Гражданский кодекс часть 1

рассмотрев в судебном заседании заявление ОАО «Восточный экспресс банк» (ОАО КБ «Восточный») (ОГРН <***>, ИНН <***>) к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Амурской области (ОГРН <***>, ИНН <***>)

признании предписания недействительным

третьи лица: ФИО1, ООО «М.Б.А.Финансы»

при участии в заседании:

от заявителя: ФИО2 по доверенности от 08.11.2012, паспорт;

от ответчика: ФИО3 по доверенности от 28.10.2013, паспорт, ФИО4 по доверенности от 04.06.2013, паспорт;

от ООО «М.Б.А.Финансы»: не явились, извещены надлежащим образом;

от ФИО1: ФИО1, паспорт

установил:

В Арбитражный суд Амурской области обратилось открытое акционерное общество «Восточный экспресс банк» (ОАО КБ «Восточный») (ОГРН <***>, ИНН <***>) (далее – заявитель, Банк) с заявлением о признании недействительным предписания Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Амурской области (далее – ответчик Управление) №П-28-04/0022 от 11.10.2013.

Определением суда от 13.11.2013 к участию в деле в качестве третьих лиц, не заявляющих самостоятельных требований относительно предмета спора привлечены ООО «М.Б.А.Финансы» и ФИО1.

В обоснование требований заявитель указал, что основанием для вынесения оспариваемого предписания стала внеплановая проверка, проведенная ответчиком по жалобе ФИО1 по факту передачи Банком персональных данных заемщика – ФИО1 ООО «М.Б.А.Финансы».

По мнению заявителя, выводы Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Амурской области, изложенные в акте проверки от 11.10.2013, не соответствуют фактическим обстоятельствам и нормам действующего законодательства, поскольку Банком не осуществлялась передача персональных данных ФИО1 иным лицам.

В судебном заседании заявитель настаивал на удовлетворении требований по доводам, указанным в заявлении. Пояснил, что Банк не передавал третьим лицам персональные данные ФИО1, заемщиков или клиентов с фамилией ФИО5 или ФИО5 у банка не было.

Ответчик требования не признал, указав, что в рамках внеплановой проверки Управлением были изучены анкета Заявителя в Банк и заявление на заключение соглашения о кредитовании Заявителя в Банк, в которых в нарушение ч.4 ст.9 Закона «О персональных данных» отсутствовали наименование и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу, а также перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных. На устранение указанных недостатков и было выдано оспариваемое предписание. Пояснил, что оспариваемое предписание выдано не по факту направления SMS-сообщений ФИО1, а по нарушениям, выявленным в документах.

ФИО1 пояснила, что получала на номер сотового телефона звонки и SMS-сообщения от ООО «М.Б.А.Финансы», адресованные ФИО5 о необходимости погашения задолженности по кредиту. При этом, сама ФИО1, являющаяся ранее заемщиком ОАО «Восточный экспресс банк» кредит полностью погасила и задолженности не имеет. Считает, что Банк в нарушение действующего законодательства предоставил ее персональные данные иному лицу.

Исследовав материалы дела, судом установлены следующие обстоятельства.

Управлением Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Амурской области на основании приказа от 11.09.2013 №215-к по жалобе ФИО1 проведена внеплановая проверка ОАО «Восточный экспресс банк» на предмет нарушения законодательства о персональных данных.

По результатам проверки составлен акт от 11.10.2013, согласно которому установлено нарушение пункта 4 статьи 9 Федерального закона «О персональных данных» - отсутствует наименование и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу, а также перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных. Не представлена запрошенная в рамках проверки информация, необходимая для проведения проверки по жалобе заявителя (ФИО1).

По результатам контрольных мероприятий ответчиком вынесено предписание об устранении выявленного нарушения в срок до 25.10.2013.

Посчитав предписание незаконным, Банк обратился в суд с настоящим заявлением.

Оценив изложенные обстоятельства, изучив доводы сторон и материалы дела, суд считает требования не подлежащими удовлетворению по следующим основаниям.

Отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами (далее - государственные органы), органами местного самоуправления, иными муниципальными органами (далее - муниципальные органы), юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и(или) доступ к таким персональным данным, регулируются Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" (далее – Закон о персональных данных).

Согласно статье 2 Закона о персональных данных целью настоящего Федерального закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

Статьей 3 указанного Закона определено, что персональные данные, это любая информация, относящаяся прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); оператор - это государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и(или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; обработка персональных данных - это любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

В соответствии с пунктом 1 статьи 7 Закона о персональных данных операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных.

Согласно п. п. 1, 4 статьи 9 Закона о персональных данных субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе.

Указом Президента Российской Федерации от 06.03.1997 N 188 утвержден Перечень сведений конфиденциального характера.

Согласно пункту 1 названного Перечня к таким сведениям в частности относятся сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях.

В соответствии с частью 3 статьи 6 Закона о персональных данных оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта (далее - поручение оператора). Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом. В поручении оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона.

В силу пункта 5 статьи 3 Закона о персональных данных под распространением персональных данных понимаются действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Судом установлено, что 27.06.2012 между ОАО «Восточный экспресс банк» (принципал) и ООО «М.Б.А. Финансы» заключен агентский договор № 284, по условиям которого принципал поручает, а агент принимает на себя обязательство за вознаграждение совершать от имени и за счет принципала фактические и юридические действия, в рамках действующего законодательства Российской Федерации, по взысканию задолженности с физических лиц, допустивших нарушение условий договоров, заключенных между принципалом и должниками, повлекшее возникновение просроченной задолженности.

В рамках данного договора агент вправе использовать, в том числе такие способы взыскания задолженности с должников как телефонные переговоры, письменные уведомления и оповещение должника о наличии задолженности посредством SMS-сообщений (п.3.2.1).

Частью 3 статьи 9 Закона о персональных данных установлено, что обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных возлагается на оператора. При этом согласие на обработку персональных данных должно быть конкретным, информированным и сознательным (часть 1 статьи 9 Закона). Письменное согласие должно содержать все сведения, перечисленные в части 4 указанной нормы, в частности:

- наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу (пункт 6);

- перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных (пункт 7).

Согласно пунктам 3 и 4 анкеты заявителя от 28.05.2012 ФИО1 в целях принятия Банком решения о заключении кредитного договора дает свое согласие на:

- обработку своих персональных данных, в том числе сбор, проверку и хранение такой информации;

- на получение информации о кредитной истории на основании Федерального закона от 30.12.2004 №218-ФЗ «О кредитных историях» от любых организаций, осуществляющих в соответствии с действующим законодательством формирование, обработку и хранение такой информации;

- на обработку своих персональных данных в целях продвижения услуг Банка на рынке с помощью средств связи, равно как и продвижение услуг Банка и/или услуг (товаров, работ) третьих лиц - партнеров Банка

Из содержания анкеты судом не усматривается волеизъявления ФИО1 на передачу ее персональных данных агенту с целью взыскания долга. Согласие, содержащееся в анкете и заявлении в момент подписания кредитного договора ФИО1 не определяет, какому конкретно лицу могут быть переданы сведения о персональных данных, а также какая именно информация о заемщике станет известна третьим лицам.

Между тем, в соответствии с положениями статьи 5 Закона о персональных данных, обработка персональных данных должна осуществляться на законной и справедливой основе, обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей.

Цель обработки персональных данных гражданки ФИО1 определенная в анкете, на реализацию которой выразила свое согласие гражданка ФИО1, является заключение кредитного договора, а не договора с иными лицами.

Таким образом, в письменном согласии (анкете и заявлении заемщика) отсутствует наименование и адрес лица, осуществляющего обработку персональных данных по поручению оператора, а также перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных, что не соответствует пунктам 6 и 7 части 4 статьи 9 Закона о персональных данных.

В ходе судебного разбирательства Банком в нарушение ст.65 АПК РФ не представлены доказательства, опровергающие доводы ответчика, изложенные в оспариваемом предписании, в частности не представлены: письменное согласие ФИО1, изложенное в иных документах на передачу ее персональных данных третьим лицам и содержащее перечисленные в пунктах 6 и 7 части 4 статьи 9 Закона о персональных данных сведения; типовые анкеты и заявления заемщиков, в которых также имеются указанные в части 4 статьи 9 Закона о персональных данных сведения, правила обработки персональных данных заемщиков, действующие в Банке и т.п. При этом, согласно акту проверки указанные документы не были представлены Банком ответчику и в ходе осуществления контрольных мероприятий.

Доводы заявителя о том, что Банк не передавал персональные данные ФИО1 третьим лицам, в том числе ООО «М.Б.А.Финансы» не имеют в данном случае правового значения, поскольку согласно оспариваемому предписанию, нарушение выразилось не в передаче персональных данных указанного заемщика третьим лицам, а в отсутствие в письменном согласии наименования и адреса лица, осуществляющего обработку персональных данных по поручению оператора, а также переченя действий с персональными данными, на совершение которых дается согласие, общего описания используемых оператором способов обработки персональных данных.

Таким образом, исходя из оценки имеющихся в деле доказательств, суд считает правомерным вменение ОАО «Восточный экспресс банк» перечисленных в оспариваемом предписании нарушений. При таких обстоятельствах, предписание Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Амурской области №П-28-04/0022 от 11.10.2013 следует признать законным и обоснованным.

В силу статьи 201 АПК РФ указанные обстоятельства являются основанием для принятия решения об отказе в удовлетворении требований заявителя.

В соответствии с предписаниями статьи 110 АПК РФ судебные расходы, понесенные лицами, участвующими в деле, в пользу которых принят судебный акт, взыскиваются арбитражным судом со стороны.

В связи с отказом в удовлетворении требований, судебные расходы по уплате Банком государственной пошлины в размере 2000 рублей подлежат отнесению на заявителя.

Руководствуясь ст. 110, 167-170, 180, 201 АПК РФ, суд решил:

В удовлетворении требований отказать.

Решение может быть обжаловано в течение месяца со дня его принятия в Шестой Арбитражный апелляционный суд (г. Хабаровск) через Арбитражный суд Амурской области.

Судья В.И. Котляревский