Постановление Семнадцатого арбитражного апелляционного суда от 18.08.2013 по делу n А60-6044/2013. Постановление суда апелляционной инстанции: Оставить решение суда без изменения, жалобу без удовлетворения

СЕМНАДЦАТЫЙ АРБИТРАЖНЫЙ АПЕЛЛЯЦИОННЫЙ СУД

П О С Т А Н О В Л Е Н И Е

№ 17АП-7922/2013-АК

г. Пермь

19 августа 2013 года                                                   Дело № А60-6044/2013­­

Резолютивная часть постановления объявлена 15 августа 2013  года.

Постановление в полном объеме изготовлено 19 августа 2013  года.

Семнадцатый арбитражный апелляционный суд в составе: председательствующего Осиповой С.П.,

судей  Риб Л.Х., Ясиковой Е.Ю.,

при ведении протокола судебного заседания секретарем Калашниковой Е.С.,

при участии:

от заявителя – ОАО "Акционерный коммерческий банк содействия коммерции и бизнесу" (ОАО "СКБ-Банк")  (ОГРН 1026600000460, ИНН 6608003052): Брусницына Н.П., паспорт, доверенность от 25.04.2013; Пермяков В.В., паспорт, доверенность от 20.06.2011;

от заинтересованного лица – Управления федеральной службы по надзору в сфере  связи, информационных технологий и массовых коммуникаций по Уральскому федеральному округу ("Роскомнадзор"): не явились;

лица, участвующие в деле, о месте и времени рассмотрения дела извещены надлежащим образом в порядке статей 121, 123 Арбитражного процессуального кодекса Российской Федерации, в том числе публично, путем размещения информации о времени и месте судебного заседания на Интернет-сайте Семнадцатого арбитражного апелляционного суда,

рассмотрел в судебном заседании апелляционные жалобы заинтересованного лица Управления федеральной службы по надзору в сфере  связи, информационных технологий и массовых коммуникаций по Уральскому федеральному округу ("Роскомнадзор") и ОАО "Акционерный коммерческий банк содействия коммерции и бизнесу" (ОАО "СКБ-Банк") 

на решение Арбитражного суда Свердловской области

от 21 мая 2013 года

по делу № А60-6044/2013,

принятое судьей Киреевым П.Н.

по заявлению ОАО "Акционерный коммерческий банк содействия коммерции и бизнесу" (ОАО "СКБ-Банк") 

к  Управлению федеральной службы по надзору в сфере  связи, информационных технологий и массовых коммуникаций по Свердловской области   

о признании недействительным предписания,

установил:

Открытое акционерное общество "Акционерный коммерческий банк содействия коммерции и бизнесу" (далее – заявитель, ОАО "СКБ-банк") обратилось в Арбитражный суд Свердловской области с заявлением о признании недействительным предписания Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Свердловской области (далее –  заинтересованное лицо) № П-66-0003/06 от 18.01.2013.

Решением Арбитражного суда Свердловской области от 21 мая 2013 года заявленные требования удовлетворены, оспариваемое предписание признано недействительным.

Не согласившись с решением суда, заявитель обратился с апелляционной жалобой, в которой просит изменить решение суда в части указанных в его мотивировочной части выводов и принять новый судебный акт, удовлетворив в полном объеме требования заявителя.

В обоснование жалобы указывает на то, что раскрытие информации о заемщике при совершении уступки прав (требований) по кредитному договору осуществляется в силу закона, что соответствует положениям, установленным п. 5 ч. 1 ст. 6 и ст. 7 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» и не требует отдельного получения согласия субъектов персональных данных. Также указывает на то, что Банком было получено письменное согласие Тюриковой Е.Ю. на обработку ее персональных данных, в том числе путем их распространения.

Представители заявителя в суде апелляционной инстанции поддержали требования и доводы апелляционной жалобы.

        Управление Роскомнадзора по Уральскому федеральному округу, не согласившись с решением суда, также обратилось с апелляционной жалобой, в которой просит отменить указанный судебный акт и принять новое решение об отказе в удовлетворении заявленных требований.

         В качестве доводов апелляционной жалобы заинтересованное лицо ссылается на то, что административный регламент не устанавливает обязательного требования в части указания способа устранения нарушения. Считает, что отсутствие указания в предписании конкретных действий, которые необходимо совершить Банку для устранения допущенного нарушения не может служить основанием для вывода о его неисполнимости.

         Заявитель с доводами апелляционной жалобы Банка не согласен по мотивам, указанным в письменном отзыве. Просит в удовлетворении апелляционной жалобы административного органа отказать.

        Управление Роскомнадзора по Уральскому федеральному округу по основаниям, изложенным в письменном отзыве, просит апелляционную жалобу Банка в части изменения выводов суда, указанных в мотивировочной части решения, оставить без удовлетворения.

Заинтересованное лицо, надлежащим образом уведомленное о времени и месте судебного разбирательства, в суд апелляционной инстанции своего представителя не направило, что в порядке п.3 ст.156 АПК РФ не является препятствием для рассмотрения дела в его отсутствие.

Законность и обоснованность обжалуемого судебного акта проверены арбитражным судом апелляционной инстанции в порядке, предусмотренном статьями 266, 268 Арбитражного процессуального кодекса Российской Федерации.

Изучив материалы дела, обсудив доводы апелляционных жалоб, проанализировав нормы права, регулирующие спорные правоотношения, проверив правильность применения судом первой инстанции норм материального и процессуального права, суд апелляционной инстанции приходит к выводу о том, что  оспариваемое решение суда первой инстанции отмене либо изменению не подлежит.

          Из материалов дела следует, на основании приказа от 24.12.2012 № 1791 в период с 09.01.2012 по 18.01.2013 по заявлению гражданки Тюриковой Е.Ю. должностными лицами заинтересованного лица проведена внеплановая документарная проверка ОАО «СКБ-Банк», в ходе которой выявлены нарушения Банком ст.7 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», а именно: заявителем, получившим доступ к персональным данным заемщика, были раскрыты и переданы третьему лицу персональные данные без согласия субъекта персональных данных.

        Результаты проверки оформлены актом от 18.01.2013 № А-66-0010/06.

        По итогам проверки вынесено предписание № П-66-0003/06 от 18.01.2013г., которым заинтересованное лицо обязало заявителя устранить выявленное нарушение в срок до 19.02.2013г.

Несогласие ОАО «СКБ-Банк» с вынесенным предписанием послужило основанием для его обращения в арбитражный суд.

Принимая решение об удовлетворении заявленных требований, суд первой инстанции пришел к выводу, что нарушение заявителем ст.7 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» подтверждено материалами дела, однако признал оспариваемое предписание не соответствующим требованиям законодательства, поскольку оно лишь содержит ссылку на вменяемое  обществу  нарушение действующего законодательства и не содержит перечень действий, которые заявитель должен совершить, или от совершения которых должен воздержаться.

Оценив все имеющиеся в материалах дела доказательства в их совокупности в порядке ст. 71 АПК РФ, проанализировав нормы материального права, суд апелляционной инстанции приходит к выводу о том, что решение суда первой инстанции отмене не подлежит.

В соответствии со ст. ст. 198, 201 Арбитражного процессуального кодекса Российской Федерации для признания ненормативного правового акта недействительным необходима совокупность двух условий: несоответствие его закону или иному правовому акту и нарушение прав и законных интересов заявителя в сфере предпринимательской и иной экономической деятельности.

Согласно ч. 5 ст. 200 Арбитражного процессуального кодекса Российской Федерации бремя доказывания соответствия оспариваемого ненормативного акта закону или иному нормативному правовому акту возложена на орган или лицо, принявший данный акт.

Отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами (далее - государственные органы), органами местного самоуправления, иными муниципальными органами (далее - муниципальные органы), юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным, регулируются Законом о персональных данных.

В силу ст. 2 Закона о персональных данных целью указанного закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

Персональные данные – это любая информация, относящаяся прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (ст.3 Закона о персональных данных).

В п. 1 ст. 7 Закона о персональных данных указано, что операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных.

Субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе (п. п. 1, 4 ст. 9 Закона о персональных данных).

Согласно части 4 ст. 9 Закона о персональных данных, в случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: цель обработки персональных данных; перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом.

Указом Президента Российской Федерации от 06.03.1997 N 188 утвержден Перечень сведений конфиденциального характера.

В соответствии с п. 1 указанного Перечня к таким сведениям в частности относятся сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях.

Согласно п. 3 ст. 6 Закона о персональных данных оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта (далее - поручение оператора). Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом о персональных данных. В поручении оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со ст. 19 Закона о персональных данных.

Судом первой инстанции установлено и материалами дела подтверждено, что между гражданкой Тюриковой Е.Ю. и ОАО «СКБ-Банк» заключен кредитный договор №3824477677 от 20.07.2010.

В анкете - заявлении на предоставление кредита содержится условие, предоставляющее право Банка на осуществление обработки (сбор, систематизацию, накопление, хранение, использование, уточнение, обновление, изменение, использование, распространение, обезличивание, блокирование, уничтожение), в том числе автоматизированной, её персональных данных, указанных в настоящей Анкете-заявлении, в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» в целях исполнения заключаемого кредитного договора, заключения и исполнение иных договоров между Заемщиком и Банком, получения информации об услугах Банка, а также в целях взаимодействия с Банком по любым иным вопросам. Анкета-заявление подписана заемщиком Тюриковой Е.Ю.

13.11.2012 заявителем (цедент) с ООО «ЭОС» (цессионарий) был заключен договор уступки права требования (цессии) от №15.6/07, согласно условиям которого, Банк уступил право требования по кредитным договорам, в том числе и заключенным с гражданкой Тюриковой Е.Ю. Кроме этого заявителем была передана конфиденциальная информация (персональные данные) о заемщике Тюриковой Е.Ю.

В рассматриваемом случае, банк передает персональные данные Тюриковой Е.Ю. агенту с целью взыскания долгов по кредитному договору, таким образом, нарушая права заемщика, поскольку заранее данное в момент подписания кредитного договора Тюриковой Е.Ю. согласие касается лишь сторон по кредитному договору, оно не содержит ссылки на конкретное лицо, которому  могут быть переданы сведения о персональных данных, а также состав и объем  информации о заемщике, которая могла стать  известна третьим лицам.

Из