Регистрация МФО в Роскомнадзоре

МФО как оператор персональных данных

Микрофинансовая организация, осуществляющая сбор и обработку персональных данных заёмщиков, признаётся оператором персональных данных в соответствии со статьёй 3 152-ФЗ. Оператор самостоятельно определяет цели обработки, состав обрабатываемых сведений и несёт ответственность за соблюдение требований законодательства.

Закон допускает обработку персональных данных как на основании согласия субъекта (статья 9 152-ФЗ), так и на иных законных основаниях. В частности, пункт 5 части 1 статьи 6 152-ФЗ позволяет осуществлять обработку без согласия, если она необходима для исполнения договора, стороной которого является субъект. Для МФО это означает, что обработка данных в целях рассмотрения заявки, учёта платежей, контроля исполнения обязательств по договору займа может осуществляться без отдельного согласия.

Важное правило: оператор не вправе запрашивать и обрабатывать избыточные данные, не соответствующие заявленным целям. Объём собираемой информации должен быть минимально достаточным для достижения целей обработки.

Когда согласие обязательно

• Маркетинговые цели – рассылки рекламных предложений, информирование о новых продуктах, проведение опросов.
• Передача данных третьим лицам – например, сторонним сервисам для скоринга, коллекторским агентствам, если такая передача не является прямой обязанностью по договору.
• Обработка специальных категорий данных – сведения о здоровье, биометрические данные (если такие собираются).
• Использование данных для целей, выходящих за рамки прямого исполнения договора займа.

Согласие в таких случаях должно быть конкретным, информированным, сознательным и оформляться отдельным документом (с учётом правил с 1 сентября 2025 года).

Согласие на кредитную историю и скоринг

Для направления запроса в бюро кредитных историй (БКИ) с целью оценки платёжеспособности заёмщика требуется получение отдельного согласия. Данное согласие часто включается в общий документ о согласии на обработку персональных данных, но при этом должно содержать конкретное указание на цели, связанные с кредитной историей.

Срок действия согласия на получение кредитного отчёта

Согласие на получение кредитного отчёта действует 6 месяцев с момента его подписания. При этом законодательство устанавливает важное исключение: если в течение указанного срока договор займа был заключён, согласие сохраняет силу на весь срок действия договора.

Уведомление в Роскомнадзор

Микрофинансовая организация как оператор персональных данных обязана уведомить Роскомнадзор о начале обработки в соответствии с пунктом 1 статьи 22 152-ФЗ. Уведомление подаётся до фактического начала обработки.

Исключения

Уведомление не требуется только в случаях, прямо предусмотренных пунктом 2 статьи 22 152-ФЗ, в частности:

• обработка персональных данных осуществляется исключительно без использования средств автоматизации (только на бумажных носителях);
• данные включены в государственные информационные системы, созданные в установленных целях.

Для МФО, как правило, используется автоматизированная обработка (CRM, электронные базы заёмщиков, системы скоринга), поэтому обязанность подачи уведомления возникает в полном объёме.

Уведомление подаётся:

• в электронном виде через портал Роскомнадзора (с использованием усиленной квалифицированной электронной подписи);
• через портал Госуслуг (при наличии подтверждённой учётной записи организации);
• на бумажном носителе (лично или почтой).

После проверки Роскомнадзор вносит организацию в Реестр операторов персональных данных.

Актуализация сведений

При изменении условий обработки (новые цели, дополнительные категории данных, смена ответственного лица, появление новых обработчиков) необходимо направить уточнение в Роскомнадзор. При прекращении обработки – уведомить ведомство в течение 10 рабочих дней.

Практические рекомендации

• Разработать и утвердить Политику обработки персональных данных, в которой чётко прописать все цели, категории данных, правовые основания, сроки хранения, меры защиты и порядок взаимодействия с субъектами.
• Провести аудит текущих процессов обработки: определить, какие данные собираются, для каких целей, как хранятся, передаются и уничтожаются.
• При привлечении третьих лиц для обработки данных (скоринговые сервисы, коллекторские агентства, IT-провайдеры) заключать договоры поручения с чёткими обязательствами по защите данных.
• Обеспечить информирование заёмщиков об их правах: на доступ к данным, на их исправление, на отзыв согласия (с учётом того, что отзыв не влечёт автоматического удаления данных, если они необходимы для исполнения договора или выполнения требований закона).
• Регулярно пересматривать локальные акты и формы согласий с учётом изменений законодательства.

При возникновении вопросов, связанных с разработкой документации или подачей уведомления в Роскомнадзор, целесообразно обратиться за профессиональной помощью. Наши специалисты обеспечат полное соответствие требованиям закона.