Постановление Пятнадцатого арбитражного апелляционного суда от 17.12.2012 по делу n А32-44892/2011. Оставить без изменения решение, а апелляционную жалобу - без удовлетворения (п.1 ст.269 АПК)

ПЯТНАДЦАТЫЙ  АРБИТРАЖНЫЙ  АПЕЛЛЯЦИОННЫЙ  СУД

Газетный пер., 47б лит А, г. Ростов-на-Дону, 344002, тел.: [phone], факс: [phone]

E-mail: [email protected], Сайт: http://15aas.arbitr.ru/

ПОСТАНОВЛЕНИЕ

арбитражного суда апелляционной инстанции

по проверке законности и обоснованности решений (определений)

арбитражных судов, не вступивших в законную силу

город Ростов-на-Дону                                                            дело № А32-44892/2011

18 декабря 2012 года                                                                            15АП-14522/2012

Резолютивная часть постановления объявлена 11 декабря 2012 года.

Полный текст постановления изготовлен 18 декабря 2012 года.

Пятнадцатый арбитражный апелляционный суд в составе:

председательствующего судьи  Филимоновой С.С.

судей Н.Н. Смотровой, М.В. Соловьевой

при ведении протокола судебного заседания помощником судьи Ковалевой С.В.

при участии:

от заявителя: ведущий юрисконсульт Касьяненко М.В. паспорт, по доверенности №2340 от 12.11.2012

от заинтересованного лица: ведущий специалист-эксперт Бахметьев А.А. паспорт, по доверенности от 11.09.2012

рассмотрев в открытом судебном заседании апелляционную жалобу

Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Краснодарскому краю и Республике Адыгея

на решение Арбитражного суда Краснодарского края от 17.09.2012 по делу № А32-44892/2011

по заявлению ЗАО «Банк Русский Стандарт»

к заинтересованному лицу Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Краснодарскому краю и Республике Адыгея

о признании недействительным предписания об устранении выявленного нарушения

принятое в составе судьи Лесных А.В.

УСТАНОВИЛ:

закрытое акционерное общество «Банк Русский Стандарт» (далее – общество, банк) обратилось в Арбитражный суд Краснодарского края с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Краснодарскому краю и Республике Адыгея (далее – Роскомнадзор, административный орган) о признании незаконными предписаний  № П-23-10/00273 от 12.10.2011 г. и № П-23-10/00274 от 12.10. 2011 г. об устранении выявленных нарушений.

Решением Арбитражного суда Краснодарского края от 17.09.2012 г. заявленные требования удовлетворены, оспариваемые предписания признаны незаконными как несоответствующие Федеральному закону «О персональных данных».

Не согласившись с принятым судебным актом, Управление Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Краснодарскому краю и Республике Адыгея обжаловало его  в порядке, предусмотренном гл.  34 АПК РФ, и  просило отменить решение от 17.09.2012, считая его не основанным на положениях закона.

ЗАО «Банк Русский стандарт» в представленном отзыве, его представитель в судебном заседании, отклонил доводы апелляционной жалобы, просил решение суда первой инстанции оставить без изменения, как законное и обоснованное, апелляционную жалобу без удовлетворения.

Изучив материалы дела, оценив доводы апелляционной жалобы и отзыва на нее, выслушав представителей участвующих в деле лиц, арбитражный суд апелляционной инстанции пришел к выводу о том, что апелляционная жалоба не подлежит  удовлетворению по следующим основаниям.

Как следует из материалов дела, в период с 16.09.2011 г. по 12.10.2011 г. Управлением Роскомнадзора по Краснодарскому краю и Республике Адыгея была проведена внеплановая документарная проверка (Приказ руководителя Управления Роскомнадзора от 12.09.2011 г. № 1032) в отношении ЗАО «Банк Русский Стандарт» с целью контроля исполнения ранее выданных предписаний об устранении выявленных нарушений обязательных требований от 27.05.2011 г.  №№ П-23-10/00153, П-23-10/00154, П-23-10/00155. По результатам указанной проверки должностными лицами Управления Роскомнадзора был составлен Акт проверки № А-23-ПД-10/00148 от 12.10.2011 г. и выданы  предписания № П-23-10/00273 от 12.10.2011 г. и № П-23-10/00274 от 12.10.2011 г.

Согласно предписанию № П-23-10/00273 от 12.10.2011 г. в соответствии с перечнем документов, установленным п. 10. приказа о проведении внеплановой документарной проверки от 12.09.2011 года № 1032, ЗАО «Банк Русский Стандарт» не было предоставлено письменное согласие Хилая К.В. на передачу его персональных данных третьим лицам (ЗАО «Банк Русский Стандарт» по кредитному договору с Хилай К.В. № 49134486 переуступило долг (право требования) третьему юридическому лицу), передача которых осуществлялась банком, что свидетельствует о его отсутствии и является нарушением требований п. 1 ч. 1 ст. 6 Федерального закона «О персональных данных» от 27.07.2006 года № 152-ФЗ.

Согласно предписанию № П-23-10/00274 от 12.10.2011 г. в соответствии с перечнем документов, установленным п. 10. приказа о проведении внеплановой документарной проверки от 12.09.2011 года № 1032, банком не были представлены документы, устанавливающие перечень лиц, осуществляющих обработку персональных данных гр. Хилая К.В., либо имеющих к ним доступ, что свидетельствует об их отсутствии и является нарушением требований п. 13 постановления Правительства Российской Федерации от 15.09.2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

Указанными предписаниями Управлением был установлен срок устранения нарушений – не позднее 12.12.2011 г., при этом необходимо было письменно, с приложением подтверждающих документов,  сообщить в Управление Роскомнадзора об устранении нарушений.

Общество не согласилось с выданными предписаниями, полагая, что оно не допустило нарушение требований законодательства, вменяемое ему административным органом и обжаловало предписания в судебном порядке.

Удовлетворяя заявленные требования, суд первой инстанции правомерно руководствовался следующим.

В силу части 1 статьи 198 Арбитражного процессуального кодекса Российской Федерации граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц, если полагают, что оспариваемый ненормативный правовой акт, решение и действие (бездействие) не соответствуют закону или иному нормативному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности.

Согласно части 4 статьи 200 Арбитражного процессуального кодекса Российской Федерации при рассмотрении дел об оспаривании ненормативных правовых актов, решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц арбитражный суд в судебном заседании осуществляет проверку оспариваемого акта или его отдельных положений, оспариваемых решений и действий (бездействия) и устанавливает их соответствие закону или иному нормативному правовому акту, устанавливает наличие полномочий у органа или лица, которые приняли оспариваемый акт, решение или совершили оспариваемые действия (бездействие), а также устанавливает, нарушают ли оспариваемый акт, решение и действия (бездействие) права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности.

Таким образом, для признания ненормативного акта недействительным, решения и действия (бездействия) незаконными необходимо наличие одновременно двух условий: несоответствие их закону или иному нормативному правовому акту и нарушение прав и законных интересов заявителя в сфере предпринимательской или иной экономической деятельности.

Порядок доступа к персональным данным граждан (физических лиц) установлен федеральным законом о персональных данных.

Согласно статье 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – закон №152-ФЗ) персональными данными является любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

Целью указанного Закона № 152-ФЗ в силу статьи 2 является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

Из материалов дела следует, что между ЗАО «Банк Русский Стандарт» и Хилаем Кириллом Владимировичем был заключён кредитный договор № 49134486 от 24.05.2006 г. Указанный кредитный договор заключён в порядке ст. ст. 160, 432, 434, 438 ГК РФ путём принятия (акцепта) банком предложения (оферты) Хилая К.В., изложенного в его заявлении от 24.05.2006 г., Условиях предоставления и обслуживания кредитов и Тарифах ЗАО «Банк Русский Стандарт» по кредитам «Русский Стандарт», которые являются составными и неотъемлемыми частями кредитного договора.

Федеральный закон «О персональных данных» № 152-ФЗ вступил в силу 26.01.2007 г., т.е. более чем через 8 месяцев после даты заключения банком и Хилаем К.В. кредитного договора. Таким образом, при заключении договора письменного согласия Хилая К.В. на обработку его персональных данных, в том числе на передачу его персональных данных третьим лицам, не требовалось.

В соответствии с п. 5 ч. 1 ст. 6 ФЗ «О персональных данных» обработка персональных данных допускается в случае, если такая обработка необходима для исполнения договора, стороной которого является субъект персональных данных. При этом в указанном случае обработки персональных данных законодатель не предусматривает необходимости наличия у оператора персональных данных согласия субъекта персональных данных, являющегося стороной по договору, на обработку его персональных данных.

В соответствии с п. 3 ст. 3 ФЗ «О персональных данных» под обработкой персональных данных законодателем понимаются следующие действия – действия (операции) с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Из анализа указанных норм следует, что предусмотренное п. 5 ч. 1 ст. 6 ФЗ «О персональных данных» право оператора на необходимую для исполнения договора обработку персональных данных субъекта, являющегося стороной этого договора, предусматривает, в том числе, и правомочие оператора на передачу (распространение, предоставление, доступ) персональных данных субъекта.

Таким образом, законодательством ни при заключении кредитного договора от 24.05.2006 года, ни после вступления в силу ФЗ «О персональных данных» не была предусмотрена обязанность банка, обрабатывающего персональные данные Хилая К.В. исключительно в целях исполнения договора, по получению письменного согласия Хилая К.В. на обработку его персональных данных.

Также суд установил, что согласно п. 9.9. Условий предоставления и обслуживания кредитов, действовавших на дату заключения с Хилаем К.В. кредитного договора, банк вправе уступить полностью или частично свои права требования по договору третьему лицу, при этом (согласно пп. 9.9.1. указанных условий) банк вправе раскрывать такому третьему лицу, а также его агентам и уполномоченным лицам необходимую для совершения такой уступки информацию о кредите/задолженности, клиенте и заложенном товаре.

Таким образом, суд правомерно пришел к выводу, что заемщик, подписав договор, выражает свое безусловное согласие кредитору на обработку его персональных данных согласно законодательству в целях, указанных в договоре, различными способами.

Право стороны обязательства производить уступку (передачу) своего права требования другому лицу предусмотрено ст. 382 Гражданского кодекса РФ. При этом гражданские права участников гражданских правоотношений в силу п. 2 ст. 1 ГК РФ могут быть ограничены только на основании федерального закона. ФЗ «О персональных данных» не содержит норм, ограничивающих право банка на уступку своих прав требования другим лицам.

В силу п. 2 ст. 385 Гражданского кодекса Российской Федерации, кредитор, уступивший требование другому лицу, обязан передать ему документы, удостоверяющие право требования, и сообщить сведения, имеющие значение для осуществления требования. Поскольку банком было уступлено (передано) третьему лицу право требования, возникшее в рамках кредитного договора с Хилаем К.В., а именно право требования по погашению задолженности по договору, суд приходит к выводу, что передача персональных данных Хилая К.В. при уступке банком своего права требования третьему лицу не выходит за рамки предусмотренной законом цели – исполнение договора, стороной которого является субъект персональных данных. Доказательств обработки банком персональных данных Хилая К.В. в целях иных, нежели исполнение договора, Управлением Роскомнадзора не представлено.

Таким образом, уступка банком права требования задолженности по кредитному договору, заключённому с Хилаем К.В., третьему лицу не противоречит ФЗ «О персональных данных».

Также банку вменялось отсутствие документов, устанавливающих перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ.

Однако судом установлено, что в ходе проведения проверки банк предоставил в Управление Роскомнадзора Положение об организации работы с персональными данными в ЗАО «Банк Русский Стандарт», утверждённое приказом банка № 1350 от 28 июня 2011 года.

Указанный локальный нормативный акт банка наряду с действующим законодательством РФ о защите персональных данных, определяет порядок получения и обработки, в том числе передачи, персональных данных физических лиц в ЗАО «Банк Русский Стандарт».

Согласно п. 13 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утверждённого Постановлением Правительства РФ от 15.09.2008 года № 687, обработка персональных данных без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории