Что такое актуализация персональных данных

6. Актуализация, исправление, удаление и уничтожение персональных данных

6.1. Оператор осуществляет актуализацию и исправление ПДн при подтверждении факта неточности ПДн либо при направлении Субъектом или его законным представителем запроса на уточнение/актуализацию ПДн. Субъект или его законный представитель направляют запросы на уточнение/актуализацию ПДн в соответствии с формой «Форма запроса Субъектов на уточнение/актуализацию персональных данных» согласно приложению N 5 к настоящей Политике.

6.2. Оператор уничтожает обрабатываемые ПДн при наступлении следующих условий:

— достижение указанных в пункте 3.2 целей обработки ПДн или максимальных сроков хранения;

— утрата необходимости в достижении целей обработки ПДн;

— предоставление Субъектом или его законным представителем подтверждения того, что ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки;

— невозможность обеспечения правомерности обработки ПДн;

— отзыв Субъектом согласия на обработку его ПДн, если сохранение ПДн более не требуется для целей обработки ПДн;

— истечение сроков исковой давности для правоотношений, в рамках которых осуществляется либо осуществлялась обработка ПДн.

Зачем банкам персональные данные клиентов

Актуализация персональных данных клиентов – один из неотъемлемых компонентов работы кредитных организаций. Речь идет о своевременном обновлении устаревшей паспортной и контактной информации в целях поддержания обратной связи с потребителями финансовых услуг.

Зачем банкам персональные данные клиентов?

• Оформления договоров и соглашений;
• Проверки достоверности сведений о клиенте;
• Оценки кредитного рейтинга;
• Подбора услуг банка;
• Рассылки информационных и рекламных сообщений.

В каких случаях нужно обновлять данные?

Актуальные личные данные потребителей нужны финансовым учреждениям для выполнения рассылки информационных уведомлений и рекламных материалов. Ввод в заблуждение путем предоставления недостоверных сведений провоцирует потерю доверия к клиенту. Банки отказываются работать с гражданами, которые уличены в сокрытии персональной информации и срывах сроков актуализации данных.

• Защита от мошенников, которые в своих схемах могут использовать украденные паспортные данные.
• Поддержка обратной связи с банком, включая рассылку информационных и рекламных сообщений.
• Создание доверительных отношений между финансовым учреждением и клиентом.
• Привлечение к различным акциям и предоставление доступа клиентам к специальным предложениям.

Веские основания для актуализации персональной информации:
1. Замена паспорта по причине повреждения, утери или кражи.
2. Изменение ФИО, например, после вступления в брак.
3. Переезд со сменой регистрации или фактического адреса проживания.
4. Замена утерянного или скомпрометированного номера телефона.

Важно! Банки просят в обязательном порядке сообщать об изменении паспортных и контактных данных. По кредитным продуктам подобное требование часто прописывается в тексте договора.

Как происходит актуализация персональных данных?

Актуализировать персональную информацию можно по личной инициативе. Оперативное обновление устаревших данных – это простейший способ добиться лояльного отношения со стороны банка.

Обновлять личные данные целесообразно на протяжении нескольких дней с момента изменения исходной информации. Срыв сроков может привести к наложению штрафных санкций и даже расторжению договора.

Радикальные меры банки предпринимают в отношении заемщиков, которые систематически нарушают платежную дисциплину или игнорируют условия сделок.

В остальных случаях актуализация производится по инициативе клиента, а отказ от внесения обновленных данных не приводит к каким-либо санкциям.

• При личном посещении одного из филиалов банка.
• В ходе телефонного звонка по номеру центра обслуживания клиентов.
• На сайте или в мобильном приложении финансового учреждения.

Банки, которые периодически обновляют базы данных, могут инициировать плановые проверки. По просьбе финансового учреждения клиент вынужден раз в несколько лет предоставлять копии документов.

Как проверить вероятность одобрения кредита без передачи данных?

• Рассчитать переплату по кредиту;
• Подобрать более выгодные предложения по заданным параметрам;
• Узнать вероятность одобрения заявки банком без внесения записи в кредитную историю.

Заключение

Финансовым учреждениям необходимо иметь точную и актуальную информацию о клиентах. Благодаря своевременному обновлению устаревших данных потребителю удастся избежать всевозможных неудобств при использовании банковских продуктов по действующим и будущим договорам.

Политика оператора персональных данных

С июля 2017 года была изменена ответственность за нарушение законодательства о персональных данных. Один из новых составов правонарушений – невыполнение оператором персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки таких данных (далее – Политика). Причем названная обязанность существует еще с 2011 года, но специальная ответственность за ее невыполнение установлена только сейчас. Расскажем, что это за документ, как его составлять, все ли работодатели должны его иметь и где он должен быть опубликован.

Что это за документ?

В соответствии со ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) к обязанностям оператора персональных данных относится в том числе издание документа, определяющего политику оператора в отношении обработки персональных данных, что позволяет обеспечить реализацию принципов законности, конфиденциальности и безопасности информации. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к указанному документу и к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей сети документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей сети.

Контроль исполнения этой обязанности осуществляют органы Роскомнадзора. И по их требованию оператор обязан представить перечисленные документы и локальные акты и (или) иным образом подтвердить выполнение обязанностей, установленных ст. 18.1 Закона № 152-ФЗ.

Что же это за документ? Не стоит путать его с положением о персональных данных. У оператора персональных данных в силу той же ст. 18.1 помимо Политики должны быть отдельные локальные акты по вопросам обработки таких данных и локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий нарушений.

К сведению: к обозначенным локальным актам относятся различные положения (об обработке персональных данных, об обеспечении безопасности персональных данных и т. п.), перечни (должностей и лиц, допущенных к обработке персональных данных, применяемых средств защиты и др.), инструкции и регламенты.

Многие организации этот документ так и называют – «Политика в отношении обработки персональных данных». До недавнего времени он составлялся в произвольной форме, но в августе 2017 года Роскомнадзор разработал Рекомендации по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Законом № 152-ФЗ (далее – Рекомендации).

О том, какие положения рекомендовано включать в документ, определяющий эту политику, мы расскажем далее. Но прежде следует разобраться, все ли работодатели являются операторами персональных данных и соответственно все ли должны утверждать и опубликовывать его для неограниченного доступа.

Кто является оператором персональных данных?

Согласно ст. 3 Закона № 152-ФЗ оператор персональных данных – это государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку таких данных, а также определяющие цели их обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с данными.

Общим признаком оператора персональных данных для всех организаций является обработка персональных данных работников. Организации, оказывающие услуги населению, обрабатывают еще и персональные данные клиентов. То есть, по сути, операторами персональных данных являются все без исключения организации.

Однако не все операторы должны исполнять требования Закона № 152-ФЗ в полном объеме. Так, не все операторы должны исполнять обязанность по уведомлению уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзор) о своем намерении осуществлять обработку персональных данных согласно ст. 22 Закона № 152-ФЗ. Исключения, в частности, установлены для организаций, осуществляющих обработку персональных данных:

обрабатываемых в соответствии с трудовым законодательством;

полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если они не распространяются, не предоставляются третьим лицам без согласия субъекта данных используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;

относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими объединением или организацией, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных;

сделанных субъектом персональных данных общедоступными;

включающих в себя только фамилии, имена и отчества субъектов персональных данных;

необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;

включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;

обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами РФ, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных;

обрабатываемых в случаях, предусмотренных законодательством РФ о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.

Все остальные операторы такие уведомления направляют, после чего включаются в реестр операторов.

Обратите внимание: сведения об операторе, содержащиеся в реестре, являются общедоступными. Они размещаются для ознакомления на официальном сайте и портале персональных данных Роскомнадзора.

Соответственно, организации, не подающие уведомления, в реестр операторов не включаются.

Что же касается обязанности по составлению Политики и других локальных документов, здесь исключений никаких не установлено. Соответственно документ, определяющий политику в отношении обработки персональных данных, должен быть в каждой организации.

Причем если организация осуществляет сбор персональных данных граждан с использованием Интернета (регистрация на сайте, форма обратной связи, куда необходимо внести персональные данные), этот документ должен быть размещен на сайте организации. К таким организациям, в первую очередь, относятся интернет-магазины, социальные сети и другие сайты, государственные и муниципальные органы, а также медицинские учреждения, образовательные организации, налоговые и другие регистрирующие органы, организации в сфере социальных услуг, банки, турагентства. Это могут быть и просто организации, которые проводят конкурсы на занятие определенных должностей и на своих сайтах выставляют имеющиеся вакансии и предлагают кандидатам заполнить анкету.

Если органы контроля установят, что оператор не опубликовал или не обеспечил иным образом неограниченный доступ к своей Политике или сведениям о реализуемых требованиях к защите персональных данных, организация будет оштрафована в соответствии с ч. 3 ст. 13.11 КоАП РФ, предусматривающей штраф для должностных лиц от 3 000 до 6 000 руб., а для юридических – от 15 000 до 30 000 руб.

К сведению: в целях ограничения доступа к информации в сети «Интернет», обрабатываемой с нарушением законодательства РФ в области персональных данных, создается автоматизированная информационная система «Реестр нарушителей прав субъектов персональных данных». Формирует данный реестр Роскомнадзор (ст. 15.5 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»).

Рекомендации по составлению Политики

Итак, поскольку обязанность по созданию Политики существует давно, в большинстве организаций она разработана, правда, не факт, что опубликована. Иногда Политику публикуют так, что ее сложно найти. Поэтому организациям следует рассмотреть этот документ с учетом Рекомендаций и при необходимости внести изменения путем утверждения нового документа, разместив его в соответствии с требованиями законодательства. А работодателям, у которых этого документа нет, следует его срочно составить, руководствуясь Рекомендациями.

Обратите внимание: рекомендации изданы в целях выработки унифицированного подхода к структуре и форме документа, определяющего политику оператора в отношении обработки персональных данных.

Итак, исходя из Рекомендаций, в Политику надо включить такие разделы:

1. Общие положения.

Здесь нужно описать назначение Политики, привести основные понятия, используемые в ней (обработка персональных данных, оператор, субъект персональных данных, конфиденциальность персональных данных и т. д.), перечислить основные права и обязанности оператора и субъекта(ов) данных.

2. Цели сбора персональных данных.

Следует помнить, что обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка, несовместимая с целями сбора персональных данных.

Цели обработки персональных данных, перечисляемые в этом разделе, могут происходить в том числе из:

анализа правовых актов, регламентирующих деятельность оператора;

целей фактически осуществляемой оператором деятельности;

деятельности, которая предусмотрена учредительными документами оператора;

конкретных бизнес-процессов оператора в конкретных информационных системах персональных данных (по структурным подразделениям оператора и их процедурам в отношении определенных категорий субъектов персональных данных).

3. Правовое основание обработки персональных данных.

Таковым является совокупность правовых актов, во исполнение которых и в соответствии с которыми оператор осуществляет обработку персональных данных. В качестве правового основания обработки этих данных могут быть указаны:

федеральные законы и принятые на их основе нормативные правовые акты, регулирующие отношения, связанные с деятельностью оператора;

уставные документы оператора;

договоры, заключаемые между оператором и субъектом персональных данных;

согласие на обработку персональных данных (в случаях, прямо не предусмотренных законодательством РФ, но соответствующих полномочиям оператора).

Обратите внимание: Закон № 152-ФЗ не может служить правовым основанием обработки персональных данных оператором, поскольку регулирует отношения, связанные с обработкой этих данных, и закрепляет требования, предъявляемые к операторам при обработке этих данных.

4. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных.

Содержание и объем обрабатываемых данных должны соответствовать заявленным целям обработки. Обрабатываемые данные не должны быть избыточными по отношению к заявленным целям их обработки.

К категориям субъектов персональных данных могут быть отнесены в том числе:

работники оператора, бывшие работники, кандидаты на замещение вакантных должностей, родственники работников;

клиенты и контрагенты оператора (физические лица);

представители и работники клиентов и контрагентов оператора (юридических лиц).

В рамках каждой из категорий субъектов и применительно к конкретным целям рекомендуется перечислить все обрабатываемые оператором персональные данные, а также, если применимо, отдельно описать все случаи обработки специальных категорий персональных данных и биометрических персональных данных.

5. Порядок и условия обработки персональных данных.

В этом разделе Роскомнадзор рекомендует указывать перечень действий, совершаемых оператором с персональными данными субъектов, а также используемые оператором способы и сроки обработки данных.

В случае необходимости взаимодействия с третьими лицами в рамках достижения целей обработки персональных данных рекомендуется указывать условия передачи данных в адрес третьих лиц – например, наличие договора поручения на обработку персональных данных, в том числе находящихся за пределами Российской Федерации (трансграничная передача). При этом рекомендуется указать конкретное наименование и местонахождение соответствующих третьих лиц, цели осуществляемой (трансграничной) передачи, объем передаваемых данных, перечень действий по их обработке, способы и иные условия обработки, включая требования к защите обрабатываемых персональных данных.

Кроме того, оператор вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством РФ.

Рекомендуется указывать сведения о соблюдении требований конфиденциальности персональных данных, установленных ст. 7 Закона № 152-ФЗ, а также о принятии оператором мер, предусмотренных ч. 2 ст. 18.1, ч. 1 ст. 19 Закона № 152-ФЗ.

Условием прекращения обработки персональных данных может являться достижение целей обработки, истечение срока действия согласия или отзыв согласия субъекта данных на их обработку, выявление неправомерной обработки персональных данных.

Хранение персональных данных рекомендуется осуществлять в форме, позволяющей определить субъекта данных, и не дольше, чем требуют цели обработки персональных данных, кроме случаев, когда срок хранения данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.

Рекомендуется указывать сроки хранения (конкретная дата (число, месяц, год)) персональных данных и основание, наступление которого повлечет прекращение обработки данных.

К сведению: при осуществлении хранения персональных данных оператор обязан использовать базы данных, находящиеся на территории РФ, в соответствии с ч. 5 ст. 18 Закона № 152-ФЗ.

Также рекомендуется указывать иные условия хранения персональных данных, в том числе при их обработке без использования средств автоматизации.

6. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным.

В случае подтверждения факта неточности данных или неправомерности их обработки персональные данные подлежат их актуализации оператором, а обработка должна быть прекращена (ст. 21 Закона № 152-ФЗ).

При достижении целей обработки персональных данных, а также в случае отзыва субъектом данных согласия на их обработку они подлежат уничтожению, если:

иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;

оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом № 152-ФЗ или иными федеральными законами;

иное не предусмотрено другим соглашением между оператором и субъектом персональных данных.

Оператор обязан сообщить субъекту персональных данных или его представителю информацию об осуществляемой им обработке персональных данных такого субъекта по запросу последнего (ст. 20 Закона № 152-ФЗ).

Кроме этих разделов, в Политику рекомендуется включать регламент(ы) реагирования на запросы, обращения субъектов персональных данных и их представителей, уполномоченных органов по поводу неточности персональных данных, неправомерности их обработки, отзыва согласия и доступа субъекта персональных данных к своим данным, а также соответствующие формы запросов, обращений.

Политика утверждается приказом работодателя. Если принимается новая Политика, приказом следует отменить предыдущую и утвердить новую редакцию Политики.

С Политикой необходимо ознакомить всех работников организации под подпись.

В связи с постоянным развитием компьютерных технологий защите персональных данных уделяется все больше внимания. Сейчас практически каждая организация имеет свой сайт и не просто размещает на нем те или иные сведения, но и осуществляет через него обмен информацией, в том числе персональными данными. При этом на сегодняшний момент Политика мало кем из организаций опубликована.

Еще раз обращаем внимание, что Политика – это отдельный документ, который должен быть у каждого оператора персональных данных, не считая других обязательных локальных актов в сфере обработки и защиты персональных данных. Если у вас еще его нет, его следует разработать, а если есть – привести в соответствие с Рекомендациями. И не стоит относиться к этому формально, ограничиваясь общими нормами Закона № 152-ФЗ, поскольку при проверке будет учитываться не только сам факт наличия Политики, но и то, насколько она соответствует реальному положению дел в области обработки персональных данных в конкретной организации.

Актуализация персональных данных

В соответствии с Федеральным законом от 07.08.2001г. №115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» и Положением Банка России от 15.10.2015г. № 499-П «Об идентификации кредитными организациями клиентов, представителей клиента, выгодоприобретателей и бенефициарных владельцев в целях противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма», Банк обязан идентифицировать клиента, представителя клиента, бенефициарных владельцев клиента и (или) выгодоприобретателя.
Согласно п. 5. Ст. 7 Федерального закона от 07.08.2001г. №115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма»:

Кредитным организациям запрещается:

• открывать и вести счета (вклады) на анонимных владельцев, то есть без предоставления открывающими счет (вклад) физическим или юридическим лицом, иностранной структурой без образования юридического лица документов, необходимых для его идентификации, а также открывать и вести счета (вклады) на владельцев, использующих вымышленные имена (псевдонимы);
• открывать счета (вклады) физическим лицам без личного присутствия лица, открывающего счет (вклад), либо его представителя;
• устанавливать и поддерживать отношения с банками-нерезидентами, не имеющими на территориях государств, в которых они зарегистрированы, постоянно действующих органов управления;
• заключать договор банковского счета (вклада) с клиентом в случае непредставления клиентом, представителем клиента документов, необходимых для идентификации клиента, представителя клиента в случаях, установленных настоящим Федеральным законом.

Кредитные организации вправе:

• отказаться от заключения договора банковского счета (вклада) с физическим или юридическим лицом, иностранной структурой без образования юридического лица в случае наличия подозрений о том, что целью заключения такого договора является совершение операций в целях легализации (отмывания) доходов, полученных преступным путем, или финансирования терроризма;
• расторгнуть договор банковского счета (вклада) с клиентом в случае принятия в течение календарного года двух и более решений об отказе в выполнении распоряжения клиента о совершении операции, за исключением операций по зачислению денежных средств, поступивших на счет физического или юридического лица, иностранной структуры без образования юридического лица, по которой не представлены документы, необходимые для фиксирования информации в соответствии с положениями настоящего Федерального закона, а также в случае, если в результате реализации правил внутреннего контроля в целях противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма у работников организации, осуществляющей операции с денежными средствами или иным имуществом, возникают подозрения, что операция совершается в целях легализации (отмывания) доходов, полученных преступным путем, или финансирования терроризма.

Цель анкетирования

В целях идентификации клиента Банк осуществляет сбор сведений, включенных в Анкету клиента — физического лица. А также в целях идентификации представителей клиента, установления и идентификации бенефициарных владельцев и выгодоприобретателей клиента Банк осуществляет сбор сведений, включенных в Анкету физического лица (представителя/ бенефициарного владельца) и Анкеты выгодоприобретателей (физического лица, юридического лица, индивидуального предпринимателя).

Анкеты клиента

Анкета Клиента — физического лица предоставляется в Банк, заполненная сведениями о физическом лице при первом обращении физического лица в Банк для обслуживания до его начала (получение банковской карты, открытие текущего или депозитного счета, получение кредита) либо при обновлении сведений о клиенте — физическом лице (не реже, чем один раз в течение года с момента предоставления предыдущей анкеты Клиента — Физического лица).

Анкета бенефициарного владельца или представителя клиента предоставляется в Банк, заполненная сведениями: о физическом лице, являющемся представителем и (или) бенефициарным владельцем клиента Банка (юридического лица, индивидуального предпринимателя или физического лица) при первом предоставлении сведений о представителе клиента и (или) бенефициарном владельце, либо при обновлении сведений о представителе клиента и (или) бенефициарном владельце (не реже чем один раз в течение года с момента предоставления предыдущей анкеты). Вышеуказанная анкета предоставляется на представителя клиента, действующего по доверенности, на должностных лиц юридического лица, имеющих право подписи, а также на бенифициарных владельцев.

Анкеты выгодоприобретателя

Анкета выгодоприобретателя физического лица предоставляется в Банк клиентом Банка, заполненная сведениями о физическом лице, которое не участвует в проведении операции данного клиента Банка, но к выгоде которого действует клиент, в том числе на основании агентского договора, договора поручения, комиссии и доверительного управления, при проведении банковских операций и иных сделок.

Анкета выгодоприобретателя юридического лица предоставляется в Банк клиентом Банка, заполненная сведениями о юридическом лице, которое не участвует в проведении операции данного клиента Банка, но к выгоде которого действует клиент, в том числе на основании агентского договора, договора поручения, комиссии и доверительного управления, при проведении банковских операций и иных сделок.

Периодичность обновления

Банк, в соответствии с п.3. ст.7 Федерального закона от 07.08.2001г. №115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма», должен обновлять информацию о клиентах, представителях клиентов, выгодоприобретателях и бенефициарных владельцах не реже одного раза в год, а в случае возникновения сомнений в достоверности и точности ранее полученной информации — в течение семи рабочих дней, следующих за днем возникновения таких сомнений.