Как банки собирают и используют персональные данные клиентов — и как защитить свои

Какие данные собирают банки и зачем

В соответствии с федеральным законом № 115-ФЗ банки обязаны собирать и актуализировать информацию о клиентах. Это необходимо для:

• идентификации личности клиента;
• оценки финансового и операционного риска;
• заключения договоров (например, на открытие счёта или выдачу кредита);
• передачи информации в Центральный банк и иные органы;
• обеспечения финансовой безопасности.

Какие данные запрашивают:

• ФИО, дата рождения, паспортные данные, СНИЛС, ИНН;
• контактные данные (номер телефона, адрес, email);
• сведения о доходах, месте работы;
• при необходимости — биометрические данные (фото, голос).

Банки не вправе запрашивать информацию без получения согласия клиента. Это согласие может быть выражено как на бумаге, так и в электронной форме — например, при подаче заявки на открытие счёта через сайт.

Что считается обработкой персональных данных

Любое действие, связанное с получением и использованием информации — это обработка данных. К ним относятся:

• сбор и систематизация;
• хранение и использование;
• передача (в том числе третьим лицам);
• обезличивание и удаление.

Банк обязан обеспечить защиту данных на всех этапах работы с ними. За соблюдением требований следят Роскомнадзор, ФСТЭК, ФСБ и Центральный банк РФ. Нарушение может повлечь за собой серьёзные штрафы (в том числе по закону № 420-ФЗ с 30 мая 2025 года).

Кто может получить доступ к данным клиента

С согласия клиента банки могут передавать персональные данные:

• курьерским службам (например, для доставки карт);
• страховым компаниям (при оформлении сопутствующих продуктов);
• бюро кредитных историй;
• партнёрским организациям (по программам лояльности или предложениям).

Закон требует, чтобы банк получал отдельное согласие на каждую передачу данных, с указанием конкретного получателя, целей и срока обработки. Автоматическое продление срока хранения не допускается.

Есть ситуации, в которых банк вправе предоставить данные без согласия клиента — например, по запросу суда или судебных приставов, если такая передача предусмотрена законом.

Как банки хранят персональные данные

По закону № 115-ФЗ банки обязаны хранить данные в течение срока действия договора, а после его расторжения — ещё 5 лет. По истечении этого срока данные уничтожаются без дополнительного уведомления клиента.

Как часто банки запрашивают или обновляют данные

Финансовые учреждения обязаны регулярно актуализировать сведения о клиентах. Это касается:

• паспортных данных (например, при смене фамилии или получении нового паспорта);
• адреса проживания;
• номера телефона и других контактных данных.

Если информация устарела или недействительна, банк вправе приостановить обслуживание до её обновления.

Актуализировать данные можно:

• в офисе банка;
• по телефону;
• в личном кабинете или мобильном приложении;
• через доступ к профилю на Госуслугах (по желанию клиента).

Что нужно знать о биометрии

Сдача биометрических данных (фотографий, отпечатков, голоса) не является обязательной. Однако они могут облегчить удалённую идентификацию и ускорить обслуживание.

Важно: банк не вправе передавать биометрию третьим лицам или в ЕБС (Единую биометрическую систему) без отдельного согласия клиента.

Как отозвать согласие на обработку данных

Согласно Федеральному закону № 152-ФЗ, клиент имеет право в любой момент:

• отозвать ранее выданное согласие на обработку данных;
• ограничить объём предоставляемой информации;
• отказаться от рекламных рассылок.

Для этого необходимо подать заявление в банк — лично или в электронном виде. Через 30 календарных дней персональные данные подлежат удалению (если не требуется иное по закону).

Однако даже при отзыве согласия банк может продолжить хранить данные, если:

• действует договор (счёт, кредит, вклад);
• есть непогашенная задолженность;
• данные необходимы для исполнения требований 115-ФЗ или иного законодательства.

Чек-лист: как понять, что банк соблюдает правила работы с персональными данными

✔️ Запрашивает только необходимую информацию;
✔️ Получает согласие на обработку и передачу данных;
✔️ Указывает сроки и цели обработки в согласии;
✔️ Предоставляет возможность отозвать согласие;
✔️ Имеет политику обработки данных, опубликованную на сайте;
✔️ Применяет технические меры защиты (двухфакторная аутентификация, шифрование и др.).

Заключение

Сбор и обработка персональных данных — неотъемлемая часть банковского обслуживания. При этом клиент сохраняет право контролировать, кому и в каких объёмах он предоставляет информацию.