АРБИТРАЖНЫЙ СУД УРАЛЬСКОГО ОКРУГА

ПОСТАНОВЛЕНИЕ
от 22 декабря 2016 г. в„– Ф09-10782/16

Дело в„– А76-5164/2016

Резолютивная часть постановления объявлена 19 декабря 2016 г.
Постановление изготовлено в полном объеме 22 декабря 2016 г.
Арбитражный суд Уральского округа в составе:
председательствующего Гусева О.Г.,
судей Вдовина Ю.В., Гавриленко О.Л.
рассмотрел в судебном заседании кассационную жалобу Банка социального развития "Резерв" (акционерное общество) (далее - общество, банк) на решение Арбитражного суда Челябинской области от 07.06.2016 по делу в„– А76-5164/2016 и постановление Восемнадцатого арбитражного апелляционного суда от 18.08.2016 по тому же делу.
Лица, участвующие в деле, надлежащим образом извещены о времени и месте рассмотрения кассационной жалобы путем направления в их адрес копий определения о принятии кассационной жалобы к производству заказным письмом с уведомлением, а также размещения данной информации на официальном сайте Арбитражного суда Уральского округа.
В судебном заседании принял участие представитель общества - Фефелов Д.А. (доверенность от 20.01.2016 в„– 23).

Банк обратился в Арбитражный суд Челябинской области с заявлением о признании недействительным предписания Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Челябинской области (далее - управление) от 05.02.2016 в„– П-74/6/1-нд/-//1065 в части выявленных нарушений требований, установленных ч. 1 ст. 6 Федерального закона от 27.07.2006 в„– 152-ФЗ "О персональных данных" (далее - Федеральный закон в„– 152-ФЗ), выразившихся в обработке персональных данных в случаях, не предусмотренных названным законом (обработка персональных данных в отношении членов семьи, проживающих совместно с клиентом; персональных данных совершеннолетних детей, проживающих отдельно от клиента; персональных данных родителей клиента, изложенных в заявлении-анкете на предоставление кредита); непредставления или несвоевременного представления в государственный орган (должностному лицу) сведений (информации), предоставление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, представления в государственный орган (должностному лицу) таких сведений (информации) в неполном объеме или в искаженном виде в части непредставления уполномоченному органу по защите прав субъектов персональных данных, по запросу и в установленные сроки информации, необходимой для реализации его полномочий (представление в уполномоченный орган уведомления об обработке персональных данных, содержащего неполные и (или) недостоверные сведения - непредставление уведомления об обработке специальной категории персональных данных - биометрических персональных данных) (с учетом изменения требований в порядке ст. 49 Арбитражного процессуального кодекса Российской Федерации).
Решением суда от 07.06.2016 (судья Белякович Е.В.) заявленные требования удовлетворены частично. Суд признал недействительным предписание управления от 05.02.2016 в„– П-74/6/1-нд/-//1065 в отношении нарушения, выразившегося в непредставлении или несвоевременном представлении в государственный орган (должностному лицу) сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объеме или в искаженном виде в части непредставления уполномоченному органу по защите прав субъектов персональных данных, по запросу и в установленные сроки информации, необходимой для реализации его полномочий. В удовлетворении остальной части заявленных требований отказано.
Постановлением Восемнадцатого арбитражного апелляционного суда от 18.08.2016 (судьи Малышева И.А., Иванова Н.А., Скобелкин А.П.) решение суда в обжалуемой части оставлено без изменения.
В кассационной жалобе банк просит указанные судебные акты в части отказа в удовлетворении заявленных требований отменить, принять по делу новый судебный акт, которым удовлетворить заявленные требования в полном объеме, ссылаясь на неправильное применение судами норм материального права.
Банк указывает на то, что обработка персональных данных о членах семьи клиента, в том числе совершеннолетних детях и родителях клиента, производится им в целях выполнения требований п. 4.6 Инструкции Центрального банка Российской Федерации от 03.12.2012 в„– 139-И "Об обязательных нормативах банков" для определения связанности клиента с другими клиентами Банка при исчислении норматива Н6, то есть на основании и во исполнение действующего законодательства (ст. 24 Федерального закона от 02.12.1990 в„– 395-1 "О банках и банковской деятельности", ст. 62 Федерального закона от 10.07.2002 в„– 86-ФЗ "О Центральном банке Российской Федерации (Банке России)".
Заявитель жалобы, ссылаясь на ст. 6 Федерального закона в„– 152-ФЗ, полагает, что обработка персональных данных при наличии согласия субъекта персональных данным является одним из оснований для обработки персональных данных, но не единственным основанием, в иных случаях, предусмотренных данной статьей (подп. 2 - 11 п. 1) обработка персональных данных может производиться без согласия субъекта персональных данных; поскольку в соответствии с подп. 2 п. 1 ст. 6 Федерального закона в„– 152-ФЗ обработка банком персональных данных производится для достижения целей, предусмотренных законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей, согласие указанных лиц на обработку их персональных данных не требуется.
По мнению общества, оспариваемое предписание не обладает признаками конкретности и не содержит информации о тех мероприятиях, которые должны быть проведены банком в целях устранения выявленных нарушений в срок, указанный в предписании, при отсутствии ссылок на действия по устранению нарушений, что создает препятствия для осуществления предпринимательской и иной экономической деятельности банка; предписание от 05.02.2016 в„– П-74/6/1-нд/-//1065 возлагает на общество обязанности в неконкретном и неограниченном объеме, что является самостоятельным основанием для признания такого предписания недействительным.
Управление представило отзыв на кассационную жалобу, в котором просит оставить обжалуемые судебные акты без изменения, ссылаясь на отсутствие оснований для их отмены.

Как следует из материалов дела и установлено судами, на основании приказа от 11.01.2016 в„– 1-нд, с учетом приказа от 14.01.2016 в„– 16-нд о внесении изменений в приказ от 11.01.2016, с целью осуществления государственного контроля и надзора за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, выполнения плана деятельности управления на 2016 год, утвержденного приказом руководителя управления от 14.12.2015 в„– 589-нд, размещенного на официальном интернет-портале (http://74.rkn.gov.ru/plav_otchet), управлением проведена плановая проверка соблюдения обществом требований в области персональных данных.
По результатам проверки составлен акт от 05.02.2016 в„– А-74/6/1-нд/41, которым установлены следующие нарушения: обработка персональных данных в случаях, не предусмотренных Федеральным законом (ч. 1 ст. 6 Федерального закона в„– 152-ФЗ; непредставление или несвоевременное представление в государственный орган (должностному лицу) сведений (информации), предоставление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объеме или в искаженном виде в части непредставления уполномоченному органу по защите прав субъектов персональных данных, по запросу и в установленные сроки информации, необходимой для реализации его полномочий (ч. 4 ст. 20 ч. 1 ст. 6 Федерального закона в„– 152-ФЗ); обработка избыточных персональных данных по отношению к заявленным целям их обработки (ч. 5 ст. 5 ч. 1 ст. 6 Федерального закона в„– 152-ФЗ); нарушение оператором обязательных требований при обработке специальных категорий персональных данных (сведений о судимости) (ч. 3 ст. 10 ч. 1 ст. 6 Федерального закона в„– 152-ФЗ).
Управлением выдано предписание от 05.02.2016 в„– П-74/6/1-нд/-//1065 об устранении выявленных нарушений, в котором отражены выявленные нарушения и предложено их устранить не позднее 09.03.2016.
Полагая, что указанное предписание нарушает его права и законные интересы, общество обратилось в арбитражный суд с соответствующим заявлением.
Суды, отказывая в удовлетворении требования банка, исходили из того, что обществом осуществляется обработка персональных данных, в том числе лиц, которые ни клиентами, ни заемщиками банка не являются, без их согласия, что не соответствует действующему законодательству и целям обработки персональных данных.
Выводы судов являются правильными, соответствуют нормам права и фактическим обстоятельствам.
Граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц, если полагают, что оспариваемый ненормативный правовой акт, решение и действие (бездействие) не соответствуют закону или иному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности (ч. 1 ст. 198 Арбитражного процессуального кодекса Российской Федерации).
В соответствии с п. 4 ст. 200 Арбитражного процессуального кодекса Российской Федерации при рассмотрении дел об оспаривании ненормативных правовых актов, решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц арбитражный суд в судебном заседании осуществляет проверку оспариваемого акта или его отдельных положений, оспариваемых решений и действий (бездействия) и устанавливает их соответствие закону или иному нормативному правовому акту, устанавливает наличие полномочий у органа или лица, которые приняли оспариваемый акт, решение или совершили оспариваемые действия (бездействие), а также устанавливает, нарушают ли оспариваемый акт, решение и действия (бездействие) права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности.
Для признания незаконным решения государственного органа, органа местного самоуправления, иного органа, должностного лица требуется доказать наличие в совокупности двух условий: несоответствия оспариваемого решения закону или иному ненормативному акту, а также нарушения прав и законных интересов заявителя в сфере предпринимательской и иной экономической деятельности (ч. 2 ст. 201 Арбитражного процессуального кодекса Российской Федерации).
Согласно ст. 2 Федерального закона в„– 152-ФЗ целью данного закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
Принципы и условия обработки персональных данных установлены в главе 2 Федерального закона в„– 152-ФЗ.
В силу п. 1, 3 ст. 3 Федерального закона в„– 152-ФЗ обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных; персональными данными признается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Оператором персональных данных признается государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (п. 2 ст. 3 Федерального закона в„– 152-ФЗ).
Обработке подлежат только персональные данные, которые отвечают целям их обработки (ч. 4 ст. 5 Федерального закона в„– 152-ФЗ).
Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки (ч. 5 ст. 5 Федерального закона в„– 152-ФЗ).
В соответствии с п. 1, 2, 5, 7 ч. 1 ст. 6 Федерального закона в„– 152-ФЗ обработка персональных данных должна осуществляться с соблюдением, в частности, правил, предусмотренных данным Федеральным законом, и допускается в случаях, если она осуществляется с согласия субъекта персональных данных, необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей, для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, в том числе в случае реализации оператором своего права на уступку прав (требований) по такому договору, для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем, а также в случае, если обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей, и при условии, что при этом не нарушаются права и свободы субъекта персональных данных.
В силу ч. 1, 2 и 3 ст. 9 Федерального закона в„– 152-ФЗ субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в п. 2 - 11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 указанного Федерального закона. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в п. 2 - 11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 названного Федерального закона, возлагается на оператора.
Судами установлено, что в нарушение приведенных норм права в заявлении-анкете на предоставление кредита банком запрашиваются персональные данные членов семьи, проживающих совместно с клиентом (Ф.И.О., дата рождения); персональные данные совершеннолетних детей, проживающих отдельно от клиента (Ф.И.О., дата рождения, адрес регистрации, проживания, контактный телефон); персональные данные родителей клиента (Ф.И.О., дата рождения, адрес регистрации, проживания, контактный телефон), которые не являются стороной кредитного договора, при этом согласие указанных лиц на обработку их персональных данных банком не получено, что противоречит целям предоставления персональных данных (предоставление кредита) и нарушает принцип получения согласия субъекта персональных данных на их обработку.
Включение в заявление-анкету на предоставление кредита сведений о персональных данных лиц, с которыми договор не заключается и которые не давали согласие на передачу и обработку своих персональных данных, исключительно по мотиву расчета норматива банка, является прямым нарушением ч. 1 ст. 6 Федерального закона в„– 152-ФЗ, тем более, что обязательность указания персональных данных упомянутых лиц не зависит от того, имеются ли у них кредитные обязательства, которые могут повлиять на расчет указанного банком норматива.
Заявление-анкета в отношениях клиента с банком носит характер договора присоединения, на условия которого потребитель повлиять не может (ст. 428 Гражданского кодекса Российской Федерации), это условие диктуется не свободным волеизъявлением и интересами клиента, как это предусмотрено ст. 9 Федерального закона в„– 152-ФЗ, а интересами общества.
Указанные в оспариваемом предписании нарушения подробно описаны в приложении в„– 2 к акту проверки, являются конкретными и понятными, содержащаяся в нем формулировка доступна для понимания относительно конкретных действий, направленных на устранение выявленных нарушений, которые необходимо совершить банку, доказательством чего является само заявление банка, содержащее указание на конкретные нарушения, которые, по мнению общества, им не допущены.
Суды, оценив представленные в материалы дела доказательства в их совокупности по правилам ст. 71 Арбитражного процессуального кодекса Российской Федерации, пришли к обоснованному выводу о том, что оспариваемое предписание в части вменяемого банку нарушения, выразившегося в обработке персональных данных в случаях, не предусмотренных Федеральным законом в„– 152-ФЗ, в том числе в виде обработки персональных данных в отношении членов семьи, проживающих совместно с клиентом, персональных данных совершеннолетних детей, проживающих отдельно от клиента, персональных данных родителей клиента, изложенных в заявлении-анкете на предоставление кредита, не нарушает права и законные интересы банка и соответствует нормам действующего законодательства.
Оснований для переоценки выводов судов, установленных ими фактических обстоятельств и имеющихся в деле доказательств у суда кассационной инстанции в силу ст. 286 Арбитражного процессуального кодекса Российской Федерации не имеется.
Доводы заявителя кассационной жалобы подлежат отклонению, поскольку основаны на иной оценке имеющихся в деле доказательств, были предметом рассмотрения судов и им дана надлежащая правовая оценка.
Нарушений норм процессуального права, являющихся в силу ч. 4 ст. 288 Арбитражного процессуального кодекса Российской Федерации основанием для отмены обжалуемых судебных актов, судом кассационной инстанции не выявлено.
С учетом изложенного оснований для отмены обжалуемых судебных актов и удовлетворения жалобы у суда кассационной инстанции не имеется.
Руководствуясь ст. 286, 287, 289 Арбитражного процессуального кодекса Российской Федерации, суд

постановил:

решение Арбитражного суда Челябинской области от 07.06.2016 по делу в„– А76-5164/2016 и постановление Восемнадцатого арбитражного апелляционного суда от 18.08.2016 по тому же делу оставить без изменения, кассационную жалобу Банка социального развития "Резерв" (акционерное общество) - без удовлетворения.
Постановление может быть обжаловано в Судебную коллегию Верховного Суда Российской Федерации в срок, не превышающий двух месяцев со дня его принятия, в порядке, предусмотренном ст. 291.1 Арбитражного процессуального кодекса Российской Федерации.

Председательствующий
О.Г.ГУСЕВ

Судьи
Ю.В.ВДОВИН
О.Л.ГАВРИЛЕНКО


------------------------------------------------------------------