Дата принятия: 05 ноября 2009г.
Номер документа: А04-5754/2009
Арбитражный суд Амурской области
675023, г. Благовещенск, ул. Ленина, д. 163
тел. (4162) 59-59-00, факс (4162) 51-83-48
е-mail: info@amuras.arbitr.ru; http://www.amuras.arbitr.ru
Именем Российской Федерации
РЕШЕНИЕ
г. Благовещенск
Дело №
А04-5754/2009
“
05
“
ноября
2009г.
В соответствии с ч. 2 ст. 176 Арбитражного процессуального кодекса Российской Федерации решение изготовлено 05.11.2009. Резолютивная часть объявлена 03.11.2009.
Арбитражный суд в составе судьи С.А. Антоновой
рассмотрев в судебном заседании заявление
ОАО «Азиатско-Тихоокеанский банк»
к
Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Амурской области
Об оспаривании ненормативных правовых актов
3-и лица: Хорошевский Михаил Леонидович, Хорошевский Алексей Леонидович
протокол вел: секретарь судебного заседания Е.Н. Филиппова
при участии в заседании:
от заявителя: Рыбакова Г.Ю. доверенность № 02-46 от 24.08.2009, паспорт; Богуш В.П. доверенность № 02-304 от 15.01.2009, удостоверение;
от ответчика: Гайдук О.А., доверенность от 24.04.2009, паспорт (до перерыва); Школьник Л.А., доверенность от 09.07.2009 № 05-02/1271, паспорт
Хорошевский А.Л., паспорт (до перерыва);
В судебном заседании 28.10.2009 объявлен перерыв до 03.11.2009 до 10-40 часов, о чем вынесено протокольное определение. Судебное заседание возобновлено 03.11.2009 в 10-40.
Информация о перерыве размещена в сети Интернет на официальном сайте Арбитражного суда Амурской области www.amuras.arbitr.ru.
установил:
В Арбитражный суд Амурской области обратился «Азиатско-Тихоокеанский Банк (ОАО)» (далее ОАО «АТБ», заявитель) с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Амурской области (далее Управление Роскомнадзора по Амурской области, ответчик) об оспаривании актов проверок от 30.07.2009, предписаний от 30.07.2009 №№ П-28-05/0041, П-28-05/0042, П-28-05/0043, П-28-05/0044, П-28-05/0045, П-28-05/0046.
В обоснование требований указал, что в банке проводилась проверка по заявлениям граждан Хорошевского М.Л. и Хорошевского А.Л. на предмет нарушения Федерального закона «О персональных данных». По результатам проверки составлено 2 акта и выдано 6 предписаний.
По доводу заявителя, при проведении проверки были грубо нарушены положения Федерального закона «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля (надзора)».
Предписания оформлены также с нарушениями: отсутствует информация о том, какому гражданину отказано в предоставлении информации; отсутствует способ устранения выявленного нарушения; предписание подписано должностным лицом без указания его полномочий и не заверено печатью; у банка возникли сомнения в полномочиях должностных лиц на выдачу предписаний.
В судебном заседании 05.10.2009 представитель заявителя ходатайствует об уточнении заявленных требований, просит:
признать незаконными действия управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Амурской области, выразившиеся в проведении в период с 03.07.2009 по 30.07.2009 проверок «Азиатско-Тихоокеанский Банк» (ОАО), составлении актов проверок от 30.07.2009 № 28-05/0149 и от 30.07.2009 № 28-05/0150 и выдаче предписаний об устранении выявленных нарушений от 30.07.2009 № П-8-05/0041, № П-8-05/0042, № П-8-05/0043, № П-8-05/0044, № П-8-05/0045, № П-8-05/0046;
признать недействительными предписания от 30.07.2009 №№ П-28-05/0041, П-28-05/0042, П-28-05/0043, П-28-05/0044, П-28-05/0045, П-28-05/0046.
В обоснование пояснил, что ни Федеральный закон «О персональных данных», ни Положение о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденное постановлением Правительства РФ от 16.03.2009 № 228, не содержат положений, наделяющих должностных лиц Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций и ее территориальных органов правом выдачи предписаний об устранении нарушений Федерального закона «О персональных данных». Административный регламент проведения проверок и выдачи предписаний при осуществлении федерального государственного контроля (надзора) в области обращения и защиты информации Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций не принимался.
Считает, что ответчик не вправе был применять положения Федерального закона № 294-ФЗ, поскольку положения ч. 4 ст. 1 Закона применяются только с 01.01.2010, что следует из ч. 5 ст. 27 данного закона. Другими нормативными актами полномочия по проведению проверки в области защиты информации на ответчика не возложены.
По доводу заявителя, уточняя требования, он изменяет только предмет требований, основания остаются те же.
Суд принимает уточнение заявленных требований в порядке ст. 49 Арбитражного процессуального кодекса Российской Федерации.
Представитель ответчика в судебном заседании и в отзыве на заявление указал на правомерность действий управления. Указание в приказе о проведении плановой выездной проверки вместо внеплановой документарной проверки является ошибкой информационной системы.
В отношении доводов об отсутствии полномочий на проведение проверки и выдаче предписаний возражает. Считает, что является Уполномоченным органом по защите прав субъектов персональных данных в соответствии с постановлением Правительства Российской Федерации от 16.03.2009 и Федеральным законом «О персональных данных». Поскольку специальный закон не содержит порядок проведения проверок, Управление правомерно применяло положения Федерального закона «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля».
По существу пояснил, что ОАО «АТБ» является оператором по обработке персональных данных. По жалобам Хорошевского М.Л. и Хорошевского А.Л. были проведены внеплановые документарные проверки в соответствии со ст. 11 и ст. 14 Федерального закона № 294-ФЗ.
По результатам документарной проверки составлены акты, выданы предписания. Считает необоснованным доводы заявителя о том, что из предписаний невозможно установить их предмет и способ устранения нарушения, поскольку в предписаниях имеется ссылка на акты проверки.
По мнению ответчика, предписания выданы законно и обоснованно. В подтверждение указанного ссылается на выводы, изложенные в актах проверки.
В отношении довода о нарушении банковской тайны пояснил, что к закрытой информации относятся сведения об операциях, счетах и вкладах клиентов. Роскомнадзор запрашивал у Банка только копию заявления на получение кредита.
Определением от 06.08.2009 суд привлек к участию в деле в качестве третьих лиц, не заявляющих самостоятельных требований на предмет спора, граждан Хорошевского М.Л. и Хорошевского А.Л.
Третьи лица в отзывах на заявление пояснили, что требования не поддерживают, проверка проводилась на основании их заявлений. Полагают, что со стороны банка имели место нарушения Федерального закона «О персональных данных».
В ходатайстве просили запросить у заявителя информацию по проведению служебного расследования, аудиозапись телефонного разговора от 29.06.2009.
Суд отклоняет ходатайство третьих лиц, поскольку они не имеют отношения к предмету спора.
Хорошевский А.Л. в судебном заседании позицию ответчика поддержал. Считает, что незаконными действиями банка по сбору и обработке его персональных данных были нарушены его гражданские права. Пояснил, что он не получил полного ответа на свои обращения в банк.
Суд не принимает полномочия Хорошевского А.Л. на представление интересов его брата Хорошевского М.Л., поскольку представленная в дело доверенность от 27.08.2009 не оформлена надлежащим образом в соответствии с положениями Гражданского кодекса Российской Федерации.нного ссылается на выводы, изложенные в актах проверки.о установить их предмет и способ устранения нарушенипаходимым привлечь к участию в деле в качестве третьего лица, не заявляющего самостоятельных требований на предмет спо
Исследовав материалы дела, суд установил следующие обстоятельства.
На основании поступивших в Роскомнадзор по Амурской области обращений граждан Хорошевского М.Л. (вх. ХМ-7 от 01.07.2009) и Хорошевского А.Л. (вх. ХА-8 от 01.07.2009) руководителем управления изданы приказы от 03.07.2009 №№ 4-к, 5-к «О проведении плановой выездной проверки» в отношении ОАО «АТБ» по фактам, изложенным в жалобах, в период с 03.07.2009 по 30.07.2009.
06.07.2009 в адрес ОАО «АТБ» направлен запрос № 1233 о представлении бланков, шаблонов, форм заявок – анкет и других документов, заполняемых заёмщиком при оформлении кредита; а также информации о том, на кого и с какого времени по договору на оказание услуг телефонной связи зарегистрирован телефонный номер 22-04-99; подтвердить или опровергнуть факт обработки персональных данных Хорошевского А.Л.; перечень обрабатываемых персональных данных Хорошевского А.Л., источник их получения.
На запрос Роскомнадзора по Амурской области ОАО «АТБ» письмом от 14.07.2009 сообщило, что из запроса невозможно идентифицировать лицо, факт обработки персональных данных которого выясняется. Со ссылкой на Федеральный закон «О банках и банковской деятельности» отказано в предоставлении сведений, составляющих банковскую тайну. Представлен проект заявления на получение кредита.
15.07.2009 за № 1321 в адрес ОАО «АТБ» направлен повторный запрос о предоставлении следующей информации: копию заявления установленной формы на получение кредита, заполненную Хорошевским М.Л.; подтвердить или опровергнуть факт обработки персональных данных Хорошевского А.Л.; копию анкеты установленной формы, на основании которой формируются персональные данные, заполненную Хорошевским А.Л.; предоставлялась и какая информация о Хорошевском А.Л. в бюро кредитных историй, включенное в государственный реестр бюро кредитных историй.
Запрос также содержал информацию о полномочиях государственного органа.
Письмом от 20.07.2009 № 03-495/юд ОАО «АТБ» представило бланки, формы договоров на получение кредита; форму договора банковского вклада; сообщило, что телефонный номер 22-04-99 зарегистрирован на ОАО «АТБ». Хорошевский М.Л. является заемщиком банка в соответствии с кредитным договором от 28.09.2008. Копию заявления на получение кредита, заполненную заемщиком банк не представил ввиду наличия в нем информации, которая относится к сведениям, содержащим банковскую тайну. Также сообщалось, что ОАО «АТБ» не обрабатывал персональные данные Хорошевского А.Л., однако они в банке имеются в связи с заключенными с ним депозитными договорами в 2009 году (4 договора). Анкета, на основании которой формируются персональные данные, заполненная Хорошевским А.Л., в банке отсутствует. Информация о Хорошевском А.Л. в бюро кредитных историй не предоставлялась.
21.07.2009 руководителем Роскомнадзора по Амурской области в адрес банка направлено уведомление о том, что в Управлении имеется противоречивая информация относительно сведений об обработке персональных данных: ответ ОАО «АТБ» от 20.07.2009 № 03-495/юр в Роскомнадзор по Амурской области и ответ ОАО «АТБ» от 07.07.2009 № 422/юр в адрес Хорошевского А.Л., в котором банк подтверждает обработку персональных данных субъекта в целях выполнения взаимных обязательств по договору вклада № 423 от 23.06.2009. Также Роскомнадзор по Амурской области обязал явкой представителя ОАО «АТБ» для дачи пояснений 23.07.2009.
23.07.2009 у представителя ОАО «АТБ» отобрано объяснение. Представитель пояснил, что в ответе от 20.07.2009 допущена опечатка. Персональные данные Хорошевского А.Л. обрабатывались.
Письмом от 24.07.2009 Роскомнадзор по Амурской области запросил информацию о представлении или непредставлении банком ответов на запросы Хорошевского М.Л.
Ответом от 28.07.2009 № 17-433/юд было сообщено о направлении Хорошевскому М.Л. письменного ответа от 02.07.2009.
Письмом от 30.07.2009 Управление Роскомнадзора по Амурской области направило в адрес ОАО «АТБ» приказы от 03.07.2009 № 4-к и 5-к, совпадающие по содержанию с ранее представленными, однако имеющими отличное наименование - о проведении внеплановой документарной проверки с объяснениями причин опечатки.
30.07.2009 по результатам проверки составлены акты № 28-05/0149 и 28-05/0150, которые явились основаниями для выдачи предписаний об устранении выявленного нарушения от 30.07.2009 №№ П-28-05/0041, П-28-05/0042, П-28-05/0043, П-28-05/0044, П-28-05/0045, П-28-05/0046. Предписания подписаны лицами, проводившими проверку.
В предписаниях имеется ссылка на акт проверки, указано содержание нарушения (различные); основание выдачи предписания - п. 1 пп.1 ст. 17 Федерального закона от 26.12.2008 № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля», а также установлены сроки устранения нарушения и сообщения об устранении нарушения.
Содержание нарушений, указанных в предписаниях:
- предписание № П-28-05/0041: п.4.ст.14 «Отказ в предоставлении гражданину информации» Закона РФ от 27.07.2006 «О персональных данных»: Банк не предоставил по запросу заёмщика информацию о способах обработки персональных данных заёмщика, о лицах, имеющих доступ или которым может быть предоставлен доступ к персональным данным заёмщика, не указал перечень обрабатываемых персональных данных и источники их получения. (акт проверки № 28-05/0150).
- предписание № П-28-05/0042: п.1.ст.6 «Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)» Закона РФ от 27.07.2006 № 152 -ФЗ «О персональных данных»; Банком не было получено согласие субъекта персональных данных на обработку персональных данных субъекта. (акт проверки № 28-05/0150).
- предписание № П-28-05/0043: п.3 ст. 18 Закона РФ от 27.07.2006 № 152 -ФЗ «О персональных данных»; Банк обязан был предоставить субъекту персональных данных до начала обработки персональных данных, полученных не от субъекта персональных данных, соответствующую информацию. (акт проверки № 28-05/0149).
- предписание № П-28-05/0044: п.1 ст. 18 Закона РФ от 27.07.2006 № 152 -ФЗ «О персональных данных»; при сборе персональных данных Банк предоставил субъекту персональных данных по его просьбе информацию, предусмотренную ч.4 ст. 14, не в полном объёме. (акт проверки № 28-05/0149).
- предписание № П-28-05/0045: ч.4 ст.21 Закона РФ от 27.07.2006 № 152 -ФЗ «О персональных данных»; Обработка персональных данных вкладчиков Банком должна прекращаться по окончанию действия договоров, если иное не предусмотрено федеральными законами. (акт проверки № 28-05/0149).
- предписание № П-28-05/0046:ч.2ст.15 Закона РФ от 27.07.2006 № 152 -ФЗ «О персональных данных»: условия Договора в п.5.4. нарушают право вкладчиков на отзыв своих персональных данных. (акт проверки № 28-05/0149).
Не согласившись с действиями Управление Роскомнадзора по Амурской области по проведению проверки и выдаче предписаний, а также считая предписания не соответствующими закону, полагая, что они нарушают права банка в предпринимательской и иной экономической деятельности, заявитель обратился в суд с настоящим заявлением.
В соответствии с главой 24 Арбитражного процессуального кодекса Российской Федерации предметом доказывания по настоящему делу является совокупность следующих обстоятельств: несоответствие (соответствие) полностью или в части оспариваемых действий и ненормативных актов Управления Роскомнадзора по Амурской области закону или иному нормативному правовому акту, наличие полномочий на их совершение и принятие, а также наличие (отсутствие) факта нарушения ими прав и законных интересов ОАО «АТБ».
Обязанность доказывания соответствия оспариваемого ненормативного правового акта закону или иному нормативному правовому акту, законности принятия оспариваемого решения, совершения оспариваемых действий (бездействия), наличия у органа или лица надлежащих полномочий на принятие оспариваемого акта, решения, совершение оспариваемых действий (бездействия), а также обстоятельств, послуживших основанием для принятия оспариваемого акта, решения, совершения оспариваемых действий (бездействия), возлагается на орган или лицо, которые приняли акт, решение или совершили действия (бездействие).
Оценив в совокупности, как этого требует ст. 71 Арбитражного процессуального кодекса Российской Федерации, все доказательства по делу, суд считает требования заявителя подлежащими удовлетворению частично.
В силу положений п. 2 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» ОАО «АТБ» является оператором персональных данных, то есть, лицом, организующим и (или) осуществляющим обработку персональных данных, а также определяющим цели и содержание обработки персональных данных, что не отрицается сторонами. На основании уведомления об обработке персональных данных от 23.01.2008 банк включен в общероссийский реестр операторов персональных данных, что подтверждено представителями сторон в судебном заседании.
Понятием обработки персональных данных законодатель охватил действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных.
В соответствии с ч. 1 ст. 23 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям настоящего Федерального закона, является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи.
Управление Роскомнадзора по Амурской области является государственным органом, находящимся в подчинении Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций.
Положение о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций утверждено постановлением Правительства Российской Федерации от 16.03.2009 № 228, на основании которого, руководителем службы 22.05.2009 утверждено Положение об Управлении Роскомнадзора по Амурской области.
Согласно названным актам в полномочия Управления в сфере информационных технологий входит осуществление государственного контроля и надзора за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных (п. 5.1.1.4 Положения от 16.03.2009 № 228, п. 8.1.5 Положения от 22.05.2009).
Отношения в области организации и осуществления государственного контроля (надзора), муниципального контроля и защиты прав юридических лиц при осуществлении ими предпринимательской деятельности и индивидуальных предпринимателей при осуществлении государственного контроля (надзора), муниципального контроля регулируются положениями Федерального закона от 26.12.2008 N 294-ФЗ (ред. от 17.07.2009) "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля" (ч. 1 ст. 1).
Ч. 4 указанной статьи установлено, что особенности организации и проведения проверок при осуществлении контроля в области обращения и защиты информации, в части, касающейся вида, предмета, оснований проверок и сроков их проведения, могут устанавливаться другими федеральными законами. Такими законами применительно к названным правоотношениям являются Федеральный закон от 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и о защите информации", а также Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».
Поскольку указанный закон является специальным по отношению к общему порядку проведения проверок, суд считает, что приоритет имеют его нормы.
Соответственно, согласно положениям ч. 1 ст. 23 Федерального закона от 27.07.2006 № 152-ФЗ Управление Роскомнадзора по Амурской области полномочно обеспечивать контроль и надзор за соответствием обработки персональных данных требованиям настоящего Федерального закона. При этом, в соответствии с Положением о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденным Постановлением Правительства РФ от 16.03.2009 N 228, Положением об Управлении Роскомнадзора по Амурской области, утвержденным руководителем службы 22.05.2009, ответчик осуществляет прием граждан и обеспечивает своевременное и полное рассмотрение устных и письменных обращений граждан, принятие по ним решений и направление заявителям ответов в установленный законодательством Российской Федерации срок; имеет право запрашивать в установленном порядке и получать на безвозмездной основе у органов власти, а также юридических и физических лиц сведения и материалы, необходимые для выполнения полномочий в установленной сфере деятельности; давать юридическим лицам, независимо от формы собственности и ведомственной принадлежности, индивидуальным предпринимателям и физическим лицам обязательные для выполнения предписания об устранении нарушений в установленной сфере деятельности; организовывать и осуществлять плановые и внеплановые мероприятия по контролю в установленной сфере деятельности, в том числе, без взаимодействия с проверяемыми лицами (дистанционный контроль), если иное не установлено законодательством Российской Федерации.
В отношение порядка предоставления банком Федеральной службе Роскомнадзора по её запросу сведений, составляющих банковскую тайну, суд пришел к следующему выводу.
Согласно положениям ст. 26 Федерального закона «О банках и банковской деятельности» от 02.12.1990 N 395-1 кредитная организация гарантируют тайну об операциях, о счетах и вкладах своих клиентов и корреспондентов. Все служащие кредитной организации обязаны хранить тайну об операциях, счетах и вкладах ее клиентов и корреспондентов, а также об иных сведениях, устанавливаемых кредитной организацией, если это не противоречит федеральному закону.
Справки по счетам и вкладам физических лиц выдаются кредитной организацией им самим, судам, органам принудительного исполнения судебных актов, актов других органов и должностных лиц, организации, осуществляющей функции по обязательному страхованию вкладов, при наступлении страховых случаев, предусмотренных федеральным законом о страховании вкладов физических лиц в банках Российской Федерации, а при наличии согласия руководителя следственного органа - органам предварительного следствия по делам, находящимся в их производстве.
Вместе с тем, в ч. 3 ст. 23 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» законодатель установил право уполномоченного органа по защите прав субъектов персональных данных запрашивать у физических или юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию.
В соответствии с частью 4 названной статьи в отношении персональных данных, ставших известными уполномоченному органу по защите прав субъектов персональных данных в ходе осуществления им своей деятельности, должна обеспечиваться конфиденциальность персональных данных.
А частью 4 статьи 20 Закона законодатель установил обязанность оператора по сообщению в уполномоченный орган по защите прав субъектов персональных данных по его запросу информации, необходимой для осуществления деятельности указанного органа, в течение семи рабочих дней с даты получения такого запроса.
Оценивая данный довод, суд исходит из позиции Конституционного Суда Российской Федерации, высказанной им в постановлении от 14.05.2003 N 8-П "По делу о проверке конституционности пункта 2 статьи 14 Федерального закона "О судебных приставах" в связи с запросом Лангепасского городского суда Ханты-Мансийского автономного округа".
В постановлении Конституционный Суд Российской Федерации разъяснил, что закрепление в законе отступлений от банковской тайны не может быть произвольным. Такие отступления (в частности, предоставление банками, иными кредитными организациями и их служащими сведений о счетах и вкладах и операциях по счету, а также сведений о клиентах государственным органам и их должностным лицам) должны отвечать требованиям справедливости, быть адекватными, соразмерными и необходимыми для защиты конституционно значимых ценностей, в том числе частных и публичных прав и интересов граждан, не затрагивать существо соответствующих конституционных прав, т.е. не ограничивать пределы и применение основного содержания закрепляющих эти права конституционных положений, и могут быть оправданы лишь необходимостью обеспечения указанных в статье 55 (часть 3) Конституции Российской Федерации целей защиты основ конституционного строя Российской Федерации, нравственности, здоровья, прав и законных интересов других лиц и общественной безопасности.
Из этого следует, что федеральный законодатель вправе возложить на банк, иную кредитную организацию обязанность по предоставлению государственным органам и их должностным лицам сведений, составляющих банковскую тайну, только в пределах и объеме, необходимых для реализации указанных в Конституции Российской Федерации целей, включая публичные интересы и интересы других лиц.
Федеральный законодатель, конкретизируя предписания Конституции Российской Федерации и следуя выраженной им в Гражданском кодексе Российской Федерации (пункт 2 статьи 857) воле, вправе установить в законе как круг органов, на которые возложено осуществление указанной публичной функции, так и их полномочия и коррелирующие этим полномочиям обязанности органов и организаций, в число которых входят банки, иные кредитные организации.
Суд считает, что это толкование законодательства применимо и положениям Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
Соответственно предписания пункта 1 части 3 его статьи 23 о том, что уполномоченный орган вправе запрашивать у физических или юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию, а также части 4 статьи 20 закона об обязанности оператора предоставить необходимую информацию по запросу уполномоченного органа имеют под собой объективные основания и распространяются на все органы, организации, должностных лиц и граждан, в том числе, на банки, иные кредитные организации и их служащих.
Таким образом, принимая к рассмотрению жалобы Хорошевского М.Л. и Хорошевского А.Л., назначая проведение внеплановой документарной проверки, запрашивая необходимую информацию и, выдавая предписания, Управление Роскомнадзора по Амурской области действовало в рамках полномочий, предоставленных ему законодательством.
Указание в Приказах от 03.07.2009 на проведении плановой выездной проверки, суд расценивает как опечатку, поскольку материалами дела подтверждается, что ответчиком проводилась именно внеплановая документарная проверка (дистанционный контроль). Указанное нарушение не является существенным и не влечет за собой безусловные основания для признания действий уполномоченного органа незаконными.
Рассматривая выданные в адрес банка предписания по существу, суд пришел к следующим выводам.
Выдавая предписания № П-28-05/0041 (Банк не предоставил по запросу заёмщика информацию о способах обработки персональных данных заёмщика, о лицах, имеющих доступ или которым может быть предоставлен доступ к персональным данным заёмщика, не указал перечень обрабатываемых персональных данных и источники их получения) и № П-28-05/0044 (при сборе персональных данных Банк не в полном объёме предоставил субъекту персональных данных по его просьбе информацию, предусмотренную ч.4 ст. 14 Закона), уполномоченный орган не проверил возможность, право и обязанность банка предоставить такую информацию.
Согласно ч. 3 ст. 14 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» доступ к своим персональным данным предоставляется субъекту персональных данных или его законному представителю оператором при обращении либо при получении запроса субъекта персональных данных или его законного представителя. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе и собственноручную подпись субъекта персональных данных или его законного представителя.
Как подтверждается материалами дела, обращения граждан Хорошевского А.Л. и Хорошевского М.Л. не содержат сведений об основном документе, удостоверяющем их личности.
Кроме того, выводы Управления сделаны с учетом ответов банка, направленных в адрес граждан, от 02.07.2009 и 07.07.2009. Указанные ответы были представлены в уполномоченный орган после принятия жалоб Хорошевского А.Л. и Хорошевского М.Л. и после издания приказов о проведении проверок. Вместе с тем, исходя из программ (планов) проверок, утвержденных руководителем, и из приказов от 03.07.2009 №№ 4-к, 5-к, проверка проводилась в рамках рассмотрения обращений от 01.07.2009.
Таким образом, при проведении проверки должностные лица уполномоченного органа вышли за пределы программ проверок, то есть осуществили проверку без оснований, без уведомления проверяемого субъекта, чем нарушили его права и законные интересы.
На основании изложенного, предписания № П-28-05/0041 и № П-28-05/0044 следует признать недействительными, не соответствующими требованиям закона № 152-ФЗ.
Выдавая ОАО «АТБ» предписание № П-28-05/0042 о нарушении им п.1.ст.6 Закона, уполномоченный орган указал, что Банком не было получено согласие субъекта персональных данных на обработку персональных данных субъекта.
Вместе с тем, в силу п. 2 ч. 2 ст. 6 Закона согласия субъекта персональных данных, предусмотренного частью 1 настоящей статьи, не требуется в случае, если обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных.
Материалами дела, в том числе актом проверки № 28-05/150 подтверждается, что между ОАО «АТБ» и Хорошевским М.Л. заключен кредитный договор № 265616 от 28.09.2008. Заявление на получение кредита подписано Хорошевским М.Л. 28.09.2008. При этом, как следует из решения Благовещенского городского суда от 16.09.2009 по делу № 2-4097/09, Хорошевский М.Л. ненадлежащим образом исполняет свои обязанности по кредитному договору и имеет задолженность. Следовательно, обработка персональных данных Хорошевского М.Л. проводилась в рамках закона и соответствовала её целям – принятие банком мер по взысканию задолженности по кредитному договору.
Следовательно, предписание № П-28-05/0042 также надлежит признать недействительным.
В предписании № П-28-05/0045 указано на нарушение банком ч.4 ст.21 Закона РФ от 27.07.2006 № 152 -ФЗ «О персональных данных», а именно - обработка персональных данных вкладчиков Банком должна прекращаться по окончанию действия договоров, если иное не предусмотрено федеральными законами.
Согласно ч. 4 ст. 21 Закона в случае достижения цели обработки персональных данных оператор обязан незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий трех рабочих дней с даты достижения цели обработки персональных данных, если иное не предусмотрено федеральными законами, и уведомить об этом субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, - также указанный орган.
Таким образом, прекращение обработки персональных данных производится после достижения цели такой обработки.
Данное положение закона соотносится и с принципами законодательства о персональных данных, определенными в ст. 5 Федерального закона Российской Федерации от 27.07.2006 № 152 -ФЗ «О персональных данных». Частью 2 названной статьи предписано, что хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.
В предписании № П-28-05/0045 уполномоченный орган ссылается на акт проверки № 28-05/0149. Следовательно, предписание выдано по результатам проверки, проводимой по жалобе гражданина Хорошевского А.Л.
Из дела видно, что между ОАО «АТБ» и Хорошевским А.Л. заключен договор банковского вклада «Женский взгляд» № 0000423 от 23.06.2009. Согласно справке ОАО «АТБ» вклад был закрыт 08.07.2009.
Между тем, после закрытия вклада банк обязан хранить информацию о нем в течение 5 лет, что следует из «Перечня типовых документов, образующихся в деятельности госкомитетов, министерств, ведомств и других учреждений, организаций, предприятий, с указанием сроков хранения», утвержденного Главархивом СССР 15.08.1988 в редакции от 31.07.2007, а также из «Перечня типовых управленческих документов, образующихся в деятельности организаций, с указанием сроков хранения», утвержденного Росархивом 06.10.2000 в редакции от 27.10.2003.
Доказательств того, что банк каким-либо другим способом кроме хранения обрабатывал имеющуюся у него информацию о Хорошевском А.Л., уполномоченный орган в нарушение положений ст.ст. 65,200 Арбитражного процессуального кодекса Российской Федерации не представил.
Кроме того, срок действия договора истек после издания приказа о проведении проверки по жалобе от 03.07.2009.
Ввиду изложенного предписание № П-28-05/0045 противоречит положениям Федерального закона от 27.07.2006 № 152 -ФЗ «О персональных данных» и подлежит признанию недействительным.
В предписании № П-28-05/0046 говорится о нарушении банком ч.2ст.15 Закона РФ от 27.07.2006 № 152 -ФЗ «О персональных данных»: условия Договора в п.5.4. нарушают право вкладчиков на отзыв своих персональных данных.
Однако, ст. 15 Закона № 152–ФЗ регулирует права субъектов персональных данных при обработке их персональных данных в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации. Так, ч. 1 ст. предусмотрено, что обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации допускается только при условии предварительного согласия субъекта персональных данных.
Часть 2 предусматривает, что оператор обязан немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных, указанную в части 1 настоящей статьи.
Вместе с тем, доказательств тому, что ОАО «АТБ» обрабатывал персональные данные Хорошевского А.Л. в целях продвижения товаров, работ, услуг на рынке либо в целях политической агитации суду не представлено.
Следовательно, предписание надлежит признать недействительным.
В предписании № П-28-05/0043 Управление Роскомнадзора по Амурской области указало на нарушение банком п.3 ст. 18 Закона от 27.07.2006 № 152 -ФЗ «О персональных данных» - банк обязан был предоставить субъекту персональных данных до начала обработки персональных данных, полученных не от субъекта персональных данных, соответствующую информацию.
Обязанности оператора при сборе персональных данных установлены ст. 18 указанного в предписании закона. Согласно ч. 3 статьи, если персональные данные были получены не от субъекта персональных данных, за исключением случаев, если персональные данные были предоставлены оператору на основании федерального закона или если персональные данные являются общедоступными, оператор до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:
1) наименование (фамилия, имя, отчество) и адрес оператора или его представителя;
2) цель обработки персональных данных и ее правовое основание;
3) предполагаемые пользователи персональных данных;
4) установленные настоящим Федеральным законом права субъекта персональных данных.
Как видно из материалов дела при заключении кредитного договора «Выгодный» № 294041 Хорошевский М.Л. – брат Хорошевского А.Л., в заявлении на получение кредита от 05.08.2009 указал номер его сотового телефона, адрес проживания.
Хорошевский А.Л. информацию о своем сотовом телефоне банку не предоставлял. Следовательно, указанная информация была получена банком впервые.
Получив её в целях обработки, в понятие которой входит и хранение информации, банк обязан был сообщить Хорошевскому А.Л. информацию, указанную ч. 3 ст. 18 Федерального закона Российской Федерации от 27.07.2006 № 152 -ФЗ «О персональных данных».
Данная обязанность банком не была исполнена. Кроме того, банк воспользовался имеющейся у него информацией и осуществил звонок на телефон сотовой связи Хорошевского А.Л., что следует из обращений гражданина, подтверждается актом проверки от 30.07.2009 № 28-05/0149, ответом «Азиатско-Тихоокеанский Банк (ОАО)» от 02.07.2009 исх. № 17-419/юд на имя Хорошевского М.Л., и не отрицается представителями банка.
В связи с изложенным, предписание № П-28-05/0043 выдано уполномоченным органом законно и обоснованно.
Таким образом, в соответствии с положениями ст. 201 Арбитражного процессуального кодекса Российской Федерации предписания Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Амурской области от 30.07.2009 №№ П-28-05/0041, П-28-05/0042, П-28-05/0044, П-28-05/0045, П-28-05/0046, выданные «Азиатско-Тихоокеанский Банк (ОАО)» надлежит признать недействительными, как не соответствующими федеральному закону Российской Федерации от 27.07.2006 № 152 -ФЗ «О персональных данных».
В части в удовлетворении требований о признании недействительным предписания № П-28-05/0043, а также признания незаконными действий управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Амурской области, выразившиеся в проведении в период с 03.07.2009 по 30.07.2009 проверок «Азиатско-Тихоокеанский Банк» (ОАО), составлении актов проверок от 30.07.2009 № 28-05/0149 и от 30.07.2009 № 28-05/0150 и выдаче предписаний об устранении выявленных нарушений от 30.07.2009, следует отказать.
При обращении в суд заявитель по платежному поручению № 8737 от 05.08.2009 оплатил государственную пошлину в размере 22 000 руб.
Предметом оспаривания по делу являются действие уполномоченного органа и 6 ненормативных правовых актов. В силу положений ст. 333.21 Налогового кодекса Российской Федерации государственная пошлина по делу составляет 14000 руб. исходя из расчета 2000 руб. за действие, каждый ненормативный акт.
Судом признаны недействительными 5 предписаний, следовательно, расходы по уплате государственной пошлины в размере 10000 руб. на основании ст. 110 Арбитражного процессуального кодекса Российской Федерации, 333.40 Налогового кодекса Российской Федерации, п.5 Информационного письма Высшего Арбитражного Суда Российской Федерации от 13.03.2007 «Об отдельных вопросах практики применения главы 25.3 Налогового кодекса Российской Федерации» подлежат взысканию с ответчика в пользу заявителя.
Также с ответчика в пользу заявителя надлежит взыскать расходы, понесенные им в связи с принятием судом обеспечительных мер по определению от 01.09.2009 и уплаченные по платежному поручению № 37137 от 31.08.2009 в размере 1000 руб.
Расходы по уплате государственной пошлины в сумме 4000 руб. (действие и 1 предписание) в соответствии со ст. 110 Арбитражного процессуального кодекса Российской Федерации подлежат отнесению на заявителя.
Кроме того, определением от 06.08.2009 «Азиатско-Тихоокеанский Банк (ОАО)» было отказано в принятии обеспечительных мер. Расходы по уплате государственной пошлины в размере 1000 руб. отнесены судом на заявителя в счет уплаченной государственной пошлины по платежному поручению № 8737 от 05.08.2009.
Следовательно, возврату из федерального бюджета подлежит излишне уплаченная государственная пошлина в размере 7000 руб.
Руководствуясь ст. ст. 167-170, 180, 201 Арбитражного процессуального кодекса Российской Федерации, суд
решил:
Признать недействительными, как не соответствующими федеральному закону Российской Федерации от 27.07.2006 № 152 -ФЗ «О персональных данных» предписания Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Амурской области от 30.07.2009 №№ П-28-05/0041, П-28-05/0042, П-28-05/0044, П-28-05/0045, П-28-05/0046, выданные «Азиатско-Тихоокеанский Банк (ОАО)».
В остальной части в удовлетворении требований отказать.
Взыскать с Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Амурской области в пользу «Азиатско-Тихоокеанский Банк (ОАО)» расходы по уплате государственной пошлины в размере 11000 руб.
Расходы по уплате государственной пошлины в размере 4000 руб. отнести на заявителя.
Возвратить «Азиатско-Тихоокеанский Банк (ОАО)» из федерального бюджета излишне уплаченную по платежному поручению от 05.08.2009 № 8737 государственную пошлину в размере 8000 руб.
Решение вступает в законную силу по истечении месяца со дня его принятия.
Решение может быть обжаловано в течение месяца со дня его принятия в Шестой Арбитражный апелляционный суд (г. Хабаровск), и (или) в течение двух месяцев со дня вступления решения в законную силу в Федеральный Арбитражный суд Дальневосточного округа (г. Хабаровск) через Арбитражный суд Амурской области
СудьяС.А. Антонова
