Персональные данные в банке: что банк вправе требовать и что с ними делает

Когда открываешь счет в банке или оформляешь карту, паспортные данные спрашивают сразу и без обсуждений. Персональные данные в банке - это не просто фамилия и телефон для связи: банк по закону обязан собрать значительно больше, чем требуется в среднем интернет-магазине или клинике. И одновременно у банка есть свои границы - часть сведений он вправе получить только с отдельного согласия, а не потому что так удобнее оформить сделку.

Разница между обязательным минимумом и тем, что банк собирает заодно, часто вообще не объясняется клиенту - ни в отделении, ни в мобильном приложении. Дальше по пунктам: что банк обязан спросить, на что нужно ваше согласие отдельно, куда уходят данные и что делать, если банк требует явно лишнее.

Два закона работают одновременно, и это не ошибка

Первое, что стоит понять, когда банк требует персональные данные: банк - оператор персональных данных по 152-ФЗ, как и любая другая компания. Но поверх этого закона на банк накладывается специальное регулирование - закон 115-ФЗ о противодействии легализации доходов, полученных преступным путем, и финансированию терроризма. Именно 115-ФЗ обязывает банк идентифицировать клиента перед тем, как оказать услугу: открыть счет, выдать карту, провести перевод сверх определенной суммы.

Из-за этого банк - редкий случай, когда компания обязана собрать объем данных, который для интернет-магазина или салона красоты выглядел бы избыточным и нарушал бы принцип минимизации, закрепленный в 152-ФЗ. Для банка такая избыточность законна: она прямо предписана другим федеральным законом, и статья 6 152-ФЗ как раз допускает обработку без согласия, если это необходимо для исполнения обязанности, возложенной на оператора другим законом.

Проблема не в том, что банк собирает много данных. Проблема в том, что клиенту редко объясняют, какая часть - обязательный минимум по 115-ФЗ, а какая уже добровольная, на отказ от которой банк не вправе ответить прекращением обслуживания. Дальше разберем эту границу по пунктам.

Что банк обязан собрать при открытии счета или карты

Обязательный минимум почти одинаков во всех банках, потому что его задает не внутренняя политика конкретного банка, а требования Банка России и 115-ФЗ к идентификации клиента.

Для физического лица

При открытии счета, вклада или карты банк обязан получить как минимум:

• фамилию, имя, отчество, если оно есть;
• дату и место рождения;
• гражданство;
• реквизиты паспорта или иного документа, удостоверяющего личность;
• адрес регистрации и, если отличается, адрес фактического проживания;
• ИНН, если он у вас есть - предоставление формально добровольное, но большинство банков его запрашивают;
• контактный телефон.

Отказаться дать эти данные и одновременно получить услугу нельзя: без идентификации по 115-ФЗ банк обязан отказать в открытии счета или проведении операции. Это тот редкий случай, когда отказ сотрудника банка обслуживать без согласия на обработку персональных данных - не давление, а прямое требование закона.

Для владельца бизнеса

Если открываете расчетный счет для ИП или ООО, банк соберет данные не только на компанию, но и на людей: на директора, на ИП как физическое лицо, а также на конечных бенефициаров - тех, кто реально контролирует бизнес, даже если формально не указан в учредительных документах. Это тоже требование 115-ФЗ, а не прихоть конкретного банка: закон обязывает выявлять бенефициарных владельцев у всех клиентов - юридических лиц.

На практике это значит, что при открытии счета для интернет-магазина банк попросит паспортные данные не только у владельца ИП, но и, например, у совладельца с долей от 25 процентов, если такой есть. Отказ раскрыть эту информацию - законное основание для банка отказать в обслуживании или заблокировать уже открытый счет.

Категория данных	Основание сбора	Можно ли отказаться
ФИО, паспорт, адрес, ИНН	требование 115-ФЗ, идентификация клиента	нет, без этого счет не откроют
Данные бенефициаров бизнеса	требование 115-ФЗ, проверка юридических лиц	нет, если у компании есть совладельцы
Кредитная история и скоринговые данные	необходимость для исполнения договора займа	нет, если оформляете кредит
Телефон и email для рекламных рассылок	отдельное согласие на маркетинг	да, можно отказаться при оформлении
Данные для предложений от партнеров банка	отдельное согласие	да, обычно отдельный чекбокс
Геолокация в мобильном приложении	согласие в пользовательском соглашении приложения	да, можно ограничить в настройках телефона

На что банку нужно отдельное согласие

Отдельно от обязательного минимума банк почти всегда просит согласие на обработку персональных данных в банке для целей, которые не связаны напрямую с оказанием банковской услуги. Самый частый пример - маркетинговые рассылки: SMS о новой карте с кэшбэком, звонки от контакт-центра с предложением рефинансирования, push-уведомления в приложении о партнерских акциях.

Такое согласие не должно быть условием обслуживания. Банк не вправе отказать в открытии счета из-за того, что клиент не согласился на рекламные рассылки - это два разных юридических основания, и закон требует их разделять, а не объединять в одну общую галочку. На практике банки иногда все же сваливают согласие на маркетинг и согласие на обслуживание в один пункт при регистрации в приложении, и формально это спорная практика: если реклама спрятана внутри общего согласия на обслуживание, у клиента есть основание оспорить именно эту часть, не трогая договор в целом.

Хорошая новость - согласие на маркетинг можно отозвать в любой момент, и это не повлияет на уже открытый счет или действующий кредит. Отзыв обычно доступен прямо в приложении банка, в разделе с настройками уведомлений, либо через письменное заявление в отделении. Если банк продолжает присылать рекламные SMS после отзыва согласия, это нарушение, с которым можно обращаться и в сам банк с претензией, и в Роскомнадзор. Правила и сроки такого отзыва разобраны отдельно в статье про отзыв согласия на обработку персональных данных: логика применима и к банку, и к любому другому оператору.

Отдельная история - согласие на передачу данных партнерам банка: страховым компаниям при оформлении полиса вместе с кредитом, брокерам, сервисам кэшбэка. Здесь стоит читать не сам факт наличия чекбокса, а формулировку рядом с ним: часто под общей фразой о согласии на обработку данных партнерами скрывается десяток конкретных компаний, список которых вынесен в отдельный документ по ссылке, которую мало кто открывает.

Бюро кредитных историй: зачем банк передает туда данные

Если вы хоть раз брали кредит или кредитную карту, ваши данные почти наверняка попали в бюро кредитных историй, сокращенно БКИ. Это отдельная организация, а не часть банка, и работает она по своему закону о кредитных историях, а не по общим правилам 152-ФЗ о передаче третьим лицам.

Схема простая: при оформлении кредита банк, как правило, просит согласие на передачу сведений в одно или несколько БКИ. Туда уходит информация о сумме, сроке, платежной дисциплине - вносите ли вы платежи вовремя, были ли просрочки, закрыт ли кредит досрочно. Из этих данных потом складывается кредитная история, которую видят другие банки при рассмотрении новых заявок.

Важный нюанс: отказаться от передачи данных в БКИ формально можно, но на практике это почти всегда означает отказ в выдаче кредита. Банк оценивает риски именно по кредитной истории, и без нее решение либо не примет вовсе, либо примет по худшему сценарию. Формально согласие добровольное, а фактически - обязательное условие для получения кредита, о чем банки редко предупреждают прямо.

Права клиента здесь тоже есть: кредитную историю можно проверить самостоятельно, без объяснения причин, через Госуслуги или напрямую в бюро, где она хранится - узнать, в каком именно БКИ лежат ваши данные, можно через центральный каталог кредитных историй. Если в отчете обнаружилась ошибка - кредит, который вы не брали, или просрочка, которой не было, - можно подать заявление на оспаривание записи, и бюро обязано провести проверку. Общие принципы такой передачи данных третьим лицам и права клиента в этой цепочке подробнее описаны в статье про передачу персональных данных третьим лицам.

Для самозанятых и владельцев небольшого бизнеса действует та же логика с дополнительным слоем: при оформлении кредита для ИП банк смотрит не только личную кредитную историю владельца, но и обороты по счету, из которых видно реальный доход бизнеса. Это не отдельная третья база данных, а те же принципы разграничения - часть сведений банк вправе запросить и сверить сам, а на обращение к внешним источникам сверх обязательного минимума, например к бухгалтерским сервисам или площадкам, нужно отдельное согласие владельца бизнеса.

Зарплатный проект: чьи данные передает работодатель

Отдельный случай, о котором часто забывают - зарплатный проект. Когда компания переводит сотрудников на карты одного банка, инициатором в этой цепочке передачи данных выступает не сотрудник, а работодатель: именно он передает банку список работников с ФИО, паспортными данными, СНИЛС и суммами к перечислению.

Формально это тоже обработка и передача персональных данных, но отдельное согласие каждого сотрудника здесь обычно не требуется. Основание - необходимость исполнить обязанность работодателя по выплате заработной платы, закрепленную трудовым договором. Это тот самый случай обработки без согласия, о котором уже шла речь применительно к 115-ФЗ: закон не требует спрашивать разрешения там, где обработка нужна для исполнения обязанности, возложенной на оператора договором или другим законом.

Дальше в этой цепочке права переходят к самому банку, а не остаются у работодателя. Когда сотрудник получает карту, он заключает договор уже напрямую с банком, и с этого момента именно банк - оператор его персональных данных в части банковского обслуживания, а не отдел кадров. Кадровику важно различать эти две роли: до момента передачи данных в банк ответственность за корректность и основания обработки лежит на работодателе, после - на банке. Если сотрудник хочет отозвать согласие на рекламные рассылки от банка или закрыть карту, обращаться нужно уже не в отдел кадров, а напрямую в банк.

Частая ошибка на этом этапе - компания включает в один документ сразу согласие сотрудника на обработку данных работодателем, на передачу в зарплатный банк и на получение рекламных предложений от партнеров банка. Из-за такого смешения оснований документ становится уязвимым: если сотрудник оспорит именно рекламную часть, под вопросом может оказаться формулировка всего согласия целиком. Правильнее разделять: обязательная передача данных для зарплатного проекта оформляется отдельно от согласия на что-либо сверх этого минимума, с возможностью отказаться без последствий для трудовых отношений.

Что происходит с данными, если банк отказал в счете или кредите

Отдельный вопрос, который клиенты почти никогда не задают вслух: а что банк делает с уже собранными данными, если в итоге отказал в открытии счета или в выдаче кредита. Ответ - хранит, и на это есть основания.

Во-первых, банк обязан хранить сведения о клиентах и операциях определенный срок по требованиям 115-ФЗ и внутренним нормативам Банка России - это касается и тех случаев, когда услуга в итоге не была оказана. Причина простая: сам факт обращения и отказа тоже часть системы противодействия отмыванию доходов, и регулятор должен иметь возможность это проверить постфактум.

Во-вторых, отказ в обслуживании по 115-ФЗ не всегда окончательный. Банк обязан зафиксировать причину отказа, и при повторном обращении с теми же документами он либо подтвердит отказ, либо пересмотрит решение. Данные, собранные при первом обращении, для этого и хранятся.

Клиенту это не всегда объясняют, из-за чего складывается впечатление, будто данные попали в некий черный список банков навсегда без всяких объяснений. На деле у большинства банков действует внутренняя процедура пересмотра: можно запросить причину отказа и, если основание отпало, попросить вернуться к вопросу заново. Формально запрос причины отказа - тоже реализация права на доступ к сведениям о себе, только применительно к конкретной операции, а не ко всем данным сразу.

Похожая ситуация встречается у самозанятых и небольших интернет-магазинов: банк может временно ограничить операции по счету, если платежи выглядят нетипично для заявленного вида деятельности - например, на карту физического лица регулярно приходят суммы, характерные для оптовой торговли. Это тоже часть контроля по 115-ФЗ, а не произвол конкретного менеджера отделения. Но объяснить, какие именно операции вызвали вопросы и какие документы нужны для снятия ограничений, банк обязан по запросу клиента, а не отделываться общими фразами про внутренние процедуры безопасности.

Кому банк передает данные без вашего отдельного согласия

Кроме БКИ и маркетинговых партнеров, у банка есть список получателей данных, для передачи которым согласие вообще не требуется - потому что основанием служит закон, а не воля клиента. Это и есть банковская тайна с оговорками: закон о банках и банковской деятельности защищает сведения об операциях и счетах клиента, но одновременно перечисляет случаи, когда банк обязан их раскрыть.

В список входят как минимум:

• налоговые органы - по мотивированному запросу в рамках проверки, а также сведения об открытии и закрытии счетов автоматически;
• судебные приставы - при исполнительном производстве, для розыска счетов должника;
• суды - по запросу в рамках рассматриваемого дела;
• Росфинмониторинг - по операциям, которые подпадают под обязательный контроль, например переводы на крупные суммы или сделки с признаками сомнительности;
• правоохранительные органы - при наличии возбужденного дела и оформленного запроса.

Ни в одном из этих случаев банк не спрашивает разрешения клиента и не обязан его уведомлять заранее. Это укладывается в логику 152-ФЗ: закон допускает обработку и передачу данных без согласия, если оператор исполняет обязанность, возложенную на него другим федеральным законом. Полный список таких оснований, применимых далеко не только к банкам, разобран в статье про обработку персональных данных без согласия.

Отдельно стоит платежная инфраструктура: данные карты и часть операций неизбежно видят международные и национальные платежные системы, процессинговые центры. Это не передача третьим лицам в бытовом смысле нарушения - без этого перевод физически не пройдет, и согласие на такую обработку заложено в сам факт использования карты.

Права клиента банка на свои данные

У клиента банка есть тот же набор прав, что и у субъекта персональных данных в любой другой сфере - разница только в каналах, через которые эти права реализуют: горячая линия, личный кабинет, письменное заявление в отделении. Основные права:

• знать, какие данные о вас обрабатывает банк, с какой целью и как долго планирует хранить;
• получить копию своих данных по запросу;
• потребовать исправить неточные или устаревшие сведения, например если в базе остался старый номер телефона или неверно указан адрес;
• отозвать согласие на обработку там, где оно требовалось: маркетинг, партнерские предложения;
• потребовать прекратить обработку и уничтожить данные после того, как основание для их хранения отпало.

Последнее право не абсолютное: пока действует кредитный договор или не истек срок хранения по требованиям 115-ФЗ, банк вправе отказать в удалении, и это законно. Именно этот пункт - источник большинства недопониманий. Клиенты, закрывшие кредит несколько лет назад, иногда требуют полностью удалить их из базы и получают отказ. Банк действительно обязан хранить часть данных дольше, чем действовал сам договор: сроки задает не желание банка, а требования законодательства о хранении банковской документации и данных о противодействии отмыванию доходов.

Полный перечень прав субъекта персональных данных и то, как они сформулированы в законе, собран в статье про права субъекта персональных данных: у банковского клиента эти права точно такие же, просто реализуются через отделение или приложение вместо формы обратной связи на сайте.

Как реализовать эти права на практике

Формулировка прав в законе - это одно, а реальная процедура обращения в банк - другое. Порядок действий такой:

1. Найти в личном кабинете или на сайте банка форму обращения по вопросам персональных данных - у большинства крупных банков она отдельная от обычной службы поддержки.
2. Если формы нет, написать заявление в свободной форме на имя банка: указать, какие именно данные и какое право хотите реализовать - доступ, исправление, отзыв согласия или удаление.
3. Подать заявление через отделение с отметкой о приеме, заказным письмом с описью вложения либо через личный кабинет с фиксацией даты отправки - это пригодится, если банк не ответит в срок и придется обращаться в Роскомнадзор.
4. Дождаться ответа. Закон устанавливает конкретный срок для рассмотрения таких обращений, и нарушение этого срока - самостоятельное основание для жалобы. Точные сроки и что делать, если оператор молчит или отказывает без причины, разобраны в статье про запрос субъекта персональных данных.
5. Если банк отказал необоснованно, обращаться в Роскомнадзор с жалобой, приложив копию заявления и ответа банка либо доказательство того, что ответа не последовало.

На практике большинство вопросов - неверный номер телефона, желание отписаться от рассылки, запрос выписки по операциям - решаются на первом шаге, без письменных заявлений и тем более без жалоб в надзорный орган. Эскалация имеет смысл, когда банк системно игнорирует обращения или использует данные явно за пределами того, на что клиент соглашался при заключении договора.

Что делать, если банк требует явно лишнее

Если сотрудник банка просит данные, которые не входят ни в обязательный минимум по 115-ФЗ, ни в перечень, под которым вы явно поставили согласие, стоит спросить прямо, на каком основании запрашивается именно эта информация. Банки, которые работают по правилам, отвечают конкретно: ссылаются либо на требование закона, либо на пункт согласия, который вы подписывали при оформлении услуги. Если внятного ответа нет, а услугу без предоставления данных не оказывают, это повод зафиксировать ситуацию - переписку, скриншот формы, отказ сотрудника назвать основание - и, при необходимости, обратиться с жалобой в Банк России или Роскомнадзор, в зависимости от характера нарушения.

Тем, кто по другую сторону этого процесса - сам собирает персональные данные клиентов через сайт, форму заявки или CRM, - полезно помнить, что логика та же самая: часть данных можно собирать в силу закона или для исполнения договора, а на остальное нужно отдельное и явное согласие, оформленное отдельным документом, а не растворенное где-то в общей политике сайта. Если с этим разграничением на своем сайте или в своих формах есть неясность, с политикой обработки персональных данных, формой согласия или порядком хранения данных можно разобраться на 152fzpro.ru.