Современный человек оставляет свои персональные данные повсюду:

• регистрируясь в мобильных приложениях и играх;
• создавая личный профиль на сайтах и в социальных сетях;
• участвуя в конкурсах, накопительных программах магазинов, кафе и ресторанов;
• записывая себя, детей или членов семьи в спортивные секции или спортзалы;
• заполняя анкету в больнице на приёме у врача;
• подавая заявку на кредит или заём.

Мы оставляем свои ФИО, контактную информацию (телефонные номера и адрес электронной почты), физические адреса, даже не замечая, как даём разрешение на сбор и обработку личных данных. Это происходит, когда мы ставим галочку в поле согласия с условиями, которые зачастую не читаем.

В результате огромное количество индивидуальных данных оказывается в базах различных компаний, а системы, которые их хранят, не всегда безопасны.

Главное, что необходимо знать о персональных данных

Закон «О персональных данных» № 152-ФЗ защищает нашу личную информацию. В статье 3 этого закона говорится, что персональными данными считаются различные сведения, которые прямо или косвенно относятся к конкретному человеку.

Важно понимать, что законодательство защищает личные данные только в том случае, если они помогают идентифицировать конкретного человека. Например, имя и фамилия, а также номер телефона являются персональными данными, так как они однозначно относятся к определённому человеку. Однако место рождения без имени и фамилии не будет считаться персональными данными, потому что этой информации недостаточно для определения конкретного человека.

В законе нет точного списка того, что считается персональными данными, а что нет. Однако документ разделяет эти сведения на четыре основные категории, для каждой из которых существуют свои законодательные нюансы:

1. Обычные персональные данные (ПДн). Это информация, которую мы оставляем при заполнении анкет для регистрации на различных сервисах. К ней относятся имя человека, его место жительства, данные об образовании и так далее.
2. ПДн, которые разрешены для распространения. Действия с этими данными регулируются статьёй 10.1 закона. Основная информация, такая как имя и фамилия, часто включается в различные справочники, поэтому защита этих сведений гарантируется на более высоком уровне. Кроме того, при оформлении согласия человека необходимо учитывать больше нюансов.
3. Специальные категории персональных данных. Это информация более личного характера, например, сведения о личной жизни человека, его судимостях, расовой и национальной принадлежности, политических и религиозных взглядах, а также о состоянии здоровья.
4. Биометрические персональные данные. Это информация о физиологических особенностях человека, которые помогают его идентифицировать. Например, это может быть отпечаток пальца, сканирование лица, голос и так далее. Эти данные защищаются сильнее остальных согласно правилам, закреплённым в статье 11 закона.

Оператор данных, их субъект, права и обязанности этих сторон

Персональные данные принадлежат конкретному человеку, который в законодательстве называется субъектом. Только субъект может решать, как распоряжаться своей личной информацией: разрешать или запрещать её сбор и использование, а также передачу.

Любая компания, запрашивающая информацию, в законодательстве называется оператором. Закон гарантирует субъекту право на защиту его личных данных и невмешательство в его частную жизнь.

Кроме того, закон «О персональных данных» предоставляет субъекту следующие права:

• уточнять и обновлять неактуальную информацию;
• в любой момент отозвать согласие на обработку персональных данных и потребовать прекращения взаимодействия юридических лиц с этими данными, а также полного удаления данных физического лица;
• получать от оператора информацию о целях и законных основаниях сбора данных, о способах их обработки, мерах защиты и о самом операторе.

Виды действий и работы операторов с ПДн

Операторы взаимодействуют с данными человека по-разному, и в зависимости от того, как компания планирует использовать полученную информацию, определяется законность получения разрешения на такую деятельность.

• Обработка персональных данных (ПДн) включает в себя получение и сбор информации, её фиксацию в виде бумажных документов или электронных систем, систематизацию, хранение, использование, блокирование и удаление личных данных.
• Распространение ПДн — это операции по открытию данных неопределённому кругу лиц по усмотрению оператора. Сюда относится распространение информации и передача доступа к ней. Обратите внимание, что, давая такое разрешение, вы подвергаете личные сведения максимальному риску, так как разрешаете передавать их любым лицам без ограничений.
• В части предоставления ПДн оператор также может передавать доступ к данным, но только строго определённым лицам или компаниям. При этом он обязан уведомить владельца о том, кто именно сможет ознакомиться с его личной информацией.

Согласие на обработку, распространение и передачу ПДн

Как уже было сказано, любая компания, чтобы получить личную информацию о человеке, должна официально получить его согласие на это. Однако есть несколько исключений из этого правила, которые определены в статье 6 закона:

• обработка и публикация персональных данных необходимы для исполнения законодательства, например, трудового, исполнительного, социального, пенсионного;
• информация собирается для статистических целей или проведения исследований, но при этом данные должны быть обезличены;
• данные запрашиваются профессиональными журналистами и СМИ, при этом права и интересы человека должны быть защищены;
• обработка данных происходит в процессе законного взыскания просроченной задолженности;
• информация нужна оператору для исполнения условий договора или соглашения;
• персональные данные собираются и обрабатываются в связи с участием человека в судопроизводстве;
• получение личной информации требуется для защиты жизни и здоровья человека, но взять согласие на это невозможно.

Согласие на обработку данных

Согласие на обработку, распространение и передачу персональных данных может быть оформлено в любой форме, главное — чтобы его можно было подтвердить. Вот несколько примеров:

• Бумажное согласие, подписанное от руки.
• Подтверждение в электронном виде с использованием электронной подписи.
• Пункт или подраздел договора с контрагентом.
• Публичная оферта с подтверждением согласия с её условиями.
• Дополнительная отметка в анкете, как в бумажном, так и в электронном формате.
• Устное согласие с фиксацией на аудиозапись.

Важно не столько форма предоставления согласия, сколько соблюдение требований по полноте отражения информации в процессе его получения. Эти требования закреплены в законе и Приказе Роскомнадзора №18 от 24.02.2021.

Согласие должно содержать:

• полные идентификационные данные субъекта или его представителя на основании закона (ФИО, адрес регистрации или юридический адрес, номер, дату и орган выдачи удостоверяющего личность документа);
• полную информацию об операторе, получающем согласие;
• цель, для которой необходимы персональные данные, и подробный список информации, на работу с которой даётся согласие;
• перечень разрешённых манипуляций с персональными данными;
• промежуток времени, в течение которого действует разрешение.

Как запретить использовать персональные данные

Получить согласие на обработку и использование ваших персональных данных от компании-оператора довольно просто.

Во многом это связано с поведением самих людей: мы часто читаем договоры невнимательно или даже не читаем их вовсе, а иногда соглашаемся с условиями, даже не ознакомившись с ними.

Согласно закону о персональных данных, передача персональных данных оператору должна осуществляться с соблюдением принципа так называемой автономной воли. Это означает, что ни одна компания не может требовать от вас предоставления избыточной информации, кроме той, которая действительно необходима для её деятельности.

Например, вам не смогут доставить что-либо домой, если вы откажетесь указать адрес доставки. Банк не выдаст вам кредит, если не идентифицирует вас как клиента и не проверит корректность и правдивость предоставленных вами данных.

С другой стороны, этот же принцип может работать и против вас. Если вы согласились передать оператору свои персональные данные в полное пользование, не глядя, и разрешили распространять их, то судиться с компанией за получение спама будет бессмысленно, ведь решение было вашим.

Однако, согласно статье 9 закона, каждый человек имеет право свободно отозвать ранее данное разрешение. При этом можно запретить как обработку персональных данных в целом, так и только их распространение — всё вместе или по отдельности.

Алгоритм отзыва согласия на работу с ПДн

Прежде чем оставить отзыв о согласии на обработку персональных данных, которое вы давали ранее оператору, важно ознакомиться с политикой и условиями компании в отношении работы с информацией. Эта информация обычно содержится в договоре или в отдельном разделе, приложении к договору, оферте. В этом документе должен быть указан порядок и адресат для направления документа, необходимого для отзыва согласия.

Если у вас нет сохранённых документов, подтверждающих ваше согласие, например, если вы давали согласие онлайн, можно посетить сайт компании-оператора. Обычно на сайте есть раздел, посвящённый правилам работы с персональными данными, в том числе и порядку их отзыва. Чаще всего эту информацию можно найти во вкладках «о нас», «правовая информация» или в нижней части страницы.

Если же вы не нашли необходимой информации на сайте, следуйте нашей инструкции.

Подготовьте заявление об отзыве согласия

Форма такого документа была предложена Роскомнадзором. Также можно ориентироваться на образец заявления.

Важно правильно составить заявление и обязательно указать в нём:

• ФИО и контактные данные (желательно указать несколько способов для связи, например, телефон и электронную почту) субъекта персональных данных;
• данные оператора. Лучше всего указать как можно больше информации: название компании, её адрес и контакты, при наличии — ИНН;
• перечислить те персональные данные, отзыв на обработку которых вы запрашиваете;
• указать, что именно вам необходимо: запретить передачу, распространение, хранение или запросить полное удаление данных. Желательно перечислить все варианты, особенно если вы не уверены, какие права были предоставлены изначально;
• сослаться на законодательство;
• поставить дату и подпись.

Направьте готовое заявление оператору

Как именно вы будете это делать — решать вам. Закон «О персональных данных» не устанавливает строгих правил, поэтому вы можете отправить отзыв оператору следующими способами:

• по электронной почте;
• заказным письмом с уведомлением о вручении на юридический адрес компании.

Оба способа являются законными, но лучше выбрать второй вариант. В этом случае у вас на руках останутся доказательства отправки, получения и дат.

Как запретить банку использовать персональные данные

Взаимодействие с кредитными организациями имеет свои особенности. С одной стороны, банки являются операторами персональных данных, как и другие организации. Это означает, что согласно законодательству вы имеете право в любой момент отозвать своё согласие на обработку данных в соответствии с условиями или алгоритмом, описанным выше.

С другой стороны, в определённых ситуациях банк может отказать вам в реализации вашего права на отзыв персональных данных. Это может произойти, если:

• отказ в обработке персональных данных не позволяет банку предоставлять вам финансовые услуги, такие как сохранение ваших счетов, идентификация вас как клиента и выполнение необходимых вам операций. То есть банк не сможет исполнять заключённый с вами договор об открытии и ведении счёта, о вкладе или кредите, о банковском обслуживании в целом;
• у вас есть просроченная задолженность перед банком. В этом случае банк также может отказать в отзыве персональных данных, поскольку это ущемляет его интересы как кредитора. Кроме того, кредитная организация может отказать вам в передаче данных, поскольку имеет право привлечь профессиональные коллекторские агентства для взыскания долга;
• после полного прекращения отношений с банком не прошло 5 лет. В соответствии с требованиями законодательства в части отмывания доходов по № 115-ФЗ, кредитная организация должна сохранять персональные данные клиентов в течение 5 лет. Однако вы можете запретить распространение и передачу данных, а также запросить удаление избыточной информации.