Согласие субъекта персональных данных в указанных случаях не является правовым основанием обработки

Вы правильно обратили внимание на этот момент. Ситуация действительно неоднозначная, и я помогу разобрать, что здесь законно, а что можно оспорить.
Коротко по сути: организация действительно может ссылаться на то, что после перехода долга она вправе продолжать обрабатывать ваши данные — но не потому, что вы когда-то давали согласие (оно давно отозвано), а потому что закон прямо предусматривает иные правовые основания для такой обработки.
В вашем письме ООО ПКО «ЭОС» верно подметило нюанс: согласие субъекта на обработку персональных данных — это лишь одно из возможных оснований по закону (ст. 6 ФЗ «О персональных данных»). Но есть и другие законные основания, которые действуют независимо от отзыва согласия. В частности, закон разрешает обрабатывать данные:
для исполнения договора (в вашем случае — для взыскания задолженности, даже если долг погашен, пока идёт исполнительное производство);
для целей бухгалтерского и иного корпоративного учёта;
для предоставления отчётности в государственные органы;
для целей архивного хранения корпоративных документов.
То есть организация не отказывается удалять данные — она указывает, что обработка продолжается не по причине вашего согласия, а в силу других норм. И с точки зрения закона это корректно.
Я рекомендую действовать по шагам:
Запросите письменное обоснование. Попросите «ЭОС» официально указать, на каком именно правовом основании (из списка выше) они продолжают обрабатывать ваши данные. Это станет основой для дальнейших действий.
Проверьте статус исполнительного производства. Если долг был передан коллекторам, а затем в отношении вас возбуждалось исполнительное производство, срок для отзыва согласия мог уже истечь — но архивное хранение продолжает действовать. Убедитесь, что все процессуальные сроки учтены.
Если обоснование покажется вам необоснованным — можно направить официальную претензию с требованием прекратить обработку и удалить данные, сославшись на конкретные нормы закона.
Если реакции не будет, следующим шагом будет обращение в Роскомнадзор (это надзорный орган) или подача иска в суд. В суде можно требовать не только прекращения обработки, но и компенсации морального вреда за нарушение закона о персональных данных.

Добрый день!

отказ ЭОС удалить ваши данные после погашения долга в большинстве случаев правомерен. По 152‑ФЗ оператор может хранить и обрабатывать часть персональных данных без вашего согласия, если это необходимо для исполнения законов (бухгалтерский учёт, налоги, отчётность, архивное хранение и т.п.).

Здравствуйте, Евгений.

Формально позиция ЭОС не лишена оснований: согласие субъекта — не единственное законное основание обработки персональных данных. Закон предусматривает и другие самостоятельные основания, в частности обработку, необходимую для исполнения возложенных законодательством РФ на оператора обязанностей (п. 2 ч. 1 ст. 6 ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных») — сюда действительно относятся требования бухгалтерского и налогового учета, архивного хранения документов. Поэтому отзыв согласия сам по себе не обязывает оператора немедленно всё удалить, если есть иное законное основание для хранения.

Однако это основание не бессрочно. Документы бухгалтерского и налогового учета по общему правилу хранятся 5 лет после отчетного года — именно этим сроком, а не произвольно долго, должно ограничиваться хранение по указанным целям. По достижении целей обработки и истечении законно установленного срока хранения оператор обязан прекратить обработку и уничтожить персональные данные.

Что делать: направьте письменный запрос с требованием указать конкретный правовой акт и точный срок хранения, на который они ссылаются для каждой заявленной цели (бухучет, отчетность, архив), и дату, с которой этот срок исчисляется применительно к вашему договору. Если срок хранения по всем заявленным основаниям уже истек, а иных законных оснований нет — повторно потребуйте уничтожения данных со ссылкой на истечение срока. При отказе — жалоба в Роскомнадзор либо иск в суд.

Для подготовки письменного запроса и оценки истечения сроков хранения применительно к вашему делу приглашаю продолжить в чате на платной основе через кнопку «Общаться в чате». Если ответ был полезен — буду признателен за отклик через кнопку «Отблагодарить юриста» в моём профиле.

Добрый день! 
Евгений, ответ ЭОС частично обоснован, но я бы не считал его достаточным в той форме, в которой он Вам направлен.

Действительно, отзыв согласия не означает автоматического удаления вообще всех сведений. Согласие — лишь одно из оснований обработки. Например, закон может обязывать организацию сохранять определённые бухгалтерские документы или сведения независимо от согласия гражданина.

Но есть важное различие:

хранение конкретного документа по закону ≠ право продолжать любую обработку всех Ваших персональных данных.

Поскольку сама ЭОС письменно подтвердила, что задолженность погашена и материальных требований к Вам больше нет, первоначальная цель обработки — взыскание просроченной задолженности — в соответствующей части уже достигнута.

При этом у коллекторской организации действительно сохраняются отдельные обязанности по хранению материалов взыскания. Например, записи взаимодействия, сообщения и документы, связанные с возвратом задолженности, по ст. 17 Закона N 230-ФЗ должны храниться не менее полутора лет.

Бухгалтерские документы также могут храниться дольше — Закон о бухгалтерском учёте устанавливает для соответствующих документов срок не менее пяти лет после отчётного года. Но это опять же относится к конкретным документам, а не означает единый пятилетний срок для всех Ваших персональных данных.

Поэтому сейчас я бы требовал не просто «удалить всё», а направил ЭОС запрос по ст. 14 Закона N 152-ФЗ и попросил для каждой категории Ваших данных указать:

— какие конкретно данные продолжают обрабатываться;
— для какой цели;
— на каком конкретном основании закона;
— срок обработки и хранения;
— кому сведения передаются или могут быть раскрыты;
— какие данные после погашения задолженности уже уничтожены либо выведены из активной обработки.

Закон прямо даёт Вам право получить эти сведения, включая правовые основания, цели и сроки хранения, а оператор должен ответить, как правило, в течение 10 рабочих дней.

Одновременно можно потребовать прекратить обработку тех данных, которые уже не нужны для заявленной цели и для которых отсутствует иное законное основание. По ст. 21 Закона N 152-ФЗ после достижения цели данные должны быть уничтожены, если их дальнейшее хранение не допускается законом, договором либо иным предусмотренным законом основанием. На отдельное требование о прекращении обработки также установлен срок до 10 рабочих дней с предусмотренными законом исключениями.

Я бы отдельно попросил ЭОС конкретизировать фразу из их ответа «в соответствии с внутренними документами». Внутренний документ организации сам по себе не создаёт основания для обработки персональных данных — нужно указать норму закона, на основании которой соответствующая категория данных сохраняется.

Если в ответе снова будет только общая формулировка «бухгалтерия, архив, внутренние документы», без перечня данных, конкретных целей и сроков, тогда уже появится предмет для обращения в Роскомнадзор.

Здравствуйте. Организация, которой банк переуступил ваш долг, в целом права: сам по себе отзыв согласия на обработку персональных данных далеко не всегда обязывает нового кредитора всё удалить. Но это не значит, что у вас нет инструментов контроля.

По порядку, что говорит закон и что вы можете сделать.

Что говорит закон

Обработка персональных данных без согласия человека допускается в строго определённых случаях. Они перечислены в частях 2–5 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

В вашей ситуации организация ссылается именно на эти исключения. Их аргументация строится на том, что обработка нужна:

— для исполнения обязанностей, возложенных на неё законодательством (бухгалтерская и налоговая отчётность);

— для хранения документов в соответствии с архивным законодательством.

Это действительно законные основания. Если у ООО ПКО «ЭОС» есть ваши персональные данные как должника по договору цессии, она обязана хранить документы, подтверждающие хозяйственные операции (в том числе по приобретению и погашению долга), в течение установленных сроков. Для бухгалтерской и налоговой отчётности это, как правило, 5 лет. Пока эти сроки не истекли, удалить данные без нарушения закона она не может. Согласие тут не требуется — статья 6 Закона № 152-ФЗ прямо это допускает.

Таким образом, отказ в полном удалении данных в вашем случае с высокой вероятностью правомерен.

На что вы имеете право

Даже если организация обязана хранить данные для бухгалтерии и архива, это не означает, что она может делать с ними всё что угодно. Закон даёт вам несколько рычагов.

Во-первых, право на уточнение, блокирование или уничтожение данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели обработки (статья 14 и часть 3 статьи 21 Закона № 152-ФЗ). Если вы считаете, что долг погашен и данные как «должника» больше не нужны для взыскания, вы можете требовать, чтобы обработку ограничили только тем, что необходимо для бухгалтерского учёта и архивного хранения. Это важный момент: цель обработки должна быть конкретной и не должна расширяться без оснований.

Во-вторых, вы вправе запросить у оператора подтверждение факта обработки ваших данных, правовые основания и цели обработки, а также перечень обрабатываемых данных и сроки их хранения (часть 7 статьи 14 Закона № 152-ФЗ). Оператор обязан ответить в течение 10 рабочих дней с момента получения запроса.

Что делать дальше

1. Направьте письменное требование об уточнении целей и сроков хранения. Попросите ООО ПКО «ЭОС» письменно сообщить: какие именно ваши персональные данные они обрабатывают, на каком правовом основании для каждой категории, для каких конкретно целей и каков срок хранения по каждой цели. Запросите также подтверждение, что обработка не выходит за рамки этих целей. Требование можно отправить заказным письмом с уведомлением о вручении и описью вложения — это зафиксирует факт обращения.

2. Потребуйте прекратить обработку в целях, не связанных с обязательным хранением. Если после ответа выяснится, что какие-то данные обрабатываются для целей, не предусмотренных законом (например, для маркетинга или рассылок), вы вправе требовать их удаления. Отказ в такой ситуации уже будет нарушением.

3. Подайте жалобу в Роскомнадзор. Если организация не ответит в срок, откажет без законных оснований или вы посчитаете, что обработка избыточна для заявленных целей, подайте жалобу в территориальное управление Роскомнадзора по вашему региону. К жалобе приложите копии вашего требования и ответа организации (если он был). Роскомнадзор вправе провести проверку и привлечь оператора к административной ответственности по статье 13.11 КоАП РФ.

4. Обратитесь в суд. Если вы считаете, что обработка данных нарушает закон (например, данные используются не по назначению или избыточно), вы вправе обратиться в суд с иском о признании обработки незаконной и о возложении обязанности прекратить обработку либо удалить данные. Также можно требовать компенсацию морального вреда (часть 2 статьи 17, статья 24 Закона № 152-ФЗ). Учтите: если суд установит, что обработка ведётся строго в рамках обязательного хранения документов, в иске откажут.

Чего делать не надо

Не стоит настаивать на полном удалении данных, если срок обязательного хранения документов не истёк, — такой отказ суд и надзорный орган сочтут обоснованным. Лучше сфокусироваться на контроле за тем, чтобы данные не использовались сверх необходимого для бухгалтерского учёта и архива.

Если после уточнения у организации окажется, что она хранит данные именно в этих целях и не использует их иначе, понудить её к удалению до истечения срока хранения не получится. Но вы вправе зафиксировать вашу позицию и добиться, чтобы обработка была ограничена этими целями.