Постановление Пятнадцатого арбитражного апелляционного суда от 31.07.2013 по делу n А32-44893/2011. Оставить без изменения решение, а апелляционную жалобу - без удовлетворения (п.1 ст.269 АПК)

задолженности по договору, суд приходит к выводу, что передача персональных данных Фролова Ю.В. при уступке банком своего права требования третьему лицу не выходит за рамки предусмотренной законом цели - исполнение договора, стороной которого является субъект персональных данных. Доказательств обработки банком персональных данных Фролова Ю.В. в целях иных, нежели исполнение договора, Управлением Роскомнадзора не представлено.

Таким образом, суд пришёл к выводу, что уступка банком права требования задолженности по договору о карте, заключённому с Фроловым Ю.В., третьему лицу не противоречит Федеральному закону «О персональных данных».

При этом судом первой инстанции правомерно и обоснованно отклонен как несостоятельный довод Управления Роскомнадзора о том, что согласие Фролова Ю.В. на передачу его персональных данных являлось обязательным по причине того, что Фролов Ю.В. не являлся стороной по договору между ЗАО «Банк Русский Стандарт» и сторонней организацией, которой банком было уступлено право требования к Фролову Ю.В.

Как было установлено судом в ходе рассмотрения дела, уступленное банком третьему лицу право требования задолженности к Фролову Ю.В. возникло у банка в рамках договора о карте, заключённого с самим Фроловым Ю.В., при этом указанная уступка права требования была направлена непосредственно на исполнение Фроловым Ю.В. условий данного договора, а именно была направлена на исполнение Фроловым Ю.В. своего обязательства по возврату кредита, предоставленного банком.

Таким образом, у банка отсутствовала обязанность по получению от Фролова Ю.В. отдельного согласия на передачу его персональных данных организации, которой банк уступил своё право требования задолженности по договору о карте. Доказательств обработки банком персональных данных Фролова Ю.В. в целях иных, нежели исполнение договора, Управлением Роскомнадзора не представлено.

Кроме того, при рассмотрении данного дела суд принимает во внимание п. 16 информационного письма № 146 от 13 сентября 2011 г. Президиума Высшего Арбитражного Суда РФ, согласно которому уступка банком лицу, не обладающему статусом кредитной организации, неисполненного в срок требования по кредитному договору с заемщиком-гражданином не противоречит закону и не требует согласия заёмщика.

Учитывая вышеизложенное, со стороны ЗАО «Банк Русский Стандарт» при обработке персональных данных Фролова Ю.В. нарушений ст. 6 Федерального закона «О персональных данных» допущено не было, а, следовательно, предписание об устранении выявленного нарушения № П-23-10/00259 от 05 октября 2011 года, выданное Управлением Роскомнадзора по Краснодарскому краю и Республике Адыгея, является незаконным и необоснованным, а также нарушает интересы заявителя как оператора персональных данных, поскольку возлагает на последнего обязанности, не предусмотренные законом.

Также из материалов дела следует, что в ходе проведения проверки банк предоставил в Управление Роскомнадзора Положение об организации работы с персональными данными в ЗАО «Банк Русский Стандарт», утверждённое приказом банка № 1350 от 28 июня 2011 года.

Указанный локальный нормативный акт банка наряду с действующим законодательством РФ о защите персональных данных, определяет порядок получения и обработки, в том числе передачи, персональных данных физических лиц в ЗАО «Банк Русский Стандарт».

Согласно п. 6 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утверждённого Постановлением Правительства РФ от 15.09.2008 г. № 687, лица, осуществляющие обработку персональных данных без использования средств автоматизации (в том числе сотрудники организации-оператора или лица, осуществляющие такую обработку по договору с оператором), должны быть проинформированы о факте обработки ими персональных данных, обработка которых осуществляется оператором без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки, установленных нормативными правовыми актами федеральных органов исполнительной власти органов исполнительной власти субъектов Российской Федерации, а также локальными правовыми актами организации (при их наличии).

Судом установлено, что в Положении об организации работы с персональными данными в ЗАО «Банк Русский Стандарт» (далее - Положение банка о персональных данных) содержатся нормы, необходимые для соблюдения указанных требований п. 6 Положения Правительства РФ, а именно:

- в п. 2.2. Положения банка о персональных данных указаны категории обрабатываемых банком персональных данных (персональные данные, отнесённые ФЗ «О персональных данных» к специальным категориям персональных данных; персональные данные, отнесённые ФЗ «О персональных данных» к биометрическим персональным данным; персональные данные, которые не могут быть отнесены к специальным категориям персональных данных, к биометрическим персональным данным, к общедоступным и обезличенным персональным данным; персональные данные, отнесённые в соответствии с ФЗ «О персональных данных» к общедоступным или обезличенным персональным данным);

- в Разделе 3 Положения банка о персональных данных содержатся нормы, которые регулируют порядок получения и обработки в банке персональных данных, т.е. содержат правила и особенности осуществления обработки персональных данных;

- в п. 3.1.14. Положения банка о персональных данных предусмотрена обязанность ознакомления сотрудников банка под роспись с данным Положением банка, а также иными локальными актами банка, касающимися защиты персональных данных и указанных в Положении банка, т.е. в этом пункте Положения банка о персональных данных регламентирован порядок информирования лиц (сотрудников банка), осуществляющих обработку персональных данных.

На основе анализа вышеизложенных норм Положения банка о персональных данных суд правильно пришел к выводу о том, что данный локальный нормативный акт, имеющийся в банке, содержит правила, подтверждающие соблюдение банком требований п. 6 Положения Правительства РФ, нарушение которого вменяется банку в Предписании № П-23-10/00260 от 05 октября 2011 года.

Также в материалы дела заявителем представлены листы ознакомления с вышеуказанным локальным нормативным актом банка (Положением) сотрудников (13 человек) Сектора обработки и хранения клиентских дел Отдел Архив Филиала ЗАО «Банк Русский Стандарт» в г. Ростове-на-Дону, осуществляющих в настоящее время обработку персональных данных Фролова Ю.В. и имеющих к ним доступ. Суд считает, что данные листы ознакомления также подтверждают факт информирования сотрудников банка, осуществляющих обработку персональных данных Фролова Ю.В. и имеющих к ним доступ, о факте такой обработки и о правилах и особенностях осуществления обработки персональных данных в ЗАО «Банк Русский Стандарт».

Кроме того, из материалов дела следует, что вместе с письмом № РС-49630 от 16 сентября 2011 года банк предоставил в Управление Роскомнадзора выдержку из типовой формы трудового договора (Раздел 9 «Особые условия»), заключаемого Банком с сотрудниками, касающуюся соблюдения работником Банка законодательства в области персональных данных.

Суд первой инстанции обоснованно указал, что данное обстоятельство также подтверждает надлежащее выполнение банком обязательных требований п. 6 Положения Правительства РФ.

Указание в предписании на тот факт, что указанные документы (документы об информировании лиц, осуществляющих обработку персональных данных Фролова Ю.В.) не были представлены Банком во исполнение пункта 10 перечня документов, установленного приказом Управления от 05.09.2011г. № 1005, является необоснованным, поскольку п. 10 указанного приказа не содержал требования к Банку о предоставлении документов об информировании лиц, осуществляющих обработку персональных данных именно Фролова Ю.В.

Суд принимает во внимание и имеющееся в материалах дела постановление мирового судьи судебного участка № 296 района Соколиная гора г. Москвы по делу об административном правонарушении № 5-57/12 от 28 февраля 2012 г. в отношении ЗАО «Банк Русский Стандарт», вступившее в силу, которым установлено надлежащее выполнение банком при осуществлении обработки персональных данных требований п. 6 Положения Правительства РФ от 15.09.2008 года. При этом суд также принимает во внимание, что ЗАО «Банк Русский Стандарт» в соответствии с указанным постановлением мирового судьи было привлечено к административной ответственности не за неисполнение Предписания № П-23-10/00260 от 05.10.2011 года, поскольку оно оценено мировым судьёй как незаконное и необоснованное.

Учитывая изложенное, нарушений п. 6 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного Постановлением Правительства РФ от 15.09.2008 года № 687, со стороны Банка допущено не было, а, следовательно, предписание об устранении выявленного нарушения № П-23-10/00260 от 05 октября 2011 г., выданное Управлением Роскомнадзора по Краснодарскому краю и Республике Адыгея, является незаконным и необоснованным, нарушает интересы заявителя как оператора персональных данных, поскольку возлагает на последнего обязанности, не предусмотренные законом.

Рассмотрев требование заявителя о признании недействительным Предписания № П-23-10/00261 от 05 октября 2011 г., суд первой инстанции правомерно пришел к следующим выводам.

Согласно п. 13 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утверждённого Постановлением Правительства РФ от 15.09.2008 года № 687, обработка персональных данных без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ.

При этом указанным Положением Правительства РФ не установлена для операторов персональных данных обязанность разработать и утвердить локальные акты, устанавливающие места хранения персональных данных (материальных носителей) и перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ. Указанный нормативный акт Правительства РФ предусматривает обеспечение принципа организации обработки персональных данных операторами, в соответствии с которым в любой момент времени должна иметься возможность определить и место хранения персональных данных субъекта, и установить перечень лиц, обрабатывающих либо имеющих доступ к персональным данным субъекта.

Судом установлено, что в Положении банка о персональных данных содержатся нормы, необходимые для соблюдения указанных требований п. 13 Положения Правительства РФ, а именно:

- в соответствии с п. 2.1.3.1. указанного Положения банка, персональные данные физических лиц, состоящих в договорных отношениях с ЗАО «Банк Русский Стандарт», содержатся в анкетах, заявлениях, договорах, документах, относящихся к исполнению данных договоров и других документах, а также в Информационной системе персональных данных банка;

- в соответствии с п. 3.4.2.1. Положения банка о персональных данных, персональные данные физических лиц, состоящих в договорных (гражданско-правовых) отношениях с банком, хранятся в подразделениях банка, которые отвечают за взаимодействие с указанными субъектами, а также в электронном виде в Информационной системе персональных данных банка.

Таким образом, в ЗАО «Банк Русский Стандарт» имеется локальный нормативный акт - Положение банка о персональных данных, позволяющий определить в любой момент времени место хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ в лице сотрудников соответствующих подразделений банка. Как следует из материалов дела, указанное Положение банка о персональных данных было представлено в Управление Роскомнадзора в ходе проведения проверки банка. При таких обстоятельствах суд отклоняет как несостоятельный довод Управления Роскомнадзора о том, что в ходе проведения проверки банком не был представлен локальный акт, подтверждающий выполнение банком требований п. 13 Положения Правительства РФ от 15.09.2008 года № 687.

Судом установлено, что в настоящее время документы, содержащие персональные данные Фролова Ю.В., в соответствии с Порядком формирования, обработки, учёта, передачи и хранения юридических дел физических лиц и иных документов, утверждённого приказом банка № 5224 от 05.12.2008 года, хранятся в Секторе обработки и хранения клиентских дел Отдел Архив Филиала ЗАО «Банк Русский Стандарт» в г. Ростове-на-Дону. Соответственно, в настоящее время лицами, осуществляющими обработку персональных данных Фролова Ю.В. либо имеющими к ним доступ, являются сотрудники Сектора обработки и хранения клиентских дел Отдел Архив Филиала ЗАО «Банк Русский Стандарт» в г. Ростове-на-Дону.

Как было указано выше, в материалы дела заявителем представлены листы ознакомления сотрудников (13 человек) Сектора обработки и хранения клиентских дел Отдел Архив Филиала ЗАО «Банк Русский Стандарт» в г. Ростове-на-Дону с Положением банка о персональных данных, утверждённым Приказом Банка № 1350 от 28 июня 2011 года.

Таким образом, суду предоставлены доказательства ознакомления сотрудников банка, осуществляющих обработку персональных данных Фролова Ю.В. с локальным нормативным актом банка, предусматривающим порядок и правила осуществления указанной обработки.

При этом судом установлено, что указанные листы ознакомления содержат в себе перечень лиц (сотрудников банка), осуществляющих в настоящее время обработку персональных данных Фролова Ю.В. и имеющих к ним доступ.

Учитывая изложенное, суд пришёл к выводу о том, что нарушений п. 13 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного Постановлением Правительства РФ от 15.09.2008 года № 687, со стороны ЗАО «Банк Русский Стандарт» не имеется, а, следовательно, предписание об устранении выявленного нарушения № П-23-10/00261 от 05 октября 2011 года, выданное Управлением Роскомнадзора по Краснодарскому краю и Республике Адыгея, является незаконным и необоснованным, нарушает интересы заявителя как оператора персональных данных, поскольку возлагает на последнего обязанности, не предусмотренные законом.

Нарушений норм процессуального права, являющихся в соответствии со статьей 270 Арбитражного процессуального кодекса Российской Федерации основанием для отмены обжалуемого судебного акта, не установлено.

Таким образом, решение суда первой инстанции является законным и обоснованным, в связи с чем апелляционная жалоба не подлежит удовлетворению.

На основании изложенного, руководствуясь статьями 258, 269 – 271 Арбитражного процессуального кодекса