Гражданский кодекс часть 1

Арбитражный суд Краснодарского края в составе судьи А.В. Лесных, при ведении протокола судебного заседания помощником судьи Мигуновым А.В., рассмотрев в судебном заседании дело по заявлению ЗАО «Банк Русский Стандарт», к заинтересованному лицу Управлению Роскомнадзора по Краснодарскому краю и Республике Адыгея

о признании недействительными предписаний Управления Роскомнадзора

по Краснодарскому краю и Республике Адыгея от 05 октября 2011 года № П-23-10/00259, № П-23-10/00260 и № П-23-10/00261 об устранении выявленных нарушений.

При участии в судебном заседании:

от заявителя: Касьяненко М.В., Гальченко А.С. - представители по доверенности;

от заинтересованного лица: Бахметьев А.А. - представитель по доверенности.

УСТАНОВИЛ:

ЗАО «Банк Русский Стандарт» обратилось в Арбитражный суд Краснодарского края с заявлением о признании недействительными предписаний Управления Роскомнадзора по Краснодарскому краю и Республике Адыгея № П-23-10/00259 от 05 октября 2011 года, № П-23-10/00260 от 05 октября 2011 года и № П-23-10/00261 от 05 октября 2011 года об устранении выявленных нарушений.

В судебном заседании представители ЗАО «Банк Русский Стандарт» настаивал на удовлетворении заявленных требований по основаниям, изложенным в заявлении о признании недействительными предписаний Управления Роскомнадзора по Краснодарскому краю и Республике Адыгея.

Представитель заявителя пояснил, что предписания от 05 октября 2011 года № П-23-10/00259, № П-23-10/00260 и № П-23-10/00261 незаконны и необоснованны, нарушений ст. 6 Федерального закона «О персональных данных» при обработке персональных данных Фролова Ю.В. банком допущено не было, отдельного письменного согласия от Фролова Ю.В. на передачу его персональных данных сторонней организации при уступке банком права требования задолженности, имеющейся у Фролова Ю.В., в соответствии с законодательством не требуется.

Представитель заявителя указал, что банком не был нарушен п. 6 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утверждённого Постановлением Правительства РФ от 15.09.2008 года № 687, поскольку в рамках проводимой Управлением Роскомнадзора проверки банком были представлены в государственный орган документы, подтверждающие исполнение банком обязанности по информированию лиц, осуществляющих обработку персональных данных, о такой обработке, о категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки.

Также представитель заявителя сослался на то, что в действиях банка отсутствует нарушение п. 13 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного Постановлением Правительства РФ от 15.09.2008 года № 687, в банке имеются локальные нормативные акты, которыми наряду с действующим законодательством о защите персональных данных определён порядок получения и обработки персональных данных. В настоящее время документы, содержащие персональные данные Фролова Ю.В., хранятся в Секторе обработки и хранения клиентских дел Отдел Архив Филиала ЗАО «Банк Русский Стандарт» в г. Ростове-на-Дону, о чём в рамках проводимой проверки банком письменно было сообщено в Управление Роскомнадзора.

Представитель Управления Роскомнадзора по Краснодарскому краю и Республике Адыгея в судебном заседании возражал против удовлетворения требований заявления банка по основаниям, изложенным в отзыве на заявление банка о признании предписаний недействительными, сослался на то, что наличие согласия Фролова Ю.В. при уступке банком своего права требования задолженности, имеющейся у Фролова Ю.В., сторонней организации является обязательным требованием законодательства, банком в ходе проверки также не были предоставлены документы об информировании лиц, осуществляющих обработку персональных данных Фролова Ю.В. категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки.

Также представитель Управления Роскомнадзора указал, что в рамках проведения проверки банком не был предоставлен перечень лиц, осуществляющих обработку персональных данных Фролова Ю.В. либо имеющих к ним доступ. Пояснил, что таким образом в действиях банка имеются нарушения законодательства РФ о защите персональных данных, в связи с чем предписания Управления Роскомнадзора являются законными и обоснованными.

Выслушав представителей участников процесса, изучив материалы дела, суд пришел к выводу о том, что заявленные требования подлежат удовлетворению по следующим основаниям.

Так, в соответствии со ст. 198 АПК РФ граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) органов, осуществляющих публичные полномочия, должностных лиц, если полагают, что оспариваемый ненормативный правовой акт, решение и действие (бездействие) не соответствуют закону или иному нормативному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности.

Согласно ч. 1 ст.65 АПК РФ каждое лицо, участвующее в деле, должно доказать обстоятельства, на которые оно ссылается как на основание своих требований и возражений. Обязанность доказывания обстоятельств, послуживших основанием для совершения действий (бездействия), возлагается на соответствующие орган или должностное лицо.

На основании приказа руководителя Управления Роскомнадзора № 1005 от 05.09.2011 года в период с 09 сентября 2011 года по 05 октября 2011 года Управлением Роскомнадзора по Краснодарскому краю и Республике Адыгея (Адыгея) была проведена внеплановая документарная проверка в отношении ЗАО «Банк Русский Стандарт» с целью подтверждения фактов нарушения прав и законных интересов граждан действиями операторов при обработке персональных данных.

По результатам указанной проверки должностными лицами Управления Роскомнадзора был составлен акт проверки № А-23-ПД-10/00145 от 05.10.2011 года и выданы банку предписания № П-23-10/00259 от 05 октября 2011 года, № П-23-10/00260 от 05 октября 2011 года и № П-23-10/00261 от 05 октября 2011 года.

Согласно предписанию № П-23-10/00259 от 05 октября 2011 года в соответствии с перечнем документов, установленным п. 10. приказа о проведении внеплановой документарной проверки от 05.09.2011 года № 1005, ЗАО «Банк Русский Стандарт» не было предоставлено письменное согласие Фролова Ю.В. на передачу его персональных данных третьим лицам (ЗАО «Банк Русский Стандарт» по договору о предоставлении и обслуживании карты № 27531871 с Фроловым Ю.В. переуступило долг клиента (право требования) третьему юридическому лицу), передача которых осуществлялась банком, что свидетельствует о его отсутствии и является нарушением требований п. 1 ч. 1 ст. 6 Федерального закона «О персональных данных» от 27.07.2006 года № 152-ФЗ.

Согласно предписанию № П-23-10/00260 от 05 октября 2011 года в соответствии с перечнем документов, установленным п. 10. приказа о проведении внеплановой документарной проверки от 05.09.2011 года № 1005, ЗАО «Банк Русский Стандарт» не были представлены документы об информировании лиц, осуществляющих обработку персональных данных Фролова Ю.В., обработка которых осуществляется банком без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки, что свидетельствует об их отсутствии и является нарушением требований п. 6 постановления Правительства РФ от 15 сентября 2008 года № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

Согласно предписанию № П-23-10/00261 от 05 октября 2011 года в соответствии с перечнем документов, установленным п. 10. приказа о проведении внеплановой документарной проверки от 05.09.2011 года № 1005, ЗАО «Банк Русский Стандарт» не были представлены документы, устанавливающие перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ, что свидетельствует об их отсутствии и является нарушением требований п. 13 постановления Правительства Российской Федерации от 15 сентября 2008 года № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

Указанными предписаниями Управлением Роскомнадзора банку был установлен срок устранения нарушений - не позднее 05 декабря 2011 года, при этом об устранении нарушений банку необходимо было письменно, с приложением подтверждающих документов, сообщить в Управление Роскомнадзора в указанный срок.

Заявитель не согласился с данными предписаниями Управления Роскомнадзора, что послужило для него основанием для обращения в арбитражный суд с заявлением о признании предписаний недействительными. Судом установлено, что срок на обращение в суд с заявлением об оспаривании предписаний заявителем соблюден.

Из материалов дела следует, что между ЗАО «Банк Русский Стандарт» и Фроловым Юрием Викторовичем был заключён договор о предоставлении и обслуживании карты «Русский Стандарт» № 27531871 от 19.10.2004 г. Указанный договор о карте заключён в порядке ст. ст. 160, 432, 434, 438 ГК РФ путём принятия (акцепта) банком согласно предложения (оферты) Фролова Ю.В., изложенного в его заявлении от 11.12.2003 г., Условиях предоставления и обслуживания карт, эмитированных ЗАО «Банк Русский Стандарт», и Тарифах ЗАО «Банк Русский Стандарт» по картам «Русский Стандарт», которые являются составными и неотъемлемыми частями Договора.

Федеральный закон «О персональных данных» № 152-ФЗ вступил в силу 26.01.2007 г., т.е. более чем через 2 года после даты заключения банком и Фроловым Ю.В. договора о карте. Таким образом, при заключении договора письменного согласия Фролова Ю.В. на обработку его персональных данных, в том числе на передачу его персональных данных третьим лицам, не требовалось.

В соответствии с п. 5 ч. 1 ст. 6 ФЗ «О персональных данных» обработка персональных данных допускается в случае, если такая обработка необходима для исполнения договора, стороной которого является субъект персональных данных. При этом в указанном случае обработки персональных данных законодатель не предусматривает необходимости наличия у оператора персональных данных согласия субъекта персональных данных, являющегося стороной по договору, на обработку его персональных данных.

В соответствии с п. 3 ст. 3 Федерального закона «О персональных данных» под обработкой персональных данных законодателем понимаются следующие действия - действия (операции) с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Из анализа указанных норм следует, что предусмотренное п. 5 ч. 1 ст. 6 Федерального закона «О персональных данных» право оператора на необходимую для исполнения договора обработку персональных данных субъекта, являющегося стороной этого договора, предусматривает, в том числе, и правомочие оператора на передачу (распространение, предоставление, доступ) персональных данных субъекта.

Таким образом, законодательством ни при заключении договора о карте от 19.10.2004 года, ни после вступления в силу Федерального закона «О персональных данных» не была предусмотрена обязанность банка, обрабатывающего персональные данные Фролова Ю.В. исключительно в целях исполнения договора, по получению письменного согласия Фролова Ю.В. на обработку его персональных данных.

Между тем, материалами дела подтверждается, что условиями договора о карте, тем не менее, было предусмотрено согласие Фролова Ю.В. на передачу его персональных данных третьему лицу, которому банком было уступлено право требования задолженности по договору.

Так, своей подписью на заявлении от 11.12.2003 г. Фролов Ю.В. подтвердил, что ознакомлен, понимает и полностью согласен с Условиями предоставления и обслуживания карт, эмитированных ЗАО «Банк Русский Стандарт» и Тарифами ЗАО «Банк Русский Стандарт» по картам «Русский Стандарт».

В соответствии с п. 8.22. Условий, вступивших в силу и ставших обязательными для сторон договора о карте, банк вправе уступить полностью или частично свои права требования по договору третьему лицу, при этом (согласно пп. 8.22.1. указанных условий) банк вправе раскрывать такому третьему лицу, а также его агентам и уполномоченным лицам необходимую для совершения такой уступки информацию о кредите, задолженности, клиенте, а также предоставлять таким лицам соответствующие документы.

Таким образом, суд считает, что Фролов Ю.В., согласившийся с указанными условиями Банка, дал банку своё письменное согласие на раскрытие (передачу) сведений о нём (персональных данных) третьим лицам, которым банк уступает полностью или частично свои права требования к клиенту по договору.

Право стороны обязательства производить уступку (передачу) своего права требования другому лицу предусмотрено ст. 382 Гражданского кодекса РФ. При этом гражданские права участников гражданских правоотношений в силу п. 2 ст. 1 ГК РФ могут быть ограничены только на основании федерального закона. Федеральный закон «О персональных данных» не содержит норм, ограничивающих право банка на уступку своих прав требования другим лицам.

Кроме того, условия договора о карте, заключённого между банком и Фроловым Ю.В., прямо предусматривали право банка на уступку своего права требования к заемщику полностью либо частично третьему лицу.

В силу п. 2 ст. 385 Гражданского кодекса Российской Федерации, кредитор, уступивший требование другому лицу, обязан передать ему документы, удостоверяющие право требования, и сообщить сведения, имеющие значение для осуществления требования. Поскольку банком было уступлено (передано) третьему лицу право требования, возникшее в рамках кредитного договора с Фроловым Ю.В., а именно право требования по погашению задолженности по договору, суд приходит к выводу, что передача персональных данных Фролова Ю.В. при уступке банком своего права требования третьему лицу не выходит за рамки предусмотренной законом цели - исполнение договора, стороной которого является субъект персональных данных. Доказательств обработки банком персональных данных Фролова Ю.В. в целях иных, нежели исполнение договора, Управлением Роскомнадзора не представлено.

Таким образом, суд полагает, что уступка банком права требования задолженности по договору о карте, заключённому с Фроловым Ю.В., третьему лицу не противоречит Федеральному закону «О персональных данных».

При этом суд отклоняет как несостоятельный довод Управления Роскомнадзора о том, что согласие Фролова Ю.В. на передачу его персональных данных являлось обязательным по причине того, что Фролов Ю.В. не являлся стороной по договору между ЗАО «Банк Русский Стандарт» и сторонней организацией, которой банком было уступлено право требования к Фролову Ю.В.

Как было установлено судом в ходе рассмотрения дела, уступленное банком третьему лицу право требования задолженности к Фролову Ю.В. возникло у банка в рамках договора о карте, заключённого с самим Фроловым Ю.В., при этом указанная уступка права требования была направлена непосредственно на исполнение Фроловым Ю.В. условий данного договора, а именно была направлена на исполнение Фроловым Ю.В. своего обязательства по возврату кредита, предоставленного банком.

Таким образом, у банка отсутствовала обязанность по получению от Фролова Ю.В. отдельного согласия на передачу его персональных данных организации, которой банк уступил своё право требования задолженности по договору о карте. Доказательств обработки банком персональных данных Фролова Ю.В. в целях иных, нежели исполнение договора, Управлением Роскомнадзора не представлено.

Суд отклоняет как не относящийся к рассматриваемому делу довод Управления Роскомнадзора о том, что банком при уступке третьему лицу права требования задолженности к Фролову Ю.В. были нарушены нормы Федерального закона «О персональных данных», касающиеся трансграничной передачи персональных данных.

Как следует из имеющихся в материалах дела акта проверки Управления Роскомнадзора № А-23-ПД-10/00145 от 05.10.2011 г. и содержания Предписания № П-23-10/00259 от 05 октября 2011 года, в указанных документах отсутствуют выводы Управления Роскомнадзора о нарушении Банком норм Федерального закона «О персональных данных», регулирующих трансграничную передачу персональных данных. Согласно Акта проверки и Предписания № П-23-10/00259 от 05.10.2011 г., Управлением Роскомнадзора установлено нарушение банком требования п. 1 ч. 1 ст. 6 Федерального закона «О персональных данных», в связи с непредоставлением банком письменного согласия Фролова Ю.В. на передачу его персональных данных третьим лицам.

Учитывая содержание нарушения, вменяемого Управлением Роскомнадзора банку в предписании № П-23-10/00259 от 05.10.2001 г., а также принимая во внимание то обстоятельство, что нормы права, регулирующие особенности трансграничной передачи персональных данных, содержатся в ст. 12 Федерального закона «О персональных данных», нарушений которой Управлением Роскомнадзора банку по результатам проведённой проверки не вменялось, суд приходит к выводу о том, что обстоятельства, содержащиеся в утверждении представителя Управления Роскомнадзора о нарушении банком правил трансграничной передачи персональных данных, не являются предметом рассмотрения данного дела. В связи с чем, указанные доводы Управления Роскомнадзора суд признает необоснованными и не относящимися к данному делу. Более того, данные утверждения представителя государственного органа не подтверждаются имеющимися материалами дела.

Кроме того, при рассмотрении данного дела суд принимает во внимание п. 16 Информационного письма № 146 от 13 сентября 2011 г. Президиума Высшего Арбитражного Суда РФ, согласно которому уступка банком лицу, не обладающему статусом кредитной организации, неисполненного в срок требования по кредитному договору с заемщиком-гражданином не противоречит закону и не требует согласия заёмщика.

Учитывая вышеизложенное, суд приходит к выводу о том, со стороны ЗАО «Банк Русский Стандарт» при обработке персональных данных Фролова Ю.В. нарушений ст. 6 Федерального закона «О персональных данных» допущено не было, а, следовательно, предписание об устранении выявленного нарушения № П-23-10/00259 от 05 октября 2011 года, выданное Управлением Роскомнадзора по Краснодарскому краю и Республике Адыгея, является незаконным и необоснованным. Указанное предписание нарушает интересы заявителя как оператора персональных данных, поскольку возлагает на последнего обязанности, не предусмотренные законом.

Также из материалов дела следует, что в ходе проведения проверки банк предоставил в Управление Роскомнадзора Положение об организации работы с персональными данными в ЗАО «Банк Русский Стандарт», утверждённое приказом банка № 1350 от 28 июня 2011 года.

Указанный локальный нормативный акт банка наряду с действующим законодательством РФ о защите персональных данных, определяет порядок получения и обработки, в том числе передачи, персональных данных физических лиц в ЗАО «Банк Русский Стандарт».

Согласно п. 6 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утверждённого Постановлением Правительства РФ от 15.09.2008 г. № 687, лица, осуществляющие обработку персональных данных без использования средств автоматизации (в том числе сотрудники организации-оператора или лица, осуществляющие такую обработку по договору с оператором), должны быть проинформированы о факте обработки ими персональных данных, обработка которых осуществляется оператором без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки, установленных нормативными правовыми актами федеральных органов исполнительной власти органов исполнительной власти субъектов Российской Федерации, а также локальными правовыми актами организации (при их наличии).

Судом установлено, что в Положении об организации работы с персональными данными в ЗАО «Банк Русский Стандарт» (далее - Положение банка о персональных данных) содержатся нормы, необходимые для соблюдения указанных требований п. 6 Положения Правительства РФ, а именно:

- в п. 2.2. Положения банка о персональных данных указаны категории обрабатываемых банком персональных данных (персональные данные, отнесённые ФЗ «О персональных данных» к специальным категориям персональных данных; персональные данные, отнесённые ФЗ «О персональных данных» к биометрическим персональным данным; персональные данные, которые не могут быть отнесены к специальным категориям персональных данных, к биометрическим персональным данным, к общедоступным и обезличенным персональным данным; персональные данные, отнесённые в соответствии с ФЗ «О персональных данных» к общедоступным или обезличенным персональным данным);

- в Разделе 3 Положения банка о персональных данных содержатся нормы, которые регулируют порядок получения и обработки в банке персональных данных, т.е. содержат правила и особенности осуществления обработки персональных данных;

- в п. 3.1.14. Положения банка о персональных данных предусмотрена обязанность ознакомления сотрудников банка под роспись с данным Положением банка, а также иными локальными актами банка, касающимися защиты персональных данных и указанных в Положении банка, т.е. в этом пункте Положения банка о персональных данных регламентирован порядок информирования лиц (сотрудников банка), осуществляющих обработку персональных данных.

На основе анализа вышеизложенных норм Положения банка о персональных данных суд приходит к выводу о том, что данный локальный нормативный акт, имеющийся в банке, содержит правила, подтверждающие соблюдение банком требований п. 6 Положения Правительства РФ, нарушение которого вменяется банку в Предписании № П-23-10/00260 от 05 октября 2011 года.

Более того, в ходе судебного разбирательства в материалы дела представителем заявителя представлены Листы ознакомления с вышеуказанным локальным нормативным актом банка (Положением) сотрудников (13 человек) Сектора обработки и хранения клиентских дел Отдел Архив Филиала ЗАО «Банк Русский Стандарт» в г. Ростове-на-Дону, осуществляющих в настоящее время обработку персональных данных Фролова Ю.В. и имеющих к ним доступ. Суд считает, что данные листы ознакомления также подтверждают факт информирования сотрудников банка, осуществляющих обработку персональных данных Фролова Ю.В. и имеющих к ним доступ, о факте такой обработки и о правилах и особенностях осуществления обработки персональных данных в ЗАО «Банк Русский Стандарт».

Кроме того, из материалов дела следует, что вместе с письмом № РС-49630 от 16 сентября 2011 года банк предоставил в Управление Роскомнадзора выдержку из типовой формы трудового договора (Раздел 9 «Особые условия»), заключаемого Банком с сотрудниками, касающуюся соблюдения работником Банка законодательства в области персональных данных. Суд полагает, что данное обстоятельство также подтверждает надлежащее выполнение банком обязательных требований п. 6 Положения Правительства РФ.

Указание в предписании на тот факт, что указанные документы (документы об информировании лиц, осуществляющих обработку персональных данных Фролова Ю.В.) не были представлены Банком во исполнение пункта 10 перечня документов, установленного приказом Управления от 05.09.2011г. № 1005, является необоснованным, поскольку п.10 указанного приказа не содержал требования к Банку о предоставлении документов об информировании лиц, осуществляющих обработку персональных данных именно Фролова Ю.В.

Суд принимает во внимание и имеющееся в материалах дела постановление мирового судьи судебного участка № 296 района Соколиная гора г. Москвы по делу об административном правонарушении № 5-57/12 от 28 февраля 2012 г. в отношении ЗАО «Банк Русский Стандарт», вступившее в силу, которым установлено надлежащее выполнение банком при осуществлении обработки персональных данных требований п. 6 Положения Правительства РФ от 15.09.2008 года. При этом суд также принимает во внимание, что ЗАО «Банк Русский Стандарт» в соответствии с указанным постановлением мирового судьи было привлечено к административной ответственности не за неисполнение Предписания № П-23-10/00260 от 05.10.2011 года, поскольку оно расценено мировым судьёй как незаконное и необоснованное.

Учитывая изложенное, суд пришел к выводу о том, что нарушений п. 6 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного Постановлением Правительства РФ от 15.09.2008 года № 687, со стороны Банка допущено не было, а, следовательно, предписание об устранении выявленного нарушения № П-23-10/00260 от 05 октября 2011 г., выданное Управлением Роскомнадзора по Краснодарскому краю и Республике Адыгея, является незаконным и необоснованным. Указанное предписание нарушает интересы заявителя как оператора персональных данных, поскольку возлагает на последнего обязанности, не предусмотренные законом.

Рассмотрев требование заявителя о признании недействительным Предписания № П-23-10/00261 от 05 октября 2011 г., суд приходит к следующим выводам.

Согласно п. 13 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утверждённого Постановлением Правительства РФ от 15.09.2008 года № 687, обработка персональных данных без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ.

При этом указанным Положением Правительства РФ не установлена для операторов персональных данных обязанность разработать и утвердить локальные акты, устанавливающие места хранения персональных данных (материальных носителей) и перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ. Указанный нормативный акт Правительства РФ предусматривает обеспечение принципа организации обработки персональных данных операторами, в соответствии с которым в любой момент времени должна иметься возможность определить и место хранения персональных данных субъекта, и установить перечень лиц, обрабатывающих либо имеющих доступ к персональным данным субъекта.

Судом установлено, что в Положении банка о персональных данных содержатся нормы, необходимые для соблюдения указанных требований п. 13 Положения Правительства РФ, а именно:

- в соответствии с п. 2.1.3.1. указанного Положения банка, персональные данные физических лиц, состоящих в договорных отношениях с ЗАО «Банк Русский Стандарт», содержатся в анкетах, заявлениях, договорах, документах, относящихся к исполнению данных договоров и других документах, а также в Информационной системе персональных данных банка,

- в соответствии с п. 3.4.2.1. Положения банка о персональных данных, персональные данные физических лиц, состоящих в договорных (гражданско-правовых) отношениях с банком, хранятся в подразделениях банка, которые отвечают за взаимодействие с указанными субъектами, а также в электронном виде в Информационной системе персональных данных банка.

Таким образом, суд считает, что в ЗАО «Банк Русский Стандарт» имеется локальный нормативный акт - Положение банка о персональных данных, позволяющий определить в любой момент времени место хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ в лице сотрудников соответствующих подразделений банка. Как следует из материалов дела, указанное Положение банка о персональных данных было представлено в Управление Роскомнадзора в ходе проведения проверки банка. При таких обстоятельствах суд отклоняет как несостоятельный довод Управления Роскомнадзора о том, что в ходе проведения проверки банком не был представлен локальный акт, подтверждающий выполнение банком требований п. 13 Положения Правительства РФ от 15.09.2008 года № 687.

Судом установлено, что в настоящее время документы, содержащие персональные данные Фролова Ю.В., в соответствии с Порядком формирования, обработки, учёта, передачи и хранения Юридических дел физических лиц и иных документов, утверждённого приказом банка № 5224 от 05.12.2008 года, хранятся в Секторе обработки и хранения клиентских дел Отдел Архив Филиала ЗАО «Банк Русский Стандарт» в г. Ростове-на-Дону. Соответственно, в настоящее время лицами, осуществляющими обработку персональных данных Фролова Ю.В. либо имеющими к ним доступ, являются сотрудники Сектора обработки и хранения клиентских дел Отдел Архив Филиала ЗАО «Банк Русский Стандарт» в г. Ростове-на-Дону.

В ходе судебного разбирательства в материалы дела представителем заявителя представлены листы ознакомления сотрудников (13 человек) Сектора обработки и хранения клиентских дел Отдел Архив Филиала ЗАО «Банк Русский Стандарт» в г. Ростове-на-Дону с Положением банка о персональных данных, утверждённым Приказом Банка № 1350 от 28 июня 2011 года.

Таким образом, суду предоставлены доказательства ознакомления сотрудников банка, осуществляющих обработку персональных данных Фролова Ю.В. с локальным нормативным актом банка, предусматривающим порядок и правила осуществления указанной обработки. При этом судом установлено, что указанные листы ознакомления содержат в себе перечень лиц (сотрудников банка), осуществляющих в настоящее время обработку персональных данных Фролова Ю.В. и имеющих к ним доступ.

Также суд принимает во внимание имеющиеся в материалах дела постановление мирового судьи судебного участка № 296 района Соколиная гора г. Москвы по делу об административном правонарушении № 5-58/12 от 28 февраля 2012 года в отношении ЗАО «Банк Русский Стандарт» и решение Измайловского районного суда г. Москвы от 25 июня 2012 года, которым указанное постановление мирового судьи оставлено без изменения. Данными судебными постановлениями, вступившими в силу, установлено надлежащее выполнение банком при осуществлении обработки персональных данных требований п. 13 Положения Правительства РФ от 15.09.2008 года.

Учитывая изложенное, суд приходит к выводу о том, что нарушений п. 13 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного Постановлением Правительства РФ от 15.09.2008 года № 687, со стороны ЗАО «Банк Русский Стандарт» не имеется, а, следовательно, предписание об устранении выявленного нарушения № П-23-10/00261 от 05 октября 2011 года, выданное Управлением Роскомнадзора по Краснодарскому краю и Республике Адыгея, является незаконным и необоснованным. Указанное предписание также нарушает интересы заявителя как оператора персональных данных, поскольку возлагает на последнего обязанности, не предусмотренные законом.

Согласно ч. 2 ст. 201 АПК РФ арбитражный суд, установив, что оспариваемый ненормативный правовой акт, решение и действия (бездействие) органов, осуществляющих публичные полномочия, должностных лиц не соответствуют закону или иному нормативному правовому акту и нарушают права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности, принимает решение о признании ненормативного правового акта недействительным, решений и действий (бездействия) незаконными.

Руководствуясь статьями 167-170 Арбитражного процессуального кодекса Российской Федерации, арбитражный суд

РЕШИЛ:

Признать недействительными предписания Управления Федеральной службы по надзору в сфере связи. Информационных технологий и массовых коммуникаций по Краснодарскому краю и республике Адыгея об устранении выявленного нарушения от 05.10.2011 г. № П-23-10/00259. П-23-10/00260. П-23-10/00261.

Решение может быть обжаловано в Пятнадцатый арбитражный апелляционный суд в установленный законом срок.

Судья Лесных А.В.