Вокруг понятия «достижение цели обработки персональных данных» регулярно возникают споры, связанные с вопросом о том, когда именно цель обработки может считаться достигнутой и, соответственно, когда у оператора персональных данных возникает обязанность прекратить обработку и уничтожить персональные данные.
Арбитражный суд города Москвы в декабре 2013 года рассмотрел дело № А40-135614/2013, в котором определил, когда была достигнута цель обработки персональных данных клиента, собранных банком при оформлении ему кредита.
Суть спора
Между гражданином и ОАО «АК БАРС» в 2011 году был заключен ряд кредитных договоров, которые были закрыты в июне 2012 года.
Гражданин обратился в ОАО «Национальное бюро кредитных историй» (НБКИ) с заявлением о получении своей кредитной истории. Из отчета, присланного из бюро, гражданин узнал, что банк в ноябре 2012 года запросил в НБКИ его сведения (т.е. уже по истечению договорных отношений с гражданином). Целью запроса банка являлся просмотр счета.
Гражданин обратился в Роскомнадзор с заявлением о факте возможного нарушения федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных». По результатам проверки в августе 2013 года в отношении ОАО «АК БАРС» было вынесено требование внести изменения в типовую форму согласия (Декларация заемщика) с учетом положений законодательства», а также довести указанную позицию до филиалов банка.
Полагая, что его действия закон не нарушали, банк обратился в суд.
Позиция банка ОАО «АК БАРС»
Банк осуществляет сбор персональных данных в объемах, необходимых для достижения заявленных целей, которые клиент и банк заранее обговаривают в согласии на обработку ПДн, в п.10 Декларации заемщика.
В согласии на обработку были установлены следующие цели:
- Получение кредита;
- Исполнение договорных обязательств;
- Возможная передача прав Банка из заключенного кредитного договора третьим лицам;
- Передача данных страховым организациям, договоры с которыми могут быть заключены заемщиком в рамках исполнения обязательств перед Банком;
- Возможное привлечение Банком в целях реализации своих прав третьих лиц (в т.ч. коллекторских организаций, организаторов торгов, комиссионеров и т.п.);
- Возможное обращение клиента в Банк в будущем с целью получить кредит;
- Информирование клиента о новых продуктах и услугах Банка.
Срок предоставления согласия соответствует целям обработки, в т.ч. в случае, если кредитные обязательства заемщика прекращены либо не возникали.
Персональные данные клиента обрабатываются, в том числе, в целях его информирования о новых продуктах и услугах банка. Банк и заемщик пришли к соглашению о сроке действия согласия, необходимом и достаточном для достижения целей обработки, установленных в согласии.
При этом клиент был вправе в любой момент отозвать свое согласие – однако он не обращался в банк с заявлением об отзыве.
Банк также ссылался на то, что данное клиентом согласие не распространяется на предоставление информации о заемщике в бюро кредитных историй. Законодательство не предусматривает такого основания утраты силы согласия на предоставление информации в бюро кредитных историй, как достижение цели обработки персональных данных.
Данное банку согласие вступает в силу с момента его подписания и действует до момента наступления одного из двух фактов: истечения срока действия, указанного в согласии, либо его отзыва субъектом персональных данных.
Вывод Роскомнадзора о том, что согласие на обработку персональных данных «теряет силу в связи с достижением цели обработки», по мнению банка, не соответствует законодательству.
Позиция Арбитражного суда города Москвы
Суд отметил, что в подписанной гражданином Декларации заемщика указаны цели обработки, согласие на которую давал гражданин. В пункте 10 Декларации отсутствует цель «просмотр счета». Кроме того, в пункте 7 Декларации прямо установлено, что банк будет получать и/или передавать информацию о персональных данных гражданина и информацию, связанную с предоставлением кредита и исполнением обязательств по возврату кредита в бюро кредитных историй.
Таким образом, в связи с прекращением договорных отношений между банком и гражданином, а также исполнением последним обязательств по возврату кредита, у банка отсутствовали законные основания для обработки его персональных данных.
По мнению суда, банком допущены нарушения при оформлении согласия заемщика, в части включения в Декларацию срока обработки персональных данных заемщика при условии незаключения в последующем с ним кредитных и иных договоров (отсутствуют конкретные цели последующей обработки).
Следовательно, обработка персональных данных граждан, обратившихся в кредитное учреждение и заполнивших анкеты-заявки на получение кредита или при оформлении иных банковских услуг, но впоследствии не ставших клиентами банка, не допускается, так как не соответствует целям обработки.
Из представленных материалов следует, что в указанной Декларации банк не определяет наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу, а также способ отзыва согласия, что противоречит положениям Закона о персональных данных, - т.е. банком нарушен порядок получения согласия субъекта ПДн на их обработку. Включение в Декларацию условия о наличии права банка передавать ПДн заемщика и иные сведения не соответствуют требованиям действующего законодательства.
Согласно требованиям части 4 статьи 7 федерального закона от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма», организации, осуществляющие операции с денежными средствами или иным имуществом, обязаны хранить документы, содержащие сведения, необходимые для идентификации личности, не менее пяти лет. Указанный срок исчисляется со дня прекращения отношений с клиентом.
Суд также отметил, что кредитные учреждения вправе обрабатывать персональные данные физических лиц в рамках заключенных договоров и на протяжении 5 лет после их прекращения только в части хранения.
В случае прекращения кредитного договора, в том числе досрочно, а также иных договоров банковского обслуживания, согласие субъекта персональных данных на передачу информации в бюро кредитных историй, данное кредитному учреждению, теряет силу в связи с достижением цели обработки персональных данных, то есть прекращением кредитных обязательств.
Суд сделал вывод о том, что банком неправомерно исследуется и обрабатывается информация, и что своими действиями банк вводит потенциальных заемщиков в заблуждение относительно целей и задач при получении согласия на обработку ПДн.
По мнению суда, Роскомнадзор правомерно пришел к выводу об отсутствии у банка правовых оснований на запрос кредитной истории. Согласие, полученное в рамках подписания Декларации, не даёт правовых оснований банку для совершения запроса в ОАО «НБКС» с целью просмотра счета.
В итоге суд отказал в удовлетворении требований банка.
Девятый арбитражный апелляционный суд в марте 2014 года оставил без изменения решение Арбитражного суда г.Москвы, а апелляционную жалобу - без удовлетворения.
Федеральный арбитражный суд Московского округа в июне 2014 года оставил без изменения решение Арбитражного суда города Москвы, постановление Девятого арбитражного апелляционного суда, а кассационную жалобу – без удовлетворения.
Судья Верховного Суда Российской Федерации в ноябре 2014 года не усмотрел неправильного применения или нарушения судами норм процессуального права и отказал банку в передаче кассационной жалобы для рассмотрения в судебном заседании Судебной коллегии по экономическим спорам Верховного Суда Российской Федерации.
Источник: Официальный сайт Верховного Суда Российской Федерации / Электронное правосудие по экономическим спорам
http://www.arbitr.ru/
Персональные данные клиента обрабатываются, в том числе, в целях его информирования о новых продуктах и услугах банка. Банк и заемщик пришли к соглашению о сроке действия согласия, необходимом и достаточном для достижения целей обработки, установленных в согласии.
При этом клиент был вправе в любой момент отозвать свое согласие – однако он не обращался в банк с заявлением об отзыве.
Банк также ссылался на то, что данное клиентом согласие не распространяется на предоставление информации о заемщике в бюро кредитных историй. Законодательство не предусматривает такого основания утраты силы согласия на предоставление информации в бюро кредитных историй, как достижение цели обработки персональных данных.
Данное банку согласие вступает в силу с момента его подписания и действует до момента наступления одного из двух фактов: истечения срока действия, указанного в согласии, либо его отзыва субъектом персональных данных.
Вывод Роскомнадзора о том, что согласие на обработку персональных данных «теряет силу в связи с достижением цели обработки», по мнению банка, не соответствует законодательству.
Позиция Арбитражного суда города Москвы
Суд отметил, что в подписанной гражданином Декларации заемщика указаны цели обработки, согласие на которую давал гражданин. В пункте 10 Декларации отсутствует цель «просмотр счета». Кроме того, в пункте 7 Декларации прямо установлено, что банк будет получать и/или передавать информацию о персональных данных гражданина и информацию, связанную с предоставлением кредита и исполнением обязательств по возврату кредита в бюро кредитных историй.
Таким образом, в связи с прекращением договорных отношений между банком и гражданином, а также исполнением последним обязательств по возврату кредита, у банка отсутствовали законные основания для обработки его персональных данных.
По мнению суда, банком допущены нарушения при оформлении согласия заемщика, в части включения в Декларацию срока обработки персональных данных заемщика при условии незаключения в последующем с ним кредитных и иных договоров (отсутствуют конкретные цели последующей обработки).
Следовательно, обработка персональных данных граждан, обратившихся в кредитное учреждение и заполнивших анкеты-заявки на получение кредита или при оформлении иных банковских услуг, но впоследствии не ставших клиентами банка, не допускается, так как не соответствует целям обработки.
Из представленных материалов следует, что в указанной Декларации банк не определяет наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу, а также способ отзыва согласия, что противоречит положениям Закона о персональных данных, - т.е. банком нарушен порядок получения согласия субъекта ПДн на их обработку. Включение в Декларацию условия о наличии права банка передавать ПДн заемщика и иные сведения не соответствуют требованиям действующего законодательства.
Согласно требованиям части 4 статьи 7 федерального закона от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма», организации, осуществляющие операции с денежными средствами или иным имуществом, обязаны хранить документы, содержащие сведения, необходимые для идентификации личности, не менее пяти лет. Указанный срок исчисляется со дня прекращения отношений с клиентом.
Суд также отметил, что кредитные учреждения вправе обрабатывать персональные данные физических лиц в рамках заключенных договоров и на протяжении 5 лет после их прекращения только в части хранения.
В случае прекращения кредитного договора, в том числе досрочно, а также иных договоров банковского обслуживания, согласие субъекта персональных данных на передачу информации в бюро кредитных историй, данное кредитному учреждению, теряет силу в связи с достижением цели обработки персональных данных, то есть прекращением кредитных обязательств.
Суд сделал вывод о том, что банком неправомерно исследуется и обрабатывается информация, и что своими действиями банк вводит потенциальных заемщиков в заблуждение относительно целей и задач при получении согласия на обработку ПДн.
По мнению суда, Роскомнадзор правомерно пришел к выводу об отсутствии у банка правовых оснований на запрос кредитной истории. Согласие, полученное в рамках подписания Декларации, не даёт правовых оснований банку для совершения запроса в ОАО «НБКС» с целью просмотра счета.
В итоге суд отказал в удовлетворении требований банка.
Девятый арбитражный апелляционный суд в марте 2014 года оставил без изменения решение Арбитражного суда г.Москвы, а апелляционную жалобу - без удовлетворения.
Федеральный арбитражный суд Московского округа в июне 2014 года оставил без изменения решение Арбитражного суда города Москвы, постановление Девятого арбитражного апелляционного суда, а кассационную жалобу – без удовлетворения.
Судья Верховного Суда Российской Федерации в ноябре 2014 года не усмотрел неправильного применения или нарушения судами норм процессуального права и отказал банку в передаче кассационной жалобы для рассмотрения в судебном заседании Судебной коллегии по экономическим спорам Верховного Суда Российской Федерации.
Источник: Официальный сайт Верховного Суда Российской Федерации / Электронное правосудие по экономическим спорам
http://www.arbitr.ru/
Комментариев нет:
Отправить комментарий