Письмо Банка России от 19 сентября 2022 г. № 59-3-2/40817 “О направлении информации”

Банком России рассмотрено письмо СРО "МИР"1 о разъяснении отдельных положений и практики применения совместного информационного письма Банка России и Роскомнадзора2.

Целью издания Информационного письма является обеспечение соблюдения прав заемщиков как субъектов персональных данных с учетом важности обеспечения возможности предоставления ими согласий на обработку своих персональных данных свободно, своей волей и в своем интересе, а также контроля граждан за перечнем лиц, имеющих доступ к их персональным данным.

В соответствии с частью 1 статьи 23 Закона N 152-ФЗ3, пунктом 1 и подпунктом 6.4 пункта 6 Положения о Роскомнадзоре4 государственным органом, осуществляющим государственный контроль и надзор за соответствием обработки персональных данных требованиям федерального законодательства, является Роскомнадзор, который уполномочен давать необходимые разъяснения по вопросам, отнесенным к регулированию отношений в сфере обработки персональных данных.

Учитывая компетенцию Роскомнадзора в рассматриваемой сфере отношений, Банком России согласована с уполномоченным ведомством позиция относительно обозначенных СРО "МИР" вопросов.

Применительно к доводам, изложенным в письме СРО "МИР", Банк России сообщает следующее.

1. Относительно наилучшей практики получения отдельного согласия заемщика на поручение кредитором обработки его персональных данных каждому другому лицу посредством оформления отдельного документа применительно к каждому лицу и применения мер надзорного реагирования в связи с неисполнением данного требования Информационного письма.

Банк России полагает, что при применении рекомендаций, изложенных в Информационном письме, необходимо исходить из того, что правовая конструкция Закона N 152-ФЗ предусматривает возможность предоставления согласия на обработку персональных данных конкретному оператору, и не содержит указания на возможность предоставления согласия группе операторов или неопределенному кругу лиц.

Положения части 3 статьи 6 Закона N 152-ФЗ, устанавливающие правовые основания поручения третьему лицу действий по обработке персональных данных, содержат формулировку о необходимости получения оператором согласия, предусматривающего возможность осуществления обработки персональных данных конкретным третьим лицом, что также исключает возможность получения согласия, содержание которого сформулировано по групповому признаку.

Разъяснения, содержащиеся в Информационном письме, разработаны с целью обеспечения законных прав и интересов заемщиков, как субъектов персональных данных, и прямо следуют из положений Закона N 152-ФЗ. Положения Информационного письма соответствуют Закону N 152-ФЗ и при их должной реализации на практике субъектами рынка микрофинансирования позволят снизить риски нарушения прав заемщиков, как субъектов персональных данных.

Обозначенные СРО "МИР" доводы об увеличении трудозатрат, обусловленные привлечением для процесса обработки персональных данных большого количества подрядных организаций5, о невозможности достигать цели обработки персональных данных в связи с изменением субъектного состава подобных подрядных организаций, носят субъективный характер и не свидетельствуют об отсутствии необходимости в соблюдении требований Закона N 152-ФЗ и принятого во его исполнение Информационного письма.

По вопросу СРО "МИР" в части применения мер реагирования за неисполнение рекомендаций, изложенных в Информационном письме, сообщаем, что за нарушение требований Закона N 152-ФЗ предусмотрена административная ответственность по статье 13.11 КоАП РФ6 (уполномоченным органом по возбуждению и рассмотрению административных дел данной категории является Роскомнадзор).

Одновременно, обращаем внимание, что Банк России в соответствии с положениями Закона N 86-ФЗ7 наделен полномочиями по применению мер надзорного реагирования при выявлении, в том числе, нарушений законодательства, регулирующего деятельность микрофинансовых организаций.

2. Относительно предложенных СРО "МИР" практик получения (оформления) согласий на обработку персональных данных Служба сообщает следующее.

Предложенные СРО "МИР" практики получения согласий на обработку персональных данных под номерами 2.1, 2.2 не учитывают требования частей 1 и 4 статьи 9 Закона N 152-ФЗ по причине невозможности осуществления заемщиком действий по отказу в предоставлении согласия на обработку персональных данных конкретному оператору.

Практика получения согласия по групповому признаку, изложенная в письме СРО "МИР" под номером 2.3, не учитывает требования части 3 статьи 6 Закона N 152-ФЗ, положения которой содержат формулировку о необходимости получения оператором согласия, предусматривающего возможность осуществления обработки персональных данных конкретным третьим лицом, что исключает возможность получения согласия, содержание которого сформулировано по групповому признаку.

Одновременно обращаем внимание, что издание Информационного письма обусловлено, в том числе поступающими в Банк России жалобами потребителей8, связанными с неправомерным использованием, хранением и обработкой персональных данных участниками финансового рынка.

------------------------------

1 Саморегулируемая организация Союз микрофинансовых организаций "Микрофинансирование и Развитие"

2 Информационное письмо от 29.07.2021 N ИН-06-59/57 и N 08ЛА-48666 "О согласии заемщиков на обработку их персональных данных" (далее - Информационное письмо).

3 Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных".

4 Положение о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденное постановлением Правительства Российской Федерации от 16.03.2009 N 228.

5 Хостинг-провайдеры, провайдеры услуг технической поддержки, поставщики облачных решений и т.д.

6 Кодекс Российской Федерации об административных правонарушениях.

7 Федеральный закон от 10.07.2002 года № 86-ФЗ "О Центральном Банке (Банке России)".

8 За истекший период 2022 г. в Банк России поступило 543 обращения по данной тематике, что на 42,5% больше чем за 2021 г. (381 жалоба).