Постановление Семнадцатого арбитражного апелляционного суда от 8 августа 2016 г. N 17АП-18157/15

г. Пермь

08 августа 2016 г.

Дело N А60-45946/2015

Резолютивная часть постановления объявлена 02 августа 2016 года.

Постановление в полном объеме изготовлено 08 августа 2016 года.

Семнадцатый арбитражный апелляционный суд в составе:

председательствующего Щеклеиной Л. Ю.,

судей Муравьевой Е.Ю., Риб Л.Х.,

при ведении протокола судебного заседания секретарем Лонской О.И.,

при участии:

от заявителя - Публичного акционерного общества "Уральский банк реконструкции и развития" (ИНН 6608008004, ОГРН 1026600000350): Соляков М.Ю., предъявлен паспорт, доверенность от 27.11.2015;

от заинтересованного лица - Прокурора Верх-Исетского района г. Екатеринбурга: Федорова Е.С., предъявлено удостоверение, поручение от 14.06.2016;

от третьих лиц - Общества с ограниченной ответственностью "Кредит Экспресс Финанс", Общества с ограниченной ответственностью "М.Б.А.Финансы": не явились;

лица, участвующие в деле, о месте и времени рассмотрения дела извещены надлежащим образом в порядке статей 121, 123 Арбитражного процессуального кодекса Российской Федерации, в том числе публично, путем размещения информации о времени и месте судебного заседания на Интернет-сайте Семнадцатого арбитражного апелляционного суда,

рассмотрел в судебном заседании апелляционную жалобу

заявителя - Публичного акционерного общества "Уральский банк реконструкции и развития"

на решение Арбитражного суда Свердловской области от 13 апреля 2016 года

по делу N А60-45946/2015,

принятое судьей Ивановой С.О.,

по заявлению Публичного акционерного общества "Уральский банк реконструкции и развития"

к Прокурору Верх-Исетского района г. Екатеринбурга

третьи лица: Общество с ограниченной ответственностью "Кредит Экспресс Финанс", Общество с ограниченной ответственностью "М.Б.А.Финансы"

о признании недействительным представления,

установил:

публичное акционерное общество "Уральский банк реконструкции и развития" (далее - заявитель, Банк) обратилось в Арбитражный суд Свердловской области с заявлением о признании недействительным представления Прокурора Верх-Исетского района г. Екатеринбурга (далее -заинтересованное лицо) N 2-390в-2015 от 21.08.2015 об устранении нарушений законодательства в области персональных данных.

Решением Арбитражного суда Свердловской области от 13 апреля 2016 года в удовлетворении заявленных требований отказано.

Не согласившись с решением суда первой инстанции, Банк обратился с апелляционной жалобой, в которой просит решение суда отменить, принять новый судебный акт - об удовлетворении заявленных требований.

В обоснование жалобы указывает, что Банк в целях защиты своих законных интересов и исполнения договора был вправе обрабатывать персональные данные и передавать их для обработки третьим лицам, несмотря на отзыв клиентом согласия на обработку персональных данных. Передача сведений о должниках является необходимым условием по исполнению кредитного соглашения между Банком и клиентом.

Заинтересованное лицо в письменном отзыве на апелляционную жалобу просит решение суда оставить без изменения, апелляционную жалобу - без удовлетворения, ссылаясь на законность и обоснованность судебного акта.

Присутствующие в судебном заседании представители заявителя и заинтересованного лица поддержали требования жалобы и письменного отзыва.

Третьи лица письменных отзывов на жалобу не представили, о времени и месте рассмотрения жалобы извещены надлежащим образом, представителей в судебное заседание не направили, что в силу ч. 3 ст. 156 Арбитражного процессуального кодекса Российской Федерации (далее АПК РФ) не является препятствием для рассмотрения жалобы в их отсутствие.

Законность и обоснованность обжалуемого судебного акта проверены судом апелляционной инстанции в порядке, предусмотренном ст.ст. 266, 268 Арбитражного процессуального кодекса Российской Федерации.

Как следует из материалов дела, Прокуратурой Верх-Исетского района г. Екатеринбурга по информации Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Уральскому федеральному округу проведена проверка в отношении публичного акционерного общества "Уральский банк реконструкции и развития" по поступившему в Управление обращению гражданина Семенихина П.Н. с доводами о нарушениях требований законодательства Российской Федерации в области персональных данных.

В ходе проверки установлено, что между Семенихиным П.Н. и ПАО "Уральский банк реконструкции и развития" заключены кредитные договоры N KD41891003048 от 03.08.2013 и N KD56996000005079 от 24.06.2014.

При этом, в рамках указанных договоров на основании договора комплексного банковского обслуживания N 2000309359/01 Семенихин П.Н. в п.9.2 дал согласие банку на обработку, в том числе автоматизированную, любой информации, относящейся к персональным данным клиента, предоставленным банку в связи с заключением договора в целях исполнения договорных обязательств, включая сбор, систематизацию, накопление, хранение, уточнение, использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных.

Однако на обработку персональных данных другим лицом согласия Семенихиным П.Н. не давалось.

По указанным кредитным договорам у Семенихина П.Н. имеется просроченная задолженность.

15.12.2014 Семенихин П.Н. направил в банк заявление об отзыве согласия на обработку (распространение) персональных данных.

Несмотря на такое заявление, банк осуществил передачу персональных данных Семенихина П.Н. третьим лицам - ООО "Кредит Экспресс Финанс", а также ООО "М.Б.А.Финансы" с целью взыскания задолженности с заемщика (должника) в отсутствие согласия должника.

Исходя из установленных обстоятельств, придя к выводу о нарушении банком положений ч. 3 ст.6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", 21.08.2015 публичному акционерному обществу "Уральский банк реконструкции и развития" Прокуратурой Верх-Исетского района г. Екатеринбурга выдано представление N 2-390в-2015 об устранении нарушений законодательства в области персональных данных, а именно: незамедлительно рассмотреть настоящее представление и принять конкретные меры по устранению допущенных нарушений требований законодательства в области персональных данных, условий и причин им способствующих, в установленный законом месячный срок; рассмотреть вопрос о привлечении к дисциплинарной ответственности лиц, допустивших нарушение вышеуказанных требований законодательства в области персональных данных.

Не согласившись с представлением, общество обратилось в арбитражный суд с соответствующим заявлением.

Отказывая в удовлетворении заявленных требований, суд первой инстанции исходил из правомерности оспариваемого представления и отсутствия оснований для признания его недействительным.

Исследовав имеющиеся в материалах дела доказательства, рассмотрев доводы, изложенные в апелляционной жалобе, суд апелляционной инстанции полагает, что оснований для отмены или изменения решения суда первой инстанции не имеется.

Согласно ч. 1 ст. 198 АПК РФ граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) органов, осуществляющих публичные полномочия, должностных лиц, если полагают, что оспариваемый ненормативный правовой акт, решение и действие (бездействие) не соответствуют закону или иному нормативному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности.

На основании ст. 2 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон о персональных данных) целью указанного закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

В соответствии со ст. 3 Закона о персональных данных персональные данные - это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных; распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц; предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу.

Статьей 7 Закона о персональных данных установлено, что операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Согласно ч. 1, ч. 4 ст. 9 Закона о персональных данных субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных.

Указом Президента Российской Федерации от 06.03.1997 N 188 утвержден Перечень сведений конфиденциального характера, в п. 1 названного Перечня к таким сведениям, в частности, относятся сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях.

Согласно ч. 3 ст. 6 Закона о персональных данных оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта (далее - поручение оператора). Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом. В поручении оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона.

На основании ч. 5 ст. 6 Закона о персональных данных в случае, если оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет оператор.

Из материалов дела следует, что публичным акционерным обществом "Уральский банк реконструкции и развития" (принципал) с обществом с ограниченной ответственностью "Кредит Экспресс Финанс", ООО "М.Б.А.Финансы" (агенты) заключены агентские договоры, в рамках которых банк и передал персональные данные Семенихина П.Н. агентам для совершения действий по взысканию задолженности с заемщика.

То есть, персональные данные о гр. Семенихине П.Н. переданы именно в целях исполнения агентских договоров между ПАО "Уральский банк реконструкции и развития" и ООО "Кредит Экспресс Финанс", ООО "М.Б.А.Финансы", а не в целях исполнения кредитных договоров, в рамках которых Семенихиным П.Н. давалось согласие на обработку персональных данных.

Федеральный закон от 21.12.2013 N 353-ФЗ "О потребительском кредите (займе)" регулирует отношения, возникающие в связи с предоставлением потребительского кредита (займа) физическому лицу в целях, не связанных с осуществлением предпринимательской деятельности, на основании кредитного договора, договора займа и исполнением соответствующего договора.

Особенности совершения действий, направленных на возврат задолженности по договору потребительского кредита (займа), предусмотрены в статье 15 данного закона.

В соответствии с ч.1 ст.15 указанного Федерального закона при совершении действий, направленных на возврат во внесудебном порядке задолженности, возникшей по договору потребительского кредита (займа), кредитор и (или) юридическое лицо, с которым кредитор заключил агентский договор, предусматривающий совершение таким лицом юридических и (или) иных действий, направленных на возврат задолженности, возникшей по договору потребительского кредита (займа) (далее - лицо, осуществляющее деятельность по возврату задолженности), вправе взаимодействовать с заемщиком и лицами, предоставившими обеспечение по договору потребительского кредита (займа), используя:

1) личные встречи, телефонные переговоры (далее - непосредственное взаимодействие);

2) почтовые отправления по месту жительства заемщика или лица, предоставившего обеспечение по договору потребительского кредита (займа), телеграфные сообщения, текстовые, голосовые и иные сообщения, передаваемые по сетям электросвязи, в том числе подвижной радиотелефонной связи.

Иные, за исключением указанных в части 1 настоящей статьи способов, способы взаимодействия с заемщиком или лицом, предоставившим обеспечение по договору потребительского кредита (займа), по инициативе кредитора и (или) лица, осуществляющего деятельность по возврату задолженности, могут использоваться только при наличии в письменной форме согласия заемщика или лица, предоставившего обеспечение по договору потребительского кредита (займа) (часть 2 статьи 15 ФЗ N 353-ФЗ).

Таким образом, действия агента по агентскому договору с кредитором ограничены указанными в данной норме полномочиями, которые не предусматривают право агента на обработку персональных данных. Факт передачи права на обработку персональных данных заявителем не оспаривается и подтвержден материалами проверки.

Возможность передачи кредитором персональных данных заемщика и лиц, предоставивших обеспечение по договору потребительского кредита (займа), предусмотрена при уступке прав (требований) по договору потребительского кредита (займа) и исключительно в соответствии с законодательством Российской Федерации о персональных данных (ст.12 ФЗ N 353-ФЗ).

Гражданско-правовые отношения агента и принципала в лице заявителя имеют иную правовую природу.

Применительно к потребительским кредитам законодатель разграничивает действия кредитных организаций и некредитных финансовых организаций в отношениях с третьими лицами по вопросам взыскания задолженности с заемщиков-потребителей, ограничивая возможность заключения смешанного договора, в частности, агентского договора с элементами договора цессии, что обусловлено обеспечением баланса интересов кредиторов и заемщиков.

Учитывая, что согласно ч. 1 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом, а случаи, на основании которых допускается обработка персональных данных, установлены данным законом, и указанные случаи обработки персональных данных Семенихина П.Н. в части передачи их третьим лицам - Банком не соблюдены, изложенное означает, что Банк допустил нарушение ч.ч.1, 3 ст.6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", выразившееся в нарушении установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) в части передачи Банком персональных данных клиента третьему лицу без получения согласия субъекта персональных данных.

Ссылка банка на п.9.2 договора несостоятельна, поскольку из его содержания не следует, что субъект персональных данных дал согласие на передачу Банком права на обработку его персональных данных другому лицу в значении, придаваемом понятием обработки персональных в соответствии со ст.3, ч.3 ст.6 Федерального закона от 27.07.2006 N 152-ФЗ.

Получив требование заемщика об отзыве согласия на обработку персональных данных (ч.2 ст.9 ФЗ N 152-ФЗ), Банк как оператор в нарушение требований ч.5 ст.21 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" не обеспечил прекращение такой обработки (обработка персональных данных осуществлялась другим лицом, действующим по поручению оператора), мотивируя свое бездействие необходимостью исполнения заемщиком обязательств по кредитным договорам со ссылкой на п.5 ч.1 ст.6 данного Федерального закона. При этом доказательств наличия оснований, предусмотренных п.5 ч.1 ст.6 указанного Федерального закона, необходимость продолжения обработки персональных данных для исполнения договора, невозможность его исполнения без обработки персональных данных, Банк суду не представил. Как следует из содержания заявления заемщика, требование об отзыве согласия вызвано передачей оператором права на обработку персональных данных третьему лицу, которое у Банка отсутствовало.

С учетом изложенного суд первой инстанции пришел к обоснованному выводу о том, что оспариваемое представление соответствует требованиям действующего законодательства, права и законные интересы публичного акционерного общества "Уральский банк реконструкции и развития" не нарушает, оснований для признания представления незаконным у суда не имеется.

Доводы апелляционной жалобы общества подлежат отклонению в полном объеме, поскольку не опровергают по существу выводы суда первой инстанции и не свидетельствуют о нарушении судом норм материального и процессуального права, а направлены на переоценку установленных судом обстоятельств дела и подтверждающих данные обстоятельства доказательств, оснований для которой суд апелляционной инстанции не усматривает. Несогласие заявителя с оценкой установленных судом обстоятельств по делу не свидетельствует о неисследованности материалов дела судом и не может рассматриваться в качестве основания для отмены судебного акта.

Нарушений норм материального или процессуального права, которые в силу статьи 270 АПК РФ могли бы повлечь изменение или отмену решения суда первой инстанции не установлено.

Таким образом, решение суда первой инстанции следует оставить без изменения, а апелляционную жалобу - без удовлетворения.

Руководствуясь ст.ст. 176, 258, 266, 268, 269, 271 Арбитражного процессуального кодекса Российской Федерации, Семнадцатый арбитражный апелляционный суд

ПОСТАНОВИЛ:

Решение Арбитражного суда Свердловской области от 13 апреля 2016 года по делу N А60-45946/2015 оставить без изменения, а апелляционную жалобу Публичного акционерного общества "Уральский банк реконструкции и развития"- без удовлетворения.

Постановление может быть обжаловано в порядке кассационного производства в Арбитражный суд Уральского округа в срок, не превышающий двух месяцев со дня его принятия, через Арбитражный суд Свердловской области.

Председательствующий

Л.Ю.Щеклеина

Судьи

Е.Ю.Муравьева Л.Х.Риб