О получении микрофинансовыми организациями согласия заемщиков на обработку их персональных данных.
ЦЕНТРАЛЬНЫЙ БАНК РОССИЙСКОЙ ФЕДЕРАЦИИ
ПИСЬМО
от 19 сентября 2022 г. N 59-3-2/40817
Банком России рассмотрено письмо СРО <1> о разъяснении отдельных положений и практики применения совместного Информационного письма Банка России и Роскомнадзора <2>.
--------------------------------
<1> Саморегулируемая организация - Союз микрофинансовых организаций.
<2> Информационное письмо от 29.07.2021 N ИН-06-59/57 и N 08ЛА-48666 "О согласии заемщиков на обработку их персональных данных" (далее - Информационное письмо).
Целью издания Информационного письма является обеспечение соблюдения прав заемщиков как субъектов персональных данных с учетом важности обеспечения возможности предоставления ими согласий на обработку своих персональных данных свободно, своей волей и в своем интересе, а также контроля граждан за перечнем лиц, имеющих доступ к их персональным данным.
В соответствии с частью 1 статьи 23 Закона N 152-ФЗ <3>, пунктом 1 и подпунктом 6.4 пункта 6 Положения о Роскомнадзоре <4> государственным органом, осуществляющим государственный контроль и надзор за соответствием обработки персональных данных требованиям федерального законодательства, является Роскомнадзор, который уполномочен давать необходимые разъяснения по вопросам, отнесенным к регулированию отношений в сфере обработки персональных данных.
--------------------------------
<3> Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных".
<4> Положение о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденное постановлением Правительства Российской Федерации от 16.03.2009 N 228.
Учитывая компетенцию Роскомнадзора в рассматриваемой сфере отношений, Банком России согласована с уполномоченным ведомством позиция относительно обозначенных СРО вопросов.
Применительно к доводам, изложенным в письме СРО, Банк России сообщает следующее.
1. Относительно наилучшей практики получения отдельного согласия заемщика на поручение кредитором обработки его персональных данных каждому другому лицу посредством оформления отдельного документа применительно к каждому лицу и применения мер надзорного реагирования в связи с неисполнением данного требования Информационного письма.
Банк России полагает, что при применении рекомендаций, изложенных в Информационном письме, необходимо исходить из того, что правовая конструкция Закона N 152-ФЗ предусматривает возможность предоставления согласия на обработку персональных данных конкретному оператору и не содержит указания на возможность предоставления согласия группе операторов или неопределенному кругу лиц.
Положения части 3 статьи 6 Закона N 152-ФЗ, устанавливающие правовые основания поручения третьему лицу действий по обработке персональных данных, содержат формулировку о необходимости получения оператором согласия, предусматривающего возможность осуществления обработки персональных данных конкретным третьим лицом, что также исключает возможность получения согласия, содержание которого сформулировано по групповому признаку.
Разъяснения, содержащиеся в Информационном письме, разработаны с целью обеспечения законных прав и интересов заемщиков как субъектов персональных данных и прямо следуют из положений Закона N 152-ФЗ. Положения Информационного письма соответствуют Закону N 152-ФЗ и при их должной реализации на практике субъектами рынка микрофинансирования позволят снизить риски нарушения прав заемщиков как субъектов персональных данных.
Обозначенные СРО доводы об увеличении трудозатрат, обусловленные привлечением для процесса обработки персональных данных большого количества подрядных организаций <5>, о невозможности достигать цели обработки персональных данных в связи с изменением субъектного состава подобных подрядных организаций носят субъективный характер и не свидетельствуют об отсутствии необходимости в соблюдении требований Закона N 152-ФЗ и принятого во его исполнение Информационного письма.
--------------------------------
<5> Хостинг-провайдеры, провайдеры услуг технической поддержки, поставщики облачных решений и т.д.
По вопросу СРО в части применения мер реагирования за неисполнение рекомендаций, изложенных в Информационном письме, сообщаем, что за нарушение требований Закона N 152-ФЗ предусмотрена административная ответственность по статье 13.11 КоАП РФ <6> (уполномоченным органом по возбуждению и рассмотрению административных дел данной категории является Роскомнадзор).
--------------------------------
<6> Кодекс Российской Федерации об административных правонарушениях.
Одновременно обращаем внимание, что Банк России в соответствии с положениями Закона N 86-ФЗ <7> наделен полномочиями по применению мер надзорного реагирования при выявлении в том числе нарушений законодательства, регулирующего деятельность микрофинансовых организаций.
--------------------------------
<7> Федеральный закон от 10.07.2002 N 86-ФЗ "О Центральном банке (Банке России)".
2. Относительно предложенных СРО практик получения (оформления) согласий на обработку персональных данных Служба сообщает следующее.
Предложенные СРО практики получения согласий на обработку персональных данных под номерами 2.1, 2.2 не учитывают требования частей 1 и 4 статьи 9 Закона N 152-ФЗ по причине невозможности осуществления заемщиком действий по отказу в предоставлении согласия на обработку персональных данных конкретному оператору.
Практика получения согласия по групповому признаку, изложенная в письме СРО под номером 2.3, не учитывает требования части 3 статьи 6 Закона N 152-ФЗ, положения которой содержат формулировку о необходимости получения оператором согласия, предусматривающего возможность осуществления обработки персональных данных конкретным третьим лицом, что исключает возможность получения согласия, содержание которого сформулировано по групповому признаку.
Одновременно обращаем внимание, что издание Информационного письма обусловлено в том числе поступающими в Банк России жалобами потребителей <8>, связанными с неправомерными использованием, хранением и обработкой персональных данных участниками финансового рынка.
--------------------------------
<8> За истекший период 2022 г. в Банк России поступило 543 обращения по данной тематике, что на 42,5% больше, чем за 2021 г. (381 жалоба).
Заместитель руководителя
Службы по защите прав потребителей
и обеспечению доступности
финансовых услуг
С.В.КОЛГАНОВ
19.09.2022