Споры о том, нужно ли получать согласие на обработку тех или иных персональных данных (ПДн), и от кого, идут уже давно. Из-за ужесточения наказаний за нарушение законодательства о персональных данных (см.: ) в ближайшее время можно ожидать увеличения количества судебных споров по данному вопросу. Судебная коллегия по административным делам Санкт-Петербургского городского суда вынесла в январе 2017 года решение по административному делу № 2а-6384/2016 (апелляционное определение № 33а-2104/2017), в котором речь шла о персональных данных (ПДн) контактных лиц, которых граждане указали при получении микрозаймов. Суд должен был ответить на вопрос о том, нужно ли с этих граждан получать согласие на обработку их персональных данных.

Суть спора ООО «Константа» занимается взысканием кредитной задолженности по договорам цессии, заключенным с микрофинансовыми организациями.

В отношении общества прокуратурой Красногвардейского района Санкт-Петербурга была проведена проверка соблюдения требований законодательства о персональных данных. По результатам проверки было вынесено представление, в котором было указано на несоответствие действий общества требованиям законодательства, в частности по обработке ПДн лиц, указанных заемщиками в анкетах на получение микрозайма, в отсутствие их согласия на обработку их ПДн. Общество обратилось в суд. Позиция Красногвардейского районного суда Санкт-Петербурга Суд первой инстанции в октябре 2016 года пришел к выводу, что общество, после заключения с ООО МФО «ГАЛАКТИКА 1» договоров уступки прав требований, обязано было проверить наличие согласия указанных заемщиками лиц на обработку их персональных данных, однако доказательств, свидетельствующих об исполнении названной обязанности, в материалы дела не было представлено.

Кроме того, суд указал, что в материалы представлены доказательства, опровергающие доводы общества о невозможности идентификации субъектов ПДн по сведениям, указанным в анкетах заемщиков.

Решением Красногвардейского районного суда Санкт-Петербурга в удовлетворении заявленных требований ООО «Константа» было отказано в полном объеме. Позиция судебной коллегии по административным делам Санкт-Петербургского городского суда Суд отметил, что между ООО «Микрофинансовая организация «ГАЛАКТИКА 1» (ранее ООО «Резерв») и заемщиками в 2014-2015 годах были заключены договоры потребительского займа (микрозайма).

Одним из условий этих договоров (пункт 8.3) было согласие заемщиков на обработку персональных данных, предоставленных кредитору, а также на их передачу третьим лицам в целях исполнения кредитором своих обязательств и обеспечения (осуществления) прав (в том числе, на передачу агентству по сбору задолженности).

В феврале 2014 года между обществом и ООО «СК 2» был заключен договор об уступке прав требования, в соответствии с условиями которого цедент уступает цессионарию свои права требования по договорам микрозайма в полном объеме на условиях, существовавших на момент подписания договора и дополнительных соглашений. В марте 2015 года цедентом были переданы цессионарию документы, связанные с заключением договоров микрозайма. В число передаваемых документов вошли анкеты (заявления), заполняемые заемщиками перед получением кредитных денежных средств, в соответствии с правилами предоставления микрозаймов общества.

В числе сведений, подлежащих указанию в анкете, значатся сведения о контактных лицах (родственниках) заемщиков (пункт 8 анкеты). Заемщиками были представлены все требуемые сведения, в том числе сведения о дате его рождения, о документе, удостоверяющем личность, об адресе его регистрации по месту жительства, адресе фактического проживания, представлена контактная информация о заемщике в части указания номера мобильного телефона, а при наличии, и рабочего номера телефона, сведения о семейном положении заемщика, фамилии, имени, отчестве супруга, дате рождения, номере его мобильного телефона.

В анкетах также имеются сведения о контактных лицах заемщика с указанием степени родства, и номерах их контактных телефонов; имеются данные о размере суммы ежемесячного дохода, а также сведения об иных источниках дохода при наличии таковых.

Суд отметил, что действующим законодательством предусмотрен определенный перечень действий (операций), влекущих за собой обработку ПДн физических лиц.

Перечисленные в законе операции обладают самостоятельным характером, т.е.

каждое из указанных действий является достаточным для вывода о наличии факта ПДн субъектов. Нарушение алгоритма и порядка осуществления какой-либо конкретной операции влечет за собой нарушение требований законодательства о персональных данных в целом. Суд подчеркнул, что согласие на обработку ПДн может быть дано субъектом или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.

Суд подчеркнул, что согласие на обработку ПДн может быть дано субъектом или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Обязанность предоставить доказательства получения согласия возлагается на оператора. Судебная коллегия согласилась с выводом суда о том, что, получив информацию о заемщиках и их контактных лицах, с учетом отсутствия личного согласия последних на обработку представленной заемщиком в отношении них информации, у общества отсутствовали основания для ее обработки в виде сбора, систематизации, накопления, хранения.

Судебная коллегия также учла, что в рамках договора цессии общество обладает ПДн контактных лиц, что само по себе свидетельствует о нарушении последним требований действующего законодательства о персональных данных в той степени, в которой в отсутствие их согласия предоставляет обществу возможность ознакомления с их ПДн, а, соответственно, их хранение и иные юридически самостоятельные действия, отнесенные к процедуре их обработки.

Суд сделал вывод о том, что одно лишь наличие у общества анкет заемщиков, переданных ему по договорам уступки прав требований, подтверждает нарушение требований действующего законодательства в части обработки ПДн. Суд подчеркнул, что при этом не имеет значения для дела наличие на момент вынесения оспариваемого представления фактических действий или операций, связанных с их обработкой.

Судебная коллегия отметила, что материалы дела не содержат сведений о наличии согласия на обработку персональных данных именно контактных лиц заемщиков.

Наличие в анкетах подписи фактических заемщиков по договорам микрозайма, свидетельствующих об их согласии на указанную обработку данных, само по себе не подменяет и не заменяет личное согласие контактных лиц заемщиков, обладающее признаками конкретности, информированности и осознанности. Суд не принял доводы апелляционной жалобы общества о том, что такого рода информация, как сведения о номере мобильного телефона, не позволяет идентифицировать личность, которому принадлежит данный номер мобильной связи. Сама по себе информация о номере мобильного телефона, с учетом указания фамилии, имени и отчества абонента, дает возможность идентифицировать личность абонента; обладает ограниченно доступным характером, а потому, не может быть распространена неопределенному кругу лиц. Соответственно данная информация в том виде, в котором она отображена в анкетах (заявлениях) заемщиков и передана административному истцу в порядке исполнения условий договора цессии, способствует идентификации и конкретизации контактных лицах заемщиков, в силу чего подлежит отнесению к категории персональной информации.

Соответственно данная информация в том виде, в котором она отображена в анкетах (заявлениях) заемщиков и передана административному истцу в порядке исполнения условий договора цессии, способствует идентификации и конкретизации контактных лицах заемщиков, в силу чего подлежит отнесению к категории персональной информации.

Операторы обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным.

В силу ч.2 ст.9 указанного федерального закона согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона.

На основании ч.3 ст.9 ФЗ «О персональных данных» обязанность представить доказательство получения согласия субъекта персональных данных на обработку его персональных данных возлагается на оператора. В силу ч.5 ст.21 ФЗ «О персональных данных» в случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами.

Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке (ст.17 ФЗ «О персональных данных»). В силу ст.24 ФЗ «О персональных данных» лица, виновные в нарушении требований настоящего Федерального закона, несут предусмотренную законодательством Российской Федерации ответственность. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации.

Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков. Суд, удовлетворяя требования о компенсации морального вреда, пришел к выводу о том, что такой вред был причинен истцу незаконными действиями ответчика.

Выразился он в причинении истцу беспокойства, вызванного получением указанных выше требований от неизвестной ей организации, у которой персональные данные истца не были отозваны банком и не была прекращена их обработка в нарушении указанных выше норм закона. Судебная коллегия считает несостоятельными доводы апелляционной жалобы о наличии оснований для продолжения обработки персональных данных истца и после отзыва согласия на такую обработку.

Банк в качестве основания для продолжения обработки персональных данных после отзыва согласия на такую обработку ссылается на п.п.

5 и п.п. 2 ч.1 ст. 6 ФЗ «О персональных данных». В силу указанных норм закона Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, в том числе в случае реализации оператором своего права на уступку прав (требований) по такому договору, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.

Однако указанные основания в данном случае отсутствовали. Обработка персональных данных истца не была необходима для достижения целей, предусмотренных законом, и также не была необходима для исполнения кредитного договора, поскольку законом предусмотрены иные способы исполнения обязательств. Совершение банком уступки права ООО «***» по кредитному договору, заключенному с Васильченко Г.Н., не нашло своего подтверждения в ходе судебного заседания.

Имеющийся в материалах дела договор об уступке права, заключенный (дата) ( л.д.не содержит условий о передаче своих прав банком по кредитному договору, заключенному с Васильченко Г.Н. Несостоятельными являются и доводы жалобы о том, что отзыв согласия на обработку персональных данных банком не был получен, поскольку направлялся истцом не по юридическому адресу банка.

Как следует из содержания апелляционной жалобы, банком истцу было отказано в отзыве согласия на обработку персональных данных. Из чего следует, что такой отзыв банком был получен. Не соглашается судебная коллегия и с доводами жалобы о завышенном размере взысканных в пользу истца расходов по оплате услуг представителя.

В соответствии со ст. 100 Гражданского процессуального кодекса Российской Федерации стороне, в пользу которой состоялось решение суда, по ее письменному ходатайству суд присуждает с другой стороны расходы на оплату услуг представителя в разумных пределах.

Судом с ответчика в пользу истца взысканы расходы по оплате услуг представителя в размере *** рублей. Судебная коллегия полагает, что данный размер расходов является разумным с учетом категории дела и объема оказанной юридической помощи.

На основании изложенного и руководствуясь ст.ст.

327-329 Гражданского процессуального кодекса Российской Федерации, судебная коллегия определила: Решение Ленинского районного суда г.

Оренбурга от 15 декабря 2014 года оставить без изменения, а апелляционную жалобу публичного акционерного общества «Восточный экспресс банк» — без удовлетворения.