Передача паспортных данных третьим лицам статья

Автор создал обучающий тренинг. Как следствие, растет и количество операторов персональных данных, которые работают с этой информацией, в том числе осуществляют передачу ее третьим лицам. Передача персональных данных третьим лицам — это вид обработки, в результате которой к информации получает доступ третья сторона. Одни операторы получают сведения законно, от самих субъектов данных.

Содержание:

• Ответственность за нарушение закона о персональных данных
• Ответственность за нарушение требований по защите персональных данных
• Mеню верхнього рядка
• Передача паспортных данных третьим лицам статья
• Передача персональных данных третьим лицам
• Законодательная база Российской Федерации
• Федеральный закон от 27 июля 2006 г. N 152-ФЗ О персональных данных
• Что нужно знать о передаче персональных данных третьим лицам

Достаточно спорными являются вопросы уведомления Роскомнадзора об обработке данных, сбора персональных данных и согласия на обработку.

Ответственность за нарушение закона о персональных данных

Источник: Журнал "Bнутренний контроль в кредитной организации" I. Введение Тема регулирования и защиты персональных данных с каждым годом становится все актуальнее, сохраняя при этом определенную долю специфики в зависимости от направления деятельности оператора персональных данных.

Своеобразие проблем, пробелов в регулировании персональных данных и возникающих в связи с этим споров существует и в банковской отрасли. Наиболее ярким примером нарушений в банковской отрасли могут служить случаи утечки баз данных, содержащих персональные данные субъектов, а также участившиеся случаи несанкционированной передачи персональных данных со стороны финансовых организаций третьим лицам. В последнем случае типичной иллюстрацией может служить практика передачи кредитной организацией информации о задолженности и должнике коллекторским агентствам.

Так, Федеральный закон "О потребительском кредите займе " [1] допускает передачу персональных данных заемщика и лиц, выступивших поручителями, третьим лицам при уступке прав требований по договору потребительского кредита займа. Однако несмотря на обязанность соблюдения законодательства о персональных данных, кредитные организации нередко оставляют их без внимания и передают данные заемщика третьим лицам без получения согласия субъекта персональных данных на такую передачу.

С появлением законодательства [2] , регулирующего деятельность по возврату просроченной задолженности, требования к коллекторским агентствам стали жестче, однако все еще есть сомнения, что специальный закон сможет в один момент устранить все проблемы с персональными данными. Стоит отметить, что в области соблюдения законодательства о персональных данных бизнесом положительная статистика все же просматривается. Так, статистика штрафов, назначенных Роскомнадзором по итогам проверок, снизилась с 10,5 млн рублей в 2015 году до 6 млн в 2016 году.

Количество выявленных нарушений по сравнению с 2014 и 2015 гг. Тем не менее, несмотря на общую положительную тенденцию, на конец 2016 года наибольшее количество жалоб граждан поступило на действия кредитных учреждений преимущественно на действия, связанные с передачей персональных данных без их согласия , что в первую очередь, связано с обработкой ими персональных данных значительного числа граждан.

В настоящей статье будет дан практический обзор основных нарушений в области персональных данных, наиболее характерных для банковской сферы, и предложены методы регулирования внутренних процессов обработки персональных данных.

В завершении будет представлен ряд рекомендаций практической направленности, как для бизнеса в банковском секторе, так и в отношении субъектов персональных данных. Основные понятия и применимое законодательство Регулирование отношений, связанных с обработкой персональных данных с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, осуществляется на базе Федерального закона от 27.

Вместе с тем, регулирование персональных данных в российском праве осуществляется с применением ряда других нормативно-правовых актов, включая Федеральный закон от 27. Не стоит упускать из виду и ведомственные акты, которые, касаются наиболее специфичных вопросов в сфере обработки персональных данных [4].

Понятие персональных данных является одним из центральных определений, содержащихся в действующем законодательстве. Статья 3 Закона о персональных данных определяет персональные данные в качестве любой информации, относящейся к прямо или косвенно определенному или определяемому физическому лицу субъекту персональных данных.

Интересно, что в Общем Регламенте Европейского Союза о защите персональных данных [5] персональные данные толкуются как "любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу "субъект данных" ", а идентифицируемое лицо толкуется как "лицо, которое может быть идентифицировано, прямо или косвенно, в частности, посредством таких идентификаторов как имя, идентификационный номер, сведения о местоположении, идентификатор в режиме онлайн или через один или несколько признаков, характерных для физической, психологической, генетической, умственной, экономической, культурной или социальной идентичности указанного физического лица".

В сравнении с российским европейский законодатель выработал более конкретный подход и указал ряд формальных критериев, необходимых для квалификации информации в качестве персональных данных.

Возможность идентификации любого живого лица должна быть основана на конкретной информации. В США персональные данные англ. По аналогичному пути пошел и российский правоприменитель. Так, обзор разъяснений Роскомнадзора и судебной практики позволяет сделать вывод о том, что ключевым аспектом является способность идентифицировать лицо с помощью таких данных. Например, достаточно часто возникают споры относительно того, можно ли считать IP-адрес персональными данными или нет, ведь IP-адрес позволяет идентифицировать устройство, с которого был осуществлен выход в интернет, но никак не конкретного пользователя [6].

Хотя Суд Европейского союза, например, считает иначе, заявляя о том, что IP-адреса являются охраняемыми персональными данными [7]. Российские суды не так категоричны и прямо не указывают в своих решениях на то, что IP-адрес можно отнести к персональным данным. Однако, совершенно очевидно, что в подавляющем большинстве случаев с помощью IP-адресов можно идентифицировать устройство, с которого выполнялся выход Интернет, и круг пользователей, а также их взаимосвязь, если пользователи выходили в сеть с одного IP-адреса [8].

Понятие оператора персональных данных также нуждается в пояснении. Оператором признается лицо, которое самостоятельно или совместно с другими лицами организует или осуществляет обработку персональных данных, а также определяет цель обработки, состав подлежащих обработке персональных данных и круг действий, совершаемых с персональными данными. Оператор персональных данных несет ответственность за нарушение прав субъекта персональных данных при их обработке.

Любая обработка персональных данных должна осуществляться на законной и справедливой основе, в строгом соответствии с целями обработки, имея в виду, что содержание и объем обрабатываемых данных полностью соответствует заявленным целям обработки. Практический обзор основных нарушений в области персональных данных Следующие нарушения в области Персональных данных в банковском секторе можно выделить в качестве основных: Ненадлежащее обеспечение сохранности и конфиденциальности данных Избыточная обработка данных или несоответствие обработки заявленным целям Ненадлежащее оформление согласия на обработку данных с субъектом Далее рассмотрим отмеченные составы на примере судебных решений.

Обеспечение сохранности и конфиденциальности данных Нарушения в области обеспечения сохранности персональных данных, их конфиденциальности и законности передачи данных клиентов банков третьим лицам преимущественно при уступке прав по договорам кредитования являются наиболее распространенными в банковском секторе. Так, в типовые договоры кредитования банки зачастую включают безальтернативные условия о согласии субъекта на передачу его данных третьим лицам. Включение в договор условий о согласии на передачу персональных данных одновременно составляют нарушение Закона о персональных данных в части требований к письменной форме согласия и указанию конкретного перечня третьих лиц, в отношении которых клиент дает такое согласие.

В частности, суды указывают на необходимость устанавливать в договоре наименование, адрес третьих лиц, которые позволят их идентифицировать, а также определенно предоставлять субъекту право выразить согласие или отказ на передачу его данных.

Так, крупнейший отечественный банк был привлечен к административной ответственности по ч. Банком заключил с физическим лицом договор о потребительском кредите, который не содержал ярко выраженное альтернативное условие, предоставляющее лицу возможность согласиться на уступку банком прав требования по договору третьим лицам или отказаться от такой уступки.

Пункт договора содержал безальтернативное условие об уступке прав требования по договору, а также не содержал конкретного перечня третьих лиц, которым впоследствии будут переуступлены права и переданы персональные данные субъекта. Апелляционный суд также отказал банку в удовлетворении требования об оспаривании привлечения к ответственности, придя к выводу о предоставлении банком третьим лицам необоснованного права на обработку персональных данных клиентов банка без получения их предварительного согласия [9].

Аналогично предыдущему делу, отечественная страховая организация, входящая в крупнейший российский банковский холдинг, была привлечена к административной ответственности по ч. Обстоятельство дела заключалось в том, что в страховом полисе содержался безальтернативный пункт о согласии потребителя на уступку прав по договору третьим лицам и на соответствующую обработку его данных третьими лицами.

У лица отсутствовал выбор при предоставлении согласия, а также были нарушены требования Закона о персональных данных об определении в согласии конкретного перечня лиц. Так, суд сделал вывод о том, что факт подписания клиентом страховой организации договора не является надлежащим доказательством предоставления гражданину возможности на выражение согласие или отказа от предоставления сведений о клиенте третьим лицам, поскольку условия договора были разработаны таким образом, что у лица отсутствовала свобода выбора [10].

Аналогичные выводы судов содержатся во многих решениях, включая Решение Арбитражного суда Самарской области от 23. Избыточная обработка и ее несоответствие заявленным целям В области избыточной обработки персональных данных и обработки данных в нарушение целей, которые указаны в согласии субъекта, банковские организации зачастую допускают нарушения в виде возложении на субъекта обязанности уведомлять об отдельных событиях и изменениях во время исполнения договора кредитования.

Так, банки стремятся быть в курсе любой информации, которая может негативно повлиять на способность заемщика исполнить обязательства по кредитному договору. В частности, банки требуют сообщать информацию об изменении состава семьи, возбуждении уголовного дела, изменении места работы, адреса проживания и иную информацию. Суды приходят к выводу, что включение в договоры кредитования обязанности субъекта данных по информированию банков о различных аспектах своей жизни нарушает действующее законодательство, так как сбор таких данных является избыточным и не влияет на существо кредитных отношений.

До заключения договора банк имеет законную возможность запросить всю необходимую информацию и в отдельных случаях отказаться от кредитования. Так, отечественный банк был привлечен к административной ответственности по ч. В одном из пунктов кредитного договора было прописано, что заемщик обязан уведомить кредитора о заключении изменении брачного договора, об изменении состава семьи, работы или места жительства, о смене фамилии и об иных данных, позволяющих идентифицировать субъекта.

Суд пришел к выводу, что соответствующий пункт кредитного договора ущемлял права потребителя установлением обязанности по предоставлению в банк персональной информации, обязательность предоставления которой не установлена законодательством РФ и не влияет на исполнение целей кредитного договора [11].

Похожие выводы также содержатся в Постановлении Седьмого арбитражного апелляционного суда от 25. Так, суд подтвердил правомочность привлечения крупного банка к административной ответственности, проверка типовых договоров которого выявила необоснованное включение положений о праве кредитора запросить у заемщика всю необходимую информацию о заемщике. Позиция суда заключалась в том, что действующее законодательство не предусматривает обязанности заемщика- гражданина после получения займа уведомлять кредитора о возникновении, изменении любых обстоятельств, способных повлиять на выполнение Заемщиком обязательств по договору, поскольку это не может являться основанием для выдвижения кредитором требований о досрочном исполнении договора, в связи с чем, условия Договоров, предусматривающие соответствующие положения об уведомлении Кредитора об изменении адреса регистрации прописки , места работы, паспортных данных замене паспорта ущемляют права потребителя.

Аналогичные выводы содержатся и в иных судебных решениях см. Наличие ненадлежащим образом оформленных согласий Оформление согласий субъектов персональных данных на обработку и передачу данных третьим лицам неоднократно сопряжено с нарушениями законодательства. Это не обошло стороной и хозяйствующих субъектов в банковской и страховой сферах, оформление согласий которыми зачастую сопровождают другие нарушения законодательства в области персональных данных.

Так, видами нарушений финансовыми организациями в данной области являются следующие правонарушения: Включение в договор безальтернативных условий о согласии, вследствие чего оно не отвечает признаку сознательности; Отсутствие пояснение в адрес субъекта персональных данных специальных терминов, содержащихся в согласии, вследствие чего оно не отвечает признаку информированности; Отсутствие уведомления субъекта данных о его праве на отзыв предоставленного согласия; Неполучение согласия на обработку данных третьих лиц родственников заемщика или совместно с ним проживающих лиц , и обработка их данных не в соответствии с целью предоставления кредита.

Довольно частым механизмом нарушения является получение согласия субъекта в форме подписания договора кредитования с условием о согласии, вследствие чего согласие не получено свободно, волей и в интересе субъекта. В согласии указываются общие формулировки, которые позволяют оператору обрабатывать избыточные данные заемщиков, передавать данные заемщиков неопределенному кругу третьих лиц, а также обрабатывать персональные данные родственников заемщика, которые не требуются для целей предоставления кредита.

Так, в одном договоре кредитования может содержаться множество нарушений процедур сбора, обработки, хранения и передачи персональной информации. Показательным является итог судебного дела в отношении крупного банка, согласно которому банк был привлечен к административной ответственности по ч. Так, заключенный договор содержал пункт о даче согласия потребителем на предоставление банковской организации врачебной информации о состоянии страхователя или застрахованного лица.

Между тем, включение такого пункта в анкету-заявление, являющуюся неотъемлемой частью договора кредитования, нарушает требования к форме письменного согласия субъекта ПД, а также нарушает режим врачебной тайны.

Страховая организация безуспешно пыталась обжаловать предписание Роскомнадзора и в итоге также была привлечена к административной ответственности.

В данном споре были выявлены нарушения как в части несоблюдения формы письменного согласия, так и в части избыточной обработки, обработки данных третьих лиц и несоблюдения конфиденциальности персональных данных. Так, судом не был воспринят довод страховой организации о том, что страхователем было предоставлено письменное согласие страховщику на обработку его персональных данных, ссылаясь на подписанный страхователем договор страхования, предусматривающий право застрахованного в любое время отозвать указанное согласие, суд первой инстанции не принял.

Содержащееся в договоре страхования согласие на обработку персональных данных не является надлежащим, поскольку оно не отвечает требованиям о письменном согласии, изложенным Законе о персональных данных в части того, что согласие на обработку персональных данных должно быть конкретным, информированным и сознательным и предполагает, как минимум, письменное разъяснение субъекту персональных данных значения понятия "обработка персональных данных".

Однако ни договор страхования, ни какой-либо другой документ не содержали каких-либо сведений о разъяснении страхователю, как субъекту персональных данных, указанного понятия. Суд также отметил, что субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку не просто путем подписания договора с условием о согласии, но выражает его свободно, своей волей и в своем интересе отдельно.

Более того, суд также обратил внимание что страховая организация, будучи оператором персональных данных, получил право обрабатывать предоставленные ему персональные данные в полном объеме, включая такие действия в отношении персональных данных, как распространение и трансграничную передачу персональных данных, подразумевающих соответственно действия, направленные на раскрытие персональных данных неопределенному кругу лиц и передачу персональных данных на территорию иностранного государства, при этом никак не обусловливая и не объясняя такой необходимости с точки зрения целей обработки.

По мнению суда, указанное обстоятельство свидетельствуют об избыточности действий по обработке персональных данных [13]. Дополнительной иллюстрацией нарушений, сопряженных с получением согласия на обработку данных субъекта, являются выводы, заложенные в Решении Арбитражного суда Уральского округа от 22. По результатам проверки банка социального развития был выявлен ряд нарушений, а именно обработка персональных данных в случаях, не предусмотренных законодательством - обработка персональных данных в отношении членов семьи, проживающих совместно с клиентом; персональных данных совершеннолетних детей, проживающих отдельно от клиента; персональных данных родителей клиента, изложенных в заявлении-анкете на предоставление кредита.

Суд в своем решении указал, что включение в заявление-анкету на предоставление кредита сведений о персональных данных лиц, с которыми договор не заключается и которые не давали согласие на передачу и обработку своих персональных данных, исключительно по мотиву расчета норматива банка, является прямым нарушением Закона о персональных данных.

Суд также отметил, что обязательность указания персональных данных упомянутых лиц не зависит от того, имеются ли у них кредитные обязательства, которые могут повлиять на расчет указанного банком норматива. Регулирование внутренних процессов обработки персональных данных При осуществлении проверок первоочередное внимание контролирующие органы уделяют внутренним документам финансовых организаций, регулирующих процессы обработки персональных данных в компании.

Перечня обязательных к оформлению актов, регулирующих процессы обработки данных в компании действующее законодательство не содержит. Таким образом, организации зачастую натыкаются на так называемую серую зону, задаваясь вопросом какие локальные акты обязательны к оформлению, а оформление каких является опциональным.

Как правило, деятельность компании в части защиты персональных данных регламентируют два базовых документа: Политика обработки персональных данных и Положение о защите, хранении, обработке и передаче персональных данных работников. К внутренней документации банковских организаций также следует отнести третий документ - Положение о защите, хранении, обработке и передаче персональных данных потребителей.

При составлении Политики обработки персональных данных наличие которой в силу ст. Так, согласно рекомендациям Роскомнадзора, в Политику финансовой организации в отношении обработки персональных данных рекомендуется включить следующие разделы: Общие положения;.

Ответственность за нарушение требований по защите персональных данных

Невыполнение оператором обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных Предупреждение или административный штраф: на граждан — от 1 тыс. Невыполнение оператором в установленные сроки требования субъекта персональных данных или его представителя либо Роскомнадзора об уточнении персональных данных, их блокировании или уничтожении если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки Предупреждение или административный штраф: на граждан — от 1 тыс. Часть 5 ст. Невыполнение оператором, являющимся государственным или муниципальным органом, обязанности по обезличиванию персональных данных либо несоблюдение установленных для этого требований или методов Предупреждение или наложение административного штрафа на должностных лиц в размере от 3 тыс. Непредставление или несвоевременное представление в государственный или иной уполномоченный орган сведений, представление которых предусмотрено законом либо предоставление таких сведений в неполном объеме или в искаженном виде Административный штраф: на граждан — от 100 до 300 руб.

Mеню верхнього рядка

К федеральным законам, раскрывающим ответственность за нарушения в сфере защиты персональных данных, можно отнести: Федеральный закон от 27. Кодекс Российской Федерации об административных правонарушениях от 30. Уголовный кодекс Российской Федерации от 13. Трудовой кодекс РФ от 30.

ПОСМОТРИТЕ ВИДЕО ПО ТЕМЕ: Изменения с 01.07.2017 и форма согласия на обработку персональных данных- Елена А. Пономарева

Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта далее - поручение оператора. Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом. В поручении оператора должны быть определены перечень действий операций с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона.

Источник: Журнал "Bнутренний контроль в кредитной организации" I. Введение Тема регулирования и защиты персональных данных с каждым годом становится все актуальнее, сохраняя при этом определенную долю специфики в зависимости от направления деятельности оператора персональных данных. Своеобразие проблем, пробелов в регулировании персональных данных и возникающих в связи с этим споров существует и в банковской отрасли. Наиболее ярким примером нарушений в банковской отрасли могут служить случаи утечки баз данных, содержащих персональные данные субъектов, а также участившиеся случаи несанкционированной передачи персональных данных со стороны финансовых организаций третьим лицам.

Передача паспортных данных третьим лицам статья

.

Передача персональных данных третьим лицам

.

Законодательная база Российской Федерации

.

Федеральный закон от 27 июля 2006 г. N 152-ФЗ О персональных данных

.

Что нужно знать о передаче персональных данных третьим лицам

.

.

.

ВИДЕО ПО ТЕМЕ: Закон о персональных данных касается каждого