Обработка персональных данных банками и коллекторами: поручение и уступка прав требования

При заключении договора потребительского кредита (займа) Банк получает согласие на обработку ПДн заёмщика, которое в том числе включает согласие на поручение обработки ПДн третьим лица – партнёрам банка. При этом конкретный перечень компаний – партнёров в согласии не указан.

Вопрос №1: Достаточно ли указание на «партнёров банка» чтобы считать ограниченным круг лиц, которым будет поручаться обработка ПДн? Соответствует ли такое согласие ч. 3 ст. 6 и ч. 1 ст. 9 ФЗ-152?

Банк по договору цессии уступает права требования по потребительскому кредиту (займу) другому лицу (например коллекторскому агентству).

Вопрос №2: Переходят ли новому кредитору права на обработку ПДн заёмщика в тех целях (в том числе не связанных с исполнением договора), объёме и порядке, которые были указаны в согласии, предоставленном заёмщиком банку? В частности, вправе ли новый кредитор, при наличии указанного выше согласия, поручать обработку ПДн заёмщика третьим лицам - своим партнёрам?

Как следует из части 3 статьи 6 Федерального закона «О персональных данных» (далее – Федеральный закон) для поручения обработки персональных данных третьему лицу оператор должен получить согласие субъекта.

В соответствии с частью 1 статьи 9 Федерального закона согласие на обработку персональных данных должно быть конкретным, информированным и сознательным.

Информированность согласия предполагает, что у субъекта должно сложиться ясное представление, в числе прочего, о том, каким лицам и в каких целях будет поручена обработка его персональных данных.

Поскольку понятие «партнеров» может быть истолковано максимально широко (от организаций, занимающихся ведением бухгалтерского учета и делопроизводства, до коллекторских агентств), по нашему мнению, такое согласие требованиям информированности не отвечает.

Законодательством об обработке персональных данных не предусмотрена возможность правопреемства операторов в отношении согласий на обработку персональных данных.

Согласно части 1 статьи 9 Федерального закона субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Принятие такого решения предполагает в том числе оценку субъектом информации об операторе: его репутации, политики в отношении обработки данных, информации о допущенных нарушениях прав субъектов.

Учитывая, что даваемое субъектом согласие неразрывно связано с самим оператором, неприменимость к согласию конструкции уступки вполне объяснима.

Новый оператор (коллектор) обязан не только уведомить о себе субъекта в соответствии с пунктом 3 статьи 18 Федерального закона в отношении обработок, выполняемых на основании уступленного ему договора (если эта обязанность не была ранее выполнена предыдущим оператором - согласно пункту 1 части 4 этой же статьи), но и получить согласие на обработку, выполняемую на основании согласия — на поручение обработки персональных данных третьим лицам. В свою очередь, согласно пункту 4 статьи 6 Федерального закона эти третьи лица не обязаны получать согласие субъекта.

Необходимо также помнить о других релевантных для коллекторов основаниях обработки персональных данных:

• пункт 5 части 1 статьи 6 - обработка персональных данных необходима для исполнения договора, стороной которого является субъект персональных данных;
• пункт 7 части 1 статьи 6 - обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц, в том числе в случаях, предусмотренных Федеральным законом «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон «О микрофинансовой деятельности и микрофинансовых организациях».

Ответ подготовила Юлия Любченко (10.09.2021)