Гражданский кодекс часть 1

рассмотрев в открытом судебном заседании дело по заявлению Банка социального развития «Резерв» (акционерное общество) о признании предписания Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Челябинской области недействительным в части,

при участии в судебном заседании представителей: от заявителя –ФИО1 (доверенность от 01.02.2016), от заинтересованного лица – ФИО2 (доверенность №04-Д от 11.01.2016), ФИО3 (доверенность №16-Д от 04.02.2016),

установил:

Банк социального развития «Резерв» (акционерное общество) (далее – банк) обратился в Арбитражный суд Челябинской области с заявлением, уточненным в порядке статьи 49 Арбитражного процессуального кодекса Российской Федерации (далее – АПК РФ), о признании недействительным предписания Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Челябинской области (далее – Роскомнадзор) № П-74/6/1-нд/-//1065 от 05.02.2016 в части следующих нарушений:

- обработки персональных данных в случаях, непредусмотренных Федеральным законом «О персональных данных» (часть 1 статьи 6) (обработке персональных данных в отношении членов семьи, проживающих совместно с клиентом, персональных данных совершеннолетних детей, проживающих отдельно от клиента, персональных данных родителей клиента, изложенных в заявлении-анкете на предоставление кредита);

- непредставление или несвоевременное представление в государственный орган (должностному лицу) сведений. (информации0, предоставление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу0 таких сведений (информации) в неполном объеме или в искаженном виде в части непредставления уполномоченному органу по защите прав субъектов персональных данных, по запросу и в установленные сроки информации, необходимой для реализации его полномочий (представление в уполномоченный орган уведомления об обработке персональных данных, содержащего неполные и (или) недостоверные сведения – непредставление уведомления об обработке специальной категории персональных данных – биометрических персональных данных).

В отзыве на заявление заинтересованное лицо указывает на законность и обоснованность оспариваемого предписания (л.д. 63-65).

В судебном заседании представитель заявителя поддержал заявленные требования по доводам, изложенным в заявлении, представитель Роскомнадзора высказал возражения против удовлетворения заявленного требования по основаниям указанным в отзыве.

В судебном заседании в порядке, предусмотренном статьей 163 Арбитражного процессуального кодекса Российской Федерации (далее – АПК РФ), объявлялся перерыв с 24 мая до 09 часов 10 минут 31 мая 2016 года, о чем вынесено протокольное определение.

После объявленного перерыва судебное заседание продолжено с участием прежних представителей, лиц участвующих в деле.

При рассмотрении дела судом установлены следующие обстоятельства, имеющие значение для разрешения спора.

Как следует из материалов дела, 11.01.2016 Роскомнадзором издан приказ № 1-нд о проведении плановой выездной проверки в отношении банка, с учетом приказа от 14.01.2016 № 16-нд о внесении изменений в приказ от 11.01.2016 (л.д. 69-70), с целью осуществления государственного контроля и надзора за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных; выполнения Плана деятельности Управления Роскомнадзора по Челябинской области на 2016 год, утвержденного приказом руководителя Управления Роскомнадзора по Челябинской области от 14.12.2015 № 589-нд, размещенного на официальном Интернет-портале Роскомнадзора (http://74.rkn.gov.ru/plav_otchet); задачами проверки является – проверка соблюдения оператором требований в области персональных данных.

По результатам проверки 05.02.2016 составлен акт проверки № А-74/6/1-нд/41 (л.д. 81-84) в котором отражены следующие нарушения:

- обработка персональных данных в случаях не предусмотренных Федеральным законом (часть 1 статья 6 Федерального закона № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ);

- обработка избыточных персональных данных по отношению к заявленным целям их обработки (часть 5 статья 5 Закона № 152-ФЗ);

- нарушение оператором обязательных требований при обработке специальных категорий персональных данных (сведений о судимости) (часть 3 статья 10 Закона № 152-ФЗ);

- представление в уполномоченный орган уведомления об обработке персональных данных, содержащего неполные и (или) недостоверные сведения (часть 4 статья 20 Закона № 152-ФЗ).

05.02.2016 заинтересованным лицом заявителю выдано предписание об устранении выявленных нарушений № П-74/6/1-нд/-//1065, согласно которому Банком «Резерв» (акционерное общество) допущены следующие нарушения:

- обработка персональных данных в случаях, не предусмотренных Федеральным законом «О персональных данных»;

- нарушение оператором обязательных требований при обработке специальных категорий персональных данных (сведений о судимости);

- обработка избыточных персональных данных по отношению к заявленным целям их обработки;

- непредставление или несвоевременное представление в государственный орган (должностному лицу) сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объеме или в искаженном виде в части непредставления уполномоченному органу по защите прав субъектов персональных данных, по запросу и в установленные сроки информации, необходимой для реализации его полномочий;

также указано на то, что при устранении указанного в предписании нарушения заявителю необходимо сообщить в Роскомнадзор не позднее 09.03.2016 (л.д. 12)

Считая данное предписание незаконным, заявитель обратился в суд с рассматриваемым заявлением.

Рассмотрев заявленные требования, суд пришел к следующим выводам.

В соответствии с частью 1 статьи 4 АПК РФ заинтересованное лицо вправе обратиться в арбитражный суд за защитой своих нарушенных или оспариваемых прав и законных интересов в порядке, установленном данным Кодексом.

Согласно части 1 статьи 198 АПК РФ граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) органов, осуществляющих публичные полномочия, должностных лиц, если полагают, что оспариваемый ненормативный правовой акт, решение и действие (бездействие) не соответствуют закону или иному нормативному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности.

Такое заявление может быть подано в арбитражный суд в течение трех месяцев со дня, когда гражданину, организации стало известно о нарушении их прав и законных интересов, если иное не установлено федеральным законом (часть 4 статьи 198 АПК РФ).

Судом установлено, что заявителем при обращении в суд в рамках настоящего дела соблюден процессуальный срок, установленный частью 4 статьи 198 АПК РФ.

В силу части 1 статьи 198, части 4 статьи 200 АПК РФ, а также исходя из пункта 6 постановления Пленумов Верховного Суда Российской Федерации и Высшего Арбитражного Суда Российской Федерации от 01.07.1996 № 6/8 «О некоторых вопросах, связанных с применением части первой Гражданского кодекса Российской Федерации» в предмет доказывания по настоящему делу входит установление совокупности двух юридически значимых обстоятельств: несоответствие оспариваемого предписания закону или иному нормативному правовому акту, и нарушение таким предписанием прав и законных интересов заявителя в сфере предпринимательской и иной экономической.

Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных) регулируются отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, органами местного самоуправления, иными муниципальными органами, юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным (статья 1).

Целью названного Закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну (статья 2).

Согласно статье 3 Закона о персональных данных персональные данные – это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); обработка персональных данных – это любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных

Законом о персональных данных закреплены следующие принципы обработки персональных данных (статья 5): обработка персональных данных должна осуществляться на законной и справедливой основе (часть 1); обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных (часть 2); обработке подлежат только персональные данные, которые отвечают целям их обработки (часть 4); содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки (часть 5).

В оспариваемом предписании и в акте проверки в качестве одного из вмененных нарушений указано на обработку банком персональных данных в случаях, не предусмотренных Законом о персональных данных (часть 1 статьи 6).

Согласно акту проверки в анкете-заявлении на предоставление кредита запрашиваются персональные данные членов семьи, проживающих совместно с клиентом (Ф.И.О., дата рождения), персональные данные совершеннолетних детей, проживающих отдельно от клиента (Ф.И.О., дата рождения, адрес регистрации, проживания, контактный телефон), персональные данные родителей клиента (Ф.И.О., дата рождения, адрес регистрации, проживания, контактный телефон). Правовое обоснование обработки персональных данных указанных граждан у банка отсутствует.

Согласно части 1 статьи 6 Закона о персональных данных обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в случае обработки персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.

То обстоятельство, что в анкете-заявлении на предоставление кредита запрашиваются персональные данные членов семьи, проживающих совместно с клиентом, совершеннолетних детей, проживающих отдельно от клиента, родителей клиента, свидетельствует об осуществлении банком обработки персональных данных указанных лиц. Однако согласие указанных лиц на обработку их персональных данных банком не получено.

В обоснование правомерности обработки персональных данных указанных лиц банк ссылается на положения пункта 4.6 Инструкции Банка России от 03.12.2012 № 139-И «Об обязательных нормативах банков», согласно которому Норматив Н6 рассчитывается по группе связанных заемщиков (юридических и (или) физических лиц), признаваемых таковыми в соответствии со статьей 64 Федерального закона от 10.07.2002 № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)». Норматив Н6 рассчитывается также по группе связанных заемщиков, если заемщики являются близкими родственниками, определяемыми таковыми в соответствии с Международными стандартами финансовой отчетности, признанными на территории Российской Федерации (далее - близкие родственники).

Однако указанная норма права не свидетельствует о возможности обработки персональных данных лиц, не являющихся заемщиками названного банка.

В судебном заседании представителем заявителя подтверждено, что банком осуществляется обработка персональных данных в том числе лиц, которые ни клиентами, ни заемщиками банка не являются.

Довод заявителя о незаконности предписания Роскомнадзора в данной части со ссылкой на пункт 4.6 Инструкции № 139-И суд находил подлежащим отклонению как основанный на неправильном толковании норм материального права.

Учитывая вышеизложенное, суд приходит к выводу о том, что предписание в данной части соответствует нормам действующего законодательства.

Заявителем также оспаривается предписание в части вменения непредставления или несвоевременного представления в государственный орган (должностному лицу) сведений (информации), предоставление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объеме или в искаженном виде в части непредставления уполномоченному органу по защите прав субъектов персональных данных, по запросу и в установленные сроки информации, необходимой для реализации его полномочий.

В предписании содержится аналогичная формулировка нарушения.

Согласно акту проверки данные действия признаны нарушением части 4 статьи 20 Закона о персональных данных.

В ходе судебного разбирательства представителями Роскомнадзора пояснено, что данное нарушение отражено в приложении № 2 к акту проверки в следующем виде: представление в уполномоченный орган уведомления о обработке персональных данных, содержащего неполные и (или) недостоверные сведения.

При этом в акте проверки также указано следующее: «В период проведения плановой выездной проверки в распоряжении инспекторов Роскомнадзора по Челябинской области при проверке сведений, содержащихся в уведомлении об обработке персональных данных, были 3 документа: Уведомление об обработке персональных данных (исх. № 17/24-511 от 04.03.2009) и два Информационных письма о внесении изменений в сведения в реестре операторов, осуществляющих обработку персональных данных (исх. 13/12-2436 от 26.12.2014, исх. 17/12-06 от 12.01.2016). Указанные документы содержат неполные сведения (категории персональных данных), как того требует часть 3 статьи 22 Федерального закона № 152-ФЗ «О персональных данных».

Заинтересованным лицом также пояснено, что в данном случае имелось в виду неуказание сведений о судимости, и при этом подтверждено, что в акте проверки и в предписание суть нарушения не раскрыта, не указано, какие конкретно сведения отсутствуют.

В силу пункта 1 части 1 статьи 17 Федерального закона от 26.12.2008 № 294-ФЗ «О защите прав и юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» в случае выявления при проведении проверки нарушений юридическим лицом обязательных требований, должностные лица органа государственного контроля (надзора), проводившие проверку, в пределах полномочий, предусмотренных законодательством Российской Федерации, обязаны выдать юридическому лицу предписание об устранении выявленных нарушений с указанием сроков их устранения.

По смыслу указанной нормы права предписание как ненормативный правовой акт, содержащий обязательные для исполнения требования властно-распорядительного характера, выносится только в случае установления при проведении контролирующим органом соответствующей проверки нарушений законодательства в целях их устранения. Требования, изложенные в предписании, не могут быть взаимоисключающими, должны быть реально исполнимы, предписание должно содержать конкретные указания, четкие формулировки относительно конкретных действий, которые необходимо совершить исполнителю в целях прекращения и устранения выявленного нарушения, содержащиеся в предписании формулировки должны исключать возможность двоякого толкования, изложение должно быть кратким, четким, ясным, последовательным, доступным для понимания всеми лицами. Необходимость соответствия предписания перечисленным требованиям обусловлена предусмотренной административным законодательством ответственностью за неисполнение предписания.

Исследовав и оценив представленные в материалы дела доказательства по правилам статьи 71 АПК РФ, а также учитывая пояснения лиц, участвующих в деле, суд приходит к выводу о том, что оспариваемое предписание в данной части не соответствует требованиям действующего законодательства, поскольку не содержит указания на существо вмененного нарушения, а также имеет место противоречия в части нормы права, которая, по мнению Роскомнадзора, в данном случае нарушена банком: в акте проверки указано на часть 4 статьи 20 Закона о персональных данных, а в приложении к данному акту – на часть 3 статьи 22 названного Закона.

При таких обстоятельствах суд полагает, что предписание в данной части не соответствует закону, нарушает права заявителя, следовательно, подлежит признанию незаконным.

В соответствии со статьей 112 АПК РФ в судебном акте, которым заканчивается рассмотрение дела по существу, арбитражным судом, рассматривающим дело, разрешаются вопросы распределения судебных расходов.

Согласно статье 101 АПК РФ судебные расходы состоят из государственной пошлины и судебных издержек, связанных с рассмотрением дела арбитражным судом.

По правилам статьи 110 АПК РФ судебные расходы, понесенные лицами, участвующими в деле, в пользу которых принят судебный акт, взыскиваются арбитражным судом со стороны.

В случае, если иск удовлетворен частично, судебные расходы относятся на лиц, участвующих в деле, пропорционально размеру удовлетворенных исковых требований (абзац 2 часть 1 статья 110 АПК РФ).

Вместе с тем, исходя из неимущественного характера требований, к данной категории дел не могут применяться положения части 1 статьи 110 АПК РФ, регламентирующие распределение судебных расходов при частичном удовлетворении заявленных требований.

Как указано в пункте 23 Постановления Пленума Высшего Арбитражного Суда Российской Федерации от 11.07.2014 № 46 «О применении законодательства о государственной пошлине при рассмотрении дел в арбитражных судах» при частичном удовлетворении требования неимущественного характера, в том числе имеющего денежную оценку, расходы по уплате государственной пошлины в полном объеме взыскиваются с противоположной стороны по делу.

В случае признания обоснованным полностью или частично заявления об оспаривании ненормативных правовых актов, решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц судебные расходы подлежат возмещению соответственно этим органом в полном размере.

Указанная правовая позиция изложена в Постановлении Президиума Высшего Арбитражного Суда Российской Федерации от 13.11.2008 № 7959/08.

При обращении в заявлением в арбитражный суд заявителем по платежному поручению № 943 от 03.03.2016 уплачена государственная пошлина в размере 3 000 рублей (л.д. 10).

Руководствуясь статьями 176, 200, 201 АПК РФ, арбитражный суд

РЕШИЛ:

Заявленные требования удовлетворить частично.

Признать недействительным предписание Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Челябинской области № П-74/6/1-нд/-//1065 от 05.02.2016 в части следующего нарушения: «Непредставление или несвоевременное представление в государственный орган (должностному лицу) сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объеме или в искаженном виде в части непредставления уполномоченному органу по защите прав субъектов персональных данных, по запросу и в установленные сроки информации, необходимой для реализации его полномочий».

В удовлетворении остальной части заявленных требований отказать.

Взыскать с Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Челябинской области в пользу Банка социального развития «Резерв» (акционерное общество) в возмещение расходов по уплате государственной пошлины 3 000 (Три тысячи) рублей.

Решение может быть обжаловано в течение месяца со дня его принятия путем подачи апелляционной жалобы в Восемнадцатый арбитражный апелляционный суд.

Судья Е.В. Белякович