Гражданский кодекс часть 1

по апелляционной жалобе акционерного общества «Тинькофф Банк» на заочное решение Канавинского районного суда г. Нижнего Новгорода от 20 декабря 2016 года, которым исковые требований удовлетворены частично,

без участия представителей сторон и третьих лиц,

заслушав доклад судьи Нижегородского областного суда А.В. Иванова,

установила:

ФИО1 обратился в Канавинский районный суд г. Нижнего Новгорода с исковым заявлением к акционерному обществу «Тинькофф Банк» и просил обязать ответчика предоставить истцу информацию, касающуюся обработки части персональных данных ФИО1 в рамках договора о выпуске и обслуживании кредитной карты (№ 5213243799014004), а именно: подтвердить факт обработки персональных данных; сообщить правовые основания и цели обработки персональных данных; сообщить наименование и сведения о лицах, которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с акционерным обществом «Тинькофф Банк»; сообщить наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению акционерного общества «Тинькофф Банк». Также истец просила взыскать с ответчика компенсацию морального вреда в размере 20000 рублей; расходы на оплату юридических услуг в размере 5000 рублей; расходы на оплату государственной пошлины в размере 300 рублей.

Исковые требования обоснованы тем, что в связи с заключением сторонами договора о выпуске и обслуживании кредитной карты № 5213243799014004 ответчик получил статус оператора обработки персональных данных, вследствие чего ответчик обязан соблюдать требования части 7 статьи 14 и части 1 статьи 20 Федерального закона от 27 июля 2006 года «О персональных данных», уполномочивающие субъекта персональных данных требовать от оператора персональных данных, и обязывающие оператора персональных данных сообщать субъекту персональных данных информацию, касающуюся обработки персональных данных субъекта. Однако, как утверждает истец, на его заявление от 4 февраля 2016 года о предоставлении информации, касающейся обработки персональных данных ФИО1, ответчик ответа не направил, предусмотренную законом информацию истцу – не представил.

В ходе рассмотрения данного дела в суде первой инстанции от ответчика поступили возражения на исковое заявление (поименованные как «отзыв на исковое заявление»), в которых акционерное общество «Тинькофф Банк» иск не признало, указав на то, что в силу добровольного согласия ФИО1 на обработку его персональных данных и получения истцом всей информации, касающейся обработки его персональных данных, у истца отсутствует право требовать от ответчика предоставления данной информации. Запрос истца о предоставлении заранее известной истцу информации должен квалифицироваться как форма злоупотребления правом. Кроме того, несмотря на свою позицию об отсутствии у кредитной организации обязанности по предоставлению своему контрагенту, давшему согласие на обработку персональных данных, информации об обработке персональных данных, ответчик утверждал, что после получения заявления истца от 4 февраля 2016 года, направил истцу повторно информацию об основаниях и порядке обработки персональных данных ФИО1.

Заочным решением от 20 декабря 2016 года суд первой инстанции частично удовлетворил исковые требования ФИО1, обязав ответчика предоставить истцу информацию, касающуюся обработки персональных данных ФИО1, предоставленных в рамках договора о выпуске и обслуживании кредитной карты № 5213……..4004, содержащую: подтверждение факта обработки персональных данных; правовые основания и цели обработки персональных данных; наименование и сведения о лицах, которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные; наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению акционерного общества «Тинькофф Банк». Также с акционерного общества «Тинькофф Банк» в пользу ФИО1 взысканы компенсация морального вреда в размере 2000 рублей; штраф за неудовлетворение в добровольном порядке требований потребителя в размере 1000 рублей; расходы по оплате юридических услуг в размере 2000 рублей; расходы по оплате государственной пошлины в размере 300 рублей. В удовлетворении исковых требований в большем размере истцу отказано.

Разрешая данное дело, суд первой инстанции пришел к выводу о наличии у истца права требовать от ответчика предоставления информации, касающейся обработки персональных данных ФИО1; незаконности уклонения от предоставления данной информации; нарушением данными действиями прав и законных интересов истца как потребителя финансовых услуг.

Не согласившись с вышеупомянутым заочным решением, ответчик в апелляционной жалобе просит заочное решение суда первой инстанции отменить, принять по делу новое решение об отказе истцу в иске.

В обосновании названных требований в апелляционной жалобе ответчик ссылается на неправильное установление судом первой инстанции обстоятельств спорного правоотношения, неправильное применение норм материального права. При этом доводы апелляционной жалобы ответчика воспроизводят позицию акционерного общества «Тинькофф Банк», содержащуюся в отзыве на исковое заявление, предоставленном в суд первой инстанции.

Законность и обоснованность обжалованного в апелляционном порядке заочного решения проверена по правилам, предусмотренным главой 39 Гражданского процессуального кодекса Российской Федерации (далее —ГПК РФ).

Стороны и третьи лица (Управление Роскомнадзора по Центральному федеральному округу, Управление Роспотребнадзора по Нижегородской области) извещены надлежащим образом о времени и месте рассмотрения дела судом апелляционной инстанции. В судебное заседание суда апелляционной инстанции истец, представители сторон и третьих лиц не явились. Дело рассмотрено судебной коллегией по гражданским делам Нижегородского областного суда в отсутствии указанных лиц по правилам статьи 167, части 1 статьи 327 ГПК РФ.

Проверив материалы дела, обсудив доводы апелляционной жалобы, судебная коллегия по гражданским делам Нижегородского областного суда приходит к выводу о наличии оснований для отмены заочного решения суда первой инстанции и принятии по делу нового решения в связи с неправильным применением судом первой инстанции норм материального права.

Из материалов данного дела следует, что 29 января 2014 года истец заключил с ответчиком договор о предоставлении и обслуживании электронного средства платежа – банковской кредитной карты.

Указанный договор в силу правил пункта 3 статьи 421, статьи 428 Гражданского кодекса Российской Федерации (далее — ГК РФ) является смешанным, содержащим элементы кредитного договора и договора банковского счета, и заключен посредством присоединения истца к Общим условиям выпуска и обслуживания кредитных карт ответчика.

Заключению указанного договора предшествовало оформление истцом заявления-анкеты (л.д. 83), в которой ФИО1 дал собственноручное согласие ответчику на обработку всех предоставленных им персональных данных, указанных в заявлении-анкете, в том числе третьими лицами, с использованием средств автоматизации или без использования таких средств, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, распространение, доступ), в том числе, трансграничную передачу, обезличивание, блокирование, удаление, уничтожение, а также вышеуказанную обработку иных персональных данных, полученных в результате их обработки.

Таким образом, свои персональные данные (включая дату и место рождения, данные паспорта гражданина, сведения об адресе места жительства, личные и контактные абонентские номера телефонов в сетях подвижной (сотовой) радиотелефонной связи и телефонной связи общего пользования) и т.д.) истец добровольно предоставил ответчику при заключении договора от 29 января 2014 года.

Положения пунктов 1, 2, 3 статьи 420, пункта 1 статьи 425, пункта 1 статьи 432 ГК РФ устанавливают, что договором признается соглашение двух или нескольких лиц об установлении, изменении или прекращении гражданских прав и обязанностей. К договорам применяются правила о двух- и многосторонних сделках. К обязательствам, возникшим из договора, применяются общие положения об обязательствах. Договор вступает в силу и становится обязательным для сторон с момента его заключения. Договор считается заключенным, если между сторонами, в требуемой в подлежащих случаях форме, достигнуто соглашение по всем существенным условиям договора. Существенными являются условия о предмете договора, условия, которые названы в законе или иных правовых актах как существенные или необходимые для договоров данного вида, а также все те условия, относительно которых по заявлению одной из сторон должно быть достигнуто соглашение.

Условия о предоставлении истцом персональных данных, об их обработке ответчиком, являются существенными условиями договора от 29 января 2014 года, по которым сторонами достигнуто согласие.

Принцип свободы договора (статьи 1, 421 ГК РФ) предполагает, что граждане и юридические лица свободны в заключении договора, понуждение к заключению договора не допускается, за исключением случаев, когда обязанность заключить договор предусмотрена этим Кодексом, законом или добровольно принятым обязательством. Условия договора определяются по усмотрению сторон, кроме случаев, когда содержание соответствующего условия предписано законом или иными правовыми актами.

Применительно к данному делу, доказательств нарушения принципа свободы договора при заключении договора от 29 января 2014 года в части предоставления истцом спорных персональных данных для обработки ответчику не имеется.

В дальнейшем истец направил ответчику вышеупомянутое заявление от 4 февраля 2016 года о предоставлении информации, касающейся обработки персональных данных ФИО1. Полагая, что ответчиком нарушены права субъекта персональных данных и как следствие права потребителя финансовых услуг, истец обратился за судебной защитой.

При разрешении указанного дела, суду первой инстанции следовало исходить из того, что в силу положений пунктов 1, 2 статьи 422 ГК РФ, договор должен соответствовать обязательным для сторон правилам, установленным законом и иными правовыми актами (императивным нормам), действующим в момент его заключения. Если после заключения договора принят закон, устанавливающий обязательные для сторон правила иные, чем те, которые действовали при заключении договора, условия заключенного договора сохраняют силу, кроме случаев, когда в законе установлено, что его действие распространяется на отношения, возникшие из ранее заключенных договоров.

Согласно дефинициям статьи 3 Федерального закона от 27 июля 2006 года «О персональных данных», под персональными данными понимается любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных); оператором персональных данных могут быть государственные органы, муниципальные органы, юридические или физические лица, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

В силу пункта 5 части 1 статьи 6 названного Закона, обработка персональных данных допускается, в том числе тогда, когда это необходимо для исполнения договора, стороной которого является субъект персональных данных, в том числе в случае реализации оператором своего права на уступку прав (требований) по такому договору.

Таким образом, вышеназванные нормы Федерального закона от 27 июля 2006 года «О персональных данных» не запрещают согласовывать в договорах межу банком и его клиентами – физическими лицами условия о предоставлении физическим лицом персональных данных для их обработки кредитной организации.

В силу правил части 2 статьи 9 Федерального закона от 27 июля 2006 года «О персональных данных» согласие на обработку персональных данных может быть отозвано субъектом персональных данных. Однако в случае отзыва субъектом персональных данных согласия на их обработку, оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии основания, в том числе указанного в пункте 5 части 1 статьи 6 названного Закона (когда это необходимо для исполнения договора, стороной которого является субъект персональных данных).

По общему правилу пункта 1 статьи 857 ГК РФ, банк гарантирует <данные изъяты> банковского счета и банковского вклада, операций по счету и сведений о клиенте.

В соответствии со статьей 18.1 Федерального закона от 27 июля 2006 года «О персональных данных», оператор персональных данных обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных этим Законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных данным Законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено данным Законом или другими федеральными законами. К таким мерам относится, в частности, применение правовых, организационных и технических мер по обеспечению безопасности персональных данных.

Право субъекта на доступ к его персональным данным предусмотрено статьей 14 Федерального закона от 27 июля 2006 года «О персональных данных», согласно которой субъект персональных данных имеет право на получение сведений, указанных в части 7 данной статьи, за исключением случаев, предусмотренных частью 8 этой статьи. Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав (часть 1 статьи 14).

Сведения, указанные в части 7 статьи 14 Федерального закона от 27 июля 2006 года «О персональных данных», должны быть предоставлены субъекту персональных данных оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных (часть 2 статьи 14); данные сведения, предоставляются субъекту персональных данных или его представителю оператором при обращении либо при получении запроса субъекта персональных данных или его представителя; запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, подпись субъекта персональных данных или его представителя; запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации (часть 3 статьи 14).

Приведенные нормы права предусматривают право субъекта на получение сведений об обработке персональных данных и устанавливают определенные требования к запросу о них, а также содержат указание на то, что такие сведения должны быть предоставлены оператором в доступной форме. Вместе с тем в соответствии со статьей 18 Федерального закона от 27 июля 2006 года «О персональных данных», при сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 7 статьи 14 этого Закона (часть 1 статьи 18); если персональные данные получены не от субъекта персональных данных, оператор, за исключением случаев, предусмотренных частью 4 названной статьи, до начала обработки таких персональных данных обязан предоставить субъекту персональных данных информацию о наименовании либо фамилии, имени, отчестве и адресе оператора или его представителя, цели обработки персональных данных и ее правовом основании, предполагаемых пользователях персональных данных, установленных этим Законом правах субъекта персональных данных, источнике получения персональных данных (часть 3 статьи 18); оператор освобождается от обязанности предоставить субъекту персональных данных вышеуказанные сведения, в частности, если субъект персональных данных уведомлен об осуществлении обработки его персональных данных соответствующим оператором, персональные данные получены оператором на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных (часть 4 статьи 18).

Таким образом, помимо предусмотренной Федеральным законом от 27 июля 2006 года «О персональных данных» обязанности оператора персональных данных предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 7 статьи 14 этого Закона, на оператора также возложены обязанности по обеспечению конфиденциальности персональных данных и по обеспечению безопасности этих данных при их обработке. В связи с чем, оператор персональных данных освобождается от исполнения обязанности по предоставлению субъекту персональных данных соответствующих сведений, в случае, когда их обработка осуществляется по волеизъявлению самого субъекта персональных данных, в том числе, в связи с заключением и исполнением субъектом персональных данных и оператором гражданско-правового договора, когда необходимости в уточнении персональных данных не имеется.

Как уже было отмечено ранее, в направленном истцом ответчику заявлении от 4 февраля 2016 года, содержалось требование о предоставлении информации, касающейся обработки персональных данных истца по заключенному между ним и ответчиком договору от 29 января 2014 года. Каких-либо требований для уточнения своих персональных данных, истец ответчику не приводил; оснований для прекращения обработки персональных данных истца у ответчика не имелось; сведения о составе персональных данных, об ответчике как операторе персональных данных, о целях и применяемых оператором способов обработки персональных данных и т.д. были известны истцу как лицу предоставившему ответчику собственные персональные данные для целей заключения вышеупомянутого договора.

При таких обстоятельствах, ответчик был освобожден от обязанности предоставить ФИО1 информацию об обработке его персональных данных (в связи с известностью данной информации субъекту персональных данных), и не мог быть привлечен к ответственности за нарушение прав потребителя финансовых услуг в виде присуждения истцу компенсации морального вреда и штрафа, предусмотренных пунктом 6 статьи 13, статьей 15 Закона Российской Федерации от 7 февраля 1992 года «О защите прав потребителей».

Поскольку при заключении договора от 29 января 2014 года стороны согласовали условие о предоставлении истцом для обработки ответчику персональных данных, такие персональные данные могут обрабатываться ответчиком вплоть до завершения исполнения истцом своих обязательств по упомянутому договору, в том числе, и при заявлении истца о прекращении обработки его персональных данных, сделанном до исполнения собственных обязательств заемщика. Те есть, применительно к тем обстоятельствам, которые установлены по данному делу, в действиях ответчика признаков нарушения прав истца как потребителя финансовых услуг не имелось. В связи с чем, фактических и формально-юридических оснований для удовлетворения заявленных исковых требований у суда первой инстанции не было.

Выводы суда первой инстанции о нарушении прав потребителя финансовых услуг основаны на неправильном применении положений Федерального закона от 27 июля 2006 года «О персональных данных».

Поэтому заочное решение суда первой инстанции подлежит отмене с принятием по делу нового решения об отказе ФИО1 в удовлетворении заявленных требований.

На основании изложенного, руководствуясь статьями 328, 329, 330 ГПК РФ, судебная коллегия по гражданским делам Нижегородского областного суда

определила:

Апелляционную жалобу акционерного общества «Тинькофф Банк» удовлетворить.

Заочное решение Канавинского районного суда г. Нижнего Новгорода от 20 декабря 2016 года отменить.

Принять по делу новое решение.

Отказать ФИО1 в удовлетворении исковых требований к акционерному обществу «Тинькофф Банк» о защите прав потребителей.

Настоящее определение вступает в законную силу со дня его принятия.

Председательствующий судья

Судьи