Гражданский кодекс часть 1

рассмотрел в открытом судебном заседании апелляционную жалобу акционерного общества Банк социального развития «Резерв» на решение Арбитражного суда Челябинской области от 07.06.2016 по делу № А76-5164/2016 (судья Белякович Е.В.).

В судебном заседании принял участие представитель акционерного общества Банк социального развития «Резерв» – ФИО1 (паспорт, доверенность от 05.08.2016).

Управление Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Челябинской области явку своих представителей в судебное заседание не обеспечило, о месте и времени рассмотрения апелляционной жалобы извещено надлежащим образом, в том числе публично, посредством размещения информации на официальном Интернет-сайте.

Акционерное общество Банк социального развития «Резерв» (далее – заявитель, Банк) обратилось в Арбитражный суд Челябинской области с заявлением о признании недействительным предписания Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Челябинской области (далее – заинтересованное лицо, Роскомнадзор) № П-74/6/1-нд/-//1065 от 05.02.2016 в части следующих нарушений (с учётом заявленных требований, принятого судом первой инстанции в порядке ст. 49 Арбитражного процессуального кодекса Российской Федерации):

-обработки персональных данных в случаях, не предусмотренных Федеральным законом «О персональных данных» (часть 1 статьи 6) (обработки персональных данных в отношении членов семьи, проживающих совместно с клиентом; персональных данных совершеннолетних детей, проживающих отдельно от клиента; персональных данных родителей клиента, изложенных в заявлении-анкете на предоставление кредита);

-непредставления или несвоевременного представления в государственный орган (должностному лицу) сведений (информации), предоставление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объёме или в искажённом виде в части непредставления уполномоченному органу по защите прав субъектов персональных данных, по запросу и в установленные сроки информации, необходимой для реализации его полномочий (представление в уполномоченный орган уведомления об обработке персональных данных, содержащего неполные и (или) недостоверные сведения – непредставление уведомления об обработке специальной категории персональных данных – биометрических персональных данных).

Решением Арбитражного суда Челябинской области от 07.06.2016 (резолютивная часть решения объявлена 31.05.2016) заявленные требования удовлетворены частично. Признано недействительным предписание Управления № П-74/6/1-нд/-//1065 от 05.02.2016 в части следующего нарушения: «Непредставление или несвоевременное представление в государственный орган (должностному лицу) сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объёме или в искажённом виде в части непредставления уполномоченному органу по защите прав субъектов персональных данных, по запросу и в установленные сроки информации, необходимой для реализации его полномочий». В удовлетворении остальной части заявленных требований отказано.

Заявитель не согласился с указанным решением в части признания законным предписания Управления № П-74/6/1-нд/-//1065 от 05.02.2016 об устранении выявленного нарушения, вменяемого Банку, а именно, обработки персональных данных в случаях, не предусмотренных Федеральным законом «О персональных данных» (ч.1 ст.6) (обработки персональных данных в отношении членов семьи, проживающих совместно с клиентом; персональных данных совершеннолетних детей, проживающих отдельно от клиента; персональных данных родителей клиента, изложенных в заявлении-анкете на предоставление кредита). Просит решение суда в указанной части отменить и вынести новое решение о полном удовлетворении заявления Банка о признании незаконным вышеуказанного предписания.

В обоснование апелляционной жалобы общество ссылается на то, что обработка Банком персональных данных о членах семьи клиента, в т.ч. совершеннолетних детях и родителях клиента, производится в целях выполнения нормативных требований Центрального Банка Российской Федерации - п.4.6 Инструкции Центрального Банка Российской Федерации от 03.122012 №139-И «Об обязательных нормативах банков» для определения связанности клиента с другими клиентами Банка при исчислении норматива Н6, т.е. на основании и во исполнение действующего законодательства (ст.24 ФЗ «О банках и банковской деятельности», ст. 62 ФЗ РФ «О центральном Банке Российской России)», 62-ФЗ РФ «О центральном Банке Российской Федерации (Банк России)».

Кроме того, по мнению апеллянта, оспариваемое предписание не обладает признаками конкретности и не содержит информации о тех мероприятиях, которые должны быть проведены Банком в целях устранения выявленных нарушений в срок, указанный в предписании, при отсутствии ссылок на действия по устранению нарушений, что создаёт препятствия для осуществления предпринимательской и иной экономической деятельности Банка, возлагая на него обязанности в неконкретном и неограниченном объёме, и является самостоятельным основанием для признания предписания недействительным.

Административный орган представил возражения на апелляционную жалобу, в которых против изложенных в ней доводов возразил, считает решение суда в обжалуемой части законным и обоснованным, не подлежащим отмене.

В соответствии с ч. 5 ст. 268 Арбитражного процессуального кодекса Российской Федерации, истолкованной применительно к пункту 25 постановления Пленума Высшего Арбитражного Суда Российской Федерации от 28.05.2009 № 36 «О применении Арбитражного процессуального кодекса Российской Федерации при рассмотрении дел в арбитражном суде апелляционной инстанции», законность и обоснованность судебного акта проверены апелляционным судом в обжалуемой апеллянтом части.

Лица, участвующие в деле, о времени и месте рассмотрения апелляционной жалобы извещены надлежащим образом, в том числе публично, путём размещения указанной информации на официальном Интернет-сайте; в судебное заседание представители заинтересованного лица не явились.

С учётом мнения заявителя и в соответствии со статьями 123, 156, 200 Арбитражного процессуального кодекса Российской Федерации дело рассмотрено судом апелляционной инстанции в отсутствие заинтересованного лица.

В судебном заседании представитель заявителя поддержал доводы, изложенные в апелляционной жалобе.

Арбитражный суд апелляционной инстанции, повторно рассмотрев дело в порядке статей 268, 269 Арбитражного процессуального кодекса Российской Федерации, исследовав имеющиеся в деле доказательства, проверив доводы апелляционной жалобы, не находит оснований для отмены обжалуемого судебного акта.

Как следует из материалов дела, 11.01.2016 Роскомнадзором издан приказ № 1-нд о проведении плановой выездной проверки в отношении банка, с учётом приказа от 14.01.2016 № 16-нд о внесении изменений в приказ от 11.01.2016 (л.д. 69,70), с целью осуществления государственного контроля и надзора за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных; выполнения Плана деятельности Управления Роскомнадзора по Челябинской области на 2016 год, утвержденного приказом руководителя Управления Роскомнадзора по Челябинской области от 14.12.2015 № 589-нд, размещенного на официальном Интернет-портале Роскомнадзора (http://74.rkn.gov.ru/plav_otchet); задачами проверки является – проверка соблюдения оператором требований в области персональных данных.

По результатам проверки 05.02.2016 составлен акт проверки № А-74/6/1- нд/41 (л.д. 81-84) в котором отражены следующие нарушения:

-обработка персональных данных в случаях, не предусмотренных Федеральным законом (часть 1 статья 6 Федерального закона № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ);

-непредставление или несвоевременное представление в государственный орган (должностному лицу) сведений (информации), предоставление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объёме или в искажённом виде в части непредставления уполномоченному органу по защите прав субъектов персональных данных, по запросу и в установленные сроки информации, необходимой для реализации его полномочий (ч. 4 ст. 20 Закона № 152-ФЗ);

-обработка избыточных персональных данных по отношению к заявленным целям их обработки (часть 5 статья 5 Закона № 152-ФЗ);

-нарушение оператором обязательных требований при обработке специальных категорий персональных данных (сведений о судимости) (часть 3 статья 10 Закона № 152-ФЗ).

Подробно выявленные нарушения описаны в приложении № 2 к упомянутому акту проверки (т. 1 л.д. 18-23).

05.02.2016 заинтересованным лицом заявителю выдано предписание об устранении выявленных нарушений № П-74/6/1-нд/-//1065, в котором отражены выявленные нарушения и предложено их устранить не позднее 09.03.2016 (л.д. 12)

Считая данное предписание незаконным, заявитель обратился в суд с рассматриваемым заявлением.

Частично удовлетворяя заявленные требования и отказывая в удовлетворении требования заявителя в обжалуемой части, суд первой инстанции указал, в числе прочего, что Банком осуществляется обработка персональных данных, в том числе лиц, которые ни клиентами, ни заёмщиками банка не являются, без их согласия, что не соответствует действующему законодательству и целям обработки персональных данных.

Оценив в порядке ст. 71 Арбитражного процессуального кодекса Российской Федерации все имеющиеся в деле доказательства в их совокупности, суд апелляционной инстанции считает, что выводы суда первой инстанции в обжалуемой части являются правильными, соответствуют обстоятельствам дела и действующему законодательству.

В силу положений ч. 1 ст. 198, ч. 4 ст. 200, ч. 2 ст. 201 Арбитражного процессуального кодекса Российской Федерации для удовлетворения требований о признании недействительными решений органов, осуществляющих публичные полномочия, должностных лиц, необходима совокупность двух условий: несоответствие закону или иному нормативному правовому акту оспариваемого ненормативного правового акта, решения и действия (бездействия) и нарушение прав и законных интересов заявителя в сфере предпринимательской и иной экономической деятельности.

Отсутствие хотя бы одного из указанных условий исключает удовлетворение заявленных требований.

Федеральный закон «О персональных данных», принятый, как указывается в его статье 2, в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, в главе 2 устанавливает принципы и условия обработки персональных данных, под которой понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (пункт 3 статьи 3).

Согласно статье 3 названного Федерального закона персональными данными признается любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

Оператором персональных данных признается государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (пункт 2 статьи 3 Закона № 152-ФЗ).

В силу части 4 статьи 5 названного Закона обработке подлежат только персональные данные, которые отвечают целям их обработки.

Частью 5 статьи 5 Закона о персональных данных установлено, что содержание и объём обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

В соответствии с пунктами 1, 2, 5 и 7 части 1 статьи 6 Федерального закона «О персональных данных» обработка персональных данных должна осуществляться с соблюдением, в частности, правил, предусмотренных данным Федеральным законом, и допускается в случаях, если она осуществляется с согласия субъекта персональных данных, необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей, для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, в том числе в случае реализации оператором своего права на уступку прав (требований) по такому договору, для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем, а также в случае, если обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей, и при условии, что при этом не нарушаются права и свободы субъекта персональных данных.

Частями 1, 2 и 3 статьи 9 данного Федерального закона, в частности, предусматривается, что субъект персональных данных принимает решение о предоставлении его персональных данных и даёт согласие на их обработку свободно, своей волей и в своём интересе; согласие на обработку персональных данных должно быть конкретным, информированным и сознательным; согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом; согласие на обработку персональных данных может быть отозвано субъектом персональных данных; в случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных, в частности, в пунктах 2 - 11 части 1 статьи 6 данного Федерального закона; обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 данного Федерального закона, возлагается на оператора.

Согласно приложению № 2 к акту проверки в нарушение приведённых норм права в анкете-заявлении на предоставление кредита запрашиваются персональные данные членов семьи, проживающих совместно с клиентом (Ф.И.О., дата рождения); персональные данные совершеннолетних детей, проживающих отдельно от клиента (Ф.И.О., дата рождения, адрес регистрации, проживания, контактный телефон); персональные данные родителей клиента (Ф.И.О., дата рождения, адрес регистрации, проживания, контактный телефон), которые не являются стороной кредитного договора, при этом согласие указанных лиц на обработку их персональных данных банком не получено, что противоречит целям предоставления персональных данных (предоставление кредита) и нарушает принцип получения согласия субъекта персональных данных на их обработку, в связи с чем суд первой инстанции правомерно признал обоснованным требование административного органа в данной части.

Довод апеллянта о том, что обработка персональных данных указанных лиц необходима в соответствии с положениями пункта 4.6 Инструкции Банка России от 03.12.2012 № 139-И «Об обязательных нормативах банков», для расчёта норматива Н6 по группе связанных заемщиков (юридических и (или) физических лиц), признаваемых таковыми в соответствии со статьёй 64 Федерального закона от 10.07.2002 № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)», отклоняется судом апелляционной инстанции как основанный на неправильном толковании норм материального права, поскольку положения Федерального закона от 10.07.2002 № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)» и принятых на основании данного Закона инструкций не регулируют вопросы получения и обработки персональных данных и, во всяком случае, не отменяют установленный данным Законом принцип обязательного получения согласия субъекта персональных данных на их обработку.

В рассматриваемом случае, включение в заявление–анкету на предоставления кредита сведений о персональных данных лиц, с которыми договор не заключается и которые не давали согласие на передачу и обработку своих персональных данных, исключительно по мотиву расчёта норматива банка, является прямым нарушением ч 1 ст. 6 Закона № 152-ФЗ, тем более, что обязательность указания персональных данных упомянутых лиц не зависит от того, имеются ли у них кредитные обязательства, которые могут повлиять на расчёт указанного Банком норматива.

Поскольку заявление-анкета в отношениях с клиентом Банка носит характер договора присоединения, на условия которого потребитель повлиять не может (ст. 428 Гражданского кодекса Российской Федерации), это условие диктуется не свободным волеизъявлением и интересами указанных лиц, как то предусмотрено статьёй 9 Закона № 152-ФЗ, а интересами Банка, суд первой инстанции пришёл к верному выводу о том, что требования Банка в данной части противоречат закону и судебной защите не подлежат.

Довод подателя жалобы о том, что оспариваемое предписание не обладает признаками конкретности и не содержит информации о тех мероприятиях, которые должны быть проведены Банком в целях устранения выявленных нарушений в срок, отклоняется судом апелляционной инстанции, поскольку выявленные нарушения подробно описаны в приложении № 2 к акту проверки и воспроизведены в оспариваемом предписании, являются конкретными и понятными, содержащаяся в нём формулировка доступна для понимания относительно конкретных действий, направленных на устранение выявленных нарушений, которые необходимо совершить Банку, доказательством чего является само заявление Банка, содержащее указание на конкретные нарушения, которые Банк полагает не установленными.

На основании изложенного, суд апелляционной инстанции считает, что суд первой инстанции обоснованно в обжалованной части отказал заявителю в удовлетворении требований, материалами дела не подтверждается, что оспариваемое предписание в данной части нарушает права и законные интересы заявителя и не соответствует нормам действующего законодательства.

Доводы апелляционной жалобы основаны на неверном толковании действующего законодательства и опровергаются материалами дела, а потому оснований для ее удовлетворения не имеется.

Всем доказательствам, представленным сторонами, обстоятельствам дела, а также доводам, в том числе, изложенным в жалобе, суд первой инстанции дал надлежащую правовую оценку, оснований для переоценки выводов у суда апелляционной инстанции в силу ст. 268 Арбитражного процессуального кодекса Российской Федерации не имеется.

С учётом изложенного, судебный акт в обжалуемой части подлежит оставлению без изменения, апелляционная жалоба - без удовлетворения.

Нарушений норм процессуального права, являющихся основанием для отмены судебного акта на основании ч. 4 ст. 270 Арбитражного процессуального кодекса Российской Федерации, не установлено.

В соответствии со ст. 110 Арбитражного процессуального кодекса Российской Федерации судебные расходы по оплате государственной пошлины по апелляционной жалобе относятся на её подателя.

Руководствуясь статьями 176, 268, 269, 271 Арбитражного процессуального кодекса Российской Федерации, арбитражный суд апелляционной инстанции

ПОСТАНОВИЛ:

решение Арбитражного суда Челябинской области от 07.06.2016 по делу № А76-5164/2016 в обжалуемой части оставить без изменения, апелляционную жалобу акционерного общества Банк социального развития «Резерв» - без удовлетворения.

Постановление может быть обжаловано в порядке кассационного производства в Арбитражный суд Уральского округа в течение двух месяцев со дня его принятия (изготовления в полном объёме) через арбитражный суд первой инстанции.

Председательствующий судья И.А. Малышева

Судьи Н.А. Иванова

А.П. Скобелкин