Гражданский кодекс часть 1

рассмотрев в открытом судебном заседании дело по заявлению ООО «Бюро кредитных историй Эквифакс» (129090, МОСКВА ГОРОД, КАЛАНЧЕВСКАЯ УЛИЦА, 16, СТР.1)

К Роскомнадзору (109074, <...>, СТР.2)

О признании незаконным решение за исходящим № 08-1970 от 20.01.2021 года

при участии:

от заявителя – ФИО1, дов. от 24.11.2020 года (диплом); ФИО2 доверенность от 16.06.2021г. (диплом)

от ответчика – ФИО3, дов. от 29.03.2021 года (диплом), ФИО4 доверенность от 22.07.2020г. (диплом)

УСТАНОВИЛ:

ООО «Бюро кредитных историй Эквифакс» обратилось в Арбитражный суд города Москвы с заявлением о признании незаконным решения Роскомнадзору за исходящим № 08-1970 от 20.01.2021 года.

Представитель заявителя поддержал заявленные требования.

Представитель заинтересованного лица возражал против удовлетворения требования по доводам, изложенным в возражениях на заявление.

Заслушав в открытом судебном заседании доводы и пояснения ответчика, исследовав письменные материалы дела, суд пришел к следующим выводам.

Согласно ч. 1 ст. 198 АПК РФ граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) государственных органов, если полагают, что оспариваемый ненормативный правовой акт, решение и действие (бездействие) не соответствуют закону или иному нормативному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности.

В соответствии с ч. 4 ст. 200 АПК РФ при рассмотрении дел об оспаривании ненормативных правовых актов, решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц арбитражный суд в судебном заседании осуществляет проверку оспариваемого акта или его отдельных положений, оспариваемых решений и действий (бездействия) и устанавливает их соответствие закону или иному нормативному правовому акту, устанавливает наличие полномочий у органа или лица, которые приняли оспариваемый акт, решение или совершили оспариваемые действия (бездействие), а также устанавливает, нарушают ли оспариваемый акт, решение и действия (бездействие) права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности.

Согласно ч. 5 ст. 200 АПК РФ с учетом ч. 1 ст. 65 АПК РФ обязанность доказывания соответствия оспариваемого ненормативного правового акта закону или иному нормативному правовому акту, законности принятия оспариваемого решения, совершения оспариваемых действий (бездействия), наличия у органа или лица надлежащих полномочий на принятие оспариваемого акта, решения, совершение оспариваемых действий (бездействия), а также обстоятельств, послуживших основанием для принятия оспариваемого акта, решения, совершения оспариваемых действий (бездействия), возлагается на орган или лицо, которые приняли акт, решение или совершили действие (бездействие).

Как следует из заявления, по факту поступившего в Управление обращения гражданина ФИО5 Управлением, в порядке ст. 23 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных», был направлен в Бюро запрос от 17.12.2020 № 08-72898, содержащий просьбу предоставить пояснения по доводам изложенным ФИО5 в обращении.

После предоставления ответа заявителем, Управлением в адрес Бюро направлен документ «О соблюдении требований законодательства РФ в области персональных данных», за исходящим № 08-1970 от 20.01.2021 года, выданный Управлением в порядке ст. 23 Закон №152-ФЗ и содержащий требования о принятии Бюро мер по недопущению нарушения требований законодательства РФ в области персональных данных при обработке персональных данных субъектов персональных данных, в том числе ФИО5

Документ поступил в Бюро 02.02.2021 года и согласно его тексту, гражданин ФИО5 (далее - субъекта ПДн), получил в Бюро кредитный отчет в отношении своей кредитной истории. Из кредитного отчета субъект ПДн узнал, что его кредитную историю запрашивало АО «Тинькофф банк». Однако, как утверждает субъект ПДн, он согласия на это АО «Тинькофф банк» не давал.

Таким образом Управление пришло к выводу о том, что в действиях заявителя содержатся признаки нарушения законодательства РФ в области персональных данных, в части передачи сведений, составляющих персональные данные субъекта ПДн, при отсутствии правовых оснований.

Бюро считает, что указанная обязанность по недопущению передачи сведений, составляющих данные кредитной истории пользователям кредитной истории (которым в данных обстоятельствах являлся АО «Тинькофф банк») возложена незаконно, а вынесенный Управлением документ полежит отмене.

На основании вышеизложенного, заявитель обратился с настоящим требованием в суд.

Отказывая в удовлетворении заявленных требований, суд исходил из следующего.

Как следует из материалов дела, руководствуясь п. 1 ч. 1 ст. 23 Федерального закона от 27.07.2006 № 152-ФЗ, Роскомнадзором в адрес истца и АО «Тинькофф банк» были направлены запросы о предоставлении информации по существу доводов, изложенных ФИО5

По представленной АО «Тинькофф банк» информации между ФИО5 и АО «Тинькофф банк» заключен договор расчетной карты № 5016826132 от 04 февраля 2016 года, который в настоящее время продолжает свое действие.

30 июля 2019 г. для оценки уровня кредитоспособности ФИО5 АО «Тинькофф Банк» у истца был запрошен кредитный отчет ФИО5

При этом АО «Тинькофф Банк» не представлена информация о наличии согласия, предусмотренного ч. 9 ст. 6 Федерального закона от 30.12.2004 № 218-ФЗ «О кредитных историях».

По информации, представленной истцом, следует, что в практике истца по согласованию с Центральным Банком Российской Федерации внедрен «блок согласия» для всех пользователей кредитной истории - графа в формате запроса, в которой пользователь кредитной истории обязан указать, что у него имеется согласие субъекта кредитной истории на предоставление о нем кредитного отчета и иные данные такого согласия (в частности, дата согласия, срок действия согласия). Без указания такой информации кредитный отчет не предоставляется.

Так, АО «Тинькофф банк» при выполнении запросов кредитной истории ФИО5 заполнил блок согласия.

При этом, согласно имеющейся в распоряжении Роскомнадзора информации, полученной от АО «Национальное бюро кредитных историй» и АО «Объединенное Кредитное Бюро», которым АО «Тинькофф банк» также были направлены запросы о предоставлении кредитного отчета ФИО5, установлено, что АО «Тинькофф банк» при направлении запросов о предоставлении кредитного отчета ФИО5 заполнило блок согласия, при этом в качестве даты получения согласия ФИО5 АО «Тинькофф банк» указало 30.06.2019 г., что также отражено и в письме истца от 09.02.2021 №2771.

Таким образом, на основании имеющихся в распоряжении Роскомнадзора сведений и материалов, Роскомнадзором в адрес АО «Тинькофф банк» направлено требование об уничтожении персональных данных ФИО5, полученных незаконным путем.

По представленной информации АО «Тинькофф банк» признан факт ошибочного запроса о предоставлении кредитного отчета ФИО5, в связи с чем приняты меры, направленные на исключение возможности повторения сложившейся ситуации.

Случаи, при которых допускается обработка персональных данных без согласия субъекта персональных данных, определены п. 2-11 ч. 1 ст. 6 Закона о персональных данных.

Согласно ч. 1 ст. 4 Закона о персональных данных законодательство Российской Федерации в области персональных данных основывается на Конституции Российской Федерации и международных договорах Российской Федерации и состоит из указанного Федерального закона и других определяющих случаи и особенности обработки персональных данных федеральных законов.

Так, согласно ч. 9 ст. 6 Закона о кредитных историях кредитный отчет предоставляется пользователю кредитной истории с согласия субъекта кредитной истории.

Вместе с тем ч. 10 ст. 6 Закона о кредитных историях согласие субъекта кредитной истории, полученное пользователем кредитной истории, считается действительным в течение шести месяцев со дня его оформления. В случае, если в течение указанного срока с субъектом кредитной истории будет заключен договор займа (кредита), указанное согласие субъекта кредитной истории сохраняет силу в течение всего срока действия такого договора.

Также согласно ч. 10.1 ст. 6 Закона о кредитных историях по истечении срока действия согласия субъекта кредитной истории, установленного частью 10 указанной статьи, пользователь кредитной истории, получивший это согласие, не вправе запрашивать в бюро кредитных историй основную часть кредитной истории.

Кроме того, согласно ч. 12 ст. 6 Закона о кредитных историях бюро кредитных историй имеет право в любое время запросить у пользователя кредитной истории согласие субъекта кредитной истории на получение основной части кредитной истории, подписанное субъектом кредитной истории.

Вместе с тем передача заявителем в адрес АО «Тинькофф банк» сведений, составляющих персональные данные ФИО5, осуществлена при отсутствии согласия, предусмотренного ч. 9 ст. 6 Закона о кредитных историях.

Таким образом, передача кредитного отчета ФИО5 в нарушение требований Закона о кредитных историях, обязывающих осуществлять передачу кредитного отчета с согласия субъекта кредитной истории, не подпадает под правовые основания, предусмотренные п. 2 ч. 1 ст. 6 Закона о персональных данных, что является подтверждением нарушений заявителем требований вышеуказанных федеральных законов.

Принимая во внимание изложенное, в действиях заявителя содержатся признаки нарушения требований законодательства Российской Федерации в области персональных данных в части передачи сведений, составляющих персональные данные ФИО5 при отсутствии правовых оснований, в связи с чем, руководствуясь ст. 23 Закона о персональных данных, Роскомнадзором в адрес заявителя направлено письмо от 20.01.2021 № 08-1970 с просьбой принять меры по недопущению нарушения требований законодательства Российской Федерации в области персональных данных при обработке персональных данных субъектов персональных данных, в том числе ФИО5

Истец, осуществляя обработку персональных данных субъектов персональных данных, в соответствии с п. 2 ст. 3 Закона о персональных данных, признается оператором персональных данных.

Кроме того, сведения об истце, как об операторе персональных данных, включены в реестр операторов, осуществляющих обработку персональных данных, под регистрационным номером 09-0057622 на основании приказа Управления Роскомнадзора по Центральному федеральному округу от 01.07.2009 №236.

В соответствии с ч. 1 ст. 6 Закона о персональных данных обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных указанным Федеральным законом.

Кроме того, на основании ч. 1 ст. 18.1 Закона о персональных данных оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных указанным Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами.

Таким образом, заявитель, являясь оператором, персональных данных, при обработке персональных данных должен соблюдать требования, установленные Законом о персональных данных и другими определяющими случаи и особенности обработки персональных данных федеральными законами.

На основании ч. 1 ст. 23 Закона о персональных данных уполномоченным органом по защите прав субъектов персональных данных является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных.

При этом в Законе о кредитных историях в качестве особенности обработки персональных данных установлена обязанность получения согласия субъекта кредитной истории. Несоблюдение указанного требованияявляется как нарушением Закона о кредитных историях, в части несоблюдения особенности обработки персональных данных, так и Закона о персональных данных, в части обработки персональных данных без соответствующих правовых оснований в виде согласия ФИО5

Так, по результатам рассмотрения заявления ФИО5 Роскомнадзором, как уполномоченным органом по защите прав субъектов персональных данных, было выявлено нарушение действующего законодательства Российской Федерации в сфере персональных данных, в том числе в действиях заявителя.

В соответствии с п. 6.5 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного постановлением Правительства Российской Федерации от 16.03.2009 № 228, Роскомнадзор с целью реализации полномочий в установленной сфере ведения имеет право в порядке и случаях, которые установлены законодательством Российской Федерации, применять в установленной сфере ведения меры профилактического и пресекательного характера, направленные на недопущение нарушений юридическими лицами и гражданами обязательных требований в этой сфере и (или) ликвидацию последствий таких нарушений.

В соответствии с п. 4 ч. 3 ст. 23 Закона о персональных данных Роскомнадзор имеет право принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований указанного Федерального закона.

При этом, право Роскомнадзора по направлению требования оператору для принятия мер по уточнению, блокированию или уничтожению недостоверных или полученных незаконным путем персональных данных определены п. 3 ч. 3 ст. 23 Закона о персональных данных.

Таким образом, письмо Роскомнадзора от 20.01.2021 № 08-1970, содержащего просьбу в принятии мер по недопущению нарушения требований законодательства Российской Федерации в области персональных данных при обработке персональных данных субъектов персональных данных, в том числе ФИО5, а также о необходимости проинформировать о результатах принятых мер, оформлено в соответствии с требованиями, установленными Законом о персональных данных, а также Положением.

Письмо Роскомнадзора от 20.01.2021 № 08-1970 не содержало требования об уточнении, блокировании или уничтожении недостоверных или полученных незаконным путем персональных данных, в связи с чем не может рассматриваться как требование в соответствии с п. 3 ч. 3 ст. 23 Закона о персональных данных.

В соответствии с ч.3 ст. 201 АПК РФ в случае, если арбитражный суд установит, что оспариваемый ненормативный правовой акт, решения и действия (бездействие) государственных органов, органов местного самоуправления, иных органов, должностных лиц соответствуют закону или иному нормативному правовому акту и не нарушают права и законные интересы заявителя, суд принимает решение об отказе в удовлетворении заявленного требования.

Учитывая изложенное, требование заявителя не подлежит удовлетворению.

Судебные расходы, связанные с оплатой государственной пошлины, относятся на заявителя в соответствии со ст. 110 АПК РФ.

Руководствуясь ст. ст. 27-29, 64-68, 71, 75, 81, 102, 110, 167-170, 176, 189, 197-201 АПК РФ суд,

РЕШИЛ:

В удовлетворении заявления ООО «Бюро кредитных историй Эквифакс» отказать.

Решение может быть обжаловано в течение месяца со дня его принятия в Девятый арбитражный апелляционный суд.

Судья: Нариманидзе Н.А.