Возможность обработки персональных данных субъекта-должника без его согласия

(Анохин Д. А.) ("Банковское право", 2012, N 6) Текст документа

ВОЗМОЖНОСТЬ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ СУБЪЕКТА-ДОЛЖНИКА БЕЗ ЕГО СОГЛАСИЯ

Д. А. АНОХИН

Анохин Дмитрий Александрович, руководитель Отдела судебно-исковой работы Юридического департамента ипотечного банка "ДельтаКредит".

Статья посвящена малоизученной и актуальной теме применения ФЗ "О персональных данных" к правоотношениям заемщика и банка-кредитора через призму гражданского процессуального законодательства и судебной защиты интересов кредитора. Автор исследует возможность применения норм об обработке персональных данных, с учетом возможности отзыва согласия физического лица (должника), третьими лицами - представителями взыскателя. Помимо теоретического обоснования, приводятся некоторые показательные прецеденты из судебной практики.

Ключевые слова: ФЗ "О персональных данных", защита персональных данных, заемщик, банк-кредитор, отзыв должником согласия.

Possibility of processing of personal data of subject-debtor without agreement thereof D. A. Anokhin

The article is devoted to a poorly studied and topical theme of application of Federal Law "On Personal Data" to legal relations of borrower and bank-creditor through the prism of civil procedure legislation and judicial protection of interests of creditor. The author studies the possibility of application of norms on processing of personal data taking into consideration the possibility of revocation of agreement of natural person (debtor) by third persons - representatives of creditor. Apart from theoretical substantiation the author presents certain illustratory precedents from judicial practice.

Key words: Federal Law "On Personal Data", protection of personal data, borrower, bank-creditor, revocation of agreement by debtor.

Нематериальные блага охраняются законом. Этот принцип, закрепленный в главе 8 Гражданского кодекса Российской Федерации <1>, нашел свое развитие в Федеральном законе от 27 июля 2006 г. N 152-ФЗ "О персональных данных". В юридической литературе анализу норм данного закона уделено большое внимание. На наш взгляд, это обусловлено тем, что сфера регулирования ФЗ "О персональных данных" пронизывает все правоотношения с участием физического лица. Достаточно обратиться к понятию "обработка персональных данных", введенному названным ФЗ. -------------------------------- <1> Гражданский кодекс Российской Федерации (часть первая) от 30 ноября 1994 г. N 51-ФЗ: в редакции от 1 июля 2012 г. // Собрание законодательства Российской Федерации. 1994. N 32. Ст. 3301.

Так, согласно п. 3 ст. 3 ФЗ "О персональных данных" обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Одним из условий обработки персональных данных физического лица Федеральный закон "О персональных данных" устанавливает согласие такого физического лица на их обработку, предусматривая при этом исчерпывающий перечень исключений, когда такое согласие не требуется. Целью данного исследования является анализ существующих норм ФЗ "О персональных данных" об условиях обработки персональных данных и попытка дать ответ на вопрос: как отзыв согласия на обработку персональных данных влияет на правоотношения кредитора и лица, привлеченного кредитором для судебной защиты его прав? Стоит отметить, что судебная практика по рассматриваемому в настоящей статье вопросу в настоящее время отсутствует, хотя есть некоторые судебные прецеденты, касающиеся толкования исследуемых норм ФЗ "О персональных данных". Перейдем к сути вопроса. Для этого смоделируем следующую ситуацию. Заемщик взял кредит, в условиях кредитного договора имелся пункт, согласно которому заемщик дает свое согласие на обработку его персональных данных и возможную их передачу третьим лицам. Заемщик не исполняет условия договора, кредит не возвращает. Банк вынужден обратиться в суд, при этом для представления своих интересов банк привлекает эксперта в вопросах взыскания задолженности, юридическую фирму/адвоката - не важно, и идет в суд. Судебный процесс - мероприятие, растянутое по времени. В ходе судебного процесса заемщик отзывает согласие на обработку его персональных данных <2>. У банка нет собственных юристов, специализирующихся на судебном представительстве. Повторимся, что ситуация намеренно абстрагирована. -------------------------------- <2> Нормы ФЗ "О персональных данных" не предусматривают пресекательных сроков на отзыв согласия на обработку персональных данных.

Что делает суд, узнав об отзыве согласия на обработку персональных данных? Суд обращается к ст. 21 ФЗ "О персональных данных". Согласно п. 5 и 6 названной статьи оператор (в рассматриваемом случае банк) обязан прекратить обработку персональных данных или обеспечить прекращение такой обработки (если обработка ведется другим лицом, действующим по поручению оператора, как в нашем случае, обработка ведется по поручению банка юридической фирмой/адвокатом) и обеспечить уничтожение (блокирование с последующим уничтожением) персональных данных. Если толковать положения ст. 6 ФЗ "О персональных данных" буквально, то можно прийти к выводу о том, что представители банка - юридическая фирма/адвокат - не могут участвовать в судебном процессе, поскольку у них отсутствуют основания для обработки персональных данных заемщика без его согласия, т. е. привлеченные представители банка не смогут знакомиться с материалами дела, готовить процессуальные документы, давать пояснения суду, выступать в прениях и т. п., поскольку во всех указанных случаях будет иметь место обработка персональных данных ответчика, на которую ответчик согласие отозвал. Следовательно, банк будет вынужден вести данное дело своими силами. В нашем случае у банка нет собственных юристов, специализирующихся на судебном сопровождении, это означает, что банк должен либо брать в штат такого юриста (поскольку банк сможет работать с персональными данными заемщика и без его согласия, т. к. это необходимо для исполнения кредитного договора, стороной которого является субъект персональных данных), либо перепрофилировать одного из юристов, уже работающих в банке. Оба варианта связаны с определенными затратами для банка - временными, операционными и финансовыми. Юридическая фирма/адвокат в таком случае теряют клиента, поскольку они не смогут представлять интересы банка. Данный вывод следует из совокупного толкования ст. 6 и 21 ФЗ "О персональных данных". Но действительно ли не смогут? Для ответа на этот вопрос предлагаем проанализировать те варианты-исключения, которые можно, пусть и с определенными оговорками, применить к рассматриваемому случаю. Согласно подп. 3, 5, 7 п. 1 ст. 6 и ст. 21 ФЗ "О персональных данных" согласие субъекта на обработку персональных данных не требуется, когда: - обработка персональных данных необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (подп. 3 п. 1 ст. 6); - обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем (подп. 5 п. 1 ст. 6); - обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных (подп. 7 п. 1 ст. 6). Начнем с первого основания-исключения. С. И. Ожегов в "Словаре русского языка" <3> определяет правосудие как деятельность судебных органов. Согласно ст. 4 Федерального конституционного закона от 31 декабря 1996 г. N 1-ФКЗ "О судебной системе Российской Федерации" правосудие в Российской Федерации осуществляется только судами. Статья 5 Гражданского процессуального кодекса Российской Федерации N 138-ФЗ от 14 ноября 2002 г. указывает, что правосудие по гражданским делам, подведомственным судам общей юрисдикции, осуществляется только этими судами по правилам, установленным законодательством о гражданском судопроизводстве. Из указанной нормы мы делаем вывод о том, что стороны в гражданском процессе являются участниками правосудия с отличными от суда функциями. Об этом свидетельствует и один из основных принципов осуществления правосудия - состязательность и равноправие сторон <4>. Свое право на защиту заинтересованное лицо (в данном случае кредитор) реализовывает через обращение в суд. При этом ст. 48 ГПК РФ предусматривает равные права гражданина и организации вести свои дела лично или через представителей. -------------------------------- <3> Ожегов С. И. Словарь русского языка. Изд. 15. М., 1984. С. 511. <4> Ст. 12 Гражданского процессуального кодекса Российской Федерации от 14 ноября 2002 г. N 138-ФЗ // Собрание законодательства Российской Федерации. 2002. N 46. Ст. 4532.

Если предположить, что при отзыве согласия на обработку персональных данных продолжить их обрабатывать сможет только суд (исходя из подп. 3 п. 1 ст. 6 ФЗ) и банк (исходя из подп. 5 п. 1 ст. 6 ФЗ), а иные лица, участвующие в деле (прокурор, лица, вступающие в дело для дачи заключения) или представляющие интересы банка, этого делать не смогут в силу прямого запрета, установленного подп. 1 п. 1 ст. 6 и ст. 21 ФЗ "О персональных данных", а кроме того, эксперт и специалист также не будут иметь возможности провести экспертизу/дать заключение без обработки персональных данных заемщика, отозвавшего свое согласие, мы придем к следующему: суду будет необходимо при назначении экспертизы или при необходимости в иных процессуальных действиях, совершаемых не самим судом, а лицами, участвующими в деле (ознакомление с материалами дела, подготовка процессуальных документов и т. п.), запрашивать согласие заемщика на обработку его персональных данных и фиксировать такое согласие в протоколе судебного заседания либо иным образом. Не думаем, что такую конструкцию закладывал законодатель, указывая в подп. 3 п. 1 ст. 6 ФЗ "О персональных данных" в качестве основания-исключения обработки персональных данных без согласия субъекта - обработку в целях осуществления правосудия. Поскольку осуществление правосудия без совершения лицами, участвующими в деле, определенных действий (как минимум необходимо предъявление искового заявления) невозможно. Из изложенного следует вывод о том, что положения подп. 3 п. 1 ст. 6 ФЗ "О персональных данных" распространяются в равной степени на суд, орган, исполняющий судебный акт, которые прямо поименованы в тексте нормы, и на лиц, участвующих в деле, которые в названной норме прямо не поименованы, но действия которых в рамках осуществления правосудия невозможны без обработки персональных данных физического лица - ответчика по делу. Перейдем к представителям банка - юридической фирме/адвокату. Строго формально представитель не является лицом, участвующим в деле (ст. 34 ГПК РФ). Такой подход к определению статуса представителя в гражданском процессе подтверждается правоприменительной практикой <5>. Однако при этом представитель, не являясь лицом, участвующим в деле, участвует в осуществлении правосудия. Поскольку представитель обладает определенными правами лица, участвующего в деле, закрепленными в доверенности, положения подп. 3 п. 1 ст. 6 ФЗ "О персональных данных" должны распространяться и на него. -------------------------------- <5> См.: Определение Верховного Суда РФ от 04.09.2012 N 57-КГ12-2.

Иное противоречило бы не только букве ст. 48 Конституции РФ и ст. 48 ГПК РФ, гарантирующих право каждого на получение квалифицированной юридической помощи, но и духу института представительства. Здесь мы встречаем обоснованное возражение относительно пределов осуществления гражданских прав. Согласно ч. 3 ст. 55 Конституции Российской Федерации и ч. 2 ст. 1 Гражданского кодекса Российской Федерации гражданские права могут быть ограничены на основании федерального закона. Названные нормы содержат существенную оговорку: права могут быть ограничены только в той мере, в какой это необходимо в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства. При этом как сама возможность ограничений, так и их характер должны определяться на основе Конституции Российской Федерации. Возникает определенная коллизия гражданско-правовых и гражданских процессуальных норм, а именно: ст. 48 Конституции РФ, ст. 12 ГК РФ, ст. 48 ГПК РФ и ст. 55 Конституции РФ, абз. 2 ч. 2 ст. 1 ГК РФ, ст. 6, 21 ФЗ "О персональных данных". Руководствуясь конституционным принципом правовой определенности в целях стабильности правового регулирования и соответствующих правоотношений, необходимо определить, какие нормы имеют приоритет - нормы, закрепляющие право на судебную защиту, на оказание квалифицированной юридической помощи, или нормы, регламентирующие защиту персональных данных? Положения специального закона - ФЗ "О персональных данных" - устанавливают определенные ограничения работы с персональными данными граждан в целях их защиты. При этом названный Закон предусматривает исключения, при которых ограничения на обработку персональных данных не действуют, в частности при осуществлении правосудия. Таким образом, законодатель определяет приоритет норм, закрепляющих право на судебную защиту и право на получение квалифицированной юридической помощи, перед нормами, устанавливающими особый режим работы с персональными данными. Вторым анализируемым в целях исследования основанием-исключением является обработка персональных данных в целях исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных. В рассматриваемом примере субъект персональных данных является стороной кредитного договора. В целях понуждения субъекта персональных данных к надлежащему исполнению обязательств по кредитному договору банк обращается в суд. При этом персональные данные передаются банком третьему лицу - юридической фирме/адвокату - для подготовки искового заявления и последующего представления интересов банка в суде. В данном случае персональные данные передаются в обработку третьему лицу в связи с заключенным между кредитором и третьим лицом договором об оказании юридических услуг (либо агентским договором), но в целях исполнения субъектом персональных данных договора, стороной которого он является. Аналогичным доводом руководствовался один из банков при рассмотрении искового заявления заемщика о признании незаконными действий по передаче его персональных данных третьему лицу <6>. Суд первой инстанции исковое заявление заемщика удовлетворил. Суд апелляционной инстанции оставил решение суда первой инстанции без изменения. При этом суд руководствовался следующим: действия банка по передаче третьему лицу персональных данных заемщика с целью получения с него задолженности по кредитному договору не являются обработкой персональных данных по поручению оператора, которые не требуют согласия субъекта персональных данных. При этом суд апелляционной инстанции признал несостоятельным довод банка о том, что к третьему лицу перешли права требования по кредитному договору, указав, что заключенный между банком и третьим лицом агентский договор не порождает перехода к третьему лицу прав требования. Такой же вывод содержится и в кассационном Определении Оренбургского областного суда <7>. В данном случае суд кассационной инстанции указал, что данные о должниках были переданы третьему лицу в целях исполнения агентского договора, а не в целях исполнения договора, заключенного между кредитором и должниками. -------------------------------- <6> См.: апелляционное Определение Ярославского областного суда от 05.03.2012 по делу N 33-939/2012. <7> См.: кассационное Определение Оренбургского областного суда от 08.02.2012 по делу N 33-805/2012.

Указанные прецеденты могут свидетельствовать о формировании у судов определенной позиции относительно применения подп. 5 п. 1 ст. 6 ФЗ "О персональных данных". В нашем примере согласие на передачу персональных данных третьим лицам было дано заемщиком. Рассматривая основание-исключение, содержащееся в подп. 5 п. 1 ст. 6 ФЗ "О персональных данных", мы хотели понять, возможно ли использовать его как аргумент в подтверждение права третьего лица - представителя банка осуществлять обработку персональных данных без согласия субъекта персональных данных. В данном случае суд посчитал, что цели обработки персональных данных при заключении кредитного договора и агентского договора разные. Так ли это? Обработка персональных данных заемщика при заключении кредитного договора имеет своей целью провести комплекс мероприятий (оценка платежеспособности заемщика, подготовка документов и т. п.), итогом которых станет заключение кредитного договора и выдача кредита. Целью заключения агентского договора/договора об оказании юридических услуг является побуждение заемщика к надлежащему исполнению кредитного обязательства - уплате просроченной задолженности, возврату кредита. Согласно ст. 819 ГК РФ по кредитному договору банк или иная кредитная организация (кредитор) обязуются предоставить денежные средства (кредит) заемщику в размере и на условиях, предусмотренных договором, а заемщик обязуется возвратить полученную денежную сумму и уплатить проценты на нее. Таким образом, возврат кредита является неотъемлемой частью кредитного обязательства и обработка персональных данных заемщика в рамках агентского договора/договора об оказании юридических услуг направлена на обеспечение возврата кредита (части кредита). Если следовать предложенной логике, цели обработки, на первый взгляд кажущиеся разными, по своей сути тождественны. В таком случае выводы судов выглядят весьма спорно. Следует, однако, признать, что первостепенной целью обработки персональных данных заемщика агентом/исполнителем все же будет являться надлежащее исполнение условий агентского договора/договора об оказании юридических услуг, стороной которого субъект персональных данных не является. Понуждение заемщика к исполнению кредитного договора, осуществляемое агентом, является следствием заключения агентского договора/договора об оказании юридических услуг. Соответственно, цели обработки персональных данных при заключении кредитного договора и при заключении агентского договора/договора об оказании юридических услуг не являются тождественными. Таким образом, выводы судов, приведенные выше, все же являются правильными. Еще одним основанием-исключением является ситуация, когда обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных. Обращаясь в суд самостоятельно или опосредованно, через привлеченного агента/исполнителя, банк обрабатывает персональные данные заемщика для подготовки искового заявления и иных процессуальных документов, что необходимо для осуществления права банка на защиту и права банка на получение квалифицированной юридической помощи. Удовлетворяет ли такая обработка персональных данных условию соблюдения прав и свобод субъекта персональных данных? На наш взгляд, удовлетворяет. Реализация банком указанных выше прав не нарушает права субъекта персональных данных, поскольку вызвана ненадлежащим поведением последнего. И в этой связи возражения субъекта персональных данных относительно их обработки третьим лицом в рамках подготовки иска, его предъявления в суд и в рамках участия в самом судебном процессе не имеют юридической значимости. Представляется правильным критическое отношение суда к подобным возражениям. В нашем случае оператором персональных данных помимо банка является третье лицо - агент/исполнитель. Агент в данном случае обрабатывает персональные данные субъекта не в целях защиты своих прав, а в целях защиты прав заказчика, который по смыслу подп. 7 п. 1 ст. 6 ФЗ "О персональных данных" в данной конструкции будет являться третьим лицом. Следовательно, такая обработка также соответствует необходимым условиям подп. 7 п. 1 ст. 6 ФЗ "О персональных данных". Итак, рассмотрев отдельные случаи, когда согласие субъекта на обработку его персональных данных не требуется, указанные в подп. 3, 5 и 7 п. 1 ст. 6 ФЗ "О персональных данных", мы приходим к следующим выводам: обработка персональных данных лицом, представляющим интересы кредитора в суде, возможна без согласия субъекта персональных данных, поскольку она производится в целях осуществления правосудия (подп. 3 п. 1 ст. 6 ФЗ "О персональных данных") и в целях защиты прав и интересов оператора персональных данных (подп. 7 п. 1 ст. 6 ФЗ "О персональных данных"). Данные выводы сделаны на основании толкования указанных норм и соотнесения их содержания с базовыми нормами Конституции Российской Федерации и смежными нормами Гражданского кодекса Российской Федерации и Гражданского процессуального кодекса Российской Федерации. При возникновении ситуации, описанной в настоящей статье, можно обратиться к приведенному выше теоретическому обоснованию для формирования правовой позиции по конкретному спору с заемщиком. В заключение отметим, что субъекты персональных данных все чаще используют отзыв согласия на обработку персональных данных как инструмент давления на кредитора, тем самым злоупотребляя своим правом на защиту персональных данных. Выражаем надежду, что Верховный Суд Российской Федерации обратит внимание судов общей юрисдикции на данный аспект и суды при рассмотрении гражданских дел начнут давать подобным действиям субъектов персональных данных надлежащую юридическую оценку.

------------------------------------------------------------------

Название документа