Согласие на обработку персональных данных при оформлении кредита: как оформить по 152-ФЗ и 218-ФЗ и что должно быть на сайте

При оформлении кредита заёмщик подписывает два разных согласия, и путать их не стоит. Первое — согласие на обработку персональных данных по 152-ФЗ, и для самого кредитного договора оно чаще всего не нужно: статья 6 152-ФЗ разрешает обработку, необходимую для заключения и исполнения договора с субъектом, без согласия. Второе — согласие на получение кредитного отчёта по статье 6 218-ФЗ «О кредитных историях»: без него банк не вправе запросить основную часть кредитной истории, а закон задаёт его форму, содержание и срок — шесть месяцев. Ниже — кто за что отвечает, когда галочки на сайте достаточно, когда нет, и что проверить на странице заявки.

Проверить бесплатно, что видно снаружи на странице заявки: формы, согласия, политика, сторонние скрипты ←

Какие данные собирает кредитная заявка и кто здесь оператор?

Форма заявки на кредит — одна из самых «тяжёлых» по составу данных на любом сайте: фамилия, имя, отчество, дата рождения, паспортные данные, телефон, адрес, место работы и доход, иногда СНИЛС и семейное положение. Все это персональные данные по статье 3 152-ФЗ, а паспорт и доход — данные, утечка которых прямо ведёт к мошенничеству. Специальными категориями по статье 10 152-ФЗ они при этом не являются: паспорт, доход и семейное положение — обычные персональные данные, и режим письменного согласия на них сам по себе не распространяется.

Оператор — тот, кто определяет цели и состав обработки. В кредитной цепочке их может быть несколько:

Самая частая ошибка посредников — считать себя «просто витриной». Если сайт принимает заявку с паспортными данными и отправляет её в три банка, он оператор со всеми обязанностями: политика по статье 18.1 152-ФЗ, уведомление Роскомнадзора, основание для передачи каждому получателю. Как квалифицируется передача заявок партнёрам без основания, разобрано в статье «Штрафы за передачу персональных данных третьим лицам».

Нужно ли согласие по 152-ФЗ на саму заявку?

Для рассмотрения заявки и заключения договора — нет. Статья 6 152-ФЗ называет среди оснований обработку, необходимую для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект будет выгодоприобретателем, а также для исполнения такого договора. Заявка на кредит — инициатива заёмщика, оценка платёжеспособности — часть подготовки договора. Банку, который требует «согласие на обработку персональных данных» как условие рассмотрения заявки, это согласие в действительности не нужно, а его отзыв ничего не меняет, потому что обработка держится не на нём.

Одна важная оговорка. Если решение по заявке выносит скоринг без участия человека, работает статья 16 152-ФЗ: принимать решения, порождающие юридические последствия, на основании исключительно автоматизированной обработки запрещено, кроме случаев, прямо названных в федеральных законах, и кроме случая, когда есть согласие субъекта в письменной форме. Оператор при этом обязан разъяснить порядок принятия такого решения и его последствия, дать возможность заявить возражение и рассмотреть возражение в течение тридцати дней (части 3 и 4 статьи 16 152-ФЗ). То есть основание «договор» покрывает рассмотрение заявки и подготовку договора, но не отменяет требований статьи 16 к полностью автоматическому отказу.

Согласие по 152-ФЗ нужно там, где обработка выходит за пределы договора:

• рекламные предложения банка и его партнёров — а для рассылок по сетям связи дополнительно действует статья 18 38-ФЗ;
• передача данных партнёрам для их собственных целей: страховщику, который предложит полис, или брокеру, который «подберёт альтернативу» после отказа;
• хранение данных отказанных заёмщиков дольше срока, который следует из закона или договора;
• любая обработка у посредника, который сам договор с заёмщиком не заключает.

Для этих согласий действует общее правило статьи 9 152-ФЗ в редакции 156-ФЗ, действующей с 1 сентября 2025 года: согласие оформляется отдельно от иной информации и документов, которые подписывает субъект. Согласие, спрятанное в тексте анкеты или в «условиях обслуживания», не соответствует закону — подробнее в статье «Пакетное согласие: запрет с 2025 года». Согласие должно быть конкретным, предметным и информированным, а его содержание — цели, перечень данных, получатели, срок — описано в статье 9 152-ФЗ; готовая структура документа — в материале «Согласие на обработку ПДн: образец».

Что такое согласие на запрос кредитной истории по 218-ФЗ?

Это второй документ, и у него другой закон, другая форма и другие последствия. Кредитная история хранится в бюро кредитных историй, и банк, микрофинансовая организация или другой пользователь может получить её основную часть только с согласия субъекта. Требования к согласию собраны в статье 6 218-ФЗ.

Содержание. Согласие должно содержать, во-первых, сведения о самом субъекте, предусмотренные частью 2 статьи 4 218-ФЗ: фамилию, имя, отчество, дату и место рождения, данные паспорта, ИНН и СНИЛС, если субъект их указал. Во-вторых — цель или цели его оформления, дату оформления и наименование пользователя кредитной истории: юридического лица либо фамилию, имя и отчество пользователя-предпринимателя. Согласие «любому банку» или без даты этим требованиям не отвечает. Не отвечает и форма, в которую вписали только цель, дату и наименование пользователя, — идентифицирующие сведения о субъекте закон требует наравне с ними.

Форма. На бумаге — с собственноручной подписью при предъявлении документа, удостоверяющего личность. В электронной форме — с усиленной квалифицированной подписью, а простой или усиленной неквалифицированной подписью только при условиях, которые закон перечисляет отдельно: при личной явке за ключом подписи либо после того, как идентификацию субъекта провёл сам пользователь кредитной истории — банк, микрофинансовая организация, лизинговая компания. Именно так работают приложения кредиторов: заёмщик уже идентифицирован, и код из СМС становится простой электронной подписью под согласием.

Срок. Шесть месяцев со дня оформления. Для субъектов малого и среднего предпринимательства и физических лиц по сделкам с ними — один год. Если договор кредита, займа, лизинга или поручительства заключён в течение срока согласия, оно действует весь срок договора.

Хранение. Согласие хранится три года со дня окончания срока его действия. Норма сформулирована безлично, но хранит его тот, кто его получил и кому потом предъявлять основание запроса, — пользователь кредитной истории.

Что даётся без согласия. Информационная часть кредитной истории предоставляется юридическим лицам и предпринимателям в целях выдачи кредита или займа без согласия субъекта. И это больше, чем принято думать: в неё входят обращение за кредитом, заключение договора или отказ с указанием суммы, основания, причины и даты отказа, а также сведения об отсутствии платежей по договору займа, кредита или лизинга в течение 90 календарных дней с даты наступления срока исполнения обязательства. То есть без всякого согласия кредитор видит не только заявки и отказы, но и признаки длительной просрочки.

Достаточно ли галочки на сайте?

Зависит от того, чей это сайт и какое согласие имеется в виду.

Сайт банка или его приложение, заёмщик идентифицирован. Согласие по 218-ФЗ можно оформить электронно: закон допускает простую электронную подпись, если ключ получен при личной явке или если пользователь кредитной истории сам провёл идентификацию субъекта. Это стандартная практика — и она доступна не только банкам, но и любому пользователю кредитной истории, который провёл идентификацию: микрофинансовой организации, лизинговой компании. Согласие по 152-ФЗ на рекламу — отдельная галочка, не предустановленная, с отдельным текстом.

Сайт банка, заёмщик новый. До идентификации простой подписью согласие по 218-ФЗ подписать нельзя. Банк либо использует усиленную квалифицированную подпись клиента, либо оформляет согласие после того, как сам провёл идентификацию заёмщика, — в отделении, через курьера или иным допустимым способом. Заявка на сайте до этого момента — только заявка, и обрабатывается она на основании статьи 6 152-ФЗ.

Сайт брокера или агрегатора. Согласие на запрос кредитной истории посредник получить не может: он не пользователь кредитной истории, и его нет в тексте согласия как получателя отчёта. Формулировка «даю согласие на получение моей кредитной истории любыми банками-партнёрами» юридической силы для бюро не имеет. Посреднику нужно другое: согласие по 152-ФЗ на передачу заявки конкретным банкам с их перечислением, либо договоры поручения с этими банками. Как оформить электронное согласие так, чтобы его можно было доказать, — в статье «Электронное согласие на обработку ПДн».

Что вправе требовать заёмщик?

У субъекта кредитной истории есть права, о которых сайты заявок обычно не упоминают, хотя они закреплены в статье 8 218-ФЗ:

1. получать кредитный отчёт бесплатно не более двух раз в течение календарного года в каждом бюро, где хранится его кредитная история (историй у человека обычно несколько), из них не более одного раза на бумажном носителе;
2. полностью или частично оспорить сведения в кредитной истории, подав заявление в бюро; бюро проводит проверку в течение 20 рабочих дней;
3. добиться удаления неправомерного запроса пользователя — по заявлению об оспаривании.

Отдельно действуют права по 152-ФЗ: узнать у оператора, какие данные он обрабатывает и кому передал (статья 14 152-ФЗ), с ответом в течение 10 рабочих дней по статье 20 152-ФЗ; потребовать уничтожения данных, обработка которых незаконна (статья 21 152-ФЗ); отозвать согласие, если обработка держалась на нём (статья 9 152-ФЗ). Отзыв согласия не отменяет обработку, необходимую для исполнения уже заключённого кредитного договора, — у неё другое основание.

Чем грозит нарушение?

Для банка главный риск — не 152-ФЗ, а надзор Банка России и репутация. Для сайта посредника, который собирает заявки, — статья 13.11 КоАП и обращения заёмщиков, которые получили звонки из банков, куда не обращались. Суммы в таблице — в тысячах рублей.

Помимо этого, база заявок с паспортными данными и доходами — одна из самых ценных для мошенников. Утечка такой базы — это неправомерная передача по частям 12–14 статьи 13.11 КоАП, обязанность уведомить Роскомнадзор в течение 24 часов по статье 21 152-ФЗ и уголовная ответственность конкретных сотрудников по статье 272.1 УК.

Что проверить на странице заявки за десять минут?

Список для владельца сайта — банка, микрофинансовой организации или посредника:

• Форма собирает только необходимое. Для предварительной заявки достаточно имени, телефона и суммы; паспорт и доход — на этапе, когда заёмщик идентифицирован. Статья 5 152-ФЗ запрещает избыточные данные.
• Тексты согласий разделены. Согласие на рекламу, согласие на передачу партнёрам и согласие на запрос кредитной истории — три разных документа с разными реквизитами, ни один не предустановлен.
• Получатели названы. Если заявка уходит партнёрам, они перечислены в согласии или в политике, а не скрыты за словами «третьим лицам».
• Политика опубликована и совпадает с формами. Цели, перечень данных, получатели и сроки хранения в политике описывают то, что форма реально делает.
• База — в России. Часть 5 статьи 18 152-ФЗ требует при сборе записывать и хранить данные граждан России в базах на территории страны; зарубежная CRM или форма на иностранном конструкторе — нарушение.
• Сторонние скрипты не читают форму. Пиксели рекламных сетей и чаты, которые видят поля с паспортом до отправки, — это передача данных без основания.

Снаружи, без доступа к документам, проверяются два пункта из этого списка: совпадает ли политика с тем, что реально собирают формы, и какие сторонние сервисы подгружаются на странице. Бесплатный скан на rkn-ok.ru показывает именно это — плюс есть ли у форм чекбокс согласия со ссылкой на политику и не срабатывают ли счётчики до согласия. Чтобы увидеть скрипты на странице заявки, в форму скана нужно вставить адрес самой этой страницы, а не главной. Где физически лежит база и читает ли сторонний скрипт поля формы, внешняя проверка не установит: это видно только по коду обработчика и договорам с подрядчиками.

Что читать дальше

• Штрафы за передачу персональных данных третьим лицам — как квалифицируется передача заявок партнёрам
• Пакетное согласие: запрет с 2025 года — почему согласие должно быть отдельным документом
• Согласие на обработку ПДн: образец — структура согласия по статье 9 152-ФЗ
• Электронное согласие на обработку ПДн — как доказать факт согласия, данного на сайте

Источники: Федеральный закон №218-ФЗ «О кредитных историях» — статья 5 218-ФЗ (представление информации в бюро без согласия субъекта), статья 6 218-ФЗ (согласие на получение кредитного отчёта: содержание, форма, срок, хранение), статья 8 218-ФЗ (права субъекта кредитной истории); Федеральный закон №152-ФЗ «О персональных данных» — статьи 5, 6, 7, 9, 10, 14, 16, 18, 18.1, 20 и 21 152-ФЗ, в том числе статья 16 152-ФЗ о решениях на основании исключительно автоматизированной обработки; часть 4.1 статьи 4 218-ФЗ (состав информационной части кредитной истории); статья 13.11 КоАП РФ.