Сотрудники банка в аэропорту сфотографировали паспорт и прописку без согласия — зачем и законно ли это, можно ли оспорить

Является ли фото паспорта и страницы с пропиской персональными данными и на каком основании банк вправе их обрабатывать

Фотография паспорта и страницы с пропиской — это персональные данные в смысле ФЗ № 152-ФЗ: из них прямо определяются конкретное лицо, серия/номер документа, дата выдачи, место регистрации. Съёмка таких страниц на телефон — это «сбор» и «запись» персональных данных, то есть их обработка.

персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 1 1 ) персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом; (Дополнение пунктом - Федеральный закон от 30.12.2020 № 519-ФЗ ) 2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
— п. 2, 3 ст. 3 ФЗ № 152-ФЗ «О персональных данных»

Значит, любое действие банка (его сотрудника) с фото паспорта — сбор, хранение, использование — подчиняется правилам 152-ФЗ независимо от того, на какой носитель (личный телефон) оно происходит.

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов
   — ч. 1 ст. 9 ФЗ № 152-ФЗ

Из этого следует: согласие на обработку персональных данных должно быть конкретным, предметным, информированным и однозначным, а в случаях, предусмотренных федеральным законом, — только письменным и оформленным отдельным документом. Устное «дайте-ка я сфотографирую» или молчание само по себе не образуют надлежащего согласия, а бремя доказывания наличия согласия или иного законного основания лежит на банке, а не на гражданине.

1. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. 3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
   — ч. 2, 3 ст. 9 ФЗ № 152-ФЗ

Вместе с тем есть важная оговорка: банк, оформляющий карту, вправе обрабатывать данные клиента без отдельного согласия, если это необходимо для заключения и исполнения договора по инициативе самого клиента (п. 5 ч. 1 ст. 6 152-ФЗ) и для выполнения обязанности по идентификации клиента, возложенной законом (115-ФЗ):

1. Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; 3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах; (В редакции Федерального закона от 29.07.2017 № 223-ФЗ ) 3 1 ) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта); (Дополнение пунктом - Федеральный закон от 29.07.2017 № 223-ФЗ ) 4) обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года № 210-ФЗ "Об организации предоставления государственных и муниципальных услуг", включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг; (В редакции Федерального закона от 05.04.2013 № 43-ФЗ ) 5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных
   — п. 1 ст. 6 ФЗ № 152-ФЗ

Вывод по вопросу: фото паспорта и страницы с пропиской — персональные данные, и их фиксация сотрудником банка — обработка, требующая правового основания. Таким основанием выступает либо отдельное письменное согласие клиента (ст. 9 152-ФЗ), либо законная обязанность банка по идентификации клиента и заключению договора (п. 5 ч. 1 ст. 6 152-ФЗ во взаимосвязи с 115-ФЗ). Однако само по себе фотографирование паспорта на ЛИЧНЫЙ телефон сотрудника не является ни обязательной формой идентификации, ни надлежащим оформлением согласия — это способ фиксации, который должен быть прямо предусмотрен и согласован.

Вправе ли банк снимать копию (фото) паспорта и обязан ли он обеспечивать сохранность сведений

Порядок открытия счёта и выпуска карты для банка урегулирован подзаконным актом Банка России — Инструкцией № 153-И. Именно она определяет, как банк фиксирует документ, удостоверяющий личность.

Основанием открытия счета является заключение договора счета соответствующего вида и представление до открытия счета всех документов и информации, определенных законодательством Российской Федерации, при условии, что в целях исполнения Федерального закона № 115-ФЗ: проведена идентификация клиента, его представителя, выгодоприобретателя;
— п. 1.2 Инструкции Банка России № 153-И

Инструкция прямо допускает изготовление банком копии документа, удостоверяющего личность, и ограничивает объём: можно копировать только отдельные страницы с необходимыми банку сведениями.

Банк обязан располагать копиями документов, удостоверяющих личность клиента, а также лиц, личности которых необходимо установить при открытии счета, либо сведениями об их реквизитах: серия и номер документа, дата выдачи документа, наименование органа, выдавшего документ, и код подразделения (если имеется) (далее – реквизиты документа, удостоверяющего личность). При изготовлении копии документа, удостоверяющего личность, допускается копирование отдельных страниц, содержащих необходимые банку сведения.
— п. 1.8 Инструкции Банка России № 153-И

Это означает, что по существу банк вправе располагать копией паспорта клиента (в том числе в электронном виде) и сведениями о реквизитах документа — но такое копирование производится как элемент процедуры открытия счёта, оформляется в установленном банком порядке (банковские правила) и должно храниться в юридическом деле клиента, а не в личном телефоне сотрудника. При этом изготовление копии в электронном виде допускается с заверением аналогом собственноручной подписи, то есть в рамках формализованной процедуры.

В соответствии с пунктом 5 статьи 7 Федерального закона № 115-ФЗ кредитным организациям запрещается открывать банковские счета, счета по вкладам физическим лицам без личного присутствия лица, открывающего банковский счет (счет по вкладу), либо его представителя.
— п. 1.1 Инструкции Банка России № 153-И

Сохранность этих сведений обеспечивается режимом банковской тайны: банк обязан гарантировать тайну сведений о клиенте, и все служащие обязаны её хранить.

1. Банк гарантирует тайну банковского счета и банковского вклада, операций по счету и сведений о клиенте. 2. Сведения, составляющие банковскую тайну, могут быть предоставлены только самим клиентам или их представителям, а также представлены в бюро кредитных историй на основаниях и в порядке, которые предусмотрены законом. Государственным органам и их должностным лицам, а также иным лицам такие сведения могут быть предоставлены исключительно в случаях и порядке, которые предусмотрены законом.
   — п. 1, 2 ст. 857 ГК РФ

Кредитная организация, Банк России, организация, осуществляющая функции по обязательному страхованию вкладов, гарантируют тайну об операциях, о счетах и вкладах своих клиентов и корреспондентов. Все служащие кредитной организации обязаны хранить тайну об операциях, о счетах и вкладах ее клиентов и корреспондентов, а также об иных сведениях, устанавливаемых кредитной организацией, если это не противоречит федеральному закону. Справки по операциям и счетам юридических лиц и граждан, осуществляющих предпринимательскую деятельность без образования юридического лица, выдаются кредитной организацией им самим, судам и арбитражным судам (судьям), Счетной палате Российской Федерации, налоговым органам, Фонду пенсионного и социального страхования Российской Федерации и органам принудительного исполнения судебных актов, актов других органов и должностных лиц в случаях, предусмотренных законодательными актами об их деятельности, а при наличии согласия руководителя следственного органа - органам предварительного следствия по делам, находящимся в их производстве.
— ст. 26 ФЗ «О банках и банковской деятельности»

Вывод по вопросу: банк как кредитная организация вправе иметь копию документа, удостоверяющего личность (в том числе электронную), для идентификации клиента, но только при условии, что это оформлено как часть процедуры открытия счёта, в соответствии с банковскими правилами, с ограничением объёма копируемых страниц, и такие сведения хранятся под режимом банковской тайны. Фиксация фото на личный мобильный телефон сотрудника вне формализованного порядка хранения (в юридическом деле) этому не соответствует и создаёт дополнительный риск утечки.

Можно ли оспорить фотографирование и потребовать удалить фото

Гражданин вправе требовать прекращения неправомерной обработки и уничтожения данных. Механизм прямо предусмотрен ст. 21 152-ФЗ: достаточно обращения к оператору (банку); при отзыве согласия обработка подлежит прекращению, а данные — уничтожению в установленные сроки.

1. В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение.
   — ч. 3 ст. 21 ФЗ № 152-ФЗ

1. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва
   — ч. 5 ст. 21 ФЗ № 152-ФЗ

Поскольку обязанность доказать наличие согласия (или иного законного основания) несёт банк, а фото на личный телефон оформлено вне надлежащей процедуры, у клиента есть все основания заявить требование о блокировании/уничтожении таких копий.

Кроме того, сведения о месте жительства (прописке) прямо отнесены к охраняемой информации о частной жизни гражданина, сбор которой без согласия не допускается, а при нарушении закона — подлежат удалению с материальных носителей:

1. Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни. Не являются нарушением правил, установленных абзацем первым настоящего пункта, сбор, хранение, распространение и использование информации о частной жизни гражданина в государственных, общественных или иных публичных интересах, а также в случаях, если информация о частной жизни гражданина ранее стала общедоступной либо была раскрыта самим гражданином или по его воле. 2. Стороны обязательства не вправе разглашать ставшую известной им при возникновении и (или) исполнении обязательства информацию о частной жизни гражданина, являющегося стороной или третьим лицом в данном обязательстве, если соглашением не предусмотрена возможность такого разглашения информации о сторонах. 3. Неправомерным распространением полученной с нарушением закона информации о частной жизни гражданина считается, в частности, ее использование при создании произведений науки, литературы и искусства, если такое использование нарушает интересы гражданина. 4. В случаях, когда информация о частной жизни гражданина, полученная с нарушением закона, содержится в документах, видеозаписях или на иных материальных носителях, гражданин вправе обратиться в суд с требованием об удалении соответствующей информации, а также о пресечении или запрещении дальнейшего ее распространения путем изъятия и уничтожения без какой бы то ни было компенсации изготовленных в целях введения в гражданский оборот экземпляров материальных носителей, содержащих соответствующую информацию, если без уничтожения таких экземпляров материальных носителей удаление соответствующей информации
   — п. 1, 4 ст. 152.2 ГК РФ

Вывод по вопросу: фотографирование паспорта с пропиской можно и нужно оспорить. Практический путь — письменное обращение в банк (требование прекратить обработку и уничтожить фото), а при отказе — жалоба в Роскомнадзор (уполномоченный орган по защите прав субъектов ПД) и в суд (требование об удалении информации, ст. 152.2 ГК РФ). Если согласия в письменной форме не было и обработка фото не ограничена предусмотренной законом целью идентификации, такая обработка неправомерна и подлежит прекращению с уничтожением данных.

Ответственность банка и компенсация морального вреда

За нарушение правил обработки персональных данных установлена административная ответственность, а уполномоченный орган (Роскомнадзор) вправе принимать меры и направлять материалы.

Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния
— ч. 1 ст. 13.11 КоАП РФ

1. Лица, виновные в нарушении требований настоящего Федерального закона, несут предусмотренную законодательством Российской Федерации ответственность.
   — ч. 1 ст. 24 ФЗ № 152-ФЗ

Сверх того, лицу, чьи персональные данные обработаны с нарушением, закон прямо гарантирует возмещение морального вреда независимо от возмещения имущественного вреда и убытков:

1. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков. (Дополнение частью - Федеральный закон от 25.07.2011 № 261-ФЗ ) Глава 6. Заключительные положения
   — ч. 1, 2 ст. 24 ФЗ № 152-ФЗ

Основание компенсации закреплено и в ГК РФ — нарушение личных неимущественных прав (неприкосновенность частной жизни):

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда.
— ст. 151 ГК РФ

Вывод по вопросу: при неправомерной фиксации фото паспорта на личный телефон сотрудника банк несёт административную ответственность по ч. 1 ст. 13.11 КоАП РФ (обработка ПД в случаях, не предусмотренных законом), а клиент вправе требовать в суде компенсации морального вреда (ч. 2 ст. 24 152-ФЗ, ст. 151, 152.2 ГК РФ). Ответчиком выступает банк как оператор персональных данных; обращение возможно одновременно с жалобой в Роскомнадзор.

Правовые последствия для заключённости договора о карте и риски (развилки)

Здесь есть два существенно разных сценария, и ответ зависит от того, подписывал ли клиент что-либо (пусть даже в приложении планшета сотрудника) и выдана ли/активирована карта.

Ветка А — договор НЕ заключён (документы не подписывались, воля на выпуск карты не зафиксирована). Если клиент ничего не подписывал и не подтверждал согласие с условиями, то обязательств по карте, по аналогии с ранее установленным подходом (п. 1 ст. 160, п. 1 ст. 846 ГК РФ: договор считается заключённым лишь при выражении воли клиента способом, позволяющим её достоверно установить), может не возникнуть. В таком случае фотографирование паспорта происходило вне договорных отношений, что усиливает вывод о неправомерности обработки и об отсутствии основания «исполнение договора» (п. 5 ч. 1 ст. 6 152-ФЗ).

Ветка Б — договор заключён (подписано заявление/согласие, карта активирована). Тогда обработка сведений паспорта для идентификации и обслуживания карты имеет законное основание, но это не отменяет требования к надлежащему хранению копий (юридическое дело, банковские правила, режим банковской тайны) и не легализует хранение фото на личном телефоне сотрудника.

Независимо от ветки сохраняются риски использования фото паспорта в мошеннических целях (оформление кредитов, сим-карт) — аналогично ранее установленному: при появлении таких фактов применяются ст. 159 УК РФ и механизм оспаривания записей по Федеральному закону «О кредитных историях» (ч. 3, 4 ст. 8 ФЗ № 218-ФЗ), а сам спор о защите потребителя рассматривается судом по выбору истца.

Вывод по вопросу:

• если вы ничего не подписывали — договор о карте, вероятно, не заключён, и у вас есть два самостоятельных требования: (1) признать отсутствие обязательств и оспорить любые записи/списания, (2) потребовать уничтожения фото паспорта как неправомерно обработанных данных;
• если документы подписывались — договор действует, но требование об удалении фото с личного телефона сотрудника и о надлежащем хранении сведений в режиме банковской тайны сохраняется в полном объёме.

В обоих случаях линия защиты единая: письменное обращение в банк → жалоба в Роскомнадзор (и, если банк поднадзорен, в Банк России/Роспотребнадзор) → при отказе — иск в суд об удалении информации и компенсации морального вреда.