Арбитраж (персональные данные)

Российская Федерация
Арбитражный суд Новосибирской области
Решение от 22 марта 2013 года
По делу № А45-1254/2013

АРБИТРАЖНЫЙ СУД НОВОСИБИРСКОЙ ОБЛАСТИ
Нижегородская ул., д.6, Новосибирск, 630102, тел. (383) 269-90-90,269-69-91
fax: (383) 269-69-90 http://novosib.arbitr.ru, e-mail: info@ novosib.arbitr.ru

Решение г. Новосибирск

22 марта 2013 г. Дело № А45-1254/2013
Резолютивная часть решения объявлена 20 марта 2013 года

Решение в полном объеме изготовлено 22 марта 2013 года

Арбитражный суд Новосибирской области в составе судьи Поповой И.В., при ведении протокола судебного заседания секретарем судебного заседания Литохиной А.А., рассмотрев в судебном заседании дело по заявлению Закрытого акционерного общества «Раффайзенбанк» в лице Сибирского филиала Закрытого акционерного общества «Раффайзенбанк» к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Новосибирской области о признании недействительным требования от 26.12.2012 № 07185-06/54

при участии в судебном заседании представителей:

от заявителя: Параносенкова Е.В., по доверенности от 21.12.2012 № 855/12, паспорт;
от заинтересованного лица: Морозов Н.В., по доверенности от 22.02.2013 № 22-Д, удостоверение,

Закрытое акционерное общество «Раффайзенбанк» в лице Сибирского филиала Закрытого акционерного общества «Раффайзенбанк» (далее по тексту – заявитель, Банк) обратилось в арбитражный суд к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Новосибирской области (далее по тексту – административный орган, Управление) о признании недействительным требования от 26.12.2012 № 07185-06/54.

В обоснование требования заявитель ссылается на то, что действия Банка не нарушают обязательных требований законодательства в области персональных данных, Банком не допускалось каких-либо нарушений установленного законом порядка, сбора, хранения, использования или распространения информации о гражданах (персональных данных), следовательно, отсутствовали основания для выдачи оспариваемого предписания. Считает, что факт передачи персональных данных обусловлен тем, что между Банком и ООО «Русдолгнадзор-Столица» заключен агентский договор № 6711 от 05.11.2012, в соответствии с условиями которого, агентство по поручению Банка принимает на себя обязательство от имени Банка и за вознаграждение выполнять действия, направленные на взыскание с заемщиков Банка – физических лиц просроченной задолженности по кредитным договорам, заключенным с заемщиком от имени Банка. Агентство обязуется обеспечить конфиденциальность персональных данных. По мнению заявителя, согласие субъекта персональных данных не требуется в случае, если обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого субъект является. Следовательно, полагает, что Банком были соблюдены установленные условия для передачи персональных данных, а сама передача данных является законной. Более подробно доводы изложены в заявлении.

Представитель заявителя в судебном заседании требования в полном объеме поддержала по основаниям, изложенным заявлении.

Представитель Управления в судебном заседании с требованием не согласился по основаниям, изложенным в отзыве; считает, что требование об обеспечении прекращения обработки персональных данных, осуществляемой с нарушением положений Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» является законным и обоснованным, не нарушающим права и законные интересы юридического лица. Полагает, что, что Банк, передав персональные данные Курилова Н.А, для обработки третьему лицу, нарушил часть 1 статьи 6 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных», в соответствии с которым обработка персональных данных осуществляется с согласия субъекта персональных данных. Способ получения согласия клиента на обработку персональных данных не соответствует требованиям закона, поскольку не подтверждается факт ознакомления Курилова Н.А. с Общими условиями обслуживания банковских счетов и вкладов физических лиц, на которые Банк ссылается в своем заявлении. Более подробно возражения изложены в отзыве.

Изучив материалы дела, суд Установил, что в результате проведения мероприятий по рассмотрению обращения Курилова Н.А., было выявлено нарушение ЗАО «Райффайзенбанк» законодательства о персональных данных, а именно допущена обработка (передача) персональных данных Курилова Н.А. без согласия субъекта персональных данных и при отсутствии других оснований предусмотренных законом – часть 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

В связи с выявленным нарушением в адрес Банка выдано требование от 26.12.2012 № 07185-06/54 об обеспечении прекращения обработки персональных данных, осуществляемой с нарушением положений Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Считая требование незаконным, Банк обратился в арбитражный суд с настоящим заявлением.

Оценив в соответствии со статьей 71 Арбитражного процессуального кодекса Российской Федерации представленные доказательства и фактические обстоятельства дела, выслушав доводы и пояснения представителей сторон, суд находит заявленное требование не обоснованным и не подлежащим удовлетворению исходя из следующего.

Согласно части 1 статьи 198 Арбитражного процессуального кодекса Российской Федерации граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц, если полагают, что оспариваемый ненормативный правовой акт, Решение и действие (бездействие) не соответствуют закону или иному нормативному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности.

В соответствии с частью 4 статьи 200 Арбитражного процессуального кодекса Российской Федерации при рассмотрении дел об оспаривании ненормативных правовых актов, решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц арбитражный суд в судебном заседании осуществляет проверку оспариваемого акта или его отдельных положений, оспариваемых решений и действий (бездействия) и устанавливает их соответствие закону или иному нормативному правовому акту, устанавливает наличие полномочий у органа или лица, которые приняли оспариваемый акт, Решение или совершили оспариваемые действия (бездействие), а также устанавливает, нарушают ли оспариваемый акт, Решение и действия (бездействие) права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности.

В силу части 2 статьи 201 Арбитражного процессуального кодекса Российской Федерации для признания ненормативных правовых актов, решений и действий (бездействия) государственного органа или органа местного самоуправления недействительными является одновременное наличие двух условий: их несоответствие закону или иному правовому акту и нарушение прав и законных интересов гражданина или юридического лица в сфере предпринимательской и иной экономической деятельности.

Федеральный закон «О персональных данных» является базовым законодательным актом, регулирующим отношения, связанные с обработкой персональных данных, и определяет принципы, условия и правила обработки персональных данных (статьи 1 и 4, часть 1 статьи 6).

По смыслу части 1 статьи 6, статьи 7, частей 2 и 3 статьи 9 Федерального закона «О персональных данных», обработка персональных данных, в том числе их распространение и предоставление, при отсутствии согласия субъекта персональных данных на их обработку допускается только в случаях, предусмотренных федеральным законом.

В соответствии со статьей 7 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Под персональными данными в соответствии с пунктами 1и 3 статьи 3 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» (далее по тексту – Закон N 152-ФЗ) понимается любая информация, относящаяся прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Обработка персональных данных – это действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных.

Как следует из материалов дела, в рамках проведения мероприятий по рассмотрению обращения Курилова Н.А. в адрес ЗАО «Райффайзенбанк» был направлен запрос о предоставлении документов и информации, касающихся обработки персональных данных.

В ответе указанный на запрос Банк сослался на то, что согласие на обработку персональных данных заявитель выразил при подписании заявления на выпуск кредитной карты от 23.09.20, условие о котором содержится в Общих условиях обслуживания банковских счетов и вкладов физических лиц, являющихся неотъемлемой частью кредитного договора. К ответу Банка были приложены Общие условия обслуживания банковских счетов и вкладов физических лиц от 2005 года, в которых отсутствует подпись Курилова Н.А. в ознакомлении с ними. Каких либо других сведений и документов, подтверждающих факт ознакомления Курилова Н.А. с представленными Банком Общими условиями, в Управление Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Новосибирской области не представлено.

В соответствии с пунктами 1, 2 статьи 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» обработка персональных данных должна осуществляться на законной и справедливой основе, обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей.

Целью указанного Закона № 152-ФЗ является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе, защиты прав на неприкосновенность частной жизни, личную и семейную тайну (статья 2).

Вместе с тем, Банк допустил обработку персональных данных Курилова Н.А. в части передачи их третьему лицу, с превышением заранее определенных и законных целей обработки персональных данных.

Так, Банк заключил с ООО «Русдолгонадзор-Столица» Агентский договор от 05.10.2012 № 6711 на основании которого общество с ограниченной ответственностью «Русдолгонадзор-Столица» (агентство) принимает на себя обязательство от имени Банка и за вознаграждение выполнять действия, направленные на взыскание с заемщиков Банка — физических лиц, не осуществляющих деятельность в качестве индивидуальных предпринимателей без образования юридического лица, просроченной задолженности по кредитным договорам, по которым Банк является текущим кредитором.

С целью взыскания с Курилова Н.А. просроченной задолженности по кредитному договору Банк 12.10.2012 года передал третьему лицу ООО «Русдолгонадзор-Столица» конфиденциальную информацию о Заемщике.

Пунктом 5 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» допускается обработка персональных данных субъектов, если она необходима для исполнения договора, стороной которого, либо выгодоприобретателем или поручителем по которому, является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.

Гражданин Курилов Н.А. является стороной по договору от 27.10.2006 о предоставлении кредитной линии к текущему счету с возможностью использования банковской карты, следовательно, обработка его персональных данных в целях исполнения вышеназванного договора допускается.

Вместе с тем, гражданин Курилов Н.А. не является стороной или выгодоприобретателем по Агентскому договору № 6711 от 05.10.2012, заключенного между Банком и ООО «Русдолгонадзор-Столица», соответственно, на правоотношения между ООО «Русдолгонадзор-Столица» и Курилова Н.А. требования пункта 5 части 1 статьи 6 Федерального закона «О персональных данных» не распространяются.

При этом заключение агентского договора не свидетельствует об уступке права требования Банка по договору с гражданином, в связи с чем, передача персональных данных гражданина ООО «Русдолгонадзор-Столица» возможна только с его согласия.

Кроме того, в соответствии с частью 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора.

В соответствии с частью 4 статьи 9 Закона № 152-ФЗ письменное согласие субъекта персональных данных на обработку своих персональных данных должно включать в себя: фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных); наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных; цель обработки персональных данных; перечень персональных данных, на обработку которых дается согласие субъекта персональных данных; наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу; перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом; подпись субъекта персональных данных.

Согласие на обработку персональных данных должно быть сделано потребителем явно, осознанно, безусловно и в письменной форме, а положения приведенных норм предусматривают обязательные требования к содержанию письменного согласия субъекта (абонента) персональных данных на обработку персональных данных.

Согласно пункту 3 заявления на выпуск кредитной линии от 23.09.2006 клиент ознакомлен и обязуется соблюдать Общие условия и правила. Заявление подписано Клиентом (Куриловым Н.А.).

В судебном заседании представитель Банка пояснил, что в Общие условия, утвержденные в 2005 году, вносились изменения, в том числе и в связи с изменением действующего законодательства по обработке персональных данных. Об изменениях клиенты уведомлялись путем размещения на стендах в отделениях Банка и на сайте, что не противоречит пункту 1.12 Общих условий (в редакции на дату заключения договора), в любой из форм, предусмотренных п. 1.14 Общих условий. Поскольку Общие правила являются неотъемлемой частью договора, то это означает, что клиент выразил согласие на обработку персональных данных при подписании такого заявления.

Суд считает данный довод необоснованным, не соответствующим требованиям законодательства.

Представленное заявление на выпуск кредитной линии не позволяет сделать вывод о том, что согласие на обработку персональных данных сделано потребителем явно, осознано, безусловно и в письменной форме, и не содержит сведения, перечисленные в части 4 статьи 9 Закона № 152-ФЗ; также не следует, что Курилов выразил свое согласие на передачу Банком его персональных данных в ООО «Русдолгонадзор-Столица» с целью взыскания с субъекта персональных данных просроченной задолженности. Иные законные основания для передачи персональных данных клиента в ООО Русдолгонадзор-Столица» у Банка отсутствуют.

Суд считает, что согласие должно быть конкретным, то есть предусматривающим передачу сведений не любым третьим лицам, а только конкретному лицу, а также какая именно информация о заемщике станет известна третьим лицам; не определены срок действия такого согласия и порядок его отзыва.

В связи с чем, доводы заявителя о том, что заемщик выразил свое согласие на обработку персональных данных, подписав заявление не выпуск кредитной карты, судом отклоняются как необоснованные.

Статья 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» определяет условия обработки персональных данных. Согласно части 1 статьи 6 указанного закона обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом.

Как уже указывалось судом, пунктами 1 и 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» допускается обработка персональных данных, если:

- обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;

- обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.

Вышеназванные условия обработки персональных данных Курилова Н.А. в части передачи их третьему лицу – ООО «Русдолгонадзор-Столица» Банком не соблюдены.

Учитывая изложенное, суд пришел к выводу о том, что Банк допустил нарушение части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», а именно: нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) в части передачи ЗАО «Райффайзенбанк» персональных данных клиента ЗАО «Райффайзенбанк» третьему лицу без получения согласия субъекта персональных данных.

Таким образом, суд считает, что выданное Управлением Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Новосибирской области требование об обеспечении прекращения обработки персональных данных, осуществляемой с нарушением положений Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» является законным и обоснованным.

Требование выдано Управлением Роскомнадзора по Новосибирской области в пределах его компетенции, в соответствии с положениями статьи 23 Федерального закона № 152-ФЗ.

Права и законные интересы заявителя, не выполняющего публично-правовые обязанности и законно установленные обязательные требования, не могут быть признаны нарушенными правомерным ненормативным правовым актом органа, осуществляющего публичные полномочия.

Учитывая изложенное, суд пришел к убеждению, что оспариваемое требование об обеспечении прекращения обработки персональных данных, осуществляемой с нарушением положений Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» от 26.12.2012 № 07185-06/54 не нарушает права и законные интересы Банка в сфере предпринимательской и иной экономической деятельности.

В соответствии с частью 3 статьи 201 Арбитражного процессуального кодекса Российской Федерации в случае, если арбитражный суд установит, что оспариваемый ненормативный правовой акт, решения и действия (бездействие) государственных органов, органов местного самоуправления, иных органов, должностных лиц соответствуют закону или иному нормативному правовому акту и не нарушают права и законные интересы заявителя, суд принимает Решение об отказе в удовлетворении заявленного требования.

При таких обстоятельствах, оснований для признания недействительным требования об обеспечении прекращения обработки персональных данных, осуществляемой с нарушением положений Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» от 26.12.2012 № 07185-06/54 не имеется.

При подаче заявления уплачена государственная пошлина в размере 2 000 рублей 00 копеек. В соответствии с положениями статьи 110 АПК РФ судебные расходы относятся на заявителя.

Руководствуясь статьями 110, 167-176, 197-201 Арбитражного процессуального кодекса Российской Федерации

Решил:

В удовлетворении заявленных требований отказать.

Решение арбитражного суда первой инстанции может быть обжаловано в течение месяца после его принятия в арбитражный суд апелляционной инстанции.

Решение арбитражного суда первой инстанции может быть обжаловано в срок, не превышающий двух месяцев со дня вступления в законную силу обжалуемого решения, в арбитражный суд кассационной инстанции при условии, что оно было предметом рассмотрения арбитражного суда апелляционной инстанции или суд апелляционной инстанции отказал в восстановлении пропущенного срока подачи апелляционной жалобы.

Судья И.В. Попова

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *

*

Можно использовать следующие HTML-теги и атрибуты: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>

Яндекс.Метрика