Гражданский кодекс часть 1

Арбитражный суд Республики Бурятия в составе судьи Устиновой Н.В., при ведении протокола судебного заседания секретарем Аюшеевой А.Н., рассмотрев в открытом судебном заседании дело по заявлению Открытого акционерного общества «Восточный экспресс банк» (ОГРН <***>, ИНН <***>) к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Республике Бурятия (ОГРН <***>, ИНН <***>) о признании недействительным предписания об устранении выявленных нарушений № П-04-23/024 от 15.07.2013,

при участии в заседании:

заявителя – ФИО1, представителя по доверенности № 418-СФ от 01.01.2013; ответчика – ФИО2, представителя по доверенности № 32-Д от 23.09.2013, ФИО3, представителя по доверенности № 28-Д от 10.09.2013;

третьего лица- ОАО «Первое коллекторское бюро»: не явился, извещен;

третьего лица- ФИО4: не явился, извещен,

установил:

Открытое акционерное общество «Восточный экспресс банк» (далее- ОАО КБ «Восточный», банк, общество) обратилось в суд с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Республике Бурятия (далее- Управление, Роскомнадзор по РБ) о признании недействительным предписания об устранении выявленных нарушений № П-04-23/024 от 15.07.2013.

Определением по делу от 19.08.2013 в порядке статьи 51 Арбитражного процессуального кодекса Российской Федерации суд по собственной инициативе привлек к участию в деле в качестве третьих лиц, не заявляющих самостоятельных требований относительно предмета спора, Открытое акционерное общество «Первое коллекторское бюро» (далее- «Первое коллекторское бюро»), гражданина ФИО4 (далее- ФИО4).

Третье лицо- ОАО «Первое коллекторское бюро» в предварительное судебное заседание не явилось, факсимильной связью представило заявление о рассмотрении дела в отсутствие представителя ОАО «Первое коллекторское бюро».

Третье лицо- гражданин ФИО4 в предварительное судебное заседание не явился, извещен надлежащим образом о времени и месте проведения заседания, что подтверждается почтовым уведомлением.

Руководствуясь статьей 156 Арбитражного процессуального кодекса Российской Федерации, суд считает возможным рассмотреть спор в отсутствие третьих лиц- ОАО «Первое коллекторское бюро», ФИО4

Представитель заявителя в судебном заседании заявленные требования поддержал в полном объеме, сослался на следующее.

15.07.2013 Управлением по результатам проведения внеплановой проверки по заявлению ФИО4 о нарушении его прав и интересов вынесено предписание № П-04-23/024, в соответствии с которым банку предписано устранить нарушения, а именно: представить уведомление об обработке персональных данных в Управление Роскомнадзора по Амурской области; взять письменное согласие субъекта на передачу его персональных данных ОАО «Первое коллекторское бюро» или принять меры по прекращению обработки ОАО «Первое коллекторское бюро» персональных данных гражданина ФИО4

В части нарушения требований части 1 статьи 6 Федерального закона «О персональных данных», а именно передача персональных данных без его согласия в ОАО «Первое коллекторское бюро», заявитель пояснил следующее.

В соответствии с анкетой от 01.09.2011 ФИО4 предоставил согласие на обработку своих персональных данных, в том числе сбор, проверку достоверности предоставленной информации путем обращения к третьим лицам. ФИО4 неоднократно допускались нарушения условий кредитного договора – невнесение обязательных платежей согласно графику. Банком заключен с коллекторским агентством агентский договор, кредитный договор ФИО4 передан по агентскому договору № 22 от 31.01.2012.

Пункт 5 части 1 статьи 6 указанного закона допускает обработку персональных данных без согласия субъекта персональных данных в случаях, когда это необходимо для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.

Более того, получение согласия субъекта персональных данных на их обработку третьим лицом необходимо для заключения договора между оператором и третьим лицом, предметом которого является обработка персональных данных, в то время как банк и ОАО «Первое коллекторское бюро» заключили договор, предметом которого является совершение в интересах банка действий по взысканию с ФИО4 задолженности по кредитному договору. В данном случае данные о должнике переданы третьему лицу в целях исполнения агентского договора, а не в целях исполнения договора, заключенного между кредитором и должником.

В части доводов Управления о непредставлении и (или) несвоевременном представлении уведомления по обработке персональных данных при осуществлении деятельности по обработке персональных данных, не подпадающих под исключения части 2 статьи 22 закона, заявитель сослался на следующее.

Согласно пункту 2 статьи 22 Закона не требуется направление уведомления в уполномоченный орган при обработке персональных данных, полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора.

В соответствии с анкетой заявителя от 01.09.2011 ФИО4 предоставил согласие на обработку своих персональных данных, в том числе сбор, проверку достоверности представленной информации путем обращения к третьим лицам, что подтверждается собственноручной подписью. С момента заключения кредитного договора по настоящее время заемщиком ФИО4 неоднократно допускались нарушения условия кредитного договора – по оплате сумм задолженности по кредитному договору. В связи с изложенным, банком принято решение об истребовании задолженности по кредитному договору посредством соответствующего поручения ОАО «Первое коллекторское бюро» в рамках агентского договора.

В настоящем случае банк и ОАО «Первое коллекторское бюро» заключили договор, предметом которого является совершение в интересах банка действий по взысканию с ФИО4 задолженности по кредитному договору, где вообще не требуется согласие клиента, так как предметом такого договора является взыскание задолженности по кредитному договору, а не обработка персональных данных клиента. В данном случае данные ФИО4 переданы третьему лицу в целях исполнения кредитного договора.

То есть в данном случае происходит обработка персональных данных во исполнение обязательств по договору, заключенному между субъектом персональных данных и оператором персональных данных – кредитному договору, все права и обязанности по действиям, совершенным агентом, возникают именно у принципала.

Ответчик требования не признал, сослался на законность и обоснованность оспариваемого предписания, пояснил следующее.

В обращении, на основании которого проведена внеплановая выездная проверка банка, гражданин ФИО4 указал на неправомерную передачу банком его персональных данных в адрес ОАО «Первое коллекторское бюро» и в адрес гражданки ФИО5, так как не давал согласия банку на передачу своих персональных данных третьим лицам.

В результате проведенной проверки, изучив и проанализировав все представленные банком документы были выявлены нарушения части 1 статьи 22, части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». 15.07.2013 Управлением банку вынесено предписание об устранении выявленных нарушениях.

Так, банк не уведомил уполномоченный орган об обработке (намерении осуществлять обработку) персональных данных, при осуществлении деятельности по обработке персональных данных, не подпадающих под исключения части 2 статьи 22 Закона. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. В анкете гражданина ФИО4 указано, что целью обработки персональных данных гражданина ФИО4, на реализацию которой выразил свое согласие гражданин, является получение денежных средств (кредита), проверку представленной заявителем информации в банк путем обращения к третьим лицам, обработку в целях продвижения услуг банка и /или услуг (товаров, работ) третьих лиц – партнеров банка, а также дано согласие на предоставление информации в бюро кредитных историй.

Однако, с целью взыскания с ФИО4 просроченной задолженности по кредитному договору, банк передал третьему лицу – коллекторскому агентству конфиденциальную информацию о заемщике в рамках агентского договора, тем самым превысив определенные и законные цели обработки персональных данных .

Гражданин ФИО4 не является стороной или выгодоприобретателем по агентскому договору, соответственно на правоотношения между коллекторским агентством и ФИО4 требования пункта 5 части 1 статьи 6 Закона «О персональных данных», предусматривающего возможность обработки персональных данных по договору, стороной которого либо выгодоприобретателем или поручителем является субъект персональных данных, не распространяются.

Гражданин ФИО4 по договору на получение кредита не выражал согласия на передачу банком его персональных данных в коллекторское агентство, следовательно, банк допустил нарушение требований части 1 статьи 6 Закона «О персональных данных», в части передачи без согласия гражданина его персональных данных в коллекторское агентство.

Дело рассматривается в порядке, предусмотренном главой 24 Арбитражного процессуального кодекса Российской Федерации.

Как установлено материалами дела, ОАО «Восточный экспресс банк» зарегистрировано в качестве юридического лица основным государственным регистрационным номером <***>.

21.05.2013 гражданин ФИО4 обратился в Управление Роскомнадзора по РБ с жалобой, в которой указал на неправомерную передачу ОАО «Восточный экспресс банк» его персональных данных в ОАО «Первое коллекторское бюро», поскольку согласия на передачу своих персональных данных третьим лицам он не давал.

На основании приказа должностного лица уполномоченного органа от 29.05.2013 N 175-м проведена внеплановая выездная проверка в отношении общества, основанием которой явилось обращение гражданина ФИО4 в уполномоченный орган с заявлением о нарушении его прав, установленных нормами Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее Закон N 152-ФЗ).

Уведомлением от 31.05.2013 № 1469-04/03 Управление известило общество о проведении внеплановой выездной проверки в период с 04.06.2013 по 19.06.2013 (т. 1 л.д. 134). Данное уведомление получено обществом 03.06.2013 (т. 1 л.д. 136).

По результатам проведенной проверки 15.07.2013 составлен акт № А-04-23/0069 с приложением № 1 к акту «Сведения о результатах проверки ОАО «Восточный экспресс банк», приложение № 2 к акту «Справка о результатах проверки», в которых установлены нарушения обязательных требований: части 1 статьи 22 Закона N 152-ФЗ в части непредставления и (или) несвоевременного представления уведомления по обработке персональных данных при осуществлении деятельности по обработке персональных данных, не попадающей под исключения части 2 статьи 22 Закона №152-ФЗ; части 1 статьи 6 Закона № 152-ФЗ в части обработки персональных данных в случаях, не предусмотренных Законом № 152-ФЗ, а именно передача персональных данных без согласия субъекта персональных данных в ОАО «Первое коллекторское бюро» (т. 1 л.д. 137-139, 140, 141-147).

Рассмотрев материалы проверки, уполномоченным органом вынесено предписание от 15.07.2013 № П-04-23/024 об устранении выявленных нарушениях.

Согласно предписанию от 15.07.2013 № П-04-23/024 банку предписано в срок до 14.08.2013 предоставить уведомление об обработке персональных данных в Управление Роскомнадзора по Амурской области; взять письменное согласие субъекта на передачу его персональных данных ОАО «Первое коллекторское бюро» или принять меры по прекращению обработки ОАО «Первое коллекторское бюро» персональных данных гражданина ФИО4

Не согласившись с указанным предписанием, заявитель обратился в суд с заявлением о признании его недействительным.

Установив фактические обстоятельства спора, исследовав и оценив представленные в материалы дела письменные доказательства, с учетом норм материального и процессуального права, суд находит заявленные требования не подлежащими удовлетворению.

Из положений статей 198, 200 Арбитражного процессуального кодекса Российской Федерации следует, что основанием для принятия решения суда о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц являются одновременно два условия: несоответствие закону или иному нормативному правовому акту и нарушение прав и законных интересов заявителя в сфере предпринимательской и иной экономической деятельности.

Федеральный закон от 02.12.1990 N 395-1 "О банках и банковской деятельности" не регулирует отношения, связанные с обработкой персональных данных, поскольку на них распространяются нормы Закона N 152-ФЗ.

В силу статьи 3 Закона N 152-ФЗ персональными данными является любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).

Оператором персональных данных признается государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (пункт 2 статьи 3 Закона N 152-ФЗ). Соответственно, общество признается оператором персональных данных.

Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (пункт 3 статьи 3 Закона № 152-ФЗ).

Согласно части 1 статьи 6 Закона N 152-ФЗ обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных Законом. Обработка персональных данных допускается, в частности, в случае, если она необходима для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.

Частью 1 статьи 6 Закона № 152-ФЗ установлено, что обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях, в том числе: обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем (подпункт 5 пункта 1 статьи 6 Закона №152-ФЗ).

В силу части 3 статьи 6 Закона N 152-ФЗ оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта (далее - поручение оператора). Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом. В поручении оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона.

В соответствии со статьей 7 Закона №152-ФЗ операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Как следует из материалов дела, 01.09.2011 между банком и ФИО4 заключен кредитный договор <***> (т. 2 л.д. 8-18).

31.01.2012 между обществом (принципал) и ОАО «Первое коллекторское бюро» (агент), заключен агентский договор № 22, по условиям которого принципал поручает, а агент принимает на себя обязательство за вознаграждение совершать от имени и за счет принципала фактические и юридические действия, в рамках действующего законодательства Российской Федерации, по взысканию задолженности с физических лиц, допустивших нарушение условий договоров, заключенных между принципалом и должниками, повлекшее возникновение просроченной задолженности (т. 2 л.д. 1-7).

Частью 3 статьи 9 Закона N 152-ФЗ, обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных возлагается на оператора.

В качестве доказательства получения согласия субъекта персональных данных на обработку его персональных данных общество предоставило копию анкеты заявителя ФИО4 от 01.09.2011, в которой проставлена подпись последнего (т 2 л.д. 18).

В заявлении гражданина ФИО4 (анкета заявителя) указано, что целью обработки персональных данных гражданина ФИО4, определенная банком в анкете-заявлении, на реализацию которой выразил свое согласие гражданин, является получение денежных средств (кредита), а также проверку представленной заявителем информации в банк путем обращения к третьим лицам, обработку в целях продвижения услуг банка на рынке с помощью средств связи, а равно как продвижения услуг банка и/или услуг (товаров, работ) третьих лиц- партнеров банка, также дано согласие на предоставление информации в бюро кредитных историй.

С целью взыскания с ФИО4 просроченной задолженности по кредитному договору <***> ОАО КБ «Восточный» 15.05.2013 передал третьему лицу ОАО «Первое коллекторское бюро» конфиденциальную информацию о заемщике в рамках агентского договора от 31.01.2012 № 22, тем самым превысив заранее определенные и законные цели обработки персональных данных.

Доводы ОАО КБ «Восточный» о том, что ФИО4, подписав договор, согласился с его условиями, и дал согласие на обработку персональных данных, в том числе, на передачу третьим лицам для исполнения данного договора, не свидетельствуют о возможности передачи банком обработки персональных данных клиента третьему лицу, поскольку таких условий договор не содержит.

Из содержания анкеты заявителя от 01.09.2011 судом не усматривается волеизъявления ФИО4 на передачу его персональных данных агенту с целью взыскания долга. В случае передачи персональных данных кредитора кредитным договором должны быть определены сроки действия такого согласия.

Между тем, в соответствии с положениями статьи 5 Закона N 152-ФЗ, обработка персональных данных должна осуществляться на законной и справедливой основе, обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

Цель обработки персональных данных гражданина ФИО4, определенная обществом в анкете - заявлении, на реализацию которой выразил свое согласие гражданин ФИО4, является заключение кредитного договора, а не договора с иными лицами.

Общество допустило обработку персональных данных ФИО4 в части передачи их третьему лицу, превысив заранее определенные и законные цели обработки персональных данных.

Довод общества о правомерности действий в связи с тем, что третье лицо действовало от имени общества, отклоняется судом, поскольку по агентскому договору от 31.01.2012 № 22 согласованы отношения только между обществом и агентом, ФИО4 не является стороной или выгодоприобретателем по агентскому договору. Передача документов и информации в данном случае не является уступкой права требования, при которой не требуется согласия заемщика, так как в соответствии с Гражданским кодексом Российской Федерации договор уступки требования не заключался.

Кроме того, имеющееся в договоре <***> на получение кредита согласие гражданина ФИО4 на обработку его персональных данных не выражает согласие на передачу ОАО КБ «Восточный» его персональных данных в ОАО «Первое коллекторское бюро» с целью взыскания с субъекта персональных данных просроченной задолженности. Иные законные основания для передачи персональных данных клиента ОАО «Первое коллекторское бюро» у банка отсутствуют.

На основании вышеизложенного следует, что ОАО КБ «Восточный» допустил нарушение порядка обработки персональных данных, а именно часть 1 статьи 6 Закона №152-ФЗ, в части передачи без согласия персональных данных гражданина ФИО4 в ОАО «Первое коллекторское бюро».

В соответствии с частью 1 статьи 22 Закона № 152-ФЗ оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 данной статьи.

Согласно пункту 3 статьи 22 Закона № 152-ФЗ уведомление, предусмотренное частью 1 настоящей статьи, должно быть направлено в письменной форме и подписано уполномоченным лицом или направлено в электронной форме и подписано электронной цифровой подписью в соответствии с законодательством Российской Федерации.

ОАО КБ «Восточный» осуществляет передачу персональных данных своих клиентов третьим лицам, в частности, в ОАО «Первое коллекторское бюро», как в рамках агентского договора, так и в рамках договора цессии, что подтверждается письмом банка от 12.07.2013, в связи с чем ОАО КБ «Восточный» обязан был уведомить, в соответствии со статьей 22 Закона №152-ФЗ, уполномоченный орган по месту нахождения юридического лица – Управление Роскомнадзора по Амурской области.

В ходе проверки Управлением были сделаны запросы о предоставлении копии уведомления об обработке персональных данных.

В адрес Управления 15.07.2013 общество представило ответ, в котором, ссылаясь на пункт 2 части 2 статьи 22 Закона № 152-ФЗ, указало о праве не уведомлять уполномоченный банк.

Согласно данным Портала персональных данных ОАО «КБ «Восточный» уведомление об обработке персональных данных в уполномоченный орган не представляло, в реестре операторов персональных данных не зарегисрировано.

Таким образом, общество не уведомило уполномоченный орган об обработке (о намерении осуществлять обработку) персональных данных, что является нарушением части 1 статьи 22 Закона № 152-ФЗ.

При таких обстоятельствах, суд, руководствуясь статьей 71 Арбитражного процессуального кодекса Российской Федерации признает правомерным и законным указание обществу в предписании в срок до 14.08.2013 устранить выявленные нарушения, а именно предоставить уведомление об обработке персональных данных в Управление Роскомнадзора по Амурской области; взять письменное согласие субъекта на передачу его персональных данных ОАО «Первое коллекторское бюро» или принять меры по прекращению обработки ОАО «Первое коллекторское бюро» персональных данных гражданина ФИО4

Указанные в предписании от 15.07.2013 № П-04-23/024 требования соответствуют требованиям закона и не нарушают права и законные интересы банка в сфере предпринимательской и иной экономической деятельности.

Управлением в судебном заседании представлено уведомление банка от 28.08.2013 о прекращении обработки персональных данных ФИО4, при этом банк в уведомлении сослался на несогласие с предписанием.

В соответствии с частью 3 статьи 201 Арбитражного процессуального кодекса Российской Федерации в случае, если арбитражный суд установит, что оспариваемый ненормативный правовой акт, решения и действия (бездействие) органов, осуществляющих публичные полномочия, должностных лиц соответствуют закону или иному нормативному правовому акту и не нарушают права и законные интересы заявителя, суд принимает решение об отказе в удовлетворении заявленного требования.

Руководствуясь статьями 167-170, 201 Арбитражного процессуального кодекса Российской Федерации, арбитражный суд

Р Е Ш И Л:

В удовлетворении требований отказать.

Решение по настоящему делу вступает в законную силу по истечении месячного срока со дня его принятия, если не подана апелляционная жалоба. В случае подачи апелляционной жалобы решение, если оно не отменено и не изменено, вступает в законную силу со дня принятия постановления арбитражного суда апелляционной инстанции.

Решение может быть обжаловано в апелляционном порядке в Четвертый арбитражный апелляционный суд в течение месяца с даты принятия решения (изготовления его в полном объеме).

Решение арбитражного суда первой инстанции может быть обжаловано арбитражный суд кассационной инстанции при условии, что оно было предметом рассмотрения арбитражного суда апелляционной инстанции или суд апелляционной инстанции отказал в восстановлении пропущенного срока подачи апелляционной жалобы.

Апелляционная и кассационная жалобы подаются в арбитражный суд апелляционной и кассационной инстанций через арбитражный суд, принявший решение.

В случае обжалования решения в порядке апелляционного или кассационного производства информацию о времени, месте и результатах рассмотрения дела можно получить на интернет-сайте Четвертого арбитражного апелляционного суда http://4aas.arbitr.ru/ или Федерального арбитражного суда Восточно-Сибирского округа http://fasvso.arbitr.ru/

Судья Н.В. Устинова