Постановление Семнадцатого арбитражного апелляционного суда от 09.06.2015 по делу n А60-1187/2015. Постановление суда апелляционной инстанции: Оставить решение суда без изменения, жалобу без удовлетворения

СЕМНАДЦАТЫЙ АРБИТРАЖНЫЙ АПЕЛЛЯЦИОННЫЙ СУД

П О С Т А Н О В Л Е Н И Е

№ 17АП-5329/2015-АК

г. Пермь

10 июня 2015 года                                                   Дело № А60-1187/2015­­

Резолютивная часть постановления объявлена 04 июня 2015 года.

Постановление в полном объеме изготовлено 10 июня 2015 года.

Семнадцатый арбитражный апелляционный суд в составе: председательствующего Щеклеиной Л. Ю.,

судей  Риб Л.Х., Грибиниченко О.Г.,

при ведении протокола судебного заседания секретарем Безденежных М.К.,

при участии:

от заявителя – открытого акционерного общества «Акционерный коммерческий банк содействия коммерции и бизнесу» (ИНН 6608003052, ОГРН 1026600000460): не явились;

от заинтересованного лица - Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Уральскому федеральному округу (ИНН 6659107821, ОГРН 1049903151935): не явились;

лица, участвующие в деле, о месте и времени рассмотрения дела извещены надлежащим образом в порядке статей 121, 123 Арбитражного процессуального кодекса Российской Федерации, в том числе публично, путем размещения информации о времени и месте судебного заседания на Интернет-сайте Семнадцатого арбитражного апелляционного суда,

рассмотрел в судебном заседании апелляционную жалобу

заявителя – открытого акционерного общества «Акционерный коммерческий банк содействия коммерции и бизнесу»

на решение Арбитражного суда Свердловской области от 04 марта 2015 года

по делу № А60-1187/2015,

принятое судьей Колосовой Л.В.,

по заявлению открытого акционерного общества «Акционерный коммерческий банк содействия коммерции и бизнесу»

к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Уральскому федеральному округу

о признании недействительным предписания в части,

  установил:

         открытое акционерное общество  "Акционерный коммерческий банк содействия коммерции и бизнесу" (далее – заявитель, Банк) обратилось в Арбитражный суд Свердловской области с заявлением  о признании недействительным предписания  Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Уральскому федеральному округу (далее - заинтересованное лицо)  №П-66-0550/06 от 05.12.2014 в части нарушения обществом ч. 4 ст. 9 и ч. 3 ст. 18 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» (далее – Закон №152-ФЗ) и нарушений п. 5 и п. 7 Постановления Правительства Российской Федерации от 15.09.2008 №687.

  Решением Арбитражного суда  Свердловской области от 04 марта 2015 года в удовлетворении заявленных требований отказано.

  Не согласившись с решением суда первой инстанции, Банк обратился с апелляционной жалобой, в которой просит решение суда отменить, принять новый судебный акт - об удовлетворении заявленных требований.

  В обоснование жалобы приводит доводы о незаконности и необоснованности предписания в оспариваемой части. Ссылается на нарушение судом первой инстанции норм материального права, неполное выяснение обстоятельств, имеющих значение для дела.

  Управление в письменном отзыве на апелляционную жалобу просит решение суда оставить без изменения, апелляционную жалобу – без удовлетворения, ссылаясь на законность и обоснованность судебного акта.

  Лица, участвующие в деле, о времени и месте рассмотрения жалобы извещены надлежащим образом, представителей в судебное заседание не направили, что в силу ч. 3 ст. 156 Арбитражного процессуального кодекса Российской Федерации (далее АПК РФ) не является препятствием для рассмотрения жалобы в их отсутствие.

  Приложенные к письменному отзыву на апелляционную жалобу документы не подлежат приобщению к материалам дела на основании ст.268 АПК РФ.

  Законность и обоснованность обжалуемого судебного акта проверены судом апелляционной инстанции в порядке, предусмотренном ст.ст. 266, 268 Арбитражного процессуального кодекса Российской Федерации.

  Как следует из материалов дела, Управлением  в соответствии с положениями Федерального закона от 26.12.2008 №294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля», Административного регламента исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных от 14.11.2011 №312 в период с 10.11.2014 по 05.12.2014 проведена плановая выездная проверка открытого акционерного общества «Акционерный коммерческий банк содействия коммерции и бизнесу.

  В ходе проверки выявлены признаки нарушения обязательных требований действующего законодательства Российской Федерации в области персональных данных, зафиксированные в акте проверки от 05.12.2014 №А-66- 1063/02.

05.12.2014 открытому акционерному обществу «Акционерный коммерческий банк содействия коммерции и бизнесу» выдано предписание об устранении выявленного нарушения №П-66-0550/06.

Не согласившись с выданным предписанием в части нарушений ч. 4 ст. 9 и ч. 3 ст. 18 Закона №152-ФЗ и нарушений п. 5 и п. 7 Постановления Правительства Российской Федерации от 15.09.2008 №687, открытое акционерное общество «Акционерный коммерческий банк содействия коммерции и бизнесу» обратилось в арбитражный суд с соответствующими требованиями.

Отказывая в удовлетворении заявленных требований, суд первой инстанции исходил из законности  предписания в оспариваемой части и отсутствия оснований для признания его недействительным.

  Исследовав имеющиеся в материалах дела доказательства, рассмотрев доводы, изложенные в апелляционной жалобе, отзыве на жалобу, суд апелляционной инстанции полагает, что оснований для отмены либо изменения решения суда первой инстанции не имеется.

  Из системного толкования ч. 1 ст. 198, ст. 201 АПК РФ следует, что для признания недействительным ненормативного правового акта необходимо наличие одновременно двух условий: несоответствие оспариваемого акта закону или иному нормативному правовому акту и нарушение данным актом прав и законных интересов заявителя в сфере предпринимательской деятельности и иной экономической деятельности.

  При рассмотрении судом дел о признании недействительными предписаний государственных органов в предмет доказывания входят вопросы о наличии у органа, издавшего предписание, соответствующих полномочий, соответствие предписания положениям законодательных и иных нормативных актов, нарушение прав заявителя оспариваемым предписанием.

  Согласно ст. 27 Федерального закона от 07.07.2003 № 126-ФЗ «О связи» (далее - Закон о связи) Порядок осуществления государственного надзора за деятельностью в области связи определяется Правительством Российской Федерации. Государственный надзор за деятельностью в области связи осуществляет федеральный орган исполнительной власти по надзору в области связи (п. 2). Должностные лица органов государственного надзора в порядке, установленном законодательством Российской Федерации, имеют право в том числе выдавать предписания об устранении выявленных нарушений обязательных требований (п.п. 3 п. 8).

  В соответствии с п. 5.1.1.4 Постановления Правительства РФ от 16.03.2009 № 228 «О Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций», п.5 Приказа Минкомсвязи России от 14.11.2011 № 312 «Об утверждении Административного регламента исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных», п.2 Приказа  Роскомнадзора от 29.12.2012 № 1480 «Об утверждении Положения об Управлении Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Уральскому федеральному округу» Управление осуществляет функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных.

  Таким образом, оспариваемое предписание выдано уполномоченным органом, в пределах предоставленных полномочий.

Согласно обязательным требованиям, предусмотренным п. 5 ч. 4 ст. 9 Закона №152-ФЗ согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя перечень персональных данных, на обработку которых дается согласие субъекта персональных данных.

  В соответствии с п. 1 ст. 3 Закона №152-ФЗ под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

  В соответствии с Перечнем сведений конфиденциального характера, утвержденным Указом Президента Российской Федерации от 06.03.1997 № 188, к сведениям конфиденциального характера относятся сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные).

По результатам анализа представленных документов установлено, что «Согласие на обработку персональных данных» (Приложение 1 к «Положению по обработке персональных данных в ОАО «СКБ-банк» Версия 3.0») содержит неполный перечень персональных данных, на обработку которых дается согласие субъекта персональных данных. В частности, согласие дано на обработку персональных данных, указанных непосредственно в Согласии на обработку персональных данных, а именно: ФИО, адрес, паспортные данные, биометрические персональные данные. При этом в ходе проверки установлено, что ОАО «СКБ-банк» осуществляется обработка сведений: об образовании, квалификации и о наличии специальных знаний или специальной подготовки; о повышении квалификации или переподготовки; о месте работы и размере заработной платы; о воинском учете; о семейном положении; об имуществе; о номере и серии СНИЛС; об ИНН; о социальных льготах и о социальном статусе, а также хранение копий: паспорта, ИНН, СНИЛС, документов об образовании и др. При этом в копии паспорта помимо заявленных Оператором категорий персональных данных содержатся сведения: о серии, номере и дате выдаче паспорта, место регистрации, семейное положение, о воинском учете, о детях, а также фотография и образец подписи.

На основании изложенного «Согласие на обработку персональных данных» (Приложение 1 к «Положению по обработке персональных данных в ОАО «СКБ-банк» Версия 3.0») содержит неполный перечень персональных данных, на обработку которых дается согласие субъекта персональных данных (например, о воинском учете, семейном положении, детях), что является нарушением ч. 4 ст. 9 Федерального закона «О персональных данных».

Согласие субъекта персональных данных на обработку таких данных необходимо в целях соблюдения прав клиента, поскольку банк без согласия клиента фактически ведет обработку таких данных, которые впоследствии могут быть переданы, например, коллекторскому агентству (могут быть переданы сведения о детях, семье клиента и т.д.), и использованы им.

Ссылка контролирующего органа на копии документов: паспорт, ИНН, СНИЛС подтверждает лишь факт использования имеющихся в них персональных сведений без указания их в перечне персональных данных, что свидетельствует о его неполноте, нарушении прав клиента, в связи с чем соответствующие доводы апеллятора подлежат отклонению.

В силу ч. 3 ст. 18 Закона №152-ФЗ если персональные данные получены не от субъекта персональных данных, оператор до начала обработки таких персональных данных обязан предоставить субъекту персональных данных указанную в законе информацию.

В соответствии с п. 1 ч. 4 ст. 18 Закона №152-ФЗ оператор освобождается от обязанности предоставить субъекту персональных данных сведения, предусмотренные ч. 3 ст. 18 настоящего закона в случае, если субъект персональных данных уведомлен об осуществлении обработки его персональных данных соответствующим оператором.

В ходе проверки ОАО «СКБ-банк» не представлены документы, подтверждающие уведомление соответствующим оператором третьих лиц -ближайших родственников соискателей/работников, рекомендателей соискателей/работников, непосредственных руководителей с прежних мест работы, родственники и рекомендатели заемщиков, об обработке их персональных данных, осуществляемой согласно анкеты соискателя, а также анкеты кандидата и заявки на подбор персонала, прилагающимся к Положению о подборе персонала, утвержденного 05.03.2011, заявления-анкеты заемщика/поручителя/залогодателя, полученных не от данных субъектов персональных данных, до начала такой обработки.

Таким образом, в случае отсутствия в распоряжении ОАО «СКБ-банк» сведений (документов), подтверждающих уведомление соответствующим оператором третьих лиц об осуществлении обработки их персональных данных, ОАО «СКБ-банк» в соответствии с обязательными требованиями, предусмотренными ч. 3 ст. 18 Федерального закона «О персональных данных», обязан предоставить субъекту персональных данных указанную в законе информацию.

В данном случае выполнение указанных требований не ставится в зависимость от добросовестности субъекта персональных данных, в связи с чем

соответствующие доводы апеллятора подлежат отклонению.

На основании изложенного суд первой инстанции пришел к обоснованному выводу о нарушении ОАО «СКБ-банк» обязательных требований, предусмотренных ч. 3 ст. 18 Федерального закона «О персональных данных».

В соответствии с обязательными требованиями п. 5 Постановления Правительства Российской Федерации от 15.09.2008 №687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» при фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо несовместимы. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории персональных данных должен использоваться отдельный материальный носитель.

В ходе проверки установлено, что согласие на обработку персональных данных закрепляет 3 цели обработки персональных данных:

- исполнение обязательств, заключения и исполнения договоров между субъектом персональных данных и Банком;

- осуществление действий, направленных на взыскание