Можно ли отозвать персональные данные у МФО по электронной почте со скан-подписью?

Право субъекта ПДн отозвать согласие и отсутствие обязательной формы отзыва

Субъект персональных данных вправе в любой момент отозвать согласие на обработку своих данных. Закон не устанавливает для самого отзыва обязательной письменной формы или обязательного способа доставки (заказного письма) — требование письменной формы (ч. 4 ст. 9) относится только к даче согласия в прямо предусмотренных законом случаях.

Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом
— ч. 1 ст. 9 Федерального закона № 152-ФЗ «О персональных данных»

Для фактов клиента: согласие на обработку ПДн может быть дано «в любой позволяющей подтвердить факт его получения форме» — следовательно, способ выражения волеизъявления субъекта не связан жёстко с бумажным носителем. Отзыв согласия — это одностороннее волеизъявление того же субъекта, и для него закон ещё менее формален.

В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона
— ч. 2 ст. 9 Федерального закона № 152-ФЗ «О персональных данных»

Для фактов клиента: после отзыва оператор вправе продолжить обработку ТОЛЬКО при наличии самостоятельных законных оснований (п. 2–11 ч. 1 ст. 6 и др.) — например, заключение и исполнение договора, взыскание долга. Вне этих оснований обработка после отзыва незаконна. Следовательно, отказ МФО принять отзыв по причине «ненадлежащей формы» юридически неоснователен: форма отзыва законом не ограничена заказным письмом.

В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором
— ч. 5 ст. 21 Федерального закона № 152-ФЗ «О персональных данных»

Для фактов клиента: ч. 5 ст. 21 ФЗ-152 прямо устанавливает, что оператор обязан прекратить обработку и (если сохранение данных более не требуется) уничтожить их в срок, не превышающий 30 дней с даты поступления отзыва — независимо от того, в какой форме отзыв поступил. Течение этого срока начинается с момента получения оператором заявления по электронной почте.

Вывод по вопросу: обязанность направлять отзыв именно заказным письмом с уведомлением законом не установлена. Отзыв согласия на обработку ПДн может быть направлен в любой форме, подтверждающей его поступление оператору, в том числе по электронной почте со скан-копией подписанного заявления. Требование МФО ограничить способ передачи отзыва только заказным письмом не имеет правового основания.

Надлежащая электронная форма отзыва согласия и роль электронной подписи

Отдельно от ФЗ-152 закон для микрофинансовых организаций прямо регламентирует форму отзыва согласия при взаимодействии по возврату просроченной задолженности — это подтверждает правомерность электронного канала.

1. по адресу электронной почты, указанному на официальном сайте кредитора или представителя кредитора в сети "Интернет" либо указанному при заключении договора или иного соглашения между кредитором и должником, при условии направления должником сообщения с адреса электронной почты должника, указанного при заключении договора или иного соглашения между кредитором и должником либо предоставленного должником кредитору иным способом, согласованным сторонами
   — п. 3 ч. 4 ст. 4 Федерального закона № 230-ФЗ

Для фактов клиента: закон № 230-ФЗ прямо допускает направление уведомления «по адресу электронной почты, указанному на официальном сайте кредитора либо указанному при заключении договора», при условии совпадения адреса отправителя с адресом, который должник указывал кредитору. Если клиент отправлял заявление с e-mail, зафиксированного в договоре МФО, на e-mail МФО с её официального сайта — этот способ прямо разрешён законом для отмены/отзыва в отношениях с МФО.

Должник в любое время вправе отозвать согласие, указанное в пункте 1 части 5 настоящей статьи, сообщив об этом кредитору или представителю кредитора , которому дано соответствующее согласие, путем направления уведомления способами, предусмотренными частью 4 настоящей статьи, уполномоченному лицу кредитора или представителю кредитора . В случае получения такого уведомления кредитор и (или) представитель кредитора обязаны прекратить направленное на возврат просроченной задолженности взаимодействие с третьим лицом не позднее трех рабочих дней после дня получения уведомления
— ч. 7 ст. 4 Федерального закона № 230-ФЗ

может быть отозвано третьим лицом в любое время путем сообщения об этом кредитору или представителю кредитора, которым дано соответствующее согласие, в любой позволяющей подтвердить факт его отзыва форме
— ч. 7¹ ст. 4 Федерального закона № 230-ФЗ

Для фактов клиента: закон прямо разрешает отзывать согласие «в любой позволяющей подтвердить факт его отзыва форме» — то есть электронная форма без обязательного заверения усиленной ЭП считается достаточной, если факт отзыва можно подтвердить. Для самого должника законодатель придерживается того же подхода (способы ч. 4 ст. 4 ФЗ-230, включая е-mail).

Развилка о роли электронной подписи. ФЗ-152 в ч. 4 ст. 9 требует подписания электронной подписью лишь для признания электронного согласия равнозначным бумажному с собственноручной подписью, и лишь в случаях, когда письменная форма согласия обязательна по закону.

Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; 2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных); 3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных; 4) цель обработки персональных данных; 5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных; 6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
— ч. 4 ст. 9 Федерального закона № 152-ФЗ «О персональных данных»

Для фактов клиента: это правило касается дачи согласия, а не отзыва. Скан-копия заявления с рукописной подписью, направленная по e-mail, не является «электронным документом, подписанным электронной подписью» в смысле ФЗ-63 (скан подписи ≠ электронная подпись), поэтому на неё не распространяется автоматическая равнозначность по ст. 6 ФЗ-63.

Информация в электронной форме, подписанная квалифицированной электронной подписью, признается электронным документом, равнозначным документу на бумажном носителе, подписанному собственноручной подписью, и может применяться в любых правоотношениях в соответствии с законодательством Российской Федерации, кроме случая, если федеральными законами или принимаемыми в соответствии с ними нормативными правовыми актами установлено требование о необходимости составления документа исключительно на бумажном носителе. (В редакции Федерального закона от 30.12.2015 № 445-ФЗ) 2. Информация в электронной форме, подписанная простой электронной подписью или неквалифицированной электронной подписью, признается электронным документом, равнозначным документу на бумажном носителе, подписанному собственноручной подписью, в случаях, установленных федеральными законами, принимаемыми в соответствии с ними нормативными правовыми актами, нормативными актами Центрального банка Российской Федерации (далее - нормативные правовые акты) или соглашением между участниками электронного взаимодействия, в том числе правилами платежных систем (далее - соглашения между участниками электронного взаимодействия).
— ч. 1, 2 ст. 6 Федерального закона № 63-ФЗ «Об электронной подписи»

Для фактов клиента: из изложенного не следует, что такой скан «недействителен» — он является надлежащим волеизъявлением субъекта ПДн в форме, подтверждающей факт поступления (ч. 1 ст. 9 ФЗ-152, ч. 7¹ ст. 4 ФЗ-230), хотя и не пользуется презумпцией равнозначности электронной подписи как таковой. Если оператор оспаривает факт подписания, бремя доказывания получения согласия и правомерности обработки лежит на операторе (ч. 3 ст. 9 ФЗ-152), а не на субъекте.

Вывод по вопросу: направление отзыва согласия по электронной почте со скан-копией заявления с рукописной подписью является юридически допустимой формой отзыва. Ни ФЗ-152, ни ФЗ-230 не требуют для отзыва строго заказного письма. Скан подписи не является электронной подписью по ФЗ-63, но для отзыва это не требуется — отзыв даётся в любой форме, подтверждающей его поступление. При споре именно оператор доказывает правомерность продолжения обработки.

Что делать при отказе МФО и последствия (субъект ПДн как потребитель)

Если МФО уклоняется от прекращения обработки после полученного отзыва либо навязывает единственный способ направления (заказное письмо), клиент вправе обжаловать действия оператора.

Обращение в Роскомнадзор

Уполномоченный орган по защите прав субъектов персональных данных рассматривает обращения субъекта персональных данных о соответствии содержания персональных данных и способов их обработки целям их обработки и принимает соответствующее решение. 3. Уполномоченный орган по защите прав субъектов персональных данных имеет право: 1) запрашивать у физических или юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию; 2) осуществлять проверку сведений, содержащихся в уведомлении об обработке персональных данных, или привлекать для осуществления такой проверки иные государственные органы в пределах их полномочий; 3) требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных; 3 1 ) ограничивать доступ к информации, обрабатываемой с нарушением законодательства Российской Федерации в области персональных данных, в порядке, установленном законодательством Российской Федерации; (Дополнение пунктом - Федеральный закон от 21.07.2014 № 242-ФЗ) 4) принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований настоящего Федерального закона; 5) обращаться в суд с исковыми заявлениями в защиту прав субъектов персональных данных, в том числе в защиту прав неопределенного круга лиц, и представлять интересы субъектов персональных данных в суде;
— ч. 2 ст. 23 Федерального закона № 152-ФЗ «О персональных данных»

Для фактов клиента: уполномоченный орган — Роскомнадзор — обязан рассмотреть обращение субъекта ПДн о соответствии обработки целям и принять решение. Полномочия Роскомнадзора включают:

требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных; 3 1 ) ограничивать доступ к информации, обрабатываемой с нарушением законодательства Российской Федерации в области персональных данных, в порядке, установленном законодательством Российской Федерации; (Дополнение пунктом - Федеральный закон от 21.07.2014 № 242-ФЗ) 4) принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований настоящего Федерального закона; 5) обращаться в суд с исковыми заявлениями в защиту прав субъектов персональных данных, в том числе в защиту прав неопределенного круга лиц, и представлять интересы субъектов персональных данных в суде; (В редакции Федерального закона от 25.07.2011 № 261-ФЗ) 5 1 ) направлять в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, и федеральный орган исполнительной власти, уполномоченный в области противодействия техническим разведкам и технической защиты информации, применительно к сфере их деятельности, сведения, указанные в пункте 7 части 3 статьи 22 настоящего Федерального закона;
— п. 3 ч. 3 ст. 23 Федерального закона № 152-ФЗ «О персональных данных»

Для фактов клиента: Роскомнадзор вправе потребовать от МФО прекращения незаконной обработки и принять меры по приостановлению или прекращению обработки (п. 4 ч. 3 ст. 23 ФЗ-152). Таким образом, жалоба в Роскомнадзор — эффективный бесплатный административный механизм защиты, не требующий судебных расходов.

Судебная защита

субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке. 2. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке. Глава 4. Обязанности оператора Статья 18. Обязанности оператора при сборе персональных данных 1. При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 7 статьи 14 настоящего Федерального закона. 2. Если в соответствии с федеральным законом предоставление персональных данных и (или) получение оператором согласия на обработку персональных данных являются обязательными, оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 3. Если персональные данные получены не от субъекта персональных данных, оператор, за исключением случаев, предусмотренных частью 4 настоящей статьи, до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию: 1) наименование либо фамилия, имя, отчество и адрес оператора или его представителя; 2) цель обработки персональных данных и ее правовое основание; 2 1 ) перечень персональных данных;
— ч. 1, 2 ст. 17 Федерального закона № 152-ФЗ «О персональных данных»

Для фактов клиента: судебный порядок — альтернативный или последующий способ защиты. Иск подаётся в районный суд по месту жительства истца или месту нахождения ответчика (оператора).

Защита прав потребителя

Защита прав потребителя (клиент МФО — потребитель финансовой услуги). Если в договоре МФО закреплено условие, что отзыв согласия/обращения принимается «только заказным письмом», такое условие, ограничивающее потребителя в средствах и способах защиты нарушенных прав, является недопустимым и ничтожным.

условия, которые ограничивают потребителя в средствах и способах защиты нарушенных прав; 14) условия, которые ставят удовлетворение требований потребителей в отношении товаров (работ, услуг) с недостатками в зависимость от условий, не связанных с недостатками товаров (работ, услуг); 15) иные условия, нарушающие правила, установленные международными договорами Российской Федерации, настоящим Законом, законами и принимаемыми в соответствии с ними иными нормативными правовыми актами Российской Федерации, регулирующими отношения в области защиты прав потребителей. 3. Продавец (исполнитель, владелец агрегатора) не вправе отказывать в заключении, исполнении договора, направленного на приобретение одних товаров (работ, услуг), по причине отказа потребителя в приобретении иных товаров (работ, услуг). Убытки, причиненные потребителю вследствие нарушения его права на свободный выбор товаров (работ, услуг), возмещаются продавцом (исполнителем, владельцем агрегатора) в полном объеме. Запрещается удовлетворение требований потребителей в отношении товаров (работ, услуг) с недостатками ставить в зависимость от условий, не связанных с недостатками товаров (работ, услуг). Запрещается отказ в заключении договора и во внесении изменений в договор в случае правомерного указания потребителем на недопустимые условия договора, ущемляющие права потребителя, в целях исключения таких условий.
— п. 13 ст. 16 Закона РФ «О защите прав потребителей»

Для фактов клиента: включение в договор условия, исключающего иные способы направления заявлений и ущемляющего право на свободное выражение волеизъявления, ничтожно. Даже если подобное условие есть, оно не может служить основанием для отказа МФО принять отзыв по электронной почте.

Компенсация морального вреда

Гражданско-правовые последствия незаконного продолжения обработки: субъект вправе требовать возмещения убытков и компенсации морального вреда (ч. 2 ст. 17 ФЗ-152, ст. 151 ГК РФ).

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда
— ст. 151 ГК РФ, п. 2

Для фактов клиента: продолжение МФО обработки ПДн после отзыва при отсутствии законных оснований (ч. 2 ст. 9 ФЗ-152) образует нарушение личного неимущественного права на неприкосновенность частной жизни, дающее право требовать компенсации морального вреда в судебном порядке. Продолжение обработки без согласия при отсутствии оснований является также административным правонарушением (ст. 13.11 КоАП РФ), что дополнительно мотивирует МФО прекратить обработку.

Вывод по вопросу: при отказе МФО прекратить обработку после отзыва, направленного по электронной почте, клиент вправе: (1) обратиться с жалобой в Роскомнадзор, который вправе обязать оператора прекратить обработку (ст. 23 ФЗ-152); (2) подать иск в районный суд об обязании уничтожить данные и взыскании компенсации морального вреда (ст. 17 ФЗ-152, ст. 151 ГК). Условие договора о приёме заявлений «только заказным письмом» ничтожно как ограничивающее права потребителя (ст. 16 ЗоЗПП). При этом, чтобы избежать спора о факте получения, клиенту целесообразно дублировать отзыв также заказным письмом с уведомлением либо сохранить доказательства отправки по e-mail (скриншот, письмо с уведомлением о прочтении) — это вопрос доказательств, а не юридической обязательности.