Имеет ли микрофинансовая организация право обрабатывать персональные данные (а именно распространять персональные данные) при работе с просроченной задолженностью: 1) если на это не было дано отдельного согласия в письменной форме, 2) если эта микрофинансовая организация отсутствует в реестре операторов?

Добрый день. Имеет ли микрофинансовая организация право обрабатывать персональные данные (а именно распространять персональные данные) при работе с просроченной задолженностью: 1) если на это не было дано отдельного согласия в письменной форме, 2) если эта микрофинансовая организация отсутствует в реестре операторов?

Здравствуйте!

Коротко: для обработки данных в рамках договора займа отдельное согласие МФО не нужно, а распространять их коллекторам, родственникам или работодателю без Вашего отдельного письменного согласия нельзя. Отсутствие МФО в реестре операторов не отменяет эти правила, а лишь повод для жалобы.

Ниже подробно разбираем, когда МФО вправе обрабатывать и передавать Ваши персональные данные без отдельного согласия, что означает распространение данных с точки зрения закона, влияет ли отсутствие организации в реестре операторов персональных данных на её обязанности и что делать, если правила нарушены.

Нужно ли отдельное письменное согласие на обработку персональных данных при получении и обслуживании микрозайма?

Нет, не нужно — если речь идёт об обработке в рамках того же договора займа. Согласно пункту 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», обработка персональных данных допускается без согласия субъекта, когда она необходима для исполнения договора, стороной которого он является. Заключая договор микрозайма, заёмщик тем самым допускает обработку своих данных МФО в объёме, нужном для расчёта, учёта и взыскания долга по этому же договору: направление напоминаний, расчёт неустойки, обращение в суд, передачу дела юристу бюро.

Письменная форма согласия обязательна только в случаях, прямо указанных законом (например, для специальных категорий данных или для распространения — об этом ниже). МФО также вправе поручить обработку данных другому лицу — например, коллекторскому агентству, действующему строго по её поручению, — без дополнительного согласия заёмщика, но при условии, что поручение оформлено договором с перечнем допустимых действий и требованиями к защите данных (часть 3 статьи 6 Федерального закона № 152-ФЗ). Ответственность перед Вами в этом случае продолжает нести сама МФО как оператор.

Можно ли распространять персональные данные при взыскании просроченной задолженности без отдельного согласия?

Нет. Распространение данных — это их раскрытие неопределённому или третьему кругу лиц, не являющихся стороной Вашего договора займа: сообщение о долге родственникам, соседям, работодателю, передача коллекторскому агентству, действующему не по поручению оператора, а как самостоятельное лицо. Статья 7 Федерального закона № 152-ФЗ прямо обязывает оператора и любых лиц, получивших доступ к персональным данным, не раскрывать их третьим лицам и не распространять без согласия субъекта, если иное не предусмотрено федеральным законом.

С 1 марта 2021 года действует статья 10.1 Федерального закона № 152-ФЗ, которая отдельно регулирует данные, разрешённые субъектом для распространения: согласие на такое распространение оформляется отдельным документом, не может быть объединено с согласием на обработку для иных целей и в любой момент может быть отозвано. Эта норма прямо адресует ситуацию из Вашего вопроса: одного факта заключения договора займа недостаточно, чтобы считать, что Вы разрешили распространение своих данных при взыскании долга — нужно отдельное согласие именно на распространение.

Дополнительно взаимодействие с третьими лицами при возврате просроченной задолженности регулирует Федеральный закон от 03.07.2016 № 230-ФЗ «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности»: он прямо распространяется на МФО и на лиц, действующих в её интересах, и допускает такое взаимодействие только при отдельном письменном согласии должника, которое можно отозвать в любой момент. Судебная практика подтверждает этот подход: Судебная коллегия по гражданским делам Верховного Суда РФ признала неправомерной передачу банком по агентскому договору персональных данных заёмщика (адреса и номера телефона) коллекторской организации без его согласия, указав, что заёмщик не был стороной этого агентского договора, а значит обработка данных для исполнения такого договора не подпадала под основание пункта 5 части 1 статьи 6 Федерального закона № 152-ФЗ (обзор судебной практики по делам, связанным с защитой прав потребителей финансовых услуг, утв. Президиумом Верховного Суда РФ 27.09.2017, п. 18). Подробнее о границах привлечения третьих лиц к взысканию долга — в материале «Законность привлечения третьих лиц к взысканию кредита: права заемщика и границы ответственности».

Влияет ли отсутствие МФО в реестре операторов персональных данных на её обязанности?

Реестр операторов, обрабатывающих персональные данные, ведёт Роскомнадзор на основании уведомлений, которые оператор обязан подать до начала обработки данных (статья 22 Федерального закона № 152-ФЗ). Часть операторов от уведомления освобождена — например, если обработка ведётся только для заключения и исполнения договора с самим субъектом данных без передачи их третьим лицам без его согласия. МФО, которые взаимодействуют с бюро кредитных историй, коллекторами и иными третьими лицами, под это исключение, как правило, не подпадают и обязаны подать уведомление.

Но даже если организация обязана была подать уведомление и не сделала этого — это самостоятельное нарушение порядка учёта, а не основание для расширения её прав по обработке данных. Отсутствие МФО в реестре операторов не освобождает её от обязанности соблюдать основания обработки по статье 6, запрет на распространение без согласия по статье 7 и требования к форме согласия по статье 9 и 10.1 Федерального закона № 152-ФЗ — эти обязанности действуют независимо от того, подано уведомление или нет. Само по себе отсутствие в реестре — повод сообщить об этом в Роскомнадзор дополнительно к жалобе на нарушение, а не довод в пользу МФО и не основание считать её действия законными.

Что делать, если МФО или коллектор нарушили правила обработки и распространения данных?

1. Запросите у МФО или коллектора письменные сведения о том, на каком основании и кому передавались Ваши данные — это Ваше право по статье 14 Федерального закона № 152-ФЗ.
2. Направьте письменное требование прекратить обработку и распространение данных и отозвать ранее данное согласие (статья 9 Федерального закона № 152-ФЗ); отдельно об оформлении отказа — в материале «Как мне составить отказ о передаче личных данных третьим лицам?».
3. Подайте жалобу в Роскомнадзор — по нарушениям законодательства о персональных данных, и в территориальный орган ФССП России — если нарушитель состоит (или должен состоять) в государственном реестре коллекторских агентств по Федеральному закону № 230-ФЗ.
4. При причинении вреда обратитесь в суд с требованием прекратить обработку и распространение данных и взыскать компенсацию морального вреда (статьи 17 и 24 Федерального закона № 152-ФЗ, статья 151 ГК РФ).

Частые вопросы

Можно ли отозвать согласие на обработку персональных данных, если микрозайм ещё не погашен?

Да, согласие можно отозвать в любой момент (статья 9 Федерального закона № 152-ФЗ), но пока договор займа действует, МФО вправе продолжить обработку данных, необходимую для его исполнения и взыскания долга, без Вашего согласия — на основании пункта 5 части 1 статьи 6 того же закона. Отзыв согласия прекращает лишь те виды обработки, для которых оно требовалось отдельно, например распространение данных третьим лицам.

Обязана ли МФО состоять в государственном реестре коллекторских агентств, чтобы законно взыскивать долг?

Это два разных реестра. Реестр операторов персональных данных ведёт Роскомнадзор по Федеральному закону № 152-ФЗ и он касается уведомления об обработке данных. Государственный реестр юридических лиц, осуществляющих деятельность по возврату просроченной задолженности как основной вид деятельности, ведёт ФССП России по Федеральному закону № 230-ФЗ — но он обязателен для профессиональных коллекторских агентств, а не для самой МФО, которая по общему правилу взыскивает собственный долг на основании лицензии Банка России на микрофинансовую деятельность. О законных способах взаимодействия кредитора и должника при возврате долга по микрозайму — в материале «Законные способы взаимодействия кредиторов и должников при взыскании просроченной задолженности по договорам микрозаймов».

Куда жаловаться, если о моём долге сообщили родственникам или работодателю без моего согласия?

Подайте жалобу в Роскомнадзор как на нарушение Федерального закона № 152-ФЗ и, если данные распространял именно коллектор, — в ФССП России как на нарушение Федерального закона № 230-ФЗ. Параллельно можно требовать в суде прекращения таких действий и компенсации морального вреда.

Что грозит МФО за незаконное распространение персональных данных?

Административную ответственность по статье 13.11 КоАП РФ за нарушение законодательства о персональных данных, обязанность прекратить обработку и устранить нарушение по статье 24 Федерального закона № 152-ФЗ, а также риск компенсировать моральный вред по решению суда (статья 151 ГК РФ) — независимо от того, состоит ли МФО в реестре операторов.

Краткая сводка: обработка и распространение персональных данных МФО при взыскании долга

• Для обработки данных в рамках самого договора займа отдельное согласие не требуется — п. 5 ч. 1 ст. 6 Федерального закона № 152-ФЗ.
• Распространение данных третьим лицам, не являющимся стороной договора, требует отдельного согласия — ст. 7 и ст. 10.1 Федерального закона № 152-ФЗ.
• Взаимодействие с третьими лицами при возврате просроченной задолженности допускается только при отдельном письменном, отзываемом согласии должника — Федеральный закон от 03.07.2016 № 230-ФЗ.
• Отсутствие МФО в реестре операторов персональных данных (ст. 22 Федерального закона № 152-ФЗ) — самостоятельное нарушение, но не отменяет её обязанностей по ст. 6, 7, 9 и 10.1 того же закона.
• Передачу данных заёмщика коллектору по агентскому договору без согласия суды признают незаконной — обзор судебной практики ВС РФ от 27.09.2017, п. 18.
• За нарушение можно требовать прекращения обработки, компенсации морального вреда (ст. 17, 24 Федерального закона № 152-ФЗ, ст. 151 ГК РФ) и подать жалобу в Роскомнадзор.

Таким образом, микрофинансовая организация вправе обрабатывать Ваши персональные данные без отдельного согласия только в рамках исполнения самого договора займа и в иных случаях, прямо предусмотренных законом; распространять их третьим лицам — коллекторам, действующим самостоятельно, родственникам, работодателю — без Вашего отдельного письменного согласия она не вправе. Отсутствие МФО в реестре операторов персональных данных Роскомнадзора не освобождает её от этих обязанностей и служит дополнительным, а не единственным основанием для жалобы.

С уважением, адвокат Анатолий Антонов, управляющий партнер адвокатского бюро «Антонов и партнеры».

Адвокатское бюро «Антонов и партнеры» готово оказать юридическую помощь по всем категориям дел в любых регионах России. Эффективно и качественно решаем возникшие у Вас юридические задачи любой сложности.

Получить дополнительную информацию или ознакомиться с нашими услугами по данной теме можно по ссылкам ниже:

• Защита персональных данных
• Кредитные юристы