Банкам запрещают «раскидываться» персональными данными

Банк России и Роскомнадзор рекомендуют финансовым организациям не использовать широкие формулировки при получении от клиентов согласия на обработку персональных и биометрических данных. Нельзя вынуждать граждан одной подписью соглашаться на передачу информации о себе не только банку, но и третьим лицам. «Раскидывание» персональными и биометрическими данными приводит к тому, что человек, давно переставший обслуживаться в какой-либо компании, продолжает получать от нее или посторонних организаций навязчивые рекламные предложения.

По мнению ЦБ РФ, кредитным организациям следует заключать с клиентами отдельные соглашения, где был бы прописан срок обработки и хранения персональных данных, а также цели их предоставления. Регулятор и Роскомнадзор считают нежелательным заключение соглашений по обработке персональных данных с автоматическим продлением срока его действия. Также нежелательно заключение бессрочных соглашений.

Оценивая рекомендации ведомств, можно говорить не столько о росте культуры работы с персональными данными, сколько о росте количества «бумажек» и процессов, связанных с обработкой такой информации, считает управляющий RTM Group Евгений Царев. Операторы персональных данных должны заполнять десятки форм и получать согласия у десятков и сотен граждан, и за малейшее нарушение им грозит штраф. Иногда операторы данных (например, в банке или других людных местах) сами проставляют «галочки» в формах для ускорения процесса. По словам эксперта, такие документы мало кто читает, кроме уполномоченных органов.

Ранее была широко распространена практика, когда вместе с договором клиенту необходимо было подписать согласие на фактически любые действия с персональными данными со стороны кредитной организации. Без этого согласия с клиентом просто не заключали договор, отмечает заместитель руководителя по информационной безопасности компании УЦСБ Сергей Борисов. И проблема была не в том, что данные слабо защищены — наоборот, в банках, как правило, уровень защищенности информационных систем выше, чем в других отраслях. Проблема была в том, что гражданин терял контроль над своими персональными данными — они могли передаваться многим партнерам и дочерним компаниям банка и использоваться в целях, далеких от первоначального договора.

Как указывает эксперт, локомотивом по формированию правильной культуры обработки персональных данных является Евросоюз. Многие практики, которые прижились там, неизбежно доходят и до России. В последний год особенно заметны усилия государства по формированию такой культуры.

По мнению управляющего RTM Group, самая большая проблема в этой сфере связана не с подписанием соглашений и с сопутствующими рисками, а с отзывом согласия. У клиента какой бы то ни было организации нет возможности проверить, кому и какие согласия он давал, нет реальной возможности отозвать согласие. Даже если соблюсти процедуры, предусмотренные законом, обработка персональных данных может продолжаться, и бороться с нежелательной их обработкой крайне сложно.

При этом россияне не готовы активно защищать себя, обращаясь в Роскомнадзор или суд при утечке информации, поскольку не видят в этом смысла, считает начальник отдела информационной безопасности «СёрчИнформ» Алексей Дрозд.

В то же время Алексей Дрозд напомнил, что в июне 2021 года Правительство РФ внесло в Госдуму РФ законопроект, запрещающий отказывать в обслуживании потребителю, который не захотел предоставить свои персональные данные.