Передача персональных данных третьим лицам без согласия — как наказать компанию?

Определение

Для того, чтобы понять, что включает в себя данное понятие, стоит обратиться к главе 1, статье 3 152-ФЗ «О персональных данных». Именно там можно встретить определение, которым пользуются все государственные структуры: Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Основания для обращения

Роскомнадзор — это орган исполнительной власти, находящийся в непосредственном подчинении Министерства связи и массовых коммуникаций РФ. Основные обязанности — осуществление надзора в сфере связи, информационных технологий, массовых коммуникаций.

Наиболее распространенными причинами, по которым граждане РФ прибегают к помощи организации, являются:

• Незаконная работа сайтов. Если при открытии Интернет-страницы автоматически происходит распространение спама, начинаются вирусные атаки, появляются страницы с нецензурными изображениями или фразами — можно обращаться в Роскомнадзор. Запрету подлежит работа сайтов, распространяющих информацию об изготовлении наркотиков и местах их продажи, порно-картинки или видео с несовершеннолетними, призывы к совершению насилия или суицида.
• Звонки коллекторов должникам, их знакомым и родственникам. Если организация, требующая возврат денежных средств, распространяет личную информацию о заемщике, рассказывая о суме долга, озвучивая паспортные данные, телефонные номера, имеет место нарушение закона № 152-ФЗ «О персональных данных». Заемщик может отозвать свое согласие на распространение персональных согласно закону №230-ФЗ. Обращение в Роскомнадзор для защиты своих интересов целесообразно, если имеется запись телефонного разговора.

Реестр

Согласно Федеральному закону N 152-ФЗ, Оператор персональных данных — государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных.

В реестре РКН насчитывается более 400.000 операторов персональных данных. Под это понятие подходят любые лица, собирающие сведения о клиентах или сотрудниках. Это могут быть юридические лица, муниципальные или государственные компании, индивидуальные предприниматели и просто обычные граждане.

Как пожаловаться

Перед обращением в госструктуру необходимо написать жалобу в организацию, ставшую причиной нарушения покоя или материальных потерь.

Например, при возникновении претензии к мобильному оператору необходимо обратиться к руководству соответствующей организации. Срок рассмотрения жалобы согласно закону «О связи» — 2 месяца. Если напрямую обращаться в Роскомнадзор, спустя некоторое время по почте придет разъяснение о необходимости первоначального обращения к оператору связи, и срок решения проблемы значительно увеличится.

При написании жалобы желательно не делать грамматических ошибок, не употреблять в сторону обидчика бранных слов, оскорблений, не придавать документу эмоциональную окраску. Информация должна быть изложена четко, лаконично и подкреплена доказательной базой.

В качестве подтверждения достоверности изложенной информации могут быть предложены:

• аудиозаписи разговоров;
• видеозаписи;
• вырезки из газет;
• фотографии, доказывающие нарушение законов;
• скриншоты сайтов;
• копии квитанций об оплате услуг, чеков;
• договор на обслуживание.

Весомости жалобе придаст указание на то, какие законы были нарушены в отношении заявителя.

Подать жалобу можно несколькими способами.

В электронном виде

Разъяснения об обработке

Что такое персональные данные? Это может быть различная информация: паспортные данные, номер телефона, реквизиты водительского удостоверения и другие. В реестре требуется регистрироваться владельцам сайтов, где предусмотрены подписка, личный кабинет или форма обратной связи. В законе нет полного перечня сведений, которые предусматривают данное обращение, но, в общем, под него попадают любые организации, использующие необходимую для идентификации информацию. Среди них ТСЖ, детские сады, банки и так далее.

Роскомнадзор: как банку не нарушать закон «О персональных данных»

Антонина Приезжева перечислила, на что же жалуются граждане, когда пишут жалобы на банки. На передачу персональных данных третьим лицам без их согласия. На запрос банками избыточных персональных данных, на отказ удалять персональные данные по окончанию срока договора, на неправомерную обработку данных.

Граждане недовольным тем фактом, что их данные передаются сторонним организациям.

Чаще всего граждане недовольным тем фактом, что их данные передаются сторонним организациям при взыскании задолженности. Поэтому эти жалобы чаще всего касаются работы банков с коллекторскими агентствами.

Российское законодательство позволяет банкам обрабатывать персональные данные клиентов и передавать их третьим лицам – по агентской схеме, а так же в рамках договора цессии.

Правда, в случае работы договора цессии иной порядок, оговорилась Приезжева. В случае переуступки задолженности по этому договору согласие должника на передачу его данных не требуется. Но тогда банк или коллекторское агентство обязано проинформировать должника о заключении договора цессии до момента начала взыскания задолженности.

По результатам обработки информации от банков Роскомнадзор убедился, что согласие клиентов на передачу данных третьим лицам прописано в кредитных договорах в подавляющем большинстве случаев.

Поэтому доводы людей, которые жалуются на неправомерную передачу их данных банками коллекторам, подтвердились лишь только в 6% случаев.

Роскомнадзор не дает оценку методам, которые используются коллекторами для взыскания задолженности, поскольку это работа других ведомств, в первую очередь, правоохранительных органов, подчеркнула Антонина Приезжева.

Регулятор пристально наблюдает за кредитованием «человека человеком».

 Россияне предпочитают в кризис занимать у друзей и знакомых, следует из исследования индикаторов финансовой доступности, опубликованного ЦБ на прошлой неделе.

При этом в другом исследовании регулятор отмечает динамичное развитие p2p-кредитования, которое основано на социальных взаимосвязях. ЦБ даже подумывает о полноценном регулировании нового сегмента.

При этом большинство жалующихся читает, что банки неправомерно передают их данные коллекторам, и что коллекторы обязаны прекратить обработку их данных в случае отзыва гражданином разрешения на обработку его данных у банка. Но сложившееся общественное мнение в подавляющем большинстве случаев не соответствует законодательству, уверена представитель Роскомнадзора.

Роскомнадзор встает на защиту прав граждан, которые подвергаются неправомерному интересу со стороны коллекторов.

Роскомнадзор сталкивается с недобросовестностью самих заемщиков, которые при заключении кредитных договоров оставляют в банках данные третьих лиц – телефоны, почту, адреса и так далее.

В указанных случаях Роскомнадзор встает на защиту прав этих граждан, которые подвергаются неправомерному интересу со стороны коллекторов и требует удаления этих сведений из баз данных банков и коллекторских агентств.

За 2014-25 годы не зафиксировано ни одного случая отказа в удалении сведений третьих лиц из таких баз.

Поступают запросы от банков за разъяснениями о том, могут ли граждане требовать удаления их персональных данных и в каких случаях эти требования правомерны.

На это Роскомнадзор неоднократно разъяснял банкам, что при работе по агентским схемам передачи данных в случае отзыва клиента банка согласия на обработку их данных третьи лица обязаны эту обработку прекратить.

В этом случае банк – оператор данных обязан взыскивать задолженность с клиента самостоятельно. Согласие на обработку данных может быть отозвано самим гражданином – субъектом этих данных, так и через его представителя.

Заявка

Уведомление о включении лица в реестр можно подать на сайте Роскомнадзора. В соответствии со ст. 22 152-ФЗ имеется необходимый перечень данных, которые нужно подать. Среди них дата начала обработки, меры, предпринимаемые для сохранности получаемой информации, цели и правовое обеспечение сбора, характер и причины сбора данных, реквизиты лицензий при необходимости, ИНН, ОГРН и другие сведения.

При этом в реестр не включаются ресурсы и организации, использующие исключительно фамилию, имя и отчество гражданина или данные для единоразового пропуска на частную территорию и работодатели, собирающие информацию о своих сотрудниках.

Законодательная база

При подготовке официального обращения в Роскомнадзор следует изучить такие нормативно-правовые акты:

1. Постановление Правительства РФ от 16.03. 2009 г. N 228 «О Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций»
2. Закон N 230-ФЗ от 03.07.2016 г «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон «О микрофинансовой деятельности и микрофинансовых организациях».
3. Закон N 126-ФЗ от 07.07.2003 «О связи».
4. Закон №149-ФЗ «Об информации, информационных технологиях и защите информации».
5. Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 29.07.2017) «О персональных данных».

Письмо

При необходимости внесения изменений в существующий реестр, в Роскомнадзор отправляется информационное письмо с заявкой на обработку персональных данных. Форма, как и для всех других видов обращений, имеется на сайте органа. В этом письме необходимо указать регион регистрации, тип и наименование действующего оператора персональных данных, его адрес, контактные данные, реквизиты, правовое основание и цели, с которой вы хотите подать заявку об обработке персональных данных.

Регистрация

Исходя из положений права, регистрацию следует проходить сразу после создания юридического лица или ИП, до фактического начала работы с информацией. Этим многие пренебрегают, забывая, что за задержку предусмотрены штрафы согласно части 2 статьи 22 Федерального закона N 152-ФЗ. После прохождения регистрации операторам персональных данных необходимо:

1. Предоставлять сведения об обработке субъекту персональных данных в случае, если они получены от третьего лица.
2. Обеспечить сбор, систематизацию, хранение и правку полученной информации.
3. Принимать меры для защиты от неправомерного доступа к имеющимся сведениям.
4. Всегда объяснять субъекту персональных данных причины и возможные последствия сбора информации.
5. Пояснять последствия отказа предоставления необходимых сведений.
6. Назначать ответственные лица.

Все эти требования регламентированы главой 4 Федерального закона N 152-ФЗ.

Компания использует персональные данные клиентов. Кому их можно передать без согласия субъекта?

Исчерпывающую информацию о порядке рассмотрения запросов субъектов персональных данных можно найти в Приказе МВД России от 17 июля 2017 г. № 467. Он основывается как на Федеральном законе «О персональных данных», так и на других опирающихся на него нормативно-правовых актах. Вкратце, в нем описывается перечень прав субъектов персональных данных и обязанностей уполномоченных лиц и раскрываются все детали их взаимодействия.

Субъект имеет право на получение необходимой информации, касающейся его персональных данных, уточнение этой информации, блокировку или уничтожение сведений, если они устарели, недействительны или получены незаконно.

Эта возможность ограничивается только случаями, предусмотренными части 8 статьи 14 Федерального закона «О персональных данных». Сведения предоставляются уполномоченными на это лицами при оформлении обращения или запроса. В части 3 статьи 14 вышеуказанного Федерального закона содержится перечень сведений, которые должны содержаться в документе.

Уполномоченный сотрудник обязан в течение тридцати дней предоставить необходимую информацию или отправить мотивированный отказ. Возможность ознакомления с данными предоставляется безвозмездно. В течение семи рабочих дней же должны быть внесены изменения в случае устаревшей или ложной информации, а незаконно полученные сведения должны быть удалены.

Вопросы использования компаниями персональных данных клиентов находятся под пристальным вниманием законодателя и контролирующих органов. В настоящее время установлен достаточно широкий перечень требований к получению согласия клиента и обработке полученных данных.

Многие такие требования закреплены в подзаконных актах, и хозяйствующим субъектам оказывается достаточно проблематично отследить вносимые в них изменения. При этом подход контролирующих лиц может оказаться довольно формальным, что ведет к применению мер административной ответственности.

В особенности это касается вопросов передачи персональных данных третьим лицам (например, коллекторским агентствам), а также использования их в маркетинговых целях. Судебная практика в данной сфере также достаточно противоречива.

Для передачи персональных данных клиента нужно его прямое письменное согласие

Общие правила привлечения юридического лица к административной ответственности установлены в КоАП РФ.

Однако особенностью данного вида ответственности является необходимость полного установления фактических обстоятельства дела в момент принятия решения о привлечении к ответственности или об отказе в привлечении.

То есть уполномоченный орган должен не только соблюсти порядок привлечения лица к ответственности, но и установить весь объем обстоятельств, который позволил бы установить виновность именно данного лица в совершении правонарушения.

Зачастую применение мер ответственности также осложняется спецификой общественных отношений, в рамках которых было совершено нарушение норм действующего законодательства.

С учетом специфики экономической деятельности объектом административного правонарушения, как правило, становятся охраняемые законом персональные данные физического лица.

При этом защита персональных данных чаще всего осуществляется в рамках общественных отношений, в которых физическое лицо выступает в качестве более слабой (с правовой точки зрения) стороны, а потому нуждается в существенной правовой поддержке со стороны законодателя.

Защита персональных данных физических лиц регулируется положениями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Любая деятельность, связанная с этими операциями в отношении персональных данных, должна осуществляться с соблюдением требований законодательства. А в случае несоблюдения таких требований нарушитель может быть привлечен к административной ответственности.

Наиболее широко персональные данные физических лиц используются кредитными организациями, в отношениях с которыми физические лица выступают потребителями предлагаемых экономических продуктов. При этом существует сразу несколько возможных нарушений требований законодательства о защите персональных данных со стороны кредитных организаций.

Первой группой нарушений является использование персональных данных физических лиц кредитными организациями при заключении ими договоров с так называемыми «коллекторами».

При этом следует отметить, что практике известны два различных вида таких договоров: договор уступки прав требования (цессии) между кредитной организацией и коллекторским агентством и агентский договор между указанными сторонами.

В обоих случаях для исполнения договоров необходима и подразумевается передача персональных данных физического лица, которое не исполняет принятые на себя обязательства по возврату полученного кредита.

При заключении такого рода договоров кредитная организация рискует быть привлеченной к ответственности, поскольку передача персональных данных заемщика юридическому лицу, которое не обладает лицензией на осуществление соответствующей деятельности, может быть признана нарушением действующего законодательства.

Как правило, основанием для привлечения кредитной организации к ответственности при нарушении требований законодательства о защите персональных данных является отсутствие письменного согласия физического лица на передачу своих персональных данных (хотя в соответствии с требованиями законодательства такое согласие является обязательным и должно быть выражено в соглашении между субъектом и оператором персональных данных). Согласие должно быть выражено в письменной форме, быть ясным и недвусмысленным.

Передать данные клиента без его согласия можно для защиты интересов оператора

При разрешении вопроса о привлечении юридических лиц к ответственности за нарушение законодательства о персональных данных судебные органы сталкиваются со следующей правовой коллизией. Передача персональных данных заемщика действительно запрещена без его прямого письменного согласия.

В частности, оператор вправе проводить обработку персональных данных без согласия физического лица, если такая обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных (физическое лицо).

Также исключением являются случаи, в которых обработка персональных данных без согласия субъекта необходима для осуществления прав и законных интересов оператора (п. 5, 7 ст. 6; п. 2 ст. 9 ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных»). Очевидно, что привлечение третьего субъекта осуществляется оператором (кредитной организацией) для защиты своих законных интересов, поскольку со стороны заемщика имеет место неисполнение принятых на себя обязательств.