Обработка персональных данных в ломбарде: требования 152-ФЗ, согласие заёмщика и уведомление Роскомнадзора
Деятельность ломбардов неразрывно связана со сбором и обработкой персональных данных заёмщиков. Федеральный закон № 152-ФЗ «О персональных данных» распространяется на такие организации в полном объёме, устанавливая обязательства оператора. В статье рассмотрены ключевые аспекты: категории собираемых сведений, порядок оформления согласия заёмщика, необходимость уведомления Роскомнадзора, а также практические рекомендации для выстраивания законных процессов с учётом отраслевой специфики.
Подготовим и подадим уведомление в Роскомнадзор, разработаем пакет документов и введём компанию в реестр операторов персональных данных.
* Оплата после выполнения работ
В процессе оформления займа под залог имущества ломбард собирает информацию, позволяющую идентифицировать заёмщика. К таким сведениям относятся:
Сбор всех указанных данных должен осуществляться в соответствии с принципом минимальной достаточности – объём информации должен строго соответствовать целям обработки (заключение договора займа, идентификация клиента, исполнение требований законодательства, в том числе 115-ФЗ).
По общему правилу (статья 9 152-ФЗ) обработка персональных данных допускается только с согласия субъекта. При заключении договора займа ломбард обязан получить от заёмщика явное и информированное согласие на сбор, хранение и использование его персональных данных.
В отдельных случаях обработка возможна без согласия – например, если это прямо предусмотрено федеральным законом (запросы Банка России, правоохранительных органов). Однако в повседневной практике при заключении договора займа согласие остаётся основным правовым основанием.
Заёмщик вправе в любой момент отозвать согласие в письменной форме. После получения отзыва ломбард обязан прекратить обработку (или обеспечить её прекращение, если данные переданы подрядчику) и уничтожить персональные данные в установленный срок, если для их хранения отсутствуют иные законные основания.
Ломбард, выступая оператором персональных данных, обязан уведомить Роскомнадзор о начале обработки (пункт 1 статьи 22 152-ФЗ). Уведомление подаётся до фактического начала обработки.
Важное уточнение: если ломбард уже подавал уведомление ранее по иным целям (например, для обработки данных сотрудников) и состоит в Реестре операторов, повторное уведомление для обработки данных заёмщиков не требуется. Однако необходимо убедиться, что в ранее поданном уведомлении указаны все актуальные цели и категории субъектов. Рекомендуется проверить актуальность сведений в Реестре на портале Роскомнадзора.
При изменении условий обработки (новые цели, дополнительные категории данных, появление новых обработчиков) необходимо направить уточнение в Роскомнадзор. При прекращении обработки – уведомить ведомство в течение 10 рабочих дней.
Если у вас возникают сомнения по отдельным вопросам – например, как отразить в уведомлении Роскомнадзора обработку данных для тех или иных целей, – мы с радостью поможем. Наши специалисты подготовят для вас полный комплект документов по 152-ФЗ и помогут подать уведомление, чтобы ваша работа с персональными данными была полностью законной и защищённой от штрафов.
| Нарушение | Штраф |
|---|---|
| Обработка ПДн без уведомления Роскомнадзора (ст. 19.17 КоАП) | до 300 000 ₽ |
| Обработка без согласия субъекта | до 100 000 ₽ |
| Отсутствие политики обработки ПДн | до 40 000 ₽ |
| Утечка или нарушение защиты данных | до 1 500 000 ₽ |
В процессе оформления займа под залог имущества ломбард собирает информацию, позволяющую идентифицировать заёмщика. К таким сведениям относятся:
Любая организация или ИП, которая собирает и обрабатывает персональные данные клиентов, сотрудников или посетителей (ФИО, телефон, e-mail, адрес), признаётся оператором по 152-ФЗ и обязана до начала обработки подать уведомление в Роскомнадзор.
Уведомление подаётся через портал Роскомнадзора (pd.rkn.gov.ru) с усиленной квалифицированной электронной подписью, через Госуслуги при подтверждённой учётной записи либо в бумажном виде в территориальный орган. После проверки ведомство вносит компанию в реестр операторов персональных данных.
С 30 мая 2025 года за обработку персональных данных без уведомления Роскомнадзора штраф для организаций и ИП достигает 300 000 рублей. Дополнительно возможны штрафы за отсутствие политики обработки ПДн, согласий и нарушение требований к защите данных.
В большинстве случаев — да. Согласие оформляется под каждой формой сбора данных через незаполненный чекбокс со ссылкой на Политику конфиденциальности. Для специальных категорий данных, биометрии и распространения требуется отдельное письменное согласие.