Гражданский кодекс часть 1

от «Азиатско-Тихоокеанского Банка» (открытое акционерное общество): представитель ФИО1 по дов. от 13.08.2009 № 04/03-47; представитель ФИО2 по дов. от 18.01.2010;

от Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Амурской области: представитель ФИО3 по дов. от 23.09.2009 № 04-05/1718; представитель ФИО4 по дов. от 24.07.2009 № б/н;

ФИО5: не явился;

ФИО6: не явился

рассмотрел в судебном заседании апелляционные жалобы «Азиатско-Тихоокеанский Банк» (открытое акционерное общество), Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Амурской области

на решение от 05 ноября 2009 года

по делу № А04-5754/2009

Арбитражного суда Амурской области

принятое судьей Антоновой С.А.

по заявлению «Азиатско-Тихоокеанский Банк» (открытое акционерное общество)

о признании незаконными действий Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Амурской области, выразившихся в проведении проверок общества, в составлении актов проверок и выдаче предписаний об устранении выявленных нарушений; признании недействительными выданных предписаний

третьи лица, не заявляющие самостоятельных требований относительно предмета спора: ФИО5, ФИО6

установил:

«Азиатско-Тихоокеанский Банк» (открытое акционерное общество) (далее – общество, ОАО «АТБ», банк) обратилось с заявлением в арбитражный суд о признании незаконными действий Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Амурской области (далее – Управление Роскомнадзора по Амурской области), выразившихся в проведении проверок общества с 03.07.2009 по 30.07.2009, в составлении актов проверок от 30.07.2009 № 28-05/0149 и от 30.07.2009 № 28-05/0150 и выдаче предписаний от 30.07.2009 № П-8-05/0041, № П-8-05/0042, № П-8-05/0043, № П-8-05/0044, № П-8-05/0045, № П-8-05/0046об устранении выявленных нарушений; признании недействительными выданных предписаний от 30.07.2009 № П-8-05/0041, № П-8-05/0042, № П-8-05/0043, № П-8-05/0044, № П-8-05/0045, № П-8-05/0046 об устранении выявленных нарушений.

В качестве третьих лиц, не заявляющих самостоятельных требований относительно предмета спора, привлечены ФИО5 (далее – ФИО5), ФИО6 (далее – ФИО6).

Решением от 05.11.2009 суд удовлетворил заявленные требования частично. Признал недействительными, несоответствующими нормам Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» выданные Управлением Роскомнадзорома по Амурской области предписания от 30.07.2009 № П-8-05/0041, № П-8-05/0042, № П-8-05/0044, № П-8-05/0045, № П-8-05/0046 об устранении выявленных нарушений. В остальной части требований – отказал.

Не согласившись с судебным актом в части отказа в удовлетворении требований, общество обратилось в суд апелляционной жалобой, в которой просит отменить, поскольку судом неверно применены нормы материального и процессуального права.

Управление Роскомнадзора по Амурской области, не согласившись с решением суда в части признания недействительными предписаний от 30.07.2009 № П-8-05/0041, № П-8-05/0042, № П-8-05/0044, № П-8-05/0045, № П-8-05/0046 об устранении выявленных нарушений, обратилось с жалобой, в которой просит его отменить. Заявитель жалобы считает, что судом неверно применены нормы материального права, а также не полностью выяснены обстоятельства, имеющие значение для дела.

В судебном заседании представители общества просили заявленную ими жалобу удовлетворить. В удовлетворении жалобы управления отказать.

Представители Управления Роскомнадзора по Амурской области в судебном заседании поддержали доводы своей жалобы, просили решение суда в обжалуемой части отменить. В удовлетворении жалобы ОАО «АТБ» просили отказать.

ФИО5, ФИО6, извещенные надлежащим образом о месте и времени рассмотрения жалобы, в судебном заседании не присутствовали.

Заслушав представителей ОАО «АТБ», Управления Роскомнадзора по Амурской области, изучив материалы дела, доводы жалоб и отзыва на них, Шестой арбитражный апелляционный суд установил следующее.

На основании обращений граждан ФИО6 и ФИО5 Управлением Роскомнадзора по Амурской области проведена проверка ОАО «АТБ».

По результатам проверки составлены акты от 30.07.2009 № 28-05/0149 и № 28-05/0150, на основании которых банку выданы шесть предписаний об устранении выявленных нарушений Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон «О персональных данных») от 30.07.2009.

В предписаниях изложены следующие нарушения:

предписание № П-28-05/0041: пункт 4 статьи 14 Закона «О персональных данных» банк не представил по запросу заемщика информацию о способах обработки персональных данных заемщика, о лицах, имеющих доступ или которым может быть предоставлен доступ к персональным данным заемщика, не указал перечень обрабатываемых персональных данных и источники их получения;

предписание № П-28-05/0042: пункт 1 статьи 6 Закона «О персональных данных» банком не было получено согласие субъекта персональных данных на обработку персональных данных субъекта;

предписание № П-28-05/0043: пункт 3 статьи 18 Закона «О персональных данных» банк обязан был предоставить субъекту персональных данных до начала обработки персональных данных, полученных не от субъекта персональных данных, соответствующую информацию;

предписание № П-28-05/0044: пункт 1 статьи 18 Закона «О персональных данных» при сборе персональных данных банк предоставил субъекту персональных данных по его просьбе информацию, предусмотренную частью 4 статьи 14 Закона «О персональных данных», не в полном объеме;

предписание № П-28-05/0045: часть 4 статьи 21 Закона «О персональных данных» обработка персональных данных вкладчиков банком должна прекращаться по окончанию действия договора, если иное не предусмотрено федеральными законами;

предписание № П-28-05/0046: часть 3 статьи 15 Закона «О персональных данных» условия договора в пункте 5.4 нарушают право вкладчиков на отзыв своих персональных данных.

Указанные нарушения предложено устранить в течение десяти рабочих дней, следующих за днем предписания, о чем сообщить в течение пяти дней.

Не согласившись с вынесенными предписаниями, банк обжаловал их в суд, который заявленные требования удовлетворил частично. Признавая недействительными предписания № П-28-05/0041, № П-28-05/0042, № П-28-05/0044, № П-28-05/0045 и № П-28-05/0046, суд пришел к выводу о соответствии действий банка требованиям Закона «О персональных данных», а также о недоказанности Управлением Роскомнадзора по Амурской области возможности, права и обязанности банка по предоставлению информации субъекту персональных данных, обработки информации каким-либо способом и в целях, указанных в законе.

В отношении предписания № П-28-05/0043 суд согласился с позицией Управления Роскомнадзора по Амурской области о неисполнении банком обязанности по сообщению субъекту персональных данных информации о полученных не от него персональных данных до начала их обработки.

Повторно рассмотрев дело по имеющимся в нем доказательствам, суд апелляционной инстанции не нашел оснований для удовлетворения апелляционных жалоб и отмены решения суда.

ОАО «АТБ» является оператором персональных данных, включен в общероссийский реестр операторов персональных данных.

Управление Роскомнадзора по Амурской области в силу части 1 статьи 23 Закона «О персональных данных», Положению о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного Постановлением правительства Российской Федерации от 16.03.2009 № 228, Положения об Управлении Роскомнадзора по Амурской области, утвержденного руководителем службы 22.05.2009 является органом, уполномоченным на осуществление контроля и надзора за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных.

Порядок проведения контроля в области обращения и защиты информации регулируется Федеральным законом от 26.12.2008 № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» (далее – Закон № 294-ФЗ) и Законом «О персональных данных», а также Положениями о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций и об Управлении Роскомнадзора по Амурской области.

Так, согласно данным нормам, Управление Роскомнадзора по Амурской области наделено правом организовывать и осуществлять плановые и внеплановые мероприятия по контролю в установленной сфере деятельности, давать юридическим лицам, независимо от форм собственности и ведомственной принадлежности, обязательные для исполнения предписания об устранении нарушений в установленной сфере деятельности.

При этом доводы ОАО «АТБ» о неприменении к спорным правоотношениям Закона № 294-ФЗ в силу положений части 5 статьи 27 подлежат отклонению, поскольку данной нормой установлены изъятия в применении данного закона до 2001 года в отношении порядка организации и проведения проверок в определенной части, а именно: вида, предмета, оснований и сроков их проведения и не затрагивают самого права соответствующего органа на проведение проверки, а также оформления ее результатов определенным образом, в том числе путем составления акта проверки и выдачи предписаний, а также применения в указанной части других федеральных законов.

Доводы о незаконности проведения внеплановой документарной проверки в период с 03.07.2009 по 30.07.2009, поскольку приказы о ее проведении, по мнению банка, начали действовать только 30.07.2009, судом отклоняется. Из материалов дела видно, что первоначальное указание на проведение плановой выездной проверки в приказах от 03.07.2009 произведено ошибочно, исправление данной ошибки 30.07.2009 путем изменения вида проверки не повлекло нарушения прав банка, так как фактически характер проверки не изменился.

Далее, в соответствии с пунктом 4 статьи 14 Закона «О персональных данных» субъект персональных данных имеет право на получение при обращении или при получении запроса информации, касающейся обработки его персональных данных, в том числе содержащей:

1) подтверждение факта обработки персональных данных оператором, а также цель такой обработки;

2) способы обработки персональных данных, применяемые оператором;

3) сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;

4) перечень обрабатываемых персональных данных и источник их получения;

5) сроки обработки персональных данных, в том числе сроки их хранения;

6) сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.

Согласно статье 18 Закона «О персональных данных» при сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 4 статьи 14 настоящего Федерального закона.

Как следует из жалобы ФИО6 09.06.2009, он обратился к ОАО «АТБ» с просьбой предоставить ему информацию, перечисленную в части 4 статьи 14 Закона «О персональных данных», однако банк ему не ответил. С аналогичным запросом обращался в банк и ФИО5

Жалобы на непредставление им запрошенной информации в Управление Роскомнадзора по Амурской области указанные граждане подали 01.07.2009.

Однако банк ответил на данные запросы письмами от 02.07.2009 и 07.07.2009, в разумные сроки, но уже после начала проверки, возбужденной приказом Управления Роскомнадзора по Амурской области от 03.07.2009.

При таких обстоятельствах, у проверяющих на момент вынесения предписания не имелось оснований для выводов в предписании № П-28-05/0041 и предписании № П-28-05/0044 о нарушении вышеуказанной нормы в части непредставления информации и представления ее не в полном объеме и вынесения предписания об ее устранении.

В соответствии с частью 1 статьи 6 Закона «О персональных данных» обработка персональных данных может осуществляться оператором с согласия субъектов персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи. Таким исключением, в силу пункта 2 части 2 статьи 6 Закона, является обработка персональных данных в целях исполнения договора, одной из сторон которого является субъект персональных данных.

Как видно из материалов дела, ФИО6 является заемщиком банка на основании договора от 28.09.2008 № 265616. При этом ненадлежащим образом исполняет свои обязанности. Следовательно, обработка его персональных данных проводилась с соблюдением требований части 1 статьи 6 Закона «О персональных данных», в целях исполнения кредитного договора, в связи, с чем у административного органа отсутствовали основания для вынесения в отношении банка предписания № П-28-05/0042.

В соответствии с частью 4 стать 21 Закона «О персональных данных» в случае достижения цели обработки персональных данных оператор обязан незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий трех рабочих дней с даты достижения цели обработки персональных данных, если иное не предусмотрено федеральными законами, и уведомить об этом субъекта персональных данных или его законного представителя.

Проверкой установлено, что между банком и ФИО5 был заключен договор банковского вклада от 23.06.2009 № 0000423, который был закрыт 08.07.2009.

Между тем, приказ о проведении проверки издан 03.07.2009, до окончания действия договора, в связи, с чем у проверяющих не имелось оснований для констатации факта не уничтожения персональных данных по достижении цели обработки персональных данных и вынесения банку предписания № П-28-05/0045.

В соответствии с частью 2 статьи 15 Закона «О персональных данных» оператор обязан немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных, указанную в части 1 настоящей статьи.

Проверкой вменяется банку включение в договор условия, нарушающего право вкладчиков на отзыв своих персональных данных (п. 5.4 договора).

Между тем, данная норма регулирует права субъектов персональных данных при обработке их персональных данных в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации, к которым спорные отношения не относятся.

Следовательно, предписание № П-28-05/0046 также подлежит признанию недействительным.

Что касается предписания № П-28-05/0043, суд приходит к выводу о его законности и обоснованности.

Так, в соответствии с частью 3 статьи 18 Закона «О персональных данных» если персональные данные были получены не от субъекта персональных данных, оператор до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:

1) наименование (фамилия, имя, отчество) и адрес оператора или его представителя;

2) цель обработки персональных данных и ее правовое основание;

3) предполагаемые пользователи персональных данных;

4) установленные настоящим Федеральным законом права субъекта персональных данных.

Между тем, проверкой установлено, что ФИО6 в заявлении на получение кредита указал номер сотового телефона своего брата – ФИО5, которым банк воспользовался, не сообщив ФИО5 информацию, предусмотренную вышеуказанной нормой.

При таких обстоятельствах Управление Роскомнадзора по Амурской области обоснованно выставило ОАО «АТБ» предписание о прекращении указанного нарушения Закона «О персональных данных».

На основании изложенного апелляционные жалобы ОАО «АТБ» и Управления Роскомнадзора по Амурской областиподлежат отклонению, а решение суда первой инстанции оставлению без изменения.

Руководствуясь статьями 258, 268-271 Арбитражного процессуального кодекса Российской Федерации, Шестой арбитражный апелляционный суд

ПОСТАНОВИЛ:

решение Арбитражного суда Амурской области от 05 ноября 2009 года по делу № А04-5754/2009 оставить без изменения, апелляционную жалобу – без удовлетворения.

Постановление вступает в законную силу со дня его принятия и может быть обжаловано в кассационном порядке в двухмесячный срок.

Председательствующий

А.И. Михайлова

Судьи

Е.В. Гричановская

Е.И. Сапрыкина