче. Параллельно подавайте массовые запросы на деиндексацию с перечнем URL. ORM-агентства эффективны в таких сценариях.

Полностью удалить их оттуда невозможно. Действия: срочно сменить пароли, включить 2FA, уведомить банки о риске мошенничества, оформить бесплатный отчёт в НБКИ для контроля кредитной истории, подать заявление в МВД. Проверьте утечки на сервисах вроде Have I Been Pwned.

Да. Согласно ст. 24 ФЗ-152 и ст. 151 ГК РФ, субъект вправе требовать компенсацию морального вреда. Суммы обычно скромные (10 000–100 000 рублей), но при массовых утечках и через коллективные иски компенсации растут.

Частично. Новые данные не связаны со старыми в открытых базах, но связка сохраняется в госреестрах. Смена имени не решает проблему уже утекших данных — их всё равно нужно удалять по стандартной процедуре.

Защита персональных данных в интернете — это не разовая акция, а постоянный процесс. Комбинация грамотной профилактики, знания правовых инструментов (деиндексация, право на забвение, обращение в надзорные органы) и регулярного мониторинга позволяет минимизировать риски и сохранять контроль над собственной цифровой репутацией.