AliExpress

Запрос по ст.15 GDPR (7 пунктов): объём и цели обработки; категории данных; получатели, включая третьих лиц и брокеров; сроки хранения; автоматизированные решения и профилирование (ст.22) с логикой; источники данных не от субъекта; трансграничные передачи и гарантии. Указан регистрационный email аккаунта. Срок — 30 дней. Письма на EU-DPO@alibaba-inc.com и privacy@aliexpress.com вернулись недоставленными.

Вместо ответа DPO — персонализированное маркетинговое письмо от Alibaba на Gmail с поведенческим таргетингом (рекомендации на основе поисковых запросов). Зафиксировано как доказательство активной обработки данных.

Повторная подача (после недоставки на EU-DPO и privacy): запрос по ст.15 + возражение против прямого маркетинга по ст.21 с требованием немедленно прекратить рассылки на оба адреса. Срок отсчитывать от первичной подачи 28.02.2026. Дополнительно запрошены данные, собранные через трекинг-домен us.yntpp.org. Указан регистрационный email аккаунта.

AliExpress Data Protection Team: обработать запрос не могут до подтверждения личности; просьба прислать запрос с email, привязанного к аккаунту.

Сообщил, что более не пользуюсь привязанным к аккаунту адресом по соображениям приватности и безопасности, отправить с него не могу. Запросил альтернативный способ подтверждения личности — номер заказа, имя пользователя или удостоверение личности.

Переход на защищённый адрес для всей дальнейшей переписки. Для идентификации указан email аккаунта и приложены скриншоты последних заказов и платёжных квитанций. Добавлено требование по ст.17 (право на удаление) к запросу по ст.15. Срок по ст.12(3) — 30 дней.

Очередной отказ: личность не подтверждена; повторно запрошены email уведомлений о заказах, скриншоты последних заказов и скриншот платёжной квитанции.

AliExpress: «запись по вашему email аккаунта в наших системах не найдена». Прямое противоречие с маркетинговым письмом от 03.03 — четвёртый отказ подряд.

Жалоба в AKI на AliExpress (Alibaba Group): нарушения ст.11(2), 12(1),(2),(3) и 15(1). Требования: возбудить надзорное производство; обязать контролёра ответить и предоставить альтернативный способ подтверждения личности; оценить неработающие контактные адреса EU-DPO и privacy по ст.12(2); при необходимости применить санкции.

Решение AKI № 2.1-1/26/642-1328-2: производство прекращено. Установлено: AliExpress отказал, так как запрос пришёл не с привязанного к аккаунту адреса; заявитель предоставил иные идентифицирующие данные, но контролёр их не учёл и повторил отказ четыре раза; адреса EU-DPO и privacy не работают (письма вернулись). По политике AliExpress контролёр для жителей ЕЭЗ — Alibaba.com Singapore E-Commerce Private Limited (Сингапур). Контролёр в третьей стране, представитель по ст.27 не назначен — у AKI нет действенных надзорных мер воздействия; по ст.12(6) контролёр вправе запросить данные для идентификации. Производство прекращено. Право оспорить в течение 30 дней (vaie генеральному директору AKI либо жалоба в административный суд).

Возражение (vaie) на решение от 28.04.2026 — три обстоятельства, оставленные без рассмотрения. (1) Ст.11(2): в ходе переписки предоставлены Member ID (уникальный идентификатор аккаунта, не зависящий от email), три Order ID и данные платёжной карты; по ст.11(2) контролёр не вправе отказывать со ссылкой на невозможность идентификации, если субъект предоставил дополнительные данные; AKI не оценил достаточность Member ID. (2) Противоречие: 03.03.2026 AliExpress прислал персонализированное маркетинговое письмо с поведенческим таргетингом (значит, активно обрабатывает данные), а 18.03.2026 заявил, что записи по email аккаунта в системах нет — два взаимоисключающих утверждения. (3) Ст.27: контролёр в Сингапуре без представителя в ЕС — самостоятельное нарушение ст.27(1) для компании, систематически обрабатывающей данные жителей ЕС (ст.3(2)); прошу зафиксировать его отдельно и передать в EDPB. При отказе продолжить производство или передать в EDPB — жалоба напрямую в EDPB по ст.65 и 78.

Решение директора AKI Pille Lehis по vaie (№ 2.3-6/26/898-1787-3): возражение отклонено (HMS §85 п.4), прекращение производства оставлено в силе. Позиция AKI: контролёр вправе требовать обращение с привязанного к аккаунту email (ст.12(6)), а предоставленные идентификаторы AKI счёл недостаточными, сославшись на отсутствие практической возможности проверить внутренние системы контролёра; получение маркетингового письма не обязывает признать личность вне защищённого канала идентификации (ст.15 требует повышенной осторожности против утечки). По ст.27: AKI признал, что AliExpress обязан иметь представителя в ЕС и не имеет его, но отказался фиксировать это как нарушение, назвав ст.27 инструментом общего надзора, а не разрешения индивидуального спора. Причина прекращения: контролёр вне ЕС, без места деятельности и представителя, надзорные меры AKI «фактически неисполнимы», продолжение признано несоответствующим принципам эффективности и экономии. По EDPB: индивидуальные жалобы EDPB не рассматривает, механизм ст.65 предполагает спор между надзорными органами, а при отсутствии ведущего органа в ЕС процедуру ст.60/65 запустить нельзя.

Разъяснено право обжаловать решение в административном суде в течение 30 дней (примерно до 02.07.2026). Дальнейшего административного пути в рамках AKI нет.