Письмо Ассоциации российских банков от 25 августа 2017 г. N А-01/5-394 О вопросах применения норм законодательства о защите персональных данных

Письмо Ассоциации российских банков от 25 августа 2017 г. N А-01/5-394

ГАРАНТ:

См. ответ, приведенный в письме Минкомсвязи России от 18 октября 2017 г. N П11-1-200-24749

Обращаемся к Вам в связи с возникшими у банков - членов АРБ вопросами, касающимися применения Федерального закона от 3 июля 2016 года N 230-ФЗ "О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон "О микрофинансовой деятельности и микрофинансовых организациях" (далее - Закон N 230-ФЗ) и Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ).

Так, в целях защиты прав и законных интересов физических лиц Закон N 230-ФЗ устанавливает правовые основы деятельности по возврату просроченной задолженности физических лиц, возникшей из денежных обязательств.

Вместе с тем Закон N 230-ФЗ содержит некоторые положения, которые не гармонизированы в достаточной степени с требованиями Закона N 152-ФЗ.

Учитывая отсутствие правоприменительной практики по вопросам исполнения требований Закона N 230-ФЗ, а также ужесточение с 1 июля 2017 года административной ответственности за нарушение законодательства в области персональных данных (статья 13.11 Кодекса Российской Федерации об административных правонарушениях), устранение выявленных пробелов и несоответствий приобретает наибольшую актуальность.

Так, требуют разъяснений следующие вопросы.

1. Из части 5 статьи 4 Закона N 230-ФЗ следует, что кредитор в целях возврата просроченной задолженности вправе взаимодействовать с любыми третьими лицами, под которыми понимаются в том числе члены семьи должника, родственники, иные проживающие с должником лица и соседи, при одновременном соблюдении следующих условий:

- должник выразил своё согласие на взаимодействие с третьим лицом (далее - Согласие на взаимодействие) и

- третьим лицом не выражено несогласие на осуществление с ним взаимодействия.

Следует отметить, что согласно части 6 статьи 4 Закона N 230-ФЗ Согласие на взаимодействие должно быть дано в письменной форме в виде отдельного документа, содержащее в том числе согласие должника на обработку его персональных данных.

Отношения, связанные с обработкой персональных данных, регулируются Законом N 152-ФЗ, в части 4 статьи 9 которого установлен перечень информации, которая должна включаться в согласие субъекта персональных данных на обработку его персональных данных. В частности, согласие должно включать следующую информацию:

1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);

3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;

4) цель обработки персональных данных;

5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;

7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;

8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;

9) подпись субъекта персональных данных.

Вместе с тем Закон N 230-Ф3 не содержит каких-либо положений, предусматривающих обязанность должника включать в Согласие на взаимодействие персональные данные третьих лиц, обрабатываемые кредитором в ходе деятельности, направленной на возврат просроченной задолженности должника.

При этом также неурегулированным является вопрос о необходимости включения в текст Согласия на взаимодействие положений о персональных данных должника, которые кредитор вправе передавать третьим лицам, с учетом принципа соответствия объема обрабатываемых персональных данных целям обработки.

Таким образом, требуют разъяснения следующие вопросы:

а) должны ли в Согласии на взаимодействие содержаться персональные данные третьих лиц;

б) если персональные данные третьих лиц должны содержаться в Согласии на взаимодействие, то каков должен быть их объем (объем указываемых персональных данных третьих лиц должен соответствовать цели осуществления взаимодействия, например, ФИО, степень родства, контактные данные, а также может содержать иные сведения, позволяющие идентифицировать такое третье лицо, например, сведения об основном документе, удостоверяющем личность, и дате рождения);

в) должно ли имеющееся в Согласии на взаимодействие согласие должника на обработку его персональных данных содержать перечень персональных данных должника, которые кредитор вправе передавать третьим лицам?

2. В соответствии со статьей 7 Закона N 152-ФЗ операторы, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Согласно части 3 статьи 18 Закона N 152-ФЗ оператор, в случае если персональные данные получены им не от субъекта персональных данных (за исключением случаев, предусмотренных частью 4 статьи 18 Закона N 152-ФЗ), обязан до начала обработки таких персональных данных предоставить субъекту персональных данных следующую информацию:

1) наименование либо фамилия, имя, отчество и адрес оператора или его представителя;

2) цель обработки персональных данных и ее правовое основание;

3) предполагаемые пользователи персональных данных;

4) установленные Законом N 152-ФЗ права субъекта персональных данных;

5) источник получения персональных данных.

При этом согласно пункту 2 части 4 статьи 18 Закона N 152-ФЗ оператор освобождается от обязанности предоставить субъекту персональных данных указанную в части 3 статьи 18 Закона N 152-ФЗ информацию в случаях, если персональные данные получены оператором на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.

Вместе с тем частью 1 статьи 6 Закона N 152-ФЗ предусмотрены случаи обработки персональных данных, при наступлении которых согласие субъекта персональных данных не требуется. Так, согласно пункту 2 части 1 статьи 6 Закона N 152-ФЗ допускается обработка персональных данных для осуществления возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей, а в соответствии с пунктом 7 части 1 статьи 6 Закона N 152-ФЗ допускается обработка персональных данных, если указанная обработка необходима для осуществления прав и законных интересов оператора или третьих лиц, в том числе в случаях, предусмотренных Законом N 230-Ф3.

Из анализа рассматриваемых норм однозначно не следует наличие обязанности кредитора представлять третьему лицу информацию, указанную в части 3 статьи 18 Закона N 152-ФЗ, в случае если кредитор получил персональные данные третьего лица от должника в соответствии с пунктом 1 части 5 статьи 4 Закона N 230-Ф3.

В связи с вышеизложенным требует разъяснения вопрос о том, обязан ли кредитор представлять третьему лицу информацию, указанную в части 3 статьи 18 Закона N 152-ФЗ, если он, как оператор, получил персональные данные третьего лица от должника в соответствии с частью 5 статьи 4 Закона N 230-Ф3.

3. Согласно части 7 статьи 4 Закона N 230-Ф3 должник в любое время вправе отозвать Согласие на взаимодействие, сообщив об этом кредитору или лицу, действующему от его имени и (или) в его интересах, которому дано Согласие на взаимодействие, путем направления уведомления через нотариуса или по почте заказным письмом с уведомлением о вручении либо путем вручения заявления под расписку уполномоченному лицу кредитора или лицу, действующему от его имени и (или) в его интересах. В случае получения такого уведомления кредитор и (или) лицо, действующее от его имени и (или) в его интересах, не вправе осуществлять направленное на возврат просроченной задолженности взаимодействие с третьим лицом.

Вместе с тем вопрос о дальнейшей обработке персональных данных третьих лиц остается открытым, так как согласно части 5 статьи 21 Закона N 152-ФЗ обработка персональных данных прекращается оператором в течение тридцати дней с момента отзыва субъектом персональных данных согласия на обработку его персональных данных.

Отдельного внимания заслуживает ситуация, при которой к моменту получения от должника отзыва Согласия на взаимодействие оператор уведомил третье лицо об обработке его персональных данных путем предоставления информации в соответствии с частью 3 статьи 18 Закона N 152-ФЗ, и третье лицо не выразило несогласия на взаимодействие с ним и обработку его персональных данных.

Анализ рассматриваемых норм не позволяет однозначно установить наличие обязанности кредитора прекратить обработку персональных данных третьих лиц в случае получения от должника отзыва Согласия на взаимодействие.

В связи с этим требует разъяснения вопрос о том, обязан ли оператор прекратить обработку персональных данных третьих лиц в случае отзыва должником Согласия на взаимодействие (в том числе в случае, если третье лицо получило от оператора информацию в соответствии с частью 3 статьи 18 Закона N 152-ФЗ и не выразило несогласия на взаимодействие).

На основании вышеизложенного, принимая во внимание большое практическое значение в разрешении вышеозначенных вопросов, просим Вас дать официальные разъяснения по ним.

Ассоциация российских банков надеется на дальнейшее эффективное сотрудничество с Министерством связи и массовых коммуникаций Российской Федерации по вопросам применения действующего законодательства.

Президент

Г.А. Тосунян