Как запретить использовать персональные данные

Удаляем персональные данные из общего доступа: нововведения с 1 марта

1 марта вступили в силу поправки в Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ). На кого распространяется новый закон, при каких условиях и каким образом можно удалить свои персональные данные из общего доступа – в нашем материале.

Зачем нужен новый закон?

Закон направлен на создание механизмов защиты прав и свобод субъектов персональных данных, чьи персональные данные участвуют в общедоступном обороте. В соответствии с мнением депутатов Госдумы, действующая на момент внесения законопроекта на рассмотрение правовая конструкция позволяла третьим лицам осуществлять сбор и последующее неконтролируемое использование указанных персональных данных на интернет-сайтах в целях, отличных от цели их первоначального распространения, а равно с ориентиром на иные целевые аудитории, что нарушает принцип целеполагания, установленный ст. 5 Закона № 152-ФЗ.

Теперь субъект персональных данных имеет право обратиться к любому оператору персональных данных с требованием удалить его персональные данные из общего доступа без дополнительных условий доказывания факта неправомерной обработки персональных данных. Требовать от оператора блокирования или уничтожения персональных данных можно было и раньше, однако с соблюдением условия – необходимо было доказать, что они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав (в соответствии с ч. 1 ст. 14 Закона № 152-ФЗ). Новый закон позволяет осуществлять соответствующие запросы только по причине того, что персональные данные принадлежат субъекту.

Основное отличие нововведений от предыдущей правовой конструкции заключается в том, что любой человек теперь сам может принять решение в отношении того, какие персональные данные могут использоваться публично. Субъект персональных данных сам устанавливает их перечень, при этом причины можно не указывать – оператор обязан удалить данные из общего доступа просто потому, что они относятся к определенному или определяемому лицу. Согласие должно быть выражено отдельно от других согласий на обработку персональных данных.

Что нового вводит закон в отношении законодательства о персональных данных?

Поправки вводят новый термин – персональные данные, разрешенные субъектом персональных данных для распространения. К ним относятся такие персональные данные, доступ неограниченного круга лиц к которым предоставлен их субъектом (подп. 1.1 ст. 3 Закона 152-ФЗ). Такое разрешение выражается путем дачи согласия на обработку персональных данных. Согласие должно оформляться отдельно от других согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан обеспечить субъекту возможность определить перечень персональных данных по каждой категории, указанной в таком согласии (ч. 1 ст. 10.1 Закона № 152-ФЗ). Субъект также имеет право ограничить обработку персональных данных оператором – например, если в согласии не было прямого разрешения на распространение персональных данных, оператор имеет право их обрабатывать, но без распространения (ч. 4 ст. 10.1 Закона № 152-ФЗ). При этом молчание и бездействие субъекта персональных данных не является согласием на обработку (ч. 8 ст. 10.1 Закона № 152-ФЗ).

На кого распространяются положения закона?

Под ответственность попадают все операторы, которые выкладывают персональные данные в общий доступ. К таким оператором относятся, например, социальные сети. Таким образом согласие может быть предоставлено непосредственно оператору (в соответствии с п.1 ч. 6 ст. 10.1 Закона № 152-ФЗ), то есть направлено в письменном виде самой социальной сети. Впоследствии предоставление согласия можно будет совершать с использованием системы Роскомнадзора как уполномоченного органа по защите прав субъектов персональных данных – соответствующие поправки вступают в силу с 1 июля текущего года. Согласие должно быть рассмотрено оператором в срок не позднее трех рабочих дней (ч. 9 ст. 10.1 Закона № 152-ФЗ).

Каким образом можно прекратить обработку персональных данных в общем доступе?

Любое лицо, чьи персональные данные находятся в общем доступе, может прекратить такую обработку, включая передачу, распространение, предоставление и доступ к персональным данным. Закон определяет перечень сведений, которые должно содержать такое требование:

• ФИО;
• контактная информация (например, номер телефона, адрес электронной почты);
• перечень персональных данных, обработка которых подлежит прекращению.

Таким образом, с момента поступления оператору соответствующего требования прекращается действие согласия на обработку персональных данных, разрешенных для распространения. Оператор обязан прекратить передачу (распространение, предоставление, доступ) персональных данных в течение трех рабочих дней с момента получения требования субъекта персональных данных.

Также субъект имеет право обратиться с соответствующим требованием в суд (в соответствии с ч. 14 ст. 10.1 Закона № 152-ФЗ). Оператор обязан прекратить передачу персональных данных в срок, указанный во вступившем в законную силу решении суда. Если такого указания в решении суда нет – в течение трех рабочих дней с момента вступления решения суда в законную силу.

Важно обратить внимание, что субъект персональных данных вправе обратиться с таким требованием к любому лицу, обрабатывающему его персональные данные, в случае несоблюдения положений законодательства. Иными словами, гражданство и местонахождение оператора не имеют значения – если осуществляется обработка персональных данных субъекта-гражданина РФ, то требования закона на этот случай распространяется.

Какая ответственность предусмотрена для операторов за неисполнение требований закона?

Ответственность операторов за нарушение законодательства о персональных данных регламентируется ст. 13.11 КоАП. На данный момент санкции за обработку персональных данных без согласия субъекта предусмотрены следующие:

• для граждан – предупреждение или штраф в размере от 3 тыс. до 5 тыс. руб.;
• для должностных лиц – предупреждение или штраф от 10 тыс. до 20 тыс. руб.;
• для юрлиц – предупреждение или штраф от 15 тыс. до 75 тыс. руб.

С 27 марта текущего года вступят в силу поправки об ужесточении ответственности оператора за нарушение положений законодательства о персональных данных (Федеральный закон от 24 февраля 2021 г. № 19-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях»). Во-первых, все существующие санкции в виде штрафов увеличиваются вдвое. Также упраздняется такой вид санкции как предупреждение. И, наконец, устанавливаются санкции за повторное нарушение.

Как отозвать согласие на обработку персональных данных

Порядок работы с личными сведениями установлен законом «О персональных данных» от 27.07.2006 № 152-ФЗ. Из ст. 3 закона следует, что к индивидуальным данным лица относится любая информация о нем, позволяющая его идентифицировать.

В том числе к таким сведениям можно отнести:

• Ф. И. О.;
• адрес проживания;
• паспортные данные;
• сведения о месте рождения;
• прочие данные.

Полного перечня сведений закон не содержит, соответственно, в каждом конкретном случае необходимо анализировать, можно с помощью получаемой от человека информации его идентифицировать или нет. Часто отдельные данные не являются персональными, поскольку понять, кому конкретно они принадлежат, невозможно. Однако если совокупность сведений позволяет узнать, к какому человеку они относятся, то это персональные данные.

Работа с личной информацией осуществляется на основании письменного согласия гражданина, чьи сведения будут обрабатываться. Установленного бланка нет, каждая организация самостоятельно разрабатывает форму соглашения на обработку личных материалов, которое подписывает гражданин. Только после подписания субъектом такого бланка учреждение имеет право начать работу с информацией о клиенте.

Согласие на обработку может быть получено в электронном виде с применением простой электронной подписи.

Гражданин имеет право отозвать свое согласие на обработку личных сведений в любое время (п. 2 ст. 9 закона № 152-ФЗ). Причем законодатель не связывает отзыв персональных данных с какими-либо условиями или событиями. Из чего следует, что отказ от обработки персональных данных не требует обоснований.

Каков срок уничтожения персональных данных оператором при достижении цели обработки персональных данных либо при отзыве согласия на их обработку? Ответ на данный вопрос есть в КонсультантПлюс. Изучите материал, получив пробный доступ к системе К+ бесплатно.

Когда отзыв согласия не имеет значения для оператора персональных данных

Между тем оператор может продолжить работу с личными инфоматериалами субъекта даже при отзыве последним своего согласия. Перечень случаев, когда у него есть такое право, прописан в пп. 2–11 ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11 закона № 152-ФЗ. В частности, использовать информацию о человеке могут:

• суды при участии гражданина в судопроизводстве;
• приставы при исполнении судебного акта;
• государственные органы при исполнении своих полномочий;
• стороны гражданско-правовых договоров, заключенных с субъектом персональных данных;
• любые субъекты при необходимости защиты жизни или здоровья носителя персональной информации;
• журналисты, если работа с личной информацией связана с их профессиональной деятельностью;
• субъекты, участвующие в реализации международных договоров;
• органы статистики, если личные данные обезличиваются.

Правомерна ли обработка персональных данных налоговыми органами без согласия субъекта персональных данных, узнайте в КонсультантПлюс. Если у вас нет доступа к системе К+, получите пробный онлайн-доступ бесплатно.

Порядок отзыва индивидуальных данных

Поскольку с выдачей разрешения на работу с личной информацией граждане сталкиваются очень часто, закономерен вопрос, как отозвать согласие на обработку персональных данных.

Поэтапный порядок в законодательстве не прописан. Поскольку разрешение на обработку сведений дается письменно, то и отзывать согласие нужно, подав оператору письменное заявление.

Отказ от согласия на обработку персональных данных готовится в свободной форме. Передать заявление в учреждение можно:

1. Лично в канцелярию или приемную организации. В этом случае необходимо подготовить два экземпляра документа. На одном из них организация при приеме поставит отметку о получении.
2. Почтовой корреспонденцией (заказным письмом с уведомлением). В этом случае подтверждать получение будет уведомление, вернувшееся отправителю.
3. В электронной форме. Например, если отзывается согласие на использование личной информации, которую пользователь передал оператору через интернет (например, на сайте).

ВНМАНИЕ! Если вы разрешили обработку ваших данных на каком-либо сайте, по каждому из них надо писать заявление в ту организацию, который Вы дали согласие на такую обработку. То есть нужно перейти в контакты (они обычно есть на любом сайте) либо через форму обратной связи письменно попросить админа удалить из базы ваши данные.

Некоторые сайты запрашивают данные через доступ к сведениям учетной записи на сайте «Госуслуги». В этом случае нужно перейти в меню «Профиль» далее «Согласия и доверенности», вы увидите ваши согласия. Нажав на кнопку «Отозвать согласие», вы отзываете согласие на обработку ваших персданных.

Подтвердить дату получения оператором обращения очень важно, так как с этого момента будет отсчитываться период, в течение которого оператор по обработке индивидуальных сведений должен будет прекратить работу с заявленной информацией.

Образец заявления на отзыв

Заявление на отзыв персональных данных составляется следующим образом:

1. В правом верхнем столбце указывается наименование получателя и его адрес, данные отправителя.
2. Ниже посередине — название документа.
3. С красной строки — основной текст.
4. В конце документа — дата и подпись.

Образец отзыва персональных данных из банка может выглядеть так:

Руководителю Центрально-Черноземного банка ПАО «Банк»

Воронеж, ул. 9 Января, 28

от Держаева Виктора Петровича

Воронеж, ул. Комарова, 28, 15

Я, Держаев В. П., паспорт серия 0000 № 000 000, выдан РОВД Советского района г. Воронежа __ __ ___, в соответствии со ст. 9 закона № 152-ФЗ отзываю согласие на обработку персональных данных, данное мной при заключении кредитного договора № 377-2010 от __ __ ____.

Держаев В. П. /Держаев/

Дата: __ __ ____

Последствия отзыва

Согласно п. 5 ст. 21 закона № 152-ФЗ, если человек отозвал согласие на работу со своей индивидуальной информацией, оператор обязан прекратить это делать. На это ему дается 30 дней со дня получения обращения. В этот же срок оператор должен уничтожить или обеспечить уничтожение информации.

Однако закон разъясняет, что если дальнейшая работа с индивидуальными сведениями о человеке необходима для достижения целей, предусмотренных законодательством, то хранение информации может быть продолжено.

Например, выполнить требование субъекта персональных данных об отзыве согласия на их обработку не могут банки.

Так, в соответствии с п. 4 ст. 7 закона «О противодействии легализации (отмыванию) доходов. » от 07.08.2001 № 115-ФЗ банковские организации должны сохранять личную информацию о клиентах не менее 5 лет со дня прекращения отношений. Соответственно, если разрешение на работу с индивидуальными сведениями было отозвано, операции с информацией должны быть прекращены, но сами материалы не уничтожаются и могут быть выданы по запросу суда, прокуратуры и иных уполномоченных учреждений (апелляционное определение Московского городского суда от 14.06.2019 по делу № 33-25479).

Итоги

Таким образом, отозвать свои индивидуальные сведения из обработки тем или иным учреждением несложно. Однако законодательство в некоторых случаях разрешает работу с такими инфоматериалами и без согласия гражданина.

Как отозвать согласие на обработку персональных данных

Каждый день на телефон приходят СМС об очень выгодных предложениях? А два-три раза в неделю о них же пытаются уведомить звонком? Хватит это терпеть! Расскажем, как отозвать согласие на обработку персональных данных.

Источником назойливого спама выступают самые разные организации. Общее у них только одно — когда-то жертвы сами дали им согласие на обработку персональных данных.

Как распространяются персональные данные

Персональные данные обычно собирают в процессе подписания договоров. Когда вы открываете счет в банке, берете кредит или покупаете SIM-карту, то даете согласие на обработку персональных данных. Об этом пишут в конце документа мелким шрифтом, а подписанты не всегда обращают внимание на текст.

Также согласие на обработку персональных данных можно дать через публичную оферту. Регистрируясь на сайте, пользователь автоматически соглашается их передавать. Правила на сайтах люди читают еще реже, чем документы под подпись.

В итоге наши персональные данные попадают в руки десятков и сотен организаций. Многие из них прописывают возможность передачи этой информации третьим лицам.

Но выход есть. В законе указана возможность отзыва согласия на обработку персональных данных. Но здесь есть свои ограничения и особенности.

Что такое персональные данные

Согласно 3 статье закона «О персональных данных» , ими считается информация, по которой можно идентифицировать человека. При этом исчерпывающего перечня в законе нет.

К такой информации относится ФИО, номер паспорта, СНИЛС или ИНН, дата и место рождения, домашний адрес и т. д.

Работать с персональными данными могут организации, которых называют операторами. Соглашение на обработку заключается в свободной форме. Допускается подписание электронных документов.

Как защитить личные данные в сети

У человека есть право отозвать согласие на обработку персональных в любой момент. Для этого не нужны дополнительные основания. Но есть нюансы.

Когда возможен отзыв согласия на обработку персональных данных

В законе перечислен ряд организаций, которые могут оперировать личной информацией без согласия и даже при прямом запрете. Это могут делать:

• государственные органы — что логично;
• суды в процессе судопроизводства;
• органы статистики — когда персональные данные носят обезличенный характер;
• приставы во время исполнительного производства;
• лица, с которыми гражданин заключил гражданско-правовой договор;
• журналисты в процессе профессиональной деятельности;
• любые лица или организации для целей защиты жизни или здоровья владельца персональных данных.

Отзыв персональных данных из банка

и банки имеют право обрабатывать персональные данные клиентов с целью исполнения договоров. На практике это значит, что если у гражданина есть непогашенный микрозаем, кредит или просто счет в банке, то запретить обрабатывать персональные данные этим организациям нельзя .

Нужно сначала закончить отношения: закрыть счет или погасить кредит, а потом отозвать свое согласие.

Но, согласно закону 115-ФЗ , банки обязаны хранить персональные данные клиентов следующие пять лет после завершения договоров. Речь в данном случае идет только о хранении. Использовать их после отзыва согласия банк не сможет.

Коллекторы также могут работать с персональными данными, не получая согласия их владельцев. Согласно закону № 152-ФЗ , они приобретают это право вместе с портфелем проблемных кредитов у МФО и банков по договору цессии .

Но и от них можно защититься. Только вместо отзыва согласия на обработку персональных данных нужно подать заявление на отказ от взаимодействия. Тогда коллекторы смогут общаться с должником только через «Почту России» и бумажные письма. Но платить по долгам все равно придется.

А вот после погашения уже можно писать заявление на отзыв согласия на обработку персональных данных. Тогда коллекторы перестанут их использовать.

Проблемы с долгами? Совкомбанк поможет с ними справиться!

Если вы оказались в ситуации, когда доходы не позволяют рассчитаться с кредиторами, то вам нужно пройти непростую процедуру банкротства в судебном порядке. Воспользуйтесь сервисом «Стопдолг» от Совкомбанка. Юристы компании предоставляют весь спектр услуг по консультированию, подготовке документов и сопровождению клиентов.

Как отозвать согласие на обработку персональных данных

Для этого нужно написать заявление в свободной форме, адресованное соответствующей организации. У оператора есть 30 дней с момента его получения, чтобы уничтожить эту информацию, — за исключением банков, о которых мы говорили выше. Они обязаны хранить данные, но пользоваться ими для спамерских рассылок уже не смогут.

Как подавать заявление на отзыв персональных данных:

• лично в письменном виде — потребуется два экземпляра, в одном представитель организации должен расписаться в получении;
• в электронном виде — через сайт или приложении, если там есть соответствующая возможность;
• почтой — отправить заказное письмо с уведомлением.

Форма заявления об отзыве персональных данных — свободная. Но для удобства граждан на сайте Роскомнадзора есть образец . Туда нужно вписать данные оператора и свои собственные.

Если отзыв согласия на обработку персональных данных не помог

Не все организации своевременно реагируют на обращения граждан. Но такое поведение карается законом.

Согласно статье 13.11 КоАП , нарушение в сфере обработки персональных данных наказывается штрафом. Организациям это обойдется в 30—150 тысяч рублей, должностным лицам — в 20—40 тысяч рублей, физическим лицам — в 6—10 тысяч рублей.

Пожаловаться на нарушение своих прав можно в онлайн-приемной Роскомнадзора. На финансовые организации (банки и МФО) дополнительно стоит жаловаться в онлайн-приемную Центробанка.

Оба органа обязаны отчитаться о принятых мерах через 30 дней после получения заявления.

Выводы

Российское законодательство запрещает обрабатывать персональные данные граждан без их согласия. Но люди зачастую дают его самостоятельно, не задумываясь о последствиях.

Избавиться от спама сообщениями и звонками можно при помощи отзыва согласия на обработку персональных данных.

Для этого нужно:

• найти юридический адрес организации;
• написать заявление по форме ;
• подождать 30 дней;
• если не помогло — жаловаться в Роскомнадзор .

Отзыв персональных данных из банка, услугами которого вы пользуетесь, невозможен. Но большинство финансовых организаций готовы исключить номер клиента из рекламной рассылки по его просьбе.

Как отозвать согласие на обработку персональных данных

Закон о персональных данных позволяет отозвать согласие на обработку персональных данных (далее – ПДн). После этого компания уже не сможет использовать полученные ПДн. Например, согласие стоит отозвать, если вы больше не хотите пользоваться сервисом, получать рассылки и отвечать на звонки менеджеров.

Сделать это можно в любое время и без объяснения причин (ч. 2 ст. 9 Закона о персональных данных). Пишете отзыв согласия на обработку ПДн в свободной форме (пример есть на сайте Роскомндзора) и затем направляете его оператору (т.е. компании или лицу, которое обрабатывает ваши данные).

Роскомнадзор рекомендует отзывать согласие тем же способом, каким оно предоставлялось. Например, если вы давали согласие, заполнив форму на сайте, то и отзывать его надо через сайт. Часто у сервисов с личными кабинетами есть функционал для настроек предоставленных согласий на обработку ПДн.

Как отозвать согласие?

1. Просмотрите согласие на обработку ПДн – там должен быть указан порядок его отзыва (ст. 9 Закона о персональных данных). Также он может быть прописан в документах оператора, например в политике конфиденциальности (ст. 18.1 Закона о персональных данных). Еще поищите форму обращения на сайте – функция отзыва согласия иногда интегрирована в сервис.

2. Отправьте отзыв, следуя порядку, который определил оператор.

3. Если информация о порядке отзыва согласия на глаза так и не попалась, найдите e-mail компании – обычно он указан в разделе «Контакты» или в подвале сайта. Напишите отзыв согласия в свободной форме и отправьте на этот адрес. Возможно, с вами свяжутся, поскольку компании потребуется дополнительная информация, чтобы идентифицировать вас и уничтожить ПДн.

4. Если e-mail не удалось отыскать, отправьте отзыв согласия заказным письмом с уведомлением о вручении на юридический адрес компании-оператора.

Когда данные будут удалены?

Оператор обязан прекратить обработку ПДн и уничтожить их в течение 30 дней с даты поступления отзыва согласия (ч. 5 ст. 21 Закон о персональных данных).

Однако есть случаи, когда компания вправе продолжить обработку ПДн даже после отзыва согласия. Например, если ПДн необходимы для исполнения требований законодательства или положений договора.

Как прекратить обработку данных, разрешенных для распространения?

В некоторых случаях компании вынуждены получать согласие на обработку ПДн, разрешенных для распространения. Например, если Ф.И.О., место работы и должность публикуются на сайте компании, или когда человек оставляет неанонимный отзыв о товаре. Такое согласие запрашивают отдельно.

Чтобы прекратить обработку разрешенных для распространения ПДн, направьте оператору обращение с соответствующим требованием. Укажите там Ф.И.О., контактную информацию (номер телефона, адрес электронной почты или почтовый адрес), перечень ПДн, обработку которых надо прекратить (ч. 12 ст. 10.1 Закона о персональных данных).

Что делать, если компания не реагирует на отзыв согласия и продолжает использовать данные?

Компании не любят прощаться с ПДн пользователей по нескольким причинам:

• данные необходимы для аналитики поведения и принятия бизнес-решений;
• данные используются для направления рекламных рассылок, а при отзыве согласия «горячая» база клиентов уменьшается;
• уничтожение данных – это трудоемкий процесс. Компании придется искать нужные данные во всех своих информационных системах и на бумаге, а затем уничтожить их, следуя закону.

Когда компании не желают расставаться с ПДн, они идут на хитрости.

1. Прекращают обработку данных в рамках одной цели, продолжая использовать их в других целях.

Вы получаете рассылки от сервиса, отписываетесь от них, но письма продолжают приходить. В таком случае нужно проверить, от всех ли рассылок вы отказались. Иногда бывает, что пользователь отклонил только одну тему. А чтобы вовсе не получать письма, нужно отписаться от рассылок отдельно по каждой теме.

2. Затрудняют процесс отзыва согласия, используя dark patterns .

Чтобы оставить данные у себя, компании создают такие искусственные сложности, как многоэтапные формы, малозаметные кнопки и многочисленные подтверждения.

3. Используют эмоциональные триггеры и приемы, чтобы воздействовать на пользователей и манипулировать их поведением.

Пользователям показывают картинки или рассказывают истории, которые вызывают сочувствие или сострадание и влияют на принятие решений.

Если компания не реагирует на ваши просьбы прекратить обработку ПДн, пожалуйтесь на нее.

1. Направьте жалобу в Роскомнадзор, как указано на сайте ведомства. Можно воспользоваться формой для направления обращений.