Постановление Девятого арбитражного апелляционного суда от 6 октября 2021 г. N 09АП-52190/21 по делу N А40-32270/2021

г. Москва

06 октября 2021 г.

Дело N А40-32270/21

Резолютивная часть постановления объявлена 30 сентября 2021 года.

Постановление изготовлено в полном объеме 06 октября 2021 года.

Девятый арбитражный апелляционный суд в составе:

председательствующего судьи Т.Б.Красновой,

судей:	И.А.Чеботаревой, В.А.Свиридова,
при ведении протокола	секретарем судебного заседания Б.В.Хмельницким,

рассмотрев в открытом судебном заседании в зале N 15 апелляционную жалобу

ООО "Бюро кредитных историй Эквифакс"

на решение Арбитражного суда г.Москвы от 24.06.2021 по делу N А40-32270/21

по заявлению ООО "Бюро кредитных историй Эквифакс"

к Роскомнадзору

о признании незаконным решения,

при участии:

от заявителя:	Серебрякова Н.А. по дов. от 16.06.2021;
от ответчика:	Егорова О.С. по дов. от 06.08.2021;

УСТАНОВИЛ:

ООО "Бюро кредитных историй Эквифакс" (далее также - Общество, заявитель, Бюро) обратилось в Арбитражный суд города Москвы с заявлением о признании незаконным решения Управления по защите прав субъектов персональных данных Роскомнадзора (далее также - ответчик, Управление) за исходящим N 08-1970 от 20.01.2021 года.

Решением суда от 24.06.2021, принятым по настоящему делу, в удовлетворении заявления Общества отказано.

Не согласившись с указанным решением суда первой инстанции, заявитель обратился с апелляционной жалобой, доводы которой представитель Общества полностью поддержал, просил решение отменить по изложенным в жалобе основаниям и принять по делу новый судебный акт об удовлетворении заявленных требований.

Представитель ответчика в судебном заседании возражал против доводов и требований заявителя, просил оставить решение суда первой инстанции без изменения, а жалобу Общества - без удовлетворения.

Проверив в соответствии со ст. ст. 266, 268 АПК РФ законность и обоснованность принятого решения, заслушав представителей сторон, поддержавших в судебном заседании свои доводы и требования, изучив материалы дела, доводы жалобы, суд апелляционной инстанции не находит оснований для отмены или изменения обжалуемого судебного акта, исходя из нижеследующего.

Как усматривается из материалов дела, по факту поступившего в Управление обращения гражданина Черемина Г.В. Управлением, в порядке ст. 23 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон о персональных данных, Закон N 152-ФЗ), был направлен в Бюро запрос от 17.12.2020 N 08-72898, содержащий просьбу предоставить пояснения по доводам, изложенным Череминым Г.В. в обращении.

После предоставления ответа заявителем Управлением в адрес Бюро направлен документ "О соблюдении требований законодательства РФ в области персональных данных" за исходящим N 08-1970 от 20.01.2021 года, выданный Управлением в порядке ст. 23 Закон N152-ФЗ и содержащий требования о принятии Бюро мер по недопущению нарушения требований законодательства РФ в области персональных данных при обработке персональных данных субъектов персональных данных, в том числе Черемина Г.В.

Согласно тексту документа гражданин Черемин Г.В. (далее - субъект ПДн) получил в Бюро кредитный отчет в отношении своей кредитной истории. Из кредитного отчета субъект ПДн узнал, что его кредитную историю запрашивало АО "Тинькофф банк". Однако, как утверждает субъект ПДн, он согласия на это АО "Тинькофф банк" не давал.

Управление пришло к выводу о том, что в действиях заявителя содержатся признаки нарушения законодательства РФ в области персональных данных в части передачи сведений, составляющих персональные данные субъекта ПДн, при отсутствии правовых оснований.

Данные обстоятельства послужили основанием для обращения Общества в арбитражный суд с заявлением по настоящему делу с указанными выше требованиями.

Суд первой инстанции пришел к выводу об отсутствии законных оснований для признания оспариваемого решения незаконным.

Апелляционная коллегия соглашается с выводами суда и не усматривает оснований для их переоценки.

Согласно части l статьи 4 Арбитражного процессуального кодекса Российской Федерации заинтересованное лицо вправе обратиться в арбитражный суд за защитой своих нарушенных или оспариваемых прав и законных интересов в порядке, установленном этим Кодексом.

В соответствии с частью 1 статьи 198 АПК РФ граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений органов, осуществляющих публичные полномочия, должностных лиц, если полагают, что оспариваемый ненормативный правовой акт, решение не соответствуют закону или иному нормативному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности.

Таким образом, для признания ненормативного акта недействительным, решения и действия (бездействия) незаконными необходимо наличие одновременно двух условий: несоответствие их закону или иному нормативному правовому акту и нарушение прав и законных интересов заявителя в сфере предпринимательской или иной экономической деятельности.

При рассмотрении дел об оспаривании ненормативных правовых актов, решений и действий (бездействия) органов, осуществляющих публичные полномочия, должностных лиц арбитражный суд в судебном заседании осуществляет проверку оспариваемого акта или его отдельных положений, оспариваемых решений и действий (бездействия) и устанавливает их соответствие закону или иному нормативному правовому акту, устанавливает наличие полномочий у органа или лица, которые приняли оспариваемый акт, решение или совершили оспариваемые действия (бездействие), а также устанавливает, нарушают ли оспариваемый акт, решение и действия (бездействие) права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности (часть 4 статьи 200 указанного Кодекса).

В силу части 1 статьи 65, части 5 статьи 200 АПК РФ обязанность доказывания указанных обстоятельств, а также обстоятельств, послуживших основанием для принятия государственными органами, должностными лицами оспариваемых актов, решений, совершения действий (бездействия), возлагается на соответствующие орган или должностное лицо.

Как следует из материалов дела, Роскомнадзором в адрес заявителя и АО "Тинькофф банк" были направлены запросы о предоставлении информации по существу доводов, изложенных Череминым Г.В.

По представленной АО "Тинькофф банк" информации между Череминым Г.В. и АО "Тинькофф банк" заключен договор расчетной карты N 5016826132 от 04 февраля 2016 года, который в настоящее время продолжает свое действие.

30 июля 2019 г. для оценки уровня кредитоспособности Черемина Г.В. АО "Тинькофф Банк" у заявителя был запрошен кредитный отчет Черемина Г.В.

При этом АО "Тинькофф Банк" не представлена информация о наличии согласия, предусмотренного ч. 9 ст. 6 Федерального закона от 30.12.2004 N 218-ФЗ "О кредитных историях".

По информации, представленной заявителем, следует, что в практике заявителя по согласованию с Центральным Банком Российской Федерации внедрен "блок согласия" для всех пользователей кредитной истории - графа в формате запроса, в которой пользователь кредитной истории обязан указать, что у него имеется согласие субъекта кредитной истории на предоставление о нем кредитного отчета и иные данные такого согласия (в частности, дата согласия, срок действия согласия). Без указания такой информации кредитный отчет не предоставляется.

Так, АО "Тинькофф банк" при выполнении запросов кредитной истории Черемина Г.В. заполнил блок согласия.

При этом согласно имеющейся в распоряжении Роскомнадзора информации, полученной от АО "Национальное бюро кредитных историй" и АО "Объединенное Кредитное Бюро", которым АО "Тинькофф банк" также были направлены запросы о предоставлении кредитного отчета Черемина Г.В., установлено, что АО "Тинькофф банк" при направлении запросов о предоставлении кредитного отчета Черемина Г.В. заполнило блок согласия, при этом в качестве даты получения согласия Черемина Г.В. АО "Тинькофф банк" указало 30.06.2019 г., что также отражено и в письме заявителя от 09.02.2021 N 2771. При этом на момент направления указанных запросов Черемин Г.В. не имел действующих кредитных продуктов в АО "Тинькофф Банк", заявки на из оформление не подавал, в связи с чем согласие по получение его кредитного отчета у АО "Тинькофф Банк" отсутствовало.

На основании имеющихся в распоряжении Роскомнадзора сведений и материалов, Роскомнадзором в адрес АО "Тинькофф банк" направлено требование об уничтожении персональных данных Черемина Г.В., полученных незаконным путем.

По представленной информации АО "Тинькофф банк" признан факт ошибочного запроса о предоставлении кредитного отчета Черемина Г.В., в связи с чем приняты меры, направленные на исключение возможности повторения сложившейся ситуации.

В апелляционной жалобе заявитель указывает, что Бюро обязано было предоставить АО "Тинькофф банк" кредитный отчет Черемина Г.В., поскольку Банк сделал запрос в соответствии с предъявляемыми требованиям, в частности в запросе содержался блок согласия, разработанный Банком России.

Согласно ч. 12 ст. 6 Закона N 218-ФЗ в редакции, действующей с 01.01.2022 г., при запросе кредитного отчета пользователь по форме, установленной Банком России, подтверждает бюро кредитных историй наличие согласия субъекта кредитной истории путем указания сведений о таком согласии, включающих цель (цели) и дату выдачи, а также в случае заключения договора, информация об обязательствах по которому подлежит передаче в бюро кредитных историй, - дату его заключения и в случаях, предусмотренных частью 11 настоящей статьи, основания передачи согласия (при их наличии), что, по мнению заявителя, свидетельствует о законности его действий по предоставлению кредитного отчета Черемина Г.В. в адрес АО "Тинькофф банк".

Однако, действующая редакция статьи 6 Закона N 218-ФЗ содержит иные положения.

В соответствии с ч. 9 ст. 6 Федерального закона от 30.12.2004 N 218-ФЗ "О кредитных историях" кредитный отчет предоставляется пользователю кредитной истории с согласия субъекта кредитной истории. Согласие субъекта кредитной истории должно содержать цель и дату оформления указанного согласия, а также наименование пользователя кредитной истории - юридического лица либо фамилию, имя и отчество (при наличии) пользователя кредитной истории - индивидуального предпринимателя. Согласие субъекта кредитной истории на получение его кредитного отчета может быть получено пользователем кредитной истории в письменной форме на бумажном носителе с собственноручной подписью субъекта кредитной истории - физического лица или в форме электронного документа, подписанного субъектом кредитной истории - физическим лицом.

Согласно ч.12 ст. 6 Закона N 218-ФЗ в действующей редакции бюро кредитных историй имеет право в любое время запросить у пользователя кредитной истории согласие субъекта кредитной истории на получение основной части кредитной истории, подписанное субъектом кредитной истории - физическим лицом, в том числе индивидуальным предпринимателем, или уполномоченным представителем юридического лица, являющегося субъектом кредитной истории. Согласие субъекта кредитной истории на получение основной части кредитной истории хранится в течение трех лет со дня окончания срока действия данного согласия в любой форме, в том числе электронной, позволяющей проверить его целостность и достоверность.

Таким образом, передача кредитного отчета Черемина Г.В. в нарушение требований Закона о кредитных историях, обязывающих осуществлять передачу кредитного отчета с согласия субъекта кредитной истории, не ответчает требованиям п. 1 ч. 1 ст. 6 Закона о персональных данных, что является подтверждением нарушений заявителем требований вышеуказанных федеральных законов.

В связи с изложенным, руководствуясь статьей 23 Закона о персональных данных, Роскомнадзор в адрес заявителя направил письмо от 20.01.2021 N 08-1970 с просьбой принять меры по недопущению нарушения требований законодательства Российской Федерации в области персональных данных при обработке персональных данных субъектов персональных данных, в том числе Черемина Г.В.

Заявитель, осуществляя обработку персональных данных субъектов персональных данных, в соответствии с п. 2 ст. 3 Закона о персональных данных, признается оператором персональных данных.

Кроме того, сведения о заявителе, как об операторе персональных данных, включены в реестр операторов, осуществляющих обработку персональных данных, под регистрационным номером 09-0057622 на основании приказа Управления Роскомнадзора по Центральному федеральному округу от 01.07.2009 N 236.

В соответствии с ч. 1 ст. 6 Закона о персональных данных обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных указанным Федеральным законом.

Кроме того, на основании ч. 1 ст. 18.1 Закона о персональных данных оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных указанным Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами.

Заявитель, являясь оператором персональных данных, при обработке персональных данных должен соблюдать требования, установленные Законом о персональных данных и другими определяющими случаи и особенности обработки персональных данных федеральными законами.

По результатам рассмотрения заявления Черемина Г.В. Роскомнадзором, как уполномоченным органом по защите прав субъектов персональных данных, было выявлено нарушение действующего законодательства Российской Федерации в сфере персональных данных, в том числе в действиях заявителя.

В соответствии с п. 6.5 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного постановлением Правительства Российской Федерации от 16.03.2009 N 228, Роскомнадзор с целью реализации полномочий в установленной сфере ведения имеет право в порядке и случаях, которые установлены законодательством Российской Федерации, применять в установленной сфере ведения меры профилактического и пресекательного характера, направленные на недопущение нарушений юридическими лицами и гражданами обязательных требований в этой сфере и (или) ликвидацию последствий таких нарушений.

Как правильно указал суд первой инстанции, в соответствии с п. 4 ч. 3 ст. 23 Закона о персональных данных Роскомнадзор имеет право принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований указанного Федерального закона.

Суд пришел к верному выводу, что письмо Роскомнадзора от 20.01.2021 N 08-1970, содержащее просьбу в принятии мер по недопущению нарушения требований законодательства Российской Федерации в области персональных данных при обработке персональных данных субъектов персональных данных, в том числе Черемина Г.В., а также о необходимости проинформировать о результатах принятых мер, оформлено в соответствии с требованиями, установленными Законом о персональных данных, и прав заявителя не нарушает.

Вопреки доводам апелляционной жалобы, Роскомнадзор при направлении оспариваемого решения от 20.01.2021 N 08-1970 за пределы своих полномочий не выходил.

Общество к адмиистративной ответственности за установленное правонарушение ответчиком не привлекалось.

Учитывая изложенное, суд апелляционной инстанции полагает, что суд первой инстанции принял законное и обоснованное решение, полно и правильно установил обстоятельства дела, применил нормы материального права, подлежащие применению, в связи с чем оснований для отмены или изменения судебного акта не имеется.

Доводы, изложенные в апелляционной жалобе, основаны на ошибочном толковании норм права, свидетельствуют о несогласии с выводами суда первой инстанции, не содержат фактов, которые не были бы проверены и не учтены судом при рассмотрении дела и имели бы юридическое значение для вынесения судебного акта по существу, повлияли бы на их обоснованность и законность либо опровергли выводы суда.

На основании изложенного и руководствуясь ст. ст. 266, 268, 269, 271 АПК РФ, Девятый арбитражный апелляционный суд

ПОСТАНОВИЛ:

решение Арбитражного суда города Москвы от 24.06.2021 по делу N А40-32270/21 оставить без изменения, апелляционную жалобу - без удовлетворения.

Постановление Девятого арбитражного апелляционного суда вступает в законную силу со дня его принятия и может быть обжаловано в течение двух месяцев со дня изготовления постановления в полном объеме в Арбитражный суд Московского округа.

Председательствующий судья

Т.Б.Краснова

Судьи

И.А.Чеботарева В.А.Свиридов