Судебная практика: Запрос гражданина на доступ к его персональным данным

Закон «О персональных данных» предоставляет гражданам право получать информацию о том, кто и как обрабатывает их персональные данные.

Судебная коллегия по гражданским делам Московского городского суда в апреле 2016 г. вынесла решение по делу № 33-11529, в котором гражданка пыталась привлечь АО «Тинькофф Банк» к ответственности за несвоевременное предоставление информации по ее запросу.

Суть спора

В апреле 2015 года гражданка направила в адрес АО «Тинькофф Банк» заявление о предоставлении в порядке ч.7 ст.14 Федерального закона «О персональных данных» информации, касающейся обработки ее персональных данных, предоставленных в рамках договора о выпуске и обслуживании ее кредитной карты. По истечении 30 дней с момента получения запроса о предоставлении сведений и копий документов, составляющих договор о выпуске и обслуживании кредитной карты, письменный ответ от банка получен не был.

Гражданка обратилась в суд и просила обязать банк предоставить информацию, касающуюся обработки ее персональных данных, а именно:

• Подтвердить факт обработки ПДн;


• Сообщить правовые основания и цели их обработки;


• Сообщить наименование и сведения о лицах, которые имеют у ним доступ или которым они могут быть раскрыты на основании договора банком;


• Сообщить наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению банка;


• Взыскать с банка в пользу гражданки компенсацию морального вреда в связи с нарушением прав субъекта ПДн.

Решением Хорошевского районного суда г. Москвы в сентябре 2015 года в удовлетворении иска гражданки к АО «Тинькофф Банк» о предоставлении информации было отказано.

Позиция Судебной коллегии по гражданским делам Московского городского суда

В обоснование заявленных требований гражданка указала, что АО «Тинькофф Банк» является оператором обработки персональных данных на основании договора, по условиям которого банком выпущена и предоставлена ей кредитная карта с лимитом задолженности.

Суд первой инстанции не нашел доказанным факт нарушения прав гражданки, как субъекта персональных данных, исходя из обстоятельств заключения договора о предоставлении и обслуживании кредитной карты, а также учитывая форму обращения гражданки о предоставлении сведений в отношении обработки персональных данных, не соответствующую требованиям ч. 3 ст. 14 Федерального закона «О персональных данных», и содержание ответа, данного банком гражданки на ее заявление.

Для справки: Согласно ч.7 ст.14 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», субъект ПДн имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

• Подтверждение факта обработки ПДн оператором;


• Правовые основания и цели обработки ПДН;


• Цели и применяемые оператором способы обработки ПДн;


• Наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к ПДн или которым они могут быть раскрыты на основании договора с оператором или на основании федерального закона;


• Обрабатываемые ПДн, относящиеся к соответствующему субъекту, источник их получения;


• Сроки обработки ПДн, в том числе сроки их хранения;


• Порядок осуществления субъектом ПДн прав, предусмотренных федеральным законом;


• Информацию об осуществленной или о предполагаемой трансграничной передаче данных;


• Наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению оператора, если обработка поручена или будет поручена такому лицу;


• Иные сведения, предусмотренные федеральными законами.

Согласно ст. 20 закона, оператор обязан сообщить субъекту ПДн или его представителю информацию о наличии его персональных данных, а также предоставить возможность ознакомления с ними в течение тридцати дней с даты получения.

В марте 2012 года между сторонами на основании заявления-анкеты гражданки был заключен договор о предоставлении и обслуживании кредитной карты.  Гражданка при заключении договора указала, что уведомлена о полной стоимости кредита, ознакомлена и согласна с действующими условиями КБО (со всеми приложениями), размещенными в сети интернет, а также тарифами, понимает их и в случае заключения договора обязуется их соблюдать.

Также гражданка подтвердила, что с общими условиями выпуска и обслуживания кредитных карт, действующая редакция которых размещена в сети интернет и тарифным планом ознакомлена, согласна и обязуется их соблюдать.

Факт заключения договора сторонами не оспаривался, как не оспаривался и сам договор ни целиком, ни в какой-либо части. В настоящее время он расторгнут банком в одностороннем порядке в связи с ненадлежащим его исполнением со стороны гражданки, допустившей возникновение задолженности по кредиту.

Как усматривается из содержания заявления-анкеты, являющейся составной частью договора о предоставлении и обслуживании кредитной карты, подписав указанное заявление, гражданка дала согласие ООО «ТКС», с указанием ОГРН организации и ее юридического адреса, как оператору, на обработку всех персональных данных, содержащихся в заявлении-анкете, в том числе третьими лицами, с использованием средств автоматизации или без использования таких средств, включая: сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, в том числе трансграничную, обезличивание, блокирование, удаление, уничтожение, а также вышеназванную обработку иных ПДн, полученных в результате их обработки.

В качестве целей обработки персональных данных в заявлении-анкете были указаны:

• Создание информационных баз данных банка;


• Предложение продуктов и услуг банка и его партнеров;


• Заключение и исполнение договоров, где заявитель является стороной либо выгодоприобретателем или поручителям;


• Предоставление информации третьим лицам, которые осуществляют деятельность по осуществлению возврата просроченной задолженности, страхование жизни, здоровья, имущества заявителя и иного страхования, осуществляемого при содействии банка или в пользу банка и/или в связи с заключением договора с правом предоставления данных соответствующим страховым компаниям.

Согласие на обработку ПДн было выдано сроком на 15 лет и могло быть отозвано по письменному заявлению. В случае отзыва согласия обработка должна была быть прекращена банком и/или при условии расторжения договора и полного погашения задолженности по договору в срок не позднее одного года с даты прекращения действия договора.

Суд отметил, что при заключении договора гражданкой был подтвержден факт обработки ее персональных данных оператором, до нее были доведены правовые основания и цели их обработки, применяемые оператором способы обработки, наименование и место нахождения оператора, источник получения ПДн, а также сроки их обработки, в том числе сроки хранения, порядок осуществления субъектом ПДн своих прав в части отзыва согласия на их обработку.

В апреле 2015 года гражданка направила в адрес банка заявление о предоставлении информации, касающейся обработки персональных данных.

Для справки: В соответствии с ч.3 ст.14 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», запрос субъекта ПДн должен содержать:

• Номер основного документа, удостоверяющего личность субъекта ПДн или его представителя;


• Сведения о дате выдачи указанного документа и выдавшем его органе;


• Сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки ПДн оператором;


• Подпись субъекта ПДн или его представителя.

Суд отметил, что заявление гражданки не содержит номера основного документа, удостоверяющего личность субъекта ПДн, сведений о дате выдачи указанного документа и выдавшем его органе.

Тем не менее, ответом банка на данное заявление были подтверждены сведения в отношении обработки персональных данных, содержащиеся в заявлении-анкете, подписанной гражданки, и повторно были указаны цели их обработки, правовые основания такой обработки.

Суд также отметил, что ответ, данный банком на заявление гражданки, был дан на 20 дней позже, чем суд принял исковое заявление к своему производству, что, по мнению суда, не может, однако, свидетельствовать о неисполнении банком обязательств по предоставлению заявителю требуемой информации, поскольку с повторным заявлением гражданка к оператору ПДн не обращалась, ответ банка в уполномоченный орган по защите прав субъектов персональных данных гражданка не обжаловала, что свидетельствует о том, что до обращения в суд гражданкой в полной мере не были реализованы предусмотренные законом способы защиты нарушенного права.

Суд принял решение об отказе в удовлетворении заявленных требований, поскольку нарушений прав гражданки, как субъекта ПДн, на момент рассмотрения дела установлено не было. Причинение банком морального вреда в связи с нарушением положений Закона «О персональных данных» гражданкой не было доказано, как и нарушение ее личных неимущественных прав, что влечет отказ в удовлетворении требований о взыскании суммы компенсации морального вреда.

Судебная коллегия оставила без изменения решение Хорошевского районного суда г. Москвы, а апелляционную жалобу гражданки - без удовлетворения.

Мой комментарий: Суд принял сторону банка, но одновременно мягко указал на то, что гражданка не полностью использовала все меры защиты – по мнению суда, ей нужно было обращаться с жалобой в Роскомнадзор.

Источник: Консультант Плюс
http://base.consultant.ru/cons/cgi/online.cgi?req=doc;base=MARB;n=1040791