Новые консультации в системе ГАРАНТ Консалтинг

Отношения, связанные с обработкой ПДн (далее - ПДн), регулируются Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ). В соответствии со ст. 3 Закона N 152-ФЗ под ПДн понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПДн). Обработкой ПДн признается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн.

В рассматриваемой ситуации оба банка являются операторами ПДн, поскольку самостоятельно осуществляют обработку ПДн должника - физического лица, а также определяют цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с ПДн (п. 2 ст. 3 Закона N 152-ФЗ). Статус оператора ПДн не зависит от какой-либо регистрации, наличия или отсутствия специальных разрешений и т.п., а возникает вследствие самого факта осуществления лицом деятельности по обработке ПДн.

По общему правилу обработка ПДн может осуществляться оператором только с согласия субъектов ПДн (п. 1 ч. 1 ст. 6 Закона N 152-ФЗ). Исключения из этого правила предусмотрены п.п. 2-11 ч. 1 указанной статьи. В частности, согласно п. 5 ч. 1 ст. 6 Закона N 152-ФЗ обработка ПДн может осуществляться и без согласия субъекта ПДн, если она необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПДн.

Однако передача Банком-1 права (требования) к должнику - физическому лицу по договору цессии Банку-2 не связана с исполнением договора, стороной которого является это физическое лицо. Поэтому на передачу ПДн должника в процессе заключения и исполнения договора цессии Банк-1 обязан получить его согласие*(1). В противном случае Банк-1 нарушает установленный законом порядок распространения ПДн*(2) и должен быть привлечен к административной ответственности, предусмотренной ст. 13.11 КоАП РФ.

Заключение Банком-2 договора цессии и, как следствие, приобретение им всех прав Банка-1 по кредитному договору (ст. 384 ГК РФ), не влечет возложение на него административной ответственности за нарушения законодательства о ПДн, допущенные Банком-1, поскольку согласно общеправовым принципам субъектом ответственности является то деликтоспособное лицо, в виновных действиях (бездействии) которого присутствует состав правонарушения.

Отметим, что статья 13.11 КоАП РФ предусматривает административную ответственность за нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (ПДн).

В рассматриваемой ситуации, заключив с Банком-1 договор цессии и получив от него документы, удостоверяющие право требования, и сведения, имеющие значение для осуществления требования (п. 2 ст. 385 ГК РФ), Банк-2 фактически осуществил сбор ПДн должника - физического лица. Для такого случая (получения ПДн не от субъекта ПДн) Закон N 152-ФЗ устанавливает специальный порядок сбора ПДн. Так, согласно ч. 3 ст. 18 Закона N 152-ФЗ, если ПДн получены не от субъекта ПДн, оператор до начала обработки таких ПДн обязан предоставить субъекту ПДн следующую информацию:

1) наименование либо фамилия, имя, отчество и адрес оператора или его представителя;

2) цель обработки ПДн и ее правовое основание;

3) предполагаемые пользователи ПДн;

4) установленные Законом N 152-ФЗ права субъекта ПДн;

5) источник получения ПДн.

Оператор освобождается от обязанности предоставить субъекту ПДн указанные сведения в случаях, предусмотренных ч. 4 ст. 18 Закона N 152-ФЗ. В частности, если ПДн получены им в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПДн (п. 2 ч. 4 ст. 18 Закона N 152-ФЗ). Однако, как мы отметили выше, передача Банком-1 права (требования) к должнику - физическому лицу по договору цессии Банку-2 не связана с исполнением договора, стороной которого является это физическое лицо.

Поэтому в рассматриваемой ситуации Банк-2 до начала обработки ПДн должника по кредитному договору обязан предоставить ему следующую информацию:

1) свое наименование;

2) цель обработки ПДн и ее правовое основание;

3) предполагаемые пользователи ПДн;

4) установленные Законом N 152-ФЗ права субъекта ПДн;

5) источник получения ПДн.

В противном случае, на наш взгляд, Банк-2 нарушит установленный законом порядок сбора ПДн и должен быть привлечен к административной ответственности, предусмотренной ст. 13.11 КоАП РФ.

Данный вывод находит подтверждение в судебной практике: смотрите, например, постановление Федерального арбитражного суда Уральского округа от 13.01.2012 N Ф09-9061/11 по делу N А71-2849/2011,

Обращаем Ваше внимание на то, что дальнейшая обработка Банком-2 ПДн должника может проводиться без получения его согласия, если она необходима для исполнения кредитного договора (п. 5 ч. 1 ст. 6 Закона N 152-ФЗ). При иных целях обработки ПДн Банк-2 обязан получить согласие должника.

Ответ подготовил:

адвокат Рижская Мария

Контроль качества ответа:

Рецензент службы Правового консалтинга ГАРАНТ

Прибыткова Мария

22 ноября 2013 г.

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг.

*(1) Отметим, что неисполнение Банком-1 обязанностей, предусмотренных Законом N 152-ФЗ, не влияет на действительность договора цессии.

*(2) Данный вывод подтверждается судебной практикой: смотрите, например, постановление Федерального арбитражного суда Западно-Сибирского округа от 20.03.2013 N Ф04-730/13 по делу N А27-13226/2012, апелляционное определение СК по гражданским делам Хабаровского краевого суда от 08.05.2013 по делу N 33-2412/2013.