Порядок отзыва согласия на обработку персональных данных

Особенности обработки персональных данных, разрешенных субъектом персональных данных для распространения

Первый пункт нововведенной статьи касается оформления согласия на обработку персональных данных и звучит он следующим образом:

Т.е., мы не видим требований к оформлению согласий в письменном виде, что значительно может упростить процесс их сбора, но об этом чуть позже.

В случае раскрытия ПДн неопределенному кругу лиц самим субъектом персональных данных без предоставления оператору согласия, обязанность предоставить доказательства законности распространения или иной обработки лежит на каждом лице, осуществляющем их распространение или иную обработку.

Т.е. по факту ничего особенного не добавилось, оператор как и раньше должен доказать свое право на обработку ПДн своих субъектов и основания на такую обработку. В новой версии Федерального закона основания должны быть представлены в виде отдельного согласия на распространение . Учитывая, что общедоступные источники никуда не делись, то возможно придется собирать уже два согласия. Одно письменное для включения персональных данных субъекта в общедоступные источники информации, второе же на распространение.

Пока это лишь наша трактовка, но вероятность этого велика. В любом случае, после вступления закона в силу и возникновения подобных инцидентов нужно ждать позиции судов.

Интересный момент, что если по каким-то причинам ПДн оказались доступны неопределенному кругу лиц, то любое лицо осуществившее их распространение или иную обработку также должны предоставить доказательства законности последующего их распространения.

Если субъект ПДн дал согласие на обработку своих персональных данных, но из этого согласия не следует, что субъект ПДн согласился с распространением, такие персональные данные должны обрабатываться оператором без права распространения.

В новом законопроекте субъектам персональных данных дается возможность самим регулировать  условия обработки, накладывать запреты на обработку своих ПДн, а также устанавливать запрет на передачу своих данных третьим лицам. Интересный момент, что если сам бланк согласия не подразумевает полей устанавливающих запреты или не указаны перечень ПДн или категории ПДн для которых субъект устанавливает условия и запреты, то такие персональные данные должны обрабатываться оператором без распространения или без предоставления доступа к этим данным. Отказать в установлении запрета или ограничения в отношении распространения своих персональных данных оператор не имеет права. Более того Оператор  обязан опубликовать информацию об условиях обработки и о наличии запретов и условий обработки в срок не превышающий 3-х дней с момента получения соответствующего согласия.

Получите первичную консультацию по составлению согласия на обработку персональных данных обратившись на почту hello@pdmaster.ru или позвонив нам по номеру телефона +7 (495) 782-69-88

Что это такое?

Отзывом называется запрет на обработку, передачу и хранение личной информации с последующим удалением сведений из баз тех учреждений, куда они были переданы изначально.

Например, в случае отказа в предоставлении кредита или полной выплате кредитного обязательства по договору, каждый гражданин имеет полное право отозвать свои личные данные, чтобы они автоматически ликвидировались в базе кредитного учреждения.

Для отзыва необходимо написать заявление установленного образца и передать его сотрудникам банка. В дальнейшем ваше заявление будет рассмотрено, а данные удалены.

Все вопросы, связанные с обработкой, передачей и хранением информации, чётко регламентирует ФЗ №152. Статья №7 даёт разъяснения о том, что кредитные учреждения не имеют право распространять и передавать личную информацию о клиентах банка, если не существует предварительное согласие на это действие.

Статья 7 № 52-ФЗ. Конфиденциальность персональных данных

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Однако в большинстве случаев клиент сам даёт разрешение банку на передачу данных. Во многих кредитных соглашениях отдельной строкой чётко прописывается, что банк получает информацию и имеет право на её изменение, систематизацию, хранение и передачу.

Согласно статьям №6 и №9 кредитная организация всё-таки имеет право на обработку данных до окончания срока действия кредитного соглашения, либо досрочной выплате кредита в полном объёме.

Больше информации об отзыве согласия на обработку ПД найдете в нашей специальной статье.

Что говорит закон

Возможность и порядок отзыва согласия на обработку персональных данных описаны в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных». Рассмотрим, какие наступают последствия отзыва согласия на обработку персональных данных.

После получения заявления о запрете использования личных сведений оператор обязан прекратить работу с данными и, если это возможно, обеспечить их уничтожение. Срок, в который оператор должен выполнить настоящее обязательство, в соответствии с п. 5 ст. 21 закона № 152-ФЗ, не превышает тридцати дней. Но Федеральный закон накладывает определенные ограничения на отзыв разрешения на обработку информации. Например, оператор, невзирая на получение отзыва разрешения, обрабатывает и передает данные, если это необходимо для свершения правосудия (п. 2 ч. 2 ст. 11 152-ФЗ) или защиты жизни (здоровья) субъекта (п. 6 ч. 2 ст. 11 152-ФЗ). Кроме того, работа с информацией продолжается независимо от отмены разрешения для обеспечения пенсионных выплат, уплаты налогов, обязательного медицинского и социального страхования.

Когда можно отозвать согласие

Порядок работы с личными сведениями установлен законом «О персональных данных» от 27.07.2006 № 152-ФЗ. Из ст. 3 закона следует, что к индивидуальным данным лица относится любая информация о нем, позволяющая его идентифицировать.

В том числе к таким сведениям можно отнести:

• Ф. И. О.;
• адрес проживания;
• паспортные данные;
• сведения о месте рождения;
• прочие данные.

Полного перечня сведений закон не содержит, соответственно, в каждом конкретном случае необходимо анализировать, можно с помощью получаемой от человека информации его идентифицировать или нет. Часто отдельные данные не являются персональными, поскольку понять, кому конкретно они принадлежат, невозможно. Однако если совокупность сведений позволяет узнать, к какому человеку они относятся, то это персональные данные.

Работа с личной информацией осуществляется на основании письменного согласия гражданина, чьи сведения будут обрабатываться. Установленного бланка нет, каждая организация самостоятельно разрабатывает форму соглашения на обработку личных материалов, которое подписывает гражданин. Только после подписания субъектом такого бланка учреждение имеет право начать работу с информацией о клиенте.

Согласие на обработку может быть получено в электронном виде с применением простой электронной подписи.

Гражданин имеет право отозвать свое согласие на обработку личных сведений в любое время (п. 2 ст. 9 закона № 152-ФЗ). Причем законодатель не связывает отзыв персональных данных с какими-либо условиями или событиями. Из чего следует, что отказ от обработки персональных данных не требует обоснований.

Право оператора продолжить обработку сведений, несмотря на отзыв согласия

В отдельных случаях организация, обрабатывающая ПД, может продолжить обработку, несмотря на отзыв согласия.

В соответствии с ч. 2 ст. 9 закона № 152-ФЗ это:

• достижение целей международных соглашений и законодательства (п. 2 ч. 1 ст. 6 закона № 152-ФЗ);
• участие лица в судебных процессах (п. 3 ч. 1 ст. 6 закона № 152-ФЗ);
• исполнительное производство (п. 3.1 ч. 1 ст. 6 закона № 152-ФЗ);
• регистрация гражданина на порталах госуслуг (п. 4 ч. 1 ст. 6 закона № 152-ФЗ);
• исполнение соглашения с субъектом данных (п. 5 ч. 1 ст. 6 закона № 152-ФЗ);
• невозможность защитить жизнь и здоровье гражданина без обработки сведений о нем (п. 6 ч. 1 ст. 6 закона № 152-ФЗ);
• соблюдение прав организации, в частности при просрочке задолженности, без ущемления прав гражданина, данные о котором обрабатываются (п. 7 ч. 1 ст. 6 закона № 152-ФЗ);
• журналистская, научная и иная подобная деятельность без нарушения прав субъектов обрабатываемых сведений (п. 8 ч. 1 ст. 6 закона № 152-ФЗ);
• обезличенная статистика (п. 9 ч. 1 ст. 6 закона № 152-ФЗ);
• общедоступные по инициативе гражданина сведения о нем (п. 10 ч. 1 ст. 6 закона № 152-ФЗ);
• информация, подлежащая раскрытию (п. 11 ч. 1 ст. 6 закона № 152-ФЗ);
• установленные законодательством случаи обработки отдельных категорий сведений (ч. 2 ст. 10 закона № 152-ФЗ);
• использование биометрических данных при пересечении госграницы, в целях обороны страны, при противодействии террористической деятельности и др. (ч. 2 ст. 11 закона № 152-ФЗ).

Изменения и комментарии к закону

Первое краткое дополнение к законопроекту было добавлено в 2009 году вместе с принятием ФЗ под номером 363. Это изменение повлияло на цифровую систему обработки. Все операторы с 2010 г. должны были перейти на единую программу хранения и использования частной информации.

Новое изменение вступило в силу в июле 2011 года. Эта поправка концентрировалась на поправке многих положений закона. Уточнялись условия попадания информации, пояснялись нормы, касающиеся передачи сведений, расширялся регламент принципов

Также большое внимание уделялось соблюдению правил безопасного применения и хранения данных, ужесточились наказания за несоблюдение норм, прописанных в постановлении

Последнее на данный момент изменение в ФЗ-152 было утверждено в феврале 2017 года. Это дополнение перенесло нарушение условий законопроекта в разряд административных преступлений. С момента внесения поправки недобросовестные операторы начали караться рублем. Штраф за несоответствие ФЗ-152 начал составлять сумму от 40 000 до 75 000 рублей, в зависимости от категории нарушения.

Ответственность если разглашены персональные данные

За то, что произошло разглашение персональных данных 137 ук рф устанавливает следующие виды наказаний.

Если производится сбор и распространение информации и лице без получения у него согласия на данный шаг, это может быть наказано:

• Штрафом до 200 000 руб.;
• Зарплатой либо иным заработком за период до 18 месяцев;
• Выполнение обязательных работ сроком до 360 часов;
• Выполнение исправительных работ сроком до 1 года;
• Осуществление принудительных работ сроком до 2 лет с лишением возможности находиться на должности на период до 3 лет;
• Осуществление ареста на срок до 4 месяцев;
• Лишение свободы на период до 2 лет с лишением возможности находиться на должности на срок до 3 лет.

В случае, когда такое нарушение было произведено с использованием полученного служебного положения:

• Штрафом от 100 000 до 300 000 руб.;
• Зарплатой либо иным заработком за период от 1 до 2 лет;
• Лишение права находиться на должности на срок от 2 до 5 лет;
• Осуществление принудительных работ сроком до 4 лет с лишением возможности находиться на должности на период до 5 лет;
• Осуществление ареста на срок до 6 месяцев;
• Лишение свободы на период до 4 лет с лишением возможности находиться на должности на срок до 5 лет.

Личная информация, которая будет удалена

Банк будет ликвидировать только ту информацию, которую непосредственно передавал ему клиент. При оформлении кредита, в основном, личная информация содержит:

• ФИО заявителя;
• данные документа, удостоверяющего личность;
• возраст и половая принадлежность;
• сведения о заработной плате;
• занимаемая должность;
• контактные телефоны заявителя;
• контактные данные родственников и знакомых;
• информация о семейном положении и количества детей;
• сведения о работе, в том числе адрес и телефон;
• персональные данные супругов, а именно ФИО, телефон, место работы и занимаемая должность;
• образование заёмщика;
• наличие недвижимости, автомобиля, земельного участка;
• наличие дополнительных доходов;
• наличие банковских карт других банков;
• информация о действующих кредитах;
• и другая информация (в зависимости от кредитного учреждения).

Все эти данные будут удалены из общей базы кредитной организации спустя 3 дня после получения соответствующего заявления.

Подводя итоги, можно сказать, что отозвать свои личные данные достаточно просто. Необходимо составить заявление и передать его в банк. Любому человеку будет гораздо спокойнее, если его личной информацией не будут обладать различные организации без веских на это причин.

Не нашли ответа на свой вопрос? Узнайте, как решить именно Вашу проблему — позвоните прямо сейчас:

+7 (Москва) +7 (Санкт-Петербург)

О чем всегда забывают при подготовке документации?

Еще один широко распространенный и не менее важный вид нарушений связан с документацией в области обработки персональных данных. Дело в том, что для полного соответствия требованиям Закона № 152-ФЗ и подзаконных актов организациям нужно иметь огромное количество документов, в иерархии которых не просто разобраться. Как показывают результаты проверок Роскомнадзора, компании допускают три основных нарушения в этой области:

• отсутствует большая часть необходимой документации;
• документация не актуализируется на постоянной основе (например, при изменениях процессов обработки персональных данных);
• не заполняются типовые формы документов (перечни, журналы и др.) в соответствии с внутренней документацией организации.

Как же сформировать полный комплект документов, чтобы пройти проверку без нареканий со стороны представителей регулятора? Работа с персональными данными в любой организации начинается с верхнеуровневого документа, определяющего общие требования, то есть политики. При ее разработке полезно изучить рекомендации Рекомендации Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 31 июля 2017 г.

Среди документов второго уровня в иерархии можно выделить следующие:

1. Положение об обработке персональных данных. Его можно разработать как отдельно для работников и остальных субъектов данных, так и в виде единого документа. Я рекомендую выбирать второй вариант и не забывать, что с документом нужно ознакомить каждого работника под подпись;
2. Регламент обработки обращений от субъектов персональных данных / Роскомнадзора;
3. Регламент проведения внутренних проверок в части соблюдения требований Закона № 152-ФЗ и подзаконных актов в области обработки персональных данных;
4. Методика оценки вреда субъектам персональных данных. По моей практике, компании крайне редко разрабатывают этот документ, хотя он необходим для успешного прохождения проверки Роскомнадзора;
5. Иные документы.

Для наглядности иерархическая структура необходимых документов представлена на схеме:

Рис. Иерархическая верхнеуровневая схема документов оператора персональных данных

Список внушительный, не говоря о том, что в этой колонке я не рассматриваю документы по защите персональных данных по требованиям ФСТЭК и ФСБ России

Но и это еще не все: организациям, в которых планируется проверка Роскомнадзора, также следует обратить внимание на подготовку справок по различным вопросам. Например, это может быть информация по обработке данных уволенных работников, справка об обработке биометрических данных и не только

Например, в моей практике был случай, когда компании пришлось подготовить суммарно порядка 200 справок по разным вопросам обработки персональных данных. Так что этот вопрос лучше продумать заранее.

Оформляем согласие работников на передачу их персональных данных третьему лицу

Сообщать персональные данные работника третьей стороне работодатель может только на основании письменного согласия работника. В этой статье мы рассмотрим, как правильно оформить передачу персональных данных третьему лицу.

Сообщать персональные данные работника третьей стороне работодатель может только на основании письменного согласия работника. В этой статье мы рассмотрим, как правильно оформить передачу персональных данных третьему лицу.

Для чего нужен документ

В Положении определяется порядок обращения (получение, хранение, комбинирование, передача и любое другое использование) с персональными данными работников.

Что обязательно должно быть в документе

Состав персональных данных работников, порядок получения, хранения, комбинирования и передачи персональных данных.

Внимание! Работодатель обязан ознакомить работника с Положением о защите персональных данных под роспись до заключения трудового договора. Совет В приложении к Положению о защите персональных данных рекомендуется указать перечень лиц, имеющих доступ к персональным данным работников

Совет В приложении к Положению о защите персональных данных рекомендуется указать перечень лиц, имеющих доступ к персональным данным работников.

Для чего нужен документ

На основании такого запроса работодатель спрашивает у работника согласие на использование его персональных данных.

Что обязательно должно быть в документе

Наименование лица, делающего запрос, наименование адресата, перечень персональных данных работника, которые требуется предоставить, цель, с которой необходимо предоставить эти данные.

Внимание! В запросе обязательно должна быть указана цель, в соответствии с которой необходимо предоставить персональные данные работника. Иначе вы можете отказать третьему лицу в предоставлении персональных данных работника

Для чего нужен документ

Работодатель ставит работника в известность о запросе и просит его дать свое согласие на предоставление персональных данных третьему лицу.

О  согласии на обработку персональных данных читайте далее

Что обязательно должно быть в документе

Перечень персональных данных, цель запроса, наименование лица, направившего запрос.

Совет Рекомендуем ознакомить работника с уведомлением под роспись.

Для чего нужен документ

Работодатель имеет право предоставить персональные данные работника третьей стороне только на основании согласия самого работника.

Что обязательно должно быть в документе

Фамилия, имя, отчество и паспортные данные работника, перечень персональных данных и цель их предоставления, наименование лица, которому будут переданы персональные данные.

Совет При согласии на использование его персональных данных работнику желательно определить срок действия данного им разрешения.

Внимание! Для обработки персональных данных, содержащихся в этом документе, дополнительного согласия не требуется

Для чего нужен документ

В ответе на запрос работодатель предоставляет отправителю запроса необходимые персональные данные работника.

Что обязательно должно быть в документе

Запрошенные персональные данные, порядок их использования.

Совет Работодатель может потребовать от третьего лица подтверждение того, что переданная информация была использована в определенных в запросе целях.

Для чего нужен документ

Документ подтверждает, что в соответствии с пунктом 3 части первой статьи 88 Трудового кодекса предоставленные третьей стороне персональные данные работника использованы исключительно в целях, для которых они были истребованы.

Что обязательно должно быть в документе

Перечень персональных данных, подтверждение того, что они были истребованы в соответствии с указанными в первоначальном запросе целями.

Последствия отзыва

Последствия отказа от обработки персональной информации могут быть довольно серьезными. Без разрешения на обработку информации большинство организаций вправе будут отказать в оказании услуг в полном соответствии с законом. Гражданину, оформившему отказ, кредитная организация может отказать в выдаче ссуды, поликлиники и больницы откажут в помощи, а образовательные учреждения могут не допустить к экзаменам и отказать в выдаче документов о завершении обучения.

Оказание государственных услуг также невозможно при отсутствии такого согласия.

Обдумывая возможность отказа от обработки личных сведений, тщательно взвесьте все плюсы и минусы. Помните, что отзыв согласия может привести к серьезным последствиям.

Заявление об отзыве согласия на обработку персональных данных

В _______________________________________

(название банка)

От _____________________________________,

Адрес___________________________________

_____________________________________

Между ____________ (Ф.И.О. заемщика) и ________(название банка) ____________(дата заключения) заключен кредитный договор №___________,

При заключении кредитного договора мною как субъектом персональных данных Вам как Оператору персональных данных было дано согласие на обработку моих персональных данных.

Согласно Федерального Закона РФ N 152-ФЗ «О персональных данных», под обработкой Оператором персональных данных понимается, в том числе, использование и уточнение данных.

Статьей 9 пунктом 2 указанного Федерального Закона мне дано право отозвать у Вас и связанных с Вами организаций ранее предоставленное мною право на обработку персональных данных. Настоящий отзыв права на использование персональных данных касается: 1) Моих личных мобильных и домашних номеров телефонов,

2) Всех контактных телефонов и данных третьих лиц указанных, мною в кредитной документации, 3)Адреса проживания моих родственников,

4)Адреса и наименования моего работодателя,

Обращаю внимание, что отзыв права на использование моих персональных данных в отдельной части не нарушает Ваши права или права третьих лиц, поскольку контакты банк со мною может осуществлять через почтовую связь и электронную почту. Кроме того, Банк и его представители не уполномочены законодательством России осуществлять какие-либо розыскные мероприятия, для чего требовались бы отзываемые данные

Вопросы досудебного урегулирования просроченной задолженности предлагаю осуществлять почтовой связью.

Если у Банка имеются ко мне претензии, то Вы их можете разрешить в судебном порядке. Таким образом, необходимость использования Банком указанных персональных данных в настоящий момент отпала

Обращаю внимание Банка, что при заключении кредитного договора мною не давалось разрешение на передачу моих персональных данных и их использование третьими лицами (коллекторами)

Отмечаю, что при заключении договора мои родственники и прочие контактные лица не давали Банку права на использование их персональных данных. В связи с чем любые звонки и обращения к этим лицам – неправомерны и повлекут их самостоятельное обращение в Роскомнадзор РФ.

Одновременно напоминаю и заявляю Банку и связанным с ним организациям, что я не давал права Вашим представителям посещать меня дома, посещать моих родственников или посещать моего работодателя, так же как не давал права распространять информацию, содержащую банковскую тайну и персональные данные третьим лицам. Запрещаю Банку и связанным с Вами организациям любым образом распространять и публиковать информацию о моей задолженности, не считая предоставления сведений в БКИ.

Руководствуясь нормами ФЗ РФ № 152-ФЗ «О персональных данных»:

ПРОШУ:

1. С момента получения данного Заявления прошу прекратить обработку моих персональных данных в указанной части.

2. Уведомить меня о результатах рассмотрения данного заявления письменно в течение 10 дней с момента его получения. Ответ на заявление прошу направить по почте по указанному адресу указанному выше.

Уведомляю, что в случае поступления мне или моим контактным лицам телефонных звонков, смс сообщений – буду расценивать данные действия как самоуправство и нарушение неприкосновенности моей частной жизни.

В случае, если Банк неправомерно передал мои персональные данные третьему лицу, требую самостоятельного уведомления Вами этой организации об отзыве персональных данных и возможных юридических последствиях, связанных с нарушением Федерального законодательства РФ

«О персональных данных». В неполучения ответа на данное обращение, мною будут поданы жалобы: в Прокуратуру РФ, в Роскомнадзор РФ, в Суд, в Центральный Банк РФ.

___________(Ф.И.О. заемщика)

Юридические последствия

Юристы советуют гражданам прибегать к отзыву ПДн только при наличии уверенности, что дальнейшее сотрудничество с банком, учебным заведением или работодателем невозможно.

Если же такой отзыв будет направлен партнеру, с которым у физического лица продолжают взаимоотношения – последствия могут оказаться негативными. Например, банки не выдают кредиты при отказе от предоставления личной информации, у учащегося может возникнуть проблема с получением диплома, а у работника – с началом рабочей деятельности.

• Скачать бланк отказа от предоставления персональных данных
• Скачать образец отказа от предоставления персональных данных

Теперь вы знакомы со всеми нюансами оформления отказа от согласия на обработку персональной информации

Обращаем внимание, что в профильном законе нет упоминания бланка, поэтому собственный отказ гражданину желательно оформлять по стандартной схеме, принятой для заявлений, объяснительных и рабочей переписки в целом

Действия по прекращению обработки и удалению информации оператор обязан предпринять в течение тридцати дней. В противном случае субъект может обратиться в Роскомнадзор.

Законно ли направление мне рекламы без моего согласия?

Прежде чем направить вам рекламные материалы, оператор обязан взять у вас согласие:

• на получение рекламных материалов, т.е. вы должны разрешить ему высылать их;
• на обработку ПД в целях продвижения товаров, работ или услуг, т.е. вы должны разрешить ему обрабатывать ваши данные (Ф.И.О., номер телефона, e-mail) для получения рекламной рассылки.

Обычно мы не замечаем, как даем эти согласия. Например, в магазине вы заполняете анкету для получения бонусной карты, что влечет согласие на рекламную рассылку; на сайте при заполнении формы обратной связи или при оформлении заказа вы ставите галочку напротив текста, который выражает ваше согласие ().

Если вы не хотите сталкиваться со спамом, рекомендую внимательно следить за тем, что вы подписываете или оформляете на сайте.

Отказ предоставить персональные данные

Находящаяся в открытом доступе информация из личных удостоверяющих, первичных и иных документов физического лица, используется предприятиями и организациями без его согласия, так как находится в открытом доступе. Цель её использования – реализация положений трудового договора. Главное условие – действовать в рамках моральных, этических норм и законодательства РФ.

Согласие оформляется в отношении информации специального и биометрического характера. Гражданин РФ вправе не предоставлять такие данные, если это ущемляет его права, интересы и моральные принципы. Российским законодательством наказание за это не предусмотрено. Нарушения, допущенные при получении согласия, можно обжаловать в суде. Ответственность за использование данных лежит на стороне, получившей разрешение. Нарушение ведёт к административной или уголовной ответственности.

Законодательством не установлена единая форма письменного отказа физического лица от предоставления своих данных. Отказ оформляется в двух идентичных экземплярах. Один из них направляется адресату, второй с отметкой о дате вручения остаётся в распоряжении «отказника». В тексте следует указать следующие данные:

• наименование предприятия, организации, учреждения;
• реквизиты руководителя;
• данные гражданина РФ, который оформляет отказ.

В описательной части необходимо указать причину отказа от предоставления информации, перечислить законодательные акты и другие документы, как основания для этого. В тексте должна быть сделана отметка об ознакомлении, и указание на то, что физическое лицо имеет право обжаловать в суде санкции противоположной стороны.