Согласие на обработку персональных данных

Согласие на обработку персональных данных банку - это письменное разрешение клиента, по которому банк вправе собирать, хранить, использовать и передавать сведения о нём. По ст. 9 ФЗ-152 такое согласие должно быть конкретным, информированным и сознательным: указан тот, кто обрабатывает данные, состав данных, цель и срок. Отдельные виды согласий регулирует ФЗ-230, когда речь идёт о взыскании долга.

Что такое согласие на обработку персональных данных и когда его требуют

Коротко: по ст. 9 ФЗ-152 обработка персональных данных допускается только с согласия субъекта, за исключением случаев, прямо перечисленных в законе. Банк вправе получать согласие в письменном виде, электронной форме или иным способом, позволяющим подтвердить факт получения. Согласие должно называть оператора, состав данных, цель, срок и способ отзыва.

Персональные данные - это любая информация о человеке, которая позволяет его определить: имя и фамилия, паспорт, ИНН, адрес, телефон, доход, семейное положение, кредитная история, биометрия. Обработка - это сбор, хранение, использование, передача, обезличивание, уничтожение. Всё, что делает с данными банк с момента вашей заявки на карту, - это обработка в терминах закона.

Общее правило ФЗ-152: обрабатывать данные можно только с согласия человека. Из этого правила есть исключения - например, когда обработка нужна для исполнения договора, в котором клиент сам сторона (заявка на кредит, выпуск карты), или когда обработка обязательна по другому закону (передача в бюро кредитных историй, отчётность в ЦБ). В этих случаях отдельного согласия не требуется, но банк обязан уведомить клиента о том, какие данные и для чего он обрабатывает.

Согласие в письменной форме требуется, когда данных много и цель широкая: маркетинг, передача партнёрам, обработка биометрии, размещение в открытом доступе. Именно это согласие клиенту дают подписать пачкой при оформлении договора.

Что банк вправе делать с данными без отдельного согласия?

Коротко: банк без согласия обрабатывает данные, необходимые для заключения и исполнения договора: имя, паспорт, счета, платежи. Он же передаёт информацию о займе в бюро кредитных историй по ФЗ-218 и данные об операциях в Росфинмониторинг по ФЗ-115. По ч. 5 ст. 6 ФЗ-230 банк также вправе передать данные должника профессиональной коллекторской организации без согласия - это отдельное исключение из общего запрета.

Первая группа - исполнение договора. Если вы подали заявку на кредит, банк вправе проверить паспорт, запросить доход, получить кредитную историю (ст. 6 ч. 1 п. 5 ФЗ-152: обработка нужна для заключения договора по инициативе субъекта). Отдельного согласия на эту базовую обработку по закону не требуется, но фактически банки всё равно берут его - на случай, если состав данных выйдет за минимум.

Вторая группа - обязательная передача по другим законам. Банк обязан отправлять сведения о выданных кредитах в бюро кредитных историй по ФЗ-218, сообщать о подозрительных операциях в Росфинмониторинг по ФЗ-115, отчитываться перед ЦБ. Всё это - обработка данных без вашего согласия, потому что она предписана законом (ст. 6 ч. 1 п. 2 ФЗ-152).

Третья группа - передача коллектору по ФЗ-230. Норма прямая и часто становится сюрпризом для должника: по ч. 5 ст. 6 ФЗ-230 сведения о должнике вне зависимости от его согласия передаются профессиональной коллекторской организации при заключении с ней договора об уступке или об агентском взыскании. Разбор конструкции - в статье «Права должника при работе с коллекторами».

Какие согласия банк собирает у клиента и для чего?

Коротко: обычно четыре основных документа. Первое - на обработку данных в рамках договора (ст. 9 ФЗ-152). Второе - на запросы в бюро кредитных историй (ФЗ-218). Третье - на маркетинг и рекламные сообщения. Четвёртое - на передачу данных третьим лицам, включая согласие на взаимодействие с третьими лицами по ч. 5-6 ст. 4 ФЗ-230 (родственники, соседи, работодатель).

Согласие на обработку. Базовый документ, включает состав данных (паспорт, ИНН, доход, счета), цели (обслуживание счета, исполнение договора, оценка платёжеспособности), сроки хранения (обычно срок действия договора плюс пять лет), способ отзыва. Без этого документа кредит не оформят.

Согласие на запросы в БКИ. Отдельное, потому что бюро - самостоятельный оператор данных. По ФЗ-218 банк вправе запросить историю не чаще чем один раз в 30 дней без согласия и без ограничений - с согласием. От согласия можно отказаться, но тогда банк не увидит всю картину и, скорее всего, откажет в кредите.

Согласие на маркетинг. Пункт мелким шрифтом: «согласен на получение рекламных сообщений». Обязательным не является, отзывается в любой момент через кнопку «отписаться» в СМС или в приложении. Отсутствие такого согласия на условия кредита не влияет.

Согласие на передачу данных третьим лицам. Это самый широкий пункт, и именно он даёт банку право позже подключить страхового партнёра, коллектора-агента, службу проверки. Согласие на взаимодействие с третьими лицами по ч. 5-6 ст. 4 ФЗ-230 (звонки родственникам, соседям, коллегам) оформляется отдельным документом и в отношении каждого третьего лица требует его собственного согласия - банк не может «за коллегу» подписаться. Как это работает в связке с работой коллектора и что происходит после первой просрочки, разбирается в статье «Как общаться с банком при просрочке и не наделать ошибок».

Как отозвать согласие на обработку персональных данных?

Коротко: по ч. 2 ст. 9 ФЗ-152 согласие можно отозвать в любое время. Заявление подаётся оператору письменно (лично, по почте заказным письмом, через кабинет банка). Банк обязан прекратить обработку в течение 30 дней. Отзыв не касается данных, которые банк обязан обрабатывать по другому закону или для исполнения договора, - их обработка продолжится.

Способ отзыва должен быть указан в самом согласии, но общее правило: подаёте заявление, банк обязан отреагировать за 30 дней. Если банк продолжает обрабатывать данные сверх законных оснований, это повод жаловаться в Роскомнадзор (он ведёт надзор в сфере ПД) и требовать компенсации через суд.

Есть тонкость: отзыв согласия НЕ прекращает обработку данных, необходимых для исполнения действующего договора. Пока у вас открытый кредит, банк продолжит вести счёт, начислять проценты, передавать сведения в бюро кредитных историй - всё это обработка «на другом основании», а не по вашему согласию. Отозвать её нельзя, пока не закрыт договор.

Согласие на взаимодействие с третьими лицами (звонки родственникам) отзывается отдельно, по ч. 7 ст. 4 ФЗ-230, и работает быстро: не позднее трёх рабочих дней после получения уведомления кредитор обязан прекратить общение с третьими лицами о вашем долге. Точно так же по ч. 7 ст. 6 ФЗ-230 отзывается согласие на передачу третьим лицам иных данных.

Может ли банк отказать в услуге при отзыве согласия?

Коротко: если согласие было обязательным для исполнения договора, а вы его отозвали, банк вправе прекратить услугу. Если согласие было добровольным (маркетинг, передача партнёрам), отказ в услуге незаконен. Роскомнадзор и суд разбирают такие споры регулярно.

Логика простая: без согласия на обработку данных для обслуживания счёта банк физически не сможет вас обслуживать - он должен видеть паспорт, ИНН, движение денег. Поэтому отзыв «базового» согласия обычно означает закрытие счёта. При отзыве добровольных согласий банк услугу не имеет права снимать; попытка сделать это через одностороннее закрытие - нарушение и повод для жалобы.

По статистике жалоб в Роскомнадзор около трети связаны именно с этой ситуацией: клиент отписался от рекламы, а банк «в отместку» ужесточил условия или отключил услугу. Такие эпизоды разбираются и наказываются штрафом - до 100 000 руб. на юрлицо по ст. 13.11 КоАП РФ.

Пример: разбор согласий, которые подписывает заёмщик по кредиту

Коротко: возьмём типичную заявку на потребительский кредит. Разберём четыре документа, которые вам подсовывают на подпись, и покажем, от чего можно отказаться, а от чего нельзя. Цифры и названия документов условные - в разных банках форма отличается, но набор один и тот же.

Исходные данные. Виктор оформляет в банке потребительский кредит на 500 000 руб. на три года. В кабинете менеджера ему дают на подпись анкету и стопку из четырёх согласий. Виктор ставит галочки и подпись, не читая - типичная ошибка, которая через месяц оборачивается звонком партнёру-страховщику и предложением «уникального продукта».

Согласие 1: на обработку в рамках договора. Обязательное. Без него банк не оформит кредит: он не сможет проверить паспорт, доход, историю. Отказаться нельзя, отозвать после подписания договора - тоже нельзя, пока договор действует. Виктору стоит только проверить состав данных: если там указана биометрия, а он её не сдавал, - это лишний пункт, его вычеркнуть.

Согласие 2: на запрос в бюро кредитных историй. Формально добровольное, фактически без него откажут в кредите. Виктор подписывает: без БКИ банк не увидит платёжную дисциплину и заявку заведомо отклонит.

Согласие 3: на рекламные сообщения. Добровольное, никак не связано с решением по кредиту. Виктор может смело отказаться - на условия это не повлияет. Если позже начнут звонить с рекламой, это нарушение - жалоба в Роскомнадзор.

Согласие 4: на передачу третьим лицам. Широкий пункт. Здесь обычно перечислены: страховая компания, партнёр по подключению услуг, коллектор в случае просрочки, третьи лица (родственники, коллеги) - на согласование звонков им. Виктор вправе отказаться от подпункта «звонки третьим лицам» и обойтись без него: базовые действия банка от этого не пострадают, но, если случится просрочка, коллекторам звонить его родственникам будет нельзя без отдельного согласия каждого родственника.

Что изменится, если Виктор откажется от пункта 4. Банк выдаст кредит на тех же условиях - он не имеет права привязать к этому пункту цену. Но при просрочке через несколько месяцев Виктор увидит, что коллектор ограничился звонками только ему, а не всей семье, - и это именно то, ради чего пункт стоит вычёркивать.

Итог разбора. Из четырёх согласий отказаться безболезненно можно от двух: маркетингового и от пункта «звонки третьим лицам». Отказ никак не влияет на решение по кредиту, а страховые звонки родне ко второй просрочке - снимает как класс. Пять минут внимания в кабинете менеджера - минус несколько неприятных звонков через год.

Что делать, если банк использует данные с нарушением согласия?

Коротко: три шага. Первый - досудебная претензия в банк с требованием прекратить нарушение и удалить неправомерно обрабатываемые данные. Второй - жалоба в Роскомнадзор как надзорный орган в сфере ПД. Третий - иск в суд о компенсации морального вреда по ст. 24 ФЗ-152 и ст. 151 ГК РФ.

Претензия подаётся оператору данных (банку) в письменной форме. Срок ответа - 30 дней. Требования: прекратить конкретное действие (например, звонки родственникам), удалить данные, предоставить сведения о всех третьих лицах, которым данные передавались. Ответ фиксируется - он понадобится для последующих шагов.

Жалоба в Роскомнадзор подаётся через сайт rkn.gov.ru или на бумаге. К ней прикладываются копия претензии и ответ банка (или отметка о том, что ответа не было). Роскомнадзор проводит проверку и вправе выдать предписание, оштрафовать организацию по ст. 13.11 КоАП РФ (штрафы для юрлиц - от 60 000 до 500 000 руб., по отдельным составам - до 18 млн руб. с 2025 года).

Иск в суд - самый долгий, но единственный путь к компенсации. По ст. 24 ФЗ-152 моральный вред от нарушений в сфере обработки данных возмещается независимо от возмещения имущественного вреда. Суммы небольшие (5-30 тыс. руб. в среднем), но факт признания нарушения используется в дальнейшей защите. Если ситуация запуталась и непонятно, с чего начать - пройдите короткую диагностику, она разложит сценарий на шаги и покажет, какие документы понадобятся.