В прессе регулярно появляется информация о том, что та или иная организация привлечена к ответственности за передачу персональных данных клиентов-должников коллекторскому агентству.
Арбитражный суд Калининградской области в июне 2014 года рассмотрел дело № А21-4273/2014, в котором пришлось давать оценку правомочности таких действий в отношении должников по оплате услуг теплоснабжения.
Суть спора
В феврале 2014 года в отношении МУП «Калининградтеплосеть» была проведении внеплановая проверка соблюдения им обязательных требований в сфере обработки персональных данных в связи с обращением гражданина о нарушении предприятием его прав на защиту персональных данных. Организацией были переданы третьим лицам (коллекторскому агентству «Линдорфф») сведения, содержащие его персональные данные гражданина без его согласия.
Предприятием в декабре 2013 года на электронный адрес ООО «Линдорфф» был передан электронный реестр, содержащий персональные данные гражданина, а также других должников (всего сведения по более 18 тысячам лицевым счетам), в том числе фамилии, имена, отчества, адреса, период долга, список проживающих, площадь и тип жилья, сумма задолженности.
Данные об изменении по лицевым счетам должников ежемесячно передаются в ООО «Линдорфф». При этом договор оказания услуг с гражданами не был заключен, согласия на обработку (в том числе передачу третьим лицам) их персональных данных не было представлено.
Предприятию было выдано предписание об устранении нарушения. Не согласившись с предписанием, предприятие обратилось в арбитражный суд.
Позиция Арбитражного суд Калининградской области
Суд установил, что в декабре 2013 года между обществом (принципал) и ООО «ЭйБиСи Финанс» (агент) был заключен агентский договор, в рамках которого агент от имени и за счет принципала обязался за вознаграждение по поручению принципала совершать фактические и юридические действия, направленные на сбор задолженности с должников принципала.
Договором было предусмотрено, что принципал поручает агенту обработку персональных данных должников принципала, в течение всего срока действия договора. При этом принципал также продолжает осуществлять обработку персональных данных должников самостоятельно.
Агент по своему усмотрению и за свой счет вправе привлекать к исполнению своих обязательств по договору третьих лиц, в том числе, организации связи и услуг почтовой доставки, субагентов, юридические компании, консультантов и т.д.
Согласно договору, принципал обязался в течение 10 рабочих дней с момента подписания договора передать агенту поручение в форме электронного реестра по форме, установленной приложением № 2 к договору. Одновременном с передачей первого поручения принципал обязался предоставить агенту в электронном виде типовые формы возмездных договоров со всеми приложениями (п. 3.3.2).
Принципал передает поручение путем направления агенту электронного реестра по форме, установленной приложением № 2 к договору (п. 4.1).
В июне 2013 года между ООО «ЭйБиСи Финанс» (принципал) и ООО «Линдорфф» (агент) был заключен агентский договор, предметом которого является сбор задолженности с должников принципала.
Факт передачи предприятием перечней должников (фамилии, имена, отчества с указанием адреса, суммы задолженности и номеров лицевых счетов) ООО «ЛИНДОРФФ» подтверждается материалами дела (в том числе письмом заместителя директора по сбыту МУП «Калининградтеплосеть», выпиской из реестра, переданного в декабре 2013 года в ООО «Линдорфф» в отношении гражданина) и заявителем не оспаривается.
Данные о жильцах были переданы предприятием в целях исполнения агентских договоров, а не в целях исполнения договора, заключенного предприятием с гражданами.
Суд сделал вывод о том, что предприятие поручило агентам обрабатывать сведения конфиденциального характера о гражданах, которые имеют задолженность по оплате услуг теплоснабжения в отсутствие согласия от жильцов на обработку их персональных данных другим лицом.
По мнению суда, у предприятия отсутствовало право на передачу третьим лицам персональных данных собственников жилых помещений без их согласия. В этой связи предписание было выдано предприятию правомерно и не нарушает его прав и законных интересов.
Арбитражный суд отказал в удовлетворении иска муниципального унитарного предприятия коммунального хозяйства «Калининградтеплосеть».
Позиция Тринадцатого арбитражного апелляционного суда
Тринадцатый арбитражный апелляционный суд в декабре 2014 года отметил, что согласно пунктам 5 и 7 части 1 статьи 6 Закона № 152-ФЗ (в редакции, действовавшей на момент заключения агентского договора) допускается обработка персональных данных без согласия субъекта персональных данных в случаях, когда обработка персональных данных необходима:
- Для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
- Для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных.
По мнению суда, переданная информация необходима исключительно для исполнения договора в целях принятия мер по взысканию с лиц, которым предприятием были оказаны услуги по теплоснабжению, задолженности за их предоставление.
В пункте 3.1.8 договора предусмотрена обязанность агента по соблюдению конфиденциальности передаваемых в рамках договора персональных данных и обеспечение безопасности при их обработке, а также принятия необходимых правовых, организационных и технических мер для защиты персональных данных от неправомерных действий в отношении персональных данных.
По мнению суда, согласие субъекта персональных данных на обработку персональных данных не требуется, если их обработка необходима для исполнения договора, стороной которого является субъект персональных данных. Применительно к рассматриваемому делу - предоставление информации агенту по агентскому договору, действующему от имени предприятия, не может являться раскрытием персональных данных неопределенному кругу лиц, поскольку круг лиц, которым предоставляется информация, ограничен договором.
В данном случае информация для ведения досудебного урегулирования вопросов погашения задолженности по коммунальным услугам была предоставлена только строго для определенной цели – принятия мер по погашению задолженности населения за предоставленные заявителем услуги.
Доказательства раскрытия заявителем или распространения персональных данных постороннему, неопределенному кругу лиц, действующему не в интересах предприятия, отсутствуют.
Судебная коллегия сделала вывод о том, что правомерность вменения предприятию нарушения части 3 статьи 6 Закона № 152-ФЗ, выразившееся в поручении иным лицам осуществлять обработку персональных данных без согласия субъектов персональных данных, указанного в предписании Управления Роскомнадзора, не доказана, в связи с чем, решение суда первой инстанции подлежит отмене, а заявление предприятия – удовлетворению.
Тринадцатый арбитражный апелляционный суд отменил решение Арбитражного суда Калининградской области и признал недействительным пункт 4 предписания Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Калининградской области об устранении выявленного нарушения.
Арбитражный суд Северо-Западного округа в мае 2015 года оставил без изменения постановление Тринадцатого арбитражного апелляционного суда, а кассационную жалобу Управления Федеральной службы по надзору в сфере связи без удовлетворения.
Источник: Официальный сайт Верховного Суда Российской Федерации / Электронное правосудие по экономическим спорам
http://www.arbitr.ru/
Комментариев нет:
Отправить комментарий