Гражданский кодекс часть 1

общества с ограниченной ответственностью Микрофинансовая организация «Джет мани микрофинанс», г. Сергиев Посад Московской области (ОГРН <***>, ИНН <***>)

к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Кемеровской области, г. Кемерово (ОГРН <***>, ИНН <***>)

третье лицо: ФИО1, г. Новокузнецк

о незаконным и отмене требования № 1895-05/45 от 22.03.2016

при участии: от заявителя: ФИО2 – представитель, доверенность от 17.11.2016 № 108, паспорт; от заинтересованного лица: ФИО3 – представитель, доверенность от 12.01.2016 №1 (копия в деле), паспорт;

от третьего лица: не явились.

у с т а н о в и л:

общество с ограниченной ответственностью Микрофинансовая организация «Джет мани микрофинанс» (далее – заявитель, Общество, ООО МФО «Джет мани микрофинанс») обратилось в арбитражный суд с заявлением о признании незаконным требования Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Кемеровской области (далее – заинтересованное лицо, Управление) № 1895-05/45 от 22.03.2016.

Определением арбитражного суда 16.09.2016 к участию в деле в порядке статьи 51 Арбитражного процессуального кодекса Российской Федерации в качестве третьего лица, не заявляющего самостоятельных требований относительно предмета спора, привлечена ФИО1 (далее – ФИО1).

Лица, участвующие в деле, уведомлены о времени и месте судебного разбирательства по правилам статьи 123 Арбитражного процессуального кодекса Российской Федерации (далее – «АПК РФ»).

ООО МФО «Джет мани микрофинанс» в заявлении и его представитель в судебном заседании, настаивая на удовлетворении заявленных требований, указывает на то что, Заемщик выразил свое согласие на обработку персональных данных, то есть любой информации, прямо или косвенно относящейся к ФИО1, полученной от нее, так и от третьих лиц, а также согласие на передачу персональных данных любым третьим лицам.

Заявление (извещение) заемщика об отзыве согласия на обработку персональных данных свидетельствует о злоупотреблении правом и попыткой доступными средствами усложнить (прекратить) процедуру взыскания задолженности по договору займа.

Спорный договор займа был передан в работу коллекторского агентства ООО «Кредитэкспресс Финанс» на основании Агентского договора № АК/77-8/2015 от 01.09.2015, согласно которого агент Общества осуществляет от имени, за счет и в интересах Общества юридические и фактические действия, направленные на взыскание существующей задолженности. Персональные данные заемщика переданы Обществом Агенту в соответствии с разделом 11 Агентского договора исключительно в целях исполнения условий Договора потребительского займа № ВДНВК-З/С/15.2289 от 10.11.2015. Так как условия данного договора заемщиком не исполняются, то обработка персональных данных также необходима для осуществления прав и законных интересов Общества как кредитора по Договору.

Указывая на процессуальные нарушения со стороны Управления, заявитель полагает, что заинтересованным лицом не выполнены следующие процедуры: принять решение о проведении внеплановой проверки должностными лицами; уведомить о проведении внеплановой документарной проверки Оператора не позднее чем в течение трех рабочих дней до начала ее проведения; предъявить копию приказа о проведении проверки; составить и вручить Оператору акт проверки; в случае выявления нарушений выдать предписание; произвести запись о проведенной проверке.

Управление Роскомнадзора по Кемеровской области в отзыве и его представитель в судебном заседании, возражая против удовлетворения заявленных требований, ссылались на то, что ООО МФО «Джет Мани Микрофинанс» не представило согласие ФИО1 на передачу, поручение обработки персональных данных именно ООО «Кредитэкспресс Финанс», при этом последнее не является стороной договора займа, заключенного между заявителем и третьим лицом.

Более подробно возражения Управления изложены в отзыве на заявление.

ФИО1 в судебное заседание явку полномочных представителей не обеспечила, о причинах неявки суд не известила, заявлений и ходатайств не направила.

Рассмотрев имеющиеся в деле материалы, заслушав доводы и возражения участвующих в деле лиц, суд установил.

22.03.2016 Управлением Роскомнадзора по Кемеровской области в адрес ООО МФО «Джет Мани Микрофинанс» вынесено требование о прекращении обработки персональных данных ФИО1, осуществляемой с нарушением требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», а именно:

о прекращении неправомерной обработки персональных данных Заемщика в части их передачи (предоставления доступа), поручения обработки третьим лицам (в том числе ООО «Кредитэкспресс Финанс»);

об обеспечении прекращения неправомерной обработки персональных данных Заемщика лицами (в том числе ООО «Кредитэкспресс Финанс»), действующих по поручению Общества;

об обеспечении уничтожения персональных данных Заемщика лицами (в том числе ООО «Кредитэкспресс Финанс»), действующих по поручению Общества;

о прекращении Обществом передачи (предоставления доступа), поручения обработки третьим лицам персональных данных Заемщика и об уничтожении персональных данных Заемщика (в том числе ООО «Кредитэкспресс Финанс»), действующих по поручению Общества, уведомить Заемщика и Управление Роскомнадзора по Кемеровской области в срок, не превышающий пятнадцати рабочих дней с даты получения настоящего требования.

Посчитав указанное требование не соответствующим действующему законодательству и нарушающим его права и охраняемые законом интересы, Общество обратилось в арбитражный суд с заявлением об оспаривании указанного ненормативного правового акта Управления.

Оценив имеющиеся в деле доказательства, проанализировав соответствующие нормативные правовые акты, суд считает заявленные требования не подлежащими удовлетворению, исходя из следующего.

В соответствии с частью 1 статьи 198, частью 4 статьи 200 Арбитражного процессуального кодекса РФ и пунктом 6 Постановления Пленумов Верховного Суда Российской Федерации и Высшего Арбитражного Суда Российской Федерации от 01.07.1996 года N 6/8 «О некоторых вопросах, связанных с применением части первой Гражданского кодекса Российской Федерации» условиями принятия арбитражным судом решения о признании недействительными ненормативных правовых актов и незаконными решений и действий (бездействия) государственных органов является наличие одновременно двух обязательных условий: несоответствие их закону или иному нормативному правовому акту, а также нарушение прав и законных интересов заявителя.

Согласно части 1 статьи 65, части 3 статьи 189 и части 5 статьи 200 АПК РФ обязанность доказывания соответствия оспариваемого ненормативного правового акта закону или иному нормативному правовому акту, законности принятия оспариваемого решения, совершения оспариваемых действий (бездействия), наличия у органа или лица надлежащих полномочий на принятие оспариваемого акта, решения, совершение оспариваемых действий (бездействия), а также обстоятельств, послуживших основанием для принятия оспариваемого акта, решения, совершения оспариваемых действий (бездействия), возлагается на орган или лицо, которые приняли акт, решение или совершили действия (бездействие).

Таким образом, время доказывания законности оспариваемого решения, его соответствие закону и иным нормативным правовым актам, а также наличия обстоятельств, послуживших основанием для его принятия, возлагается на административный орган, в данном случае на Управление Роскомнадзора.

Как установлено материалами дела, ООО МФО «Джет Мани Микрофинанс» в ходе своей деятельности осуществляет обработку персональных данных физических лиц - заемщиков.

Согласно ст. 3 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» оператор - государственный орган, муниципальный орган,- юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Из положений ст. 7 Закона от 27.07.2006 г. № 152-ФЗ следует, что операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Статьей 6 закона от 27.07.2006 № 152-ФЗ определены условия обработки (в том числе, передачи) персональных данных.

В соответствии с п. 1 ч. 1 ст. 6 закона о персональных данных, обработка персональных данных допускается с согласия субъекта персональных данных на обработку его персональных данных.

Обработка персональных данных осуществляется без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2-11 части 1 статьи 6, пунктах 2-10 части 2 статьи 10 и части 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Согласно ч. 3 ст. 6 указанного закона оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора.

При этом, в силу ч. 1 ст. 9 закона от 27.07.2006 № 152- ФЗ согласие на обработку персональных данных должно быть конкретным, информированным и сознательным.

Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных (ч. 2 ст. 5 закона)

20 февраля 2016 в адрес Управления Роскомнадзора по Кемеровской области поступила жалоба от ФИО1, являющейся заемщиком в ООО МФО «Джет Мани Микрофинанс», о нарушении со стороны заявителя требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» в части неправомерной передачи ее персональных данных ООО «Кредитэкспресс Финанс».

Исходя из нормы ч. 1 ст. 23 закона о персональных данных, уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям настоящего Федерального закона, является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи.

На основании п. 1 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного Постановлением Правительства Российской Федерации от 16.03.2009 № 228, Федеральная служба по надзору в сфере, связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, уполномоченным федеральным органом исполнительной власти по защите прав субъектов персональных данных.

Согласно п. 2 ч. 5 ст. 23 закона уполномоченный орган по защите прав субъектов персональных данных обязан рассматривать жалобы и обращения граждан по вопросам, связанным с обработкой персональных данных.

В ходе рассмотрения обращения Управлением Роскомнадзора по Кемеровской области было установлено, что ФИО1 заключила с ООО МФО «Джет Мани Микрофинанс» Договор потребительского займа от 10.11.2015.

ООО МФО «Джет Мани Микрофинанс» получило заявление (извещение) ФИО1 от 14.01.2016, содержащее отзыв ее согласия на передачу персональных данных третьим лицам (отзыв согласия на обработку персональных данных предусмотрен ч. 2 ст. 9 закона о персональных данных).

Однако, заявитель поручил ООО «Кредитэкспресс Финанс» в период с 25.01.2016 по 09.03.2016 обработку персональных данных ФИО1 и осуществил 25.01.2016 передачу персональных данных физического лица на основании Агентского договора № АК/77-8/2015 от 01.09.2015.

Часть 3 ст. 9 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» предусматривает обязанность оператора представить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2-11 части 1 статьи 6 Федерального закона «О персональных данных».

На основании п. 1 ч. 3 ст. 23 Федерального закона о персональных данных Управлением Роскомнадзора по Кемеровской области в ходе рассмотрения обращения ФИО1 в адрес ООО МФО «Джет Мани Микрофинанс» был направлен запрос информации (исх. от 25.02.2016 № 1235-05/42) о наличии правовых оснований передачи, поручения обработки персональных данных непосредственно ООО «Кредитэкспресс Финанс», в том числе после получения ООО МФО «Джет Мани Микрофинанс» заявления ФИО1 от 14.01.2016, содержащего сведения об отзыве ее согласия на обработку персональных данных.

Заявитель не представил в Управление Роскомнадзора по Кемеровской области конкретное и информированное согласие ФИО1 на передачу, поручение обработки ООО МФО «Джет Мани Микрофинанс» персональных данных физического лица непосредственно ООО «Кредитэкспресс Финанс».

При заключении Договора потребительского займа № ВДНВК- З/С/15.2289 от 10.11.2015 с ООО МФО «Джет Мани Микрофинанс» ФИО1 не давала своего согласия на передачу, поручение обработки ее персональных данных ООО «Кредитэкспресс Финанс».

Кроме того, ФИО1 22.01.2016 отозвала у ООО МФО «Джет Мани Микрофинанс» свое согласие на передачу персональных данных третьим лицам.

Заявитель указывает, что в соответствии с положениями статьи 9 закона о персональных данных в случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных в случае, если обработка персональных данных необходима для исполнения договора, стороной которого является субъект персональных данных, а также обработка персональных данных необходима для осуществления прав и законных интересов оператора.

Как следует из п. 5 ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ обработка персональных данных допускается без согласия субъекта персональных данных, если обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, в том числе в случае реализации оператором своего права на уступку прав (требований) по такому договору, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.

Действительно, ФИО1 является стороной договора займа № ВДНВК-З/С/15.2289 от 10.11.2015, заключенного с заявителем, следовательно, обработка ООО МФО «Джет Мани Микрофинанс» ее персональных данных в целях исполнения договора допускается в соответствии с п. 5 ч. 1 ст. 6 указанного выше закона.

Однако, ООО «Кредитэкспресс Финанс» не является стороной договора займа № ВДНВК-З/С/15.2289 от 10.11.2015, так же как и ФИО1 не является стороной или выгодоприобретателем по агентскому договору, заключенному между ООО МФО «Джет Мани Микрофинанс» и ООО «Кредитэкспресс Финанс».

Следовательно, на правоотношения между ООО «Кредитэкспресс Финанс» и ФИО1 положения п. 5 ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» не распространяются.

Из текста Агентского договора № АК/77-8/2015 от 01.09.2015 следует, что он заключен для осуществления ООО «Кредитэкспресс Финанс» действий, направленных на погашение задолженности должников, а не с целью исполнения договора займа № ВДНВК-З/С/15.2289 от 10.11.2015, заключенного ООО МФО «Джет Мани Микрофинанс» с ФИО1

Таким образом, положения п. 5 ч. 1 ст. 6 закона О персональных данных не являются правовым основанием для передачи, поручения обработки заявителем персональных данных физического лица иному субъекту без его согласия.

Согласно п. 7 ч. 1 ст. 6 закона № 152-ФЗ обработка персональных данных допускается, если обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных.

Передача, поручение обработки ООО МФО «Джет Мани Микрофинанс» персональных данных ФИО1 третьим лицам без ее согласия как субъекта персональных данных в случаях, не предусмотренных федеральным законом, нарушает ее право на конфиденциальность персональных данных.

Федеральный закон от 21.12.2013 № 353-ФЗ «О потребительском кредите (займе)» не предусматривает полномочия и обязанности передачи кредитором персональных данных заемщика без его согласия третьим лицам на основании агентского договора с целью взыскания задолженности.

Таким образом, положения п. 7 ч. 1 ст. 6 закона от 27.07.2006 № 152-ФЗ также не являются правовым основанием для передачи, поручения обработки персональных данных.

Таким образом, согласие ФИО1, а также иные правовые основания передачи, поручения обработки ее персональных данных ООО «Кредитэкспресс Финанс» у ООО МФО «Джет Мани Микрофинанс» отсутствуют.

В ходе рассмотрения обращения ФИО1 Управлением Роскомнадзора по Кемеровской области было установлено, что заявитель осуществляет обработку персональных данных физического лица в части их передачи, поручения обработки иному лицу - ООО «Кредитэкспресс Финанс» неправомерно, а именно с нарушением положений Федерального закона 27.07.2006 № 152-ФЗ «О персональных данных».

В соответствии с п. 4 ч. 3 ст. 23 Федерального закона от 27.07.2006 № 152-ФЗ уполномоченный орган по защите прав субъектов персональных данных имеет право принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований настоящего Федерального закона.

Согласно ч. 3 ст. 21 закона О персональных данных, в случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора.

В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение.

В связи с этим Управление Роскомнадзора по Кемеровской области на основании п.п. 3-4 ч. 3 ст. 23 Федерального закона от 27.07.2006 № 152-ФЗ направило в адрес ООО МФО «Джет Мани Микрофинанс» требование о прекращении обработки персональных данных, осуществляемой с нарушением требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», в котором содержится требование прекратить заявителю неправомерную передачу (предоставление, доступ), поручение обработки персональных данных ФИО1 третьим лицам (в том числе, ООО «Кредитэкспресс Финанс»), а также обеспечить прекращение неправомерной обработки персональных данных ФИО1 третьими лицами (в том числе, ООО «Кредитэкспресс Финанс»), действующими по поручению ООО МФО «Джет Мани Микрофинанс».

Указанное требование Управления Роскомнадзора по Кемеровской области не запрещает обработку (в том числе использование) ООО МФО «Джет Мани Микрофинанс» персональных данных ФИО1 в случаях, предусмотренных федеральным законом, и не влечет нарушений прав заявителя, предусмотренных ст. 307, 309 ГК РФ.

В части процессуальных нарушений арбитражным судом сделаны следующие выводы:

Управлением Роскомнадзора по Кемеровской области обращение ФИО1 было рассмотрено в рамках Федерального закона от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации».

В силу п. 2 ч. 5 ст. 23 закона 27.07.2006 № 152-ФЗ уполномоченный орган по защите прав субъектов персональных данных обязан рассматривать жалобы и обращения граждан по вопросам, связанным с обработкой персональных данных, а также принимать в пределах своих полномочий решения по результатам рассмотрения указанных жалоб и обращений.

В соответствии с п. 1 ч. 3 ст. 23 закона уполномоченный орган по защите прав субъектов персональных данных имеет право запрашивать у физических или юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию.

Частью 4 ст. 20 закона от 27.07.2006 № 152-ФЗ установлено, что оператор обязан сообщить в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа информацию в течение тридцати дней с даты получения такого запроса.

Суд отмечает, что внеплановая проверка по обращению ФИО1 Управлением Роскомнадзора по Кемеровской области не проводилась.

Основания для проведения Управлением внеплановых проверок за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных установлены п. 38 Административного регламента исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, утвержденного приказом Минкомсвязи России от 14.11.2011 № 312.

При этом обращения граждан о нарушении операторами прав и законных интересов граждан при обработке их персональных данных, о нарушении операторами требований законодательства Российской Федерации в области персональных данных не являются основанием для организации и проведения внеплановых проверок.

В связи с этим положения Административного регламента исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской федерации в области персональных данных при рассмотрении обращения не применяются.

Таким образом, Управление Роскомнадзора по Кемеровской области не допустило нарушений норм Федерального закона от 26.12.2008 N 294- ФЗ "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля".

На основании изложенного, исследовав обстоятельства, имеющие значение для дела, оценив представленные в материалы дела доказательства в их совокупности по правилам статьи 71 АПК РФ, суд первой инстанции приходит к выводу, что заявитель осуществляет обработку персональных данных физического лица в части их передачи, поручения обработки иному лицу неправомерно, а именно с нарушением положений Федерального закона 27.07.2006 № 152-ФЗ «О персональных данных» в связи с чем, требование от 22.03.2016 соответствуют действующему законодательству и не нарушает права и законные интересы заявителя, что в свою очередь в силу части 3 статьи 201 АПК РФ влечет отказ в удовлетворении заявленных требований.

Руководствуясь статьями 49, 65, 110, 167-170, 180, 181, 200, 201 Арбитражного процессуального кодекса Российской Федерации, суд

р е ш и л:

Заявленные требования оставить без удовлетворения.

Решение может быть обжаловано в апелляционном порядке в Седьмой арбитражный апелляционный суд в течение месяца с даты принятия решения, а также в кассационном порядке в Арбитражный суд Западно-Сибирского округа в течение двух месяцев с даты вступления решения по делу в законную силу.

Судья В.В. Власов