Регистрация на любом сайте, оформление заказа в интернет-магазине, в службе такси, в сервисах подписки: практически каждый день современный человек оставляет информацию о себе в очередной компании на ее сайте во всемирной сети, соглашаясь при этом на ее обработку, а зачастую — и передачу. Ниже разберемся, к каким последствиям такое разрешение может привести, почему важно отзывать подобные разрешения, а также как и куда писать заявление на запрет использования персональных данных.
Запрет на использование персональных данных: прихоть или необходимость?
Современный человек оставляет персональные данные буквально на каждом шагу:
- регистрируясь в мобильных приложениях, играх;
- заводя личный профиль на сайтах и в социальных сетях;
- принимая участие в конкурсах, накопительных программах магазинов, кафе и ресторанов;
- записывая себя, детей и членов семьи в секцию, спортзал;
- заполняя анкету в больнице на приеме у врача;
- подавая заявку на кредит или займ.
Мы вносим свои ФИО, контактную информацию (цифры телефонов и адрес почты), физические адреса. И даже не замечаем, как сами даем разрешение на аккумулирование и обработку личных сведений — поставив галочку согласия с условиями, которые не всегда читаем.
В итоге огромное количество индивидуальных данных размещено в базах различных компаний, и системы эти далеко не всегда безопасны.
Так личная информация регулярно попадает в свободное пользование и становится общедоступной, благодаря постоянным утечкам и взломам таких баз данных.
Согласно данным Роскомнадзора, количество подобных инцидентов растет в геометрической прогрессии.
Если за весь 2023 год было зарегистрировано только 168 утечек, в результате чего в сеть попало около 300 млн. записей индивидуальных данных о разных людях, то уже за первые два месяца 2024 года нарушений безопасности насчитали 19. А количество карточек пользователей, ставших открытыми, составило 510 млн.
Казалось бы, ничего страшного, если базовая информация — ФИО и контакты, ведь чаще всего для регистрации хватает только их, — попадут в чужие руки. Однако уже давно известно, что даже этого достаточно, чтобы потерять деньги в результате звонка мошенника.
Но зачастую ненамного серьезнее мы относимся и к более важным данным: номерам документов, банковским реквизитам, информации по картам и счетам и так далее. Отчасти поэтому продолжают встречаться ситуации, когда на кого-то мошенниками оформляется кредит. Кроме того, утекшие в общий доступ контактные данные — это огромное количество спама, приходящего в виде звонков, электронных писем и бесконечных СМС-сообщений.
И мы не только оставляем персональные данные и позволяем их использовать — сегодня практически каждое активное действие: заказ, покупка, даже просмотр фильма, связаны с этим. Важно то, что, получив желаемое, мы не задумываемся об отзыве данного ранее разрешения на использование персональных данных:
- потому что даже не знаем о том, что давали разрешение на дальнейшую передачу личной информации;
- от того, что уверены, что прекращение сотрудничества (получение купленного товара, завершение обучения, окончание приема врача и так далее) равносильно окончанию права пользования данными.
Но это не так.
Даже расторжение заключенного ранее соглашения не является основанием для аннулирования предоставленного ранее согласия. Чтобы действительно остановить использование кем-либо оставленной вами информации, понадобится оформить заявление на запрет использование персональных данных.
Главное, что необходимо знать о персональных данных
Нашу индивидуальную информацию защищает закон «О персональных данных» № 152-ФЗ. Согласно ст. 3 этого документа, персональными данными признается разнообразная информация, которая напрямую или косвенно относится к конкретному физическому лицу.
Важно, что законодательством личные сведения защищаются лишь в том случае, если они способствуют идентификации конкретной персоны. Например, ФИО или номер телефона однозначно являются персональными данными. А вот место рождения без имени и фамилии таковыми не будут, так как этого недостаточно для определения конкретного человека.
Точного перечисления, что считается персональными данными, а что нет, в законе нет. Но документ подразделяет эти сведения на четыре основные группы, для каждой из которых существуют свои законодательные нюансы:
- Обычные ПДн. Согласно ст. 8 закона, их еще можно назвать первичными: к ним относится информация, которую мы чаще всего оставляем при заполнении анкет для регистрации в сервисах. Это может быть имя человека, наименование его места жительства, данные про образование и так далее.
- ПДн, которые разрешены для распространения. Действия с персональными данными в этом случае регулируются ст. 10.1 закона. Если базовая информация зачастую включается в различные справочники, защита разрешенных к распространению сведений гарантируется на более высоком уровне. В том числе тонкостей, которые требуется учесть при оформлении согласия человека, уже больше.
- Специальные категории ПДн рассматриваются отдельно в ст. 10 законодательного акта. Это информация более личного характера: например, сведения о личной жизни человека, имеющейся у него ранее судимости, расовой и национальной принадлежности, его взглядах на политику и религию, о состоянии здоровья.
- Биометрические персональные данные: собранная и закрепленная информация о физиологических неповторимых особенностях человека, с помощью которых его также можно идентифицировать. Это, например, отпечаток пальца, скульптура лица, голос и так далее. Эти ПДн защищаются сильнее остальных — правила работы с ними закреплены в ст. 11 закона.
Работа с любым видом персональных данных возможна только с условием получения разрешения на это. Однако схемы того, каким образом человек передает разрешение, отличаются.
Оператор данных, их субъект, права и обязанности этих сторон
Персональные данные принадлежат определенному человеку, которого в законодательстве называют субъектом. Только он может распоряжаться личной информацией по своему усмотрению: разрешать сбор и использование сведений, их передачу. И только он сам имеет право накладывать запрет на обработку персональных данных.
Любая компания, которая информацию запрашивает, законом определяется как оператор. Главное, что гарантируется законом субъекту, то есть личности — это право на защиту предоставляемых личных сведений, в том числе на невмешательство в частную жизнь. Кроме того, в третьем разделе закона «О персональных данных» за субъектом закрепляются следующие права:
- уточнять и обновлять информацию, которая утратила свою актуальность;
- в любой желаемый момент отзывать выданное ранее согласие на обработку ПДн, а также требовать прекращения взаимодействия юр лиц с ними. И даже рапортовать о требовании полного удаления данных физ лица;
- получать по запросу у оператора разъясняющую информацию: с какими целями и на каких законных основаниях запрашиваются сведения. Данные о способах работы с ними, о мерах их защищенного сохранения и о самом операторе.
Права оператора же ограничены законом и содержанием полученного от субъекта согласия. Но у любой компании, работающей с личными сведениями, есть обязанность их сохранять и гарантировать их безопасность. Кроме того, согласно ст. 22 закона оператор должен уведомлять Роскомнадзор (именно этот орган власти на сегодняшний день занимается защитой прав субъектов, предоставляющих ПДн) о желании начать работу с личной информацией.
Уведомление обязательно требуется официально зарегистрировать в Роскомнадзоре до того, как оператор начнет получение и обработку ПДн. В противном случае данная деятельность считается нарушением закона, и ее можно обжаловать в суде, в том числе — с требованиями в части возмещения причиненного вреда.
Виды действий и работы операторов с ПДн
Операторы взаимодействуют с данными человека по-разному. В зависимости от того, как именно компания планирует распоряжаться полученной информацией, определяется, в какой форме законно получение разрешения на подобную деятельность.
- Обработка ПДн. К этой подгруппе относятся: получение и сбор, фиксация в виде бумажных документов или в любых электронных системах, систематизация, хранение, использование, блокирование и удаление личной информации.
- Распространение ПДн. Сюда входят все операции по открытию данных неопределенному количеству лиц на усмотрение оператора: распространение информации и передача доступа к ней. Обратите внимание, что давая такое разрешение, вы подвергаете личные сведения максимальному риску, так как разрешаете передавать их любым лицам без ограничений.
- Предоставление ПДн. В этой части действий оператор также может передавать доступ к данным, но только уже строго определенным лицам, компаниям. При этом он должен уведомить владельца, кто именно сможет ознакомиться с его личной информацией.
Компании-операторы всегда стараются обезопасить себя на всякий случай, именно поэтому при запросе разрешения включают как можно больше опций и перечисляют побольше вариантов данных.
Однако для того, например, чтобы оформить заказ в интернет-магазине, маркетплейсу точно не требуются ваши биометрические данные или сведения о судимости. Да и передача другим лицам им ни к чему. Важно внимательно знакомиться с текстом согласия, чтобы не предоставлять избыточные данные и не разрешать раскрывать их без необходимости.
Согласие на обработку, распространение и передачу ПДн
Как было сказано ранее, даже чтобы просто получить личную информацию от человека, любая компания должна запросить у него официально оформленное согласие на это. Исключением из этого правила, согласно ст. 6 закона являются следующие ситуации:
- когда обработка и публикация ПДн необходима для беспрепятственного исполнения законодательства (трудового, исполнительного, социального, пенсионного и других);
- информация собирается в целях формирования статистики или для исследований. Но в этом случае законом предусмотрено требование об обезличивании данных;
- данные запрашиваются официально действующими журналистами-профессионалами и СМИ. Здесь законом также выдвигается требование о том, чтобы права и интересы человека — субъекта данных не были нарушены;
- обработка данных производится в процессе законного осуществления деятельности по взысканию просроченной задолженности;
- информация нужна оператору для исполнения условий договора или соглашения на выполнение услуг между оператором и субъектом;
- персональные данные собираются и работа с ними ведется в связи с участием субъекта в любом виде судопроизводства;
- получение личной информации требуется, чтобы защитить жизнь и здоровье человека, но взять согласие при этом возможности нет.
В указанных выше вариантах работа с ПДн не только возможна без оформления разрешения на это субъекта. Более того, если человек в такой ситуации даже направит отзыв данных или выскажет желание запретить работать с ними, оператор ответит отказом и продолжит свою деятельность на законных основаниях.
Форма подачи и оформления согласия на обработку, распространение и передачу данных может быть практически любой — главное, чтобы само его получение можно было подтвердить:
- бумажное согласие с собственноручной подписью;
- подтверждение в электронном виде с использованием электронной подписи;
- как пункт или подраздел договора с контрагентом;
- в формате публичной оферты с подтверждением согласия с ее условиями;
- в виде дополнительной отметки в анкете, как бумажного, так и электронного формата;
- устно с фиксацией согласия в виде аудиозаписи.
Важна не столько форма предоставления, сколько соблюдение в процессе дачи согласия требований по полноте отражения информации, закрепленных и в законе, и в Приказе Роскомнадзора №18 от 24.02.2021 г:
- необходимо указать полные идентификационные данные (ФИО, адрес регистрации или юридический, номер, дату и орган выдачи удостоверяющего личность документа) самого субъекта или, если это актуально, его представителя на основании закона;
- полную информацию об операторе, получающем такое согласие;
- цель, для которой необходимы ПДн и подробный список информации, на работу с которой дается согласие;
- перечень разрешенных манипуляций с персональными данными;
- промежуток времени, в течение которого действует разрешение.
В случае, когда речь идет в том числе о передаче ПДн, обязательно должны быть указаны данные и наименования тех лиц или организаций, которым разрешается предоставить доступ к информации.
Образец заявления на отзыв обработки персональных данных
Как запретить использовать персональные данные
Получается, что согласие на владение и использование ваших персональных данных компании-оператору получить очень легко.
И во многом благодаря самим субъектам: мы читаем договора вскользь, а иногда и вовсе соглашаемся с некими условиями, которые даже не открываем и не изучаем.
Также, согласно закону о ПДн, передача персональных данных оператору осуществляется с соблюдением принципа так называемой автономной воли.
С одной стороны, это говорит о том, что никакая компания не вправе требовать у вас избыточную информацию, кроме той, что действительно необходима для осуществления ее деятельности.
Например, вам не смогут привезти ничего домой, если вы откажетесь указывать адрес доставки. Банк не выдаст вам кредит, если не идентифицирует вас как клиента и не проверит корректность и правдивость предоставленных в анкете данных.
С другой стороны, этот же принцип работает и против субъекта. Если человек, не глядя, согласился передать оператору свои персональные данные в полное пользование, да еще и разрешил распространять их, судиться с компанией за то, что вы получаете спам, бессмысленно. Ведь решение было вашим.
Вместе с тем, согласно ст. 9 закона, любой человек имеет возможность свободно отозвать данное ранее разрешение. При этом он может как запретить обработку своих персональных данных в целом, так и только их распространение. Все вместе или по отдельности.
Алгоритм отзыва согласия на работу с ПДн
Первое, с чего требуется начать при подготовке отзыва согласия, которое вы ранее давали оператору для работы с вашими персональными данными, это с изучения политики и условий компании в части работы с информацией. Именно в этом документе — договоре или его разделе, приложении к нему, оферте, — должно быть указано, в каком порядке, куда и какой документ нужно направить, чтобы реализовать запрет.
Если фактически никаких бумаг у вас на руках не сохранилось — например, согласие вы давали, проставив отметку в режиме онлайн, посетите сайт компании-оператора. На нем практически всегда есть раздел, посвященный правилам работы с ПДн, содержащий в том числе и порядок их отзыва. Чаще всего найти эти сведения можно во вкладке «о нас», «правовая информация» или в самом низу страницы.
Если же и это не помогло, и никакого порядка действий вам найти не удалось, следуйте нашей инструкции.
Подготовьте заявление об отзыве согласия
Форма такого документа предложена Роскомнадзором, другая альтернатива — можно ориентироваться на образец. Важно составить заявление правильно и обязательно указать в тексте:
- ФИО и контактные данные (лучше отметить несколько способов для взаимодействия, например, телефон и электронную почту) субъекта ПДн;
- данные оператора. В идеале их требуется прописать максимально подробно: наименование компании, ее адрес и контакты, по возможности — ИНН;
- перечисление тех персональных данных, отзыв на деятельность с которыми вы запрашиваете;
- что конкретно необходимо: ввести запрет на передачу, распространение, хранение или запрос на полное удаление данных. Лучше указывать все варианты, особенно если у вас перед глазами нет самого согласия и вы не уверены, какие права давали изначально;
- ссылку на законодательство;
- дату и подпись.
Помните о том, что не всегда и не все можно запретить. Вы можете составить заявление на отзыв не всех, а только тех ПДн, которые не требуются для исполнения второй стороной условий договора, или по законодательству. Либо можно оставить согласие на хранение, но прописать запрет на распространение и передачу.
Направьте готовое заявление оператору
Каким именно образом это делать — решать вам. Закон «О персональных данных» не регламентирует процедуру, поэтому направить отзыв оператору вы можете:
- по электронной почте;
- заказным письмом с уведомлением о вручении на юридический адрес компании.
Оба способа являются законными, но второй предпочтительнее, так как в этом случае у вас на руках останется подтверждение отправки, получения и дат.
Дождитесь ответа оператора
Хорошо, если вы получили регламентированный ответ в виде отчета о выполнении запрошенных действий. Опять таки это подтверждение на тот случай, если отзыв не будет исполнен в полном объеме.
Также хорошо, если вы получите хотя бы уведомление о доставке и получении вашего заявления. Тогда вы знаете, с какой конкретно даты можно начинать отсчет регламентированного срока реакции оператора.
Если же нет ни ответа, ни подтверждения принятия документа в работу, дождитесь истечения 30 календарных дней — в течение именного этого срока оператор обязан исполнить полученное требование.
Затем можно проверить, используются ли ваши ПДн. Еще лучше — запросить у оператора подтверждение проведенных работ.
Имейте в виду, что оператор может ответить отказом на ваше заявление. Однако отрицательный ответ не может оставаться необоснованным: компания должна в письменной форме расписать, что опирается на случаи, рассмотренные нами выше, когда отозвать предоставленные персональные данные нельзя.
Возможны ситуации, когда вы не давали конкретному оператору разрешение на обработку своих персональных данных. Но ранее согласились с распространением или передачей своей личной информации в процессе сотрудничества с иной компанией. При этом варианте вы имеете право направить запрет во все организации, о которых знаете. Отличие в том, что вы не отзываете согласие, а именно требуете прекратить использовать ваши ПДн. Обращаться при этом придется к каждому оператору в отдельности.
Как запретить банку использовать персональные данные
В отношениях с кредитными организациями все немного сложнее. С одной стороны, они выступают в роли таких же операторов, как и все остальные. А это значит, что согласно законодательству вы имеете полное право в любой момент направить отзыв своего согласия в соответствии с условиями либо по алгоритму выше.
С другой стороны, в зависимости от того, в какой ситуации вы находитесь, банк может законно отказать вам в реализации вашего отзыва на основании одного или нескольких из условий:
- в случае отказа в обработке ПДн кредитная организация не сможет предоставлять вам финансовые услуги: сохранить ваши счета, идентифицировать вас как клиента и производить необходимые вам операции. То есть исполнять заключенный с вами договор: об открытии и ведении счета, о вкладе или кредите, о банковском обслуживании в целом;
- в случае наличия у вас просроченной задолженности банк также имеет право отказать в отзыве ПДн, так как это ущемляет его интересы как кредитора. Более того, кредитная организация откажет вам в том числе в передаче данных потому, что имеет право привлечь к взысканию долга профессиональные коллекторские агентства;
- после полного прекращения отношений с банком не прошло 5 лет. Кредитная организация должна сохранять персональные данные клиентов именно столько времени в соответствии с требованиями законодательства в части отмывания доходов по № 115-ФЗ, и нарушать его никто не станет. Однако вы можете запретить распространять и передавать данные, а также запросить удаление избыточной информации.
Получается, чтобы максимально защитить свою идентификационную информацию, в первую очередь требуется прекратить все договорные отношения между организацией-оператором и вами. В случае с банком: погасить кредиты и закрыть долги по кредитным карточкам, снять деньги и закрыть все счета.
Но, как уже было сказано ранее, никакие отзывы и запреты не помогут, если вам звонят сотрудники кредитной организации или коллекторы с целью напомнить о задолженности. Их право на это закреплено законом, поэтому звонки будут продолжаться.
Если вы устали от постоянных контактов с требованием вернуть деньги, выходом станет не попытки скрыться от звонков и СМС, а полноценное решение этого вопроса. Законно списать долги по кредитам поможет процедура банкротства физических лиц. Обратитесь к нашим юристам за бесплатной консультацией, и вам не придется больше иметь неприятных разговоров по телефону.
