Гражданский кодекс часть 1

рассмотрев в судебном заседании дело по заявлению Общества с ограниченной ответственностью «ИнтаймФинанс» (ОГРН <***>, ИНН <***>, место нахождения: 432063, <...> )

к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Иркутской области (ОГРН <***>, ИНН <***>, место нахождения: 664011, <...>)

о признании недействительным требования от 11.03.2016 № 2368-06/38,

при участии в заседании

от заявителя: не явились;

от ответчика: ФИО1 – представитель по доверенности от 17.06.2016 № 15-Д;

установил:

Общество с ограниченной ответственностью микрофинансовая организация «ИнтаймФинанс» (далее – ООО МФО «ИнтаймФинанс») обратилось в Арбитражный суд Иркутской области с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Иркутской области (далее - Управление Роскомнадзора по Иркутской области) о признании недействительным требования от 11.03.2016 № 2368-06/38.

Заявитель, надлежащим образом извещенный о дате, времени и месте рассмотрения дела, в судебное заседание своего представителя не направил, заявил ходатайство о рассмотрении в отсутствии представителя.

Представители Управления Роскомнадзора по Иркутской области в судебном заседании требования заявителя не признали, поддержали позицию, изложенную в отзыве.

Из материалов дела следует, что 14.01.2016 в Управление Роскомнадзора по Иркутской обратилась гр. ФИО2 (вх. № 01-02-08- 12/38) с жалобой на действия ООО МФО «ИнтаймФинанс» в части обработки ее персональных данных. В частности, ФИО2 указала, что в связи с возникшей задолженностью по договору микрозайма от 06.11.2015 № 6/7073, заключенному с ООО МФО «ИнтаймФинанс», представители последней стали осуществлять телефонные звонки с угрозами «о передаче информации, содержащей банковскую тайну ее родственникам, работодателю».

В связи с поступившим обращением Управлением Роскомнадзора по Иркутской области в адрес ООО МФО «ИнтаймФинанс» направлен запрос от 19.01.2016 № 238-01/38 о правомерности обработки персональных данных ФИО2 и о фактах, указанных в обращении.

В ответ на запрос ООО МФО «ИнтаймФинанс» сообщило, что обработка персональных данных осуществляется на основании договора микрозайма № 6/7073, а также с согласия ФИО2, данного ею при заполнении заявления-анкеты от 06.11.2015 № 1266 (вх. № 702/38 от 02.02.2016), следовательно, обработка персональных данных заявителя осуществляется на основании пунктов 1, 5 части 1 статьи 6 Федерального закона от 02.07.2010 № 151-ФЗ «О микрофинансовой деятельности и микрофинансовых организациях».

По результатам анализа представленных ООО МФО «ИнтаймФинанс» документов Управление установило, что в заявлении-анкете от 06.11.2015 № 1266 также содержатся персональные данные гр. ФИО3 и гр. ФИО4 (Ф.И.О. и номер контактного телефона). Оснований, предусмотренных пунктами 2-11 части 1 статьи 6, пунктами 2-10 части 2 статьи 10, частью 2 статьи 11 Закона о персональных данных, и согласия указанных лиц на обработку их персональных данных ООО МФО «ИнтаймФинанс» не представлены.

11.03.2016 Управлением Роскомнадзора по Иркутской области в адрес заявителя вынесено требование от 11.03.2016 № 2368-06/38, в котором Управление потребовало от общества прекратить обработку персональных данных гр. ФИО3 и гр. ФИО4, указанных в заявлении-анкете от 06.11.2015 № 1266, и уничтожить сведения о них.

Не согласившись с вынесенным требованием, ООО МФО «ИнтаймФинанс» обратилось в арбитражный суд с настоящим заявлением.

В судебном заседании 25.07.2016, в порядке статьи 163 Арбитражного процессуального кодекса РФ, был объявлен перерыв до 12 часов 26.07.2016. После перерыва в судебное заседание явились: представитель Управления Роскомнадзора по Иркутской области ФИО1

Выслушав представителя Управления Роскомнадзора по Иркутской области, исследовав материалы дела, суд приходит к следующему выводу.

В соответствии со статьей 123 Конституции РФ, статьями 7, 8, 9 Арбитражного процессуального кодекса РФ судопроизводство осуществляется на основе состязательности и равенства сторон.

Согласно статье 65 Арбитражного процессуального кодекса РФ каждое лицо, участвующее в деле, должно доказать те обстоятельства на которые оно ссылается как на основания своих требований и возражений.

В силу части 4 статьи 200 Арбитражного процессуального кодекса РФ при рассмотрении дел об оспаривании ненормативных правовых актов, решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц арбитражный суд в судебном заседании осуществляет проверку оспариваемого акта или его отдельных положений, оспариваемых решений и действий (бездействия) и устанавливает их соответствие закону или иному нормативному правовому акту, устанавливает наличие полномочий у органа или лица, которые приняли оспариваемый акт, решение или совершили оспариваемые действия (бездействие), а также устанавливает, нарушают ли оспариваемый акт, решение и действия (бездействие) права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности.

Согласно пункту 6 Постановления Пленума Верховного Суда Российской Федерации и Пленума Высшего Арбитражного Суда Российской Федерации от 01.07.1996 года № 6/8 "О некоторых вопросах, связанных с применением Гражданского кодекса Российской Федерации" основанием для принятия решения суда о признании ненормативного акта государственного органа или органа местного самоуправления недействительным являются одновременно как его несоответствие закону или иному правовому акту, так и нарушение указанным актом гражданских прав и охраняемых законом интересов гражданина или юридического лица, обратившихся в суд с соответствующим требованием.

С учетом изложенного, требования общества могут быть удовлетворены только в том случае, если будет установлена совокупность следующих обстоятельств: несоответствие оспариваемого предписания закону или иному нормативному правовому акту и нарушение прав и законных интересов общества этим предписанием. При отсутствии хотя бы одного из данных обстоятельств, требования общества удовлетворению не подлежат.

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных) регулирует отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами (далее - государственные органы), органами местного самоуправления, иными муниципальными органами (далее - муниципальные органы), юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным.

В соответствии с Постановлением Правительства РФ от 16.03.2009 № 228 «О Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций» Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является уполномоченным федеральным органом исполнительной власти по защите прав субъектов персональных данных и осуществляет свою деятельность непосредственно и через свои территориальные органы во взаимодействии с другими федеральными органами исполнительной власти, органами исполнительной власти субъектов Российской Федерации, органами местного самоуправления, общественными объединениями и иными организациями. На территории Иркутской области уполномоченным федеральным органом исполнительной власти по защите прав субъектов персональных данных является Управление Роскомнадзора по Иркутской области.

Статьей 9 Федерального закона от 27.07.2006 № 149-ФЗ "Об информации, информационных технологиях и о защите информации" предусмотрена обязательность соблюдения конфиденциальности информации, доступ к которой ограничен федеральными законами.

Порядок доступа к персональным данным граждан (физических лиц) установлен федеральным Законом о персональных данных.

Согласно статье 3 Закона о персональных данных персональными данными является любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

Целью Закона о персональных данных в силу статьи 2 является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

В соответствии с частью 2 статьи 3 Закона о персональных данных оператором, обрабатывающим персональные данные субъектов, являются государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

В соответствии со статьей 7 Закона о персональных данных операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, а также за исключением случаев, предусмотренных частью 2 данной статьи.

Из части 1 статьи 9 Закона о персональных данных следует, что субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе.

В соответствии с пунктом 5 части 1 статьи 6 Закона о персональных данных обработка персональных данных допускается в случае, если она необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.

С учетом изложенного, законодательно установлен определенный порядок предоставления согласия и определенные требования на передачу данных в рамках Закона о персональных данных. Кроме того, такое согласие должно быть добровольным, и оно должно найти отражение в кредитном договоре.

В соответствии с пунктом 3 статьи 3 Закона о персональных данных под обработкой персональных данных законодателем понимаются следующие действия - действия (операции) с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

В силу части 2 статьи 3 Закона о персональных данных ООО «ИнтаймФинанс» является оператором, обрабатывающим персональные данные субъектов, и в силу требований статьи 9 настоящего Закона обязан соблюдать специальные требования к письменному согласию субъекта персональных данных и его содержанию.

Как усматривается из материалов дела, 06.11.2015 между Обществом с ограниченной ответственностью «ФастФинанс»» (займодавец, ныне-ООО «ИнтаймФинанс») и ФИО2 (заемщик) заключен договор микрозайма № 6/7073 на сумму 12 000 руб.

Согласно представленной заявлению-анкете ФИО2 выразила свое согласие на обработку персональных своих персональных данных, о чем свидетельствует ее собственноручная подпись.

В заявлении-анкете от 06.11.2015 № 1266 в разделе «Контактные лица» также содержатся персональные данные гр. ФИО3 и гр. ФИО4 (Ф.И.О., номер контактного телефона).

Между тем, основания, предусмотренные пунктами 2-11 части 1 статьи 6 Закона о персональных данных, для обработки (сбор, хранение, использование) персональных данных указанных лиц, у заявителя отсутствовали. Письменного согласия гр. ФИО3 и гр. ФИО4 на обработку их персональных данных обществом в установленном законом порядке не было получено.

Довод заявителя о том, что заемщиком ФИО2 гарантировано, что ею получено согласие этих лиц на передачу их персональных данных обществу и обработку этих персональных данных обществом, не принимается судом, как противоречащий положениям части 1 статьи 9 Закона о персональных данных, в соответствии с которой субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором. Следовательно, письменное согласие должно было быть получено от самих субъектов персональных данных или уполномоченных ими лиц. В настоящем деле отсутствуют доказательства того, что ФИО3 и ФИО4 уполномочили ФИО2 дать свое согласие на обработку их персональных данных.

В дополнении к заявлению от 08.06.2016 ООО «ИнтаймФинанс» указало, что фамилии, имена и отчества контактных лиц, указанные ФИО2 в заявлении-анкете от 06.11.2015 № 1266, хотя формально и подпадают под определение персональных данных, но, не обладая уникальностью, и в сочетании исключительно с номером телефона, не охраняются законом, так как не позволяют идентифицировать человека. Требование не содержит описания конкретных действий общества, как оператора обработки персональных данных, повлекших нарушение норм Закона о персональных данных.

В письменных пояснениях от 21.07.2016 заявитель указал на недоказанность Управлением того обстоятельства, что указанные в заявлении-анкете номера телефонов зарегистрированы на указанных в нем контактных лиц.

Данные доводы суд находит несостоятельными, поскольку в силу части 1 статьи 3 Закона о персональных данных к персональным данным относится любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Таким образом, фамилия, имя, отчество и номер телефона, если они хранятся и обрабатываются совместно, являются персональными данными, то есть данными, позволяющими идентифицировать определенное физическое лицо.

Кроме того, как следует из пояснений заявителя, решение о предоставлении микрозайма гp. ФИО2 было принято ООО МФО «ИнтаймФинанс», в том числе, на основании сведений, полученных от гр. ФИО3 и гр. ФИО4. по указанным в заявлении-анкете номерам телефонов контактных лиц, что, по мнению Заявителя, и являлось целью обработки персональных данных контактных лиц. Следовательно, принятие положительного решения по выдаче микрозайма ФИО2 свидетельствует о предоставлении ею достоверных сведений оператору обработки персональных данных ФИО3 и ФИО4 (фамилия, имя, отчество, номер мобильного телефона).

Довод заявителя, со ссылкой на определение мирового судьи судебного участка № 1 Ленинского судебного района г. Ульяновска от 28.03.2016, о том, что в постановлении о возбуждении дела об административном правонарушении, вынесенном на основании материалов проверки Управления Роскомнадзора по Иркутской области, не указано, какие конкретно действия оператора по обработке персональных данных (сбору, хранению, использованию) повлекли нарушение норм Закона о персональных данных, судом не принимается. Данный судебный акт, согласно которому на основании статьи 29.4 КоАП РФ возвращено прокурору Ленинского района г. Ульяновска постановление о возбуждении в отношении ООО МФО «ИнтаймФинанс» дела об административном правонарушении по статье 13.11 КоАП РФ, не содержит выводов, имеющих преюдициальное значение для рассмотрения настоящего дела.

Действия общества по обработке персональных данных ФИО3 и ФИО4, не были прекращены 06.11.2015, как ошибочно полагает заявитель, поскольку в силу положений пункта 3 статьи 3 Закона о персональных данных наличие в заявлении-анкете от 06.11.2015 № 1266 сведений о персональных данных указанных лиц является хранением, т.е. одним из действий по обработке персональных данных.

Согласно части 3 статьи 23 Закона о персональных данных уполномоченный орган по защите прав субъектов персональных данных имеет право: требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных (пункт 3).

Таким образом, Управление Роскомнадзора по Иркутской области, установив отсутствие у общества правовых оснований для обработки персональных данных гр. ФИО3 и гр. ФИО4., обоснованно направило в его адрес требование от 11.03.2016 № 2368-06/38 о прекращении обработки и уничтожении персональных данных. Оспариваемое требование соответствует закону, не нарушает прав и законных интересов заявителя и у суда отсутствуют основания для признания его недействительным.

Не влияет на данные выводы суда и довод общества о том, что по его обращению Управлением не были даны разъяснения о порядке исполнения требования в части уничтожения персональных данных контактных лиц заемщика, в связи с тем, что информация о персональных данных заемщиков и информация о персональных данных их контактных лиц содержится в одном документе - заявлении-анкете и эти данные неотделимы одни от других.

Законодательством РФ не предусмотрено осуществление Роскомнадзором и их территориальными органами действий по разъяснению операторам механизма уничтожения полученных незаконным путем персональных данных. В силу пункта 3 статьи 3 Закона о персональных данных уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

В соответствии с частью 3 статьи 201 Арбитражного процессуального кодекса РФ в случае, если арбитражный суд установит, что оспариваемый ненормативный правовой акт, решения и действия (бездействие) органов, осуществляющих публичные полномочия, должностных лиц соответствуют закону или иному нормативному правовому акту и не нарушают права и законные интересы заявителя, суд принимает решение об отказе в удовлетворении заявленного требования.

При таких обстоятельствах, заявленные требования ООО «ИнтаймФинанс» о признании недействительным требования Управления Роскомнадзора по Иркутской области от 11.03.2016 № 2368-06/38 удовлетворению не подлежат.

На основании изложенного, руководствуясь статьями 167-170, 201 Арбитражного процессуального кодекса Российской Федерации,

РЕШИЛ:

В удовлетворении заявленных требований отказать.

Решение может быть обжаловано в Четвертый арбитражный апелляционный суд в течение месяца со дня его принятия.

Судья Н.Г. Позднякова