Защита персональных данных: рассмотрение обращения гражданина
Материал подготовлен с использованием правовых актов по состоянию на 3 октября 2023 г.
На примере из судебной практики по рассмотрению обращения гражданина в части защиты персональных данных показано, что персональные данные могут создаваться оператором (организацией) самостоятельно, но при этом необходимо соответствующее правовое основание.
ПРАВОВОЕ РЕГУЛИРОВАНИЕ
● Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З)
● Закон от 18.07.2011 № 300-З «Об обращениях граждан и юридических лиц» (далее – Закон № 300-З)
Фабула дела
П., заявитель, является абонентом УП по оказанию услуг связи.
03.08.2022 в личном кабинете заявителя в приложении к абонентской информации был отображен статус «конфликтный».
14.09.2022 П. обратился с письменным обращением в УП по вопросам самовольных оценочных действий компании в его адрес, которые выходят за рамки лицензии на оказание услуг связи и договорных отношений между ним и компанией, а также нарушают его репутацию.
В обращении он просил:
● установить конкретного сотрудника компании и руководителя по курации, которые допустили негативные оценочные суждения в его адрес;
● привлечь сотрудника компании и руководителя по курации к дисциплинарной ответственности;
● ознакомить его с результатами проведения служебной проверки, в т.ч. с приказами о привлечении к дисциплинарной ответственности;
● дать мотивированный ответ, на каком основании сотрудники компании позволяют давать оценочные суждения в адрес клиентов;
● указать в мотивированном ответе ссылки на нормы законодательства Республики Беларусь и ЛПА компании.
01.10.2022 П. получил ответ, который, по его мнению, не давал ответы на вопросы, поставленные в обращении.
01.10.2022 П. направил в УП повторное письменное обращение, в котором указал, что его письменное обращение не рассмотрено по существу, ответ на обращение не соответствует требованиям законодательства, не содержит ответов на поставленные вопросы.
Также он указал, что в отношении него был сделан неправомерный оценочный статус и указано определение «конфликтный».
На указанное обращение УП 14.10.2022 за подписью начальника управления по развитию клиентского опыта был дан ответ, в котором указано, что оценочная характеристика «конфликтный» не может быть отнесена к категории персональных данных, обработка персональных данных клиентов УП производится в соответствии с требованиями законодательства, положений ЛПА. УП не усмотрело нарушений законодательства в области защиты персональных данных.
Слово «конфликт» используется при наличии разногласий/спора, что само по себе не является негативной оценкой, а лишь указывает на имеющее место противоречие. Специалист использовал в работе с заявкой терминологию, описывающую именно факт наличия разногласий. Компания считает, что негативное оценочное суждение о клиенте не усматривается. В связи с этим привлечение сотрудника к дисциплинарной ответственности неприменимо. В этом же ответе УП принесло извинения заявителю за имевшее место разногласие.
16.11.2022 заявитель обратился с жалобой в суд.
Решение суда № 1
Решение и позиция суда от 28.12.2022. Районный суд отказал П. в удовлетворении жалобы, поскольку, по мнению суда, обращение П. было рассмотрено по существу, ответ являлся мотивированным.
Обращение заявителя было рассмотрено в пределах компетенции в предусмотренные законом сроки. Заявитель был письменно проинформирован о результатах рассмотрения обращения, ответ направлен заявителю по месту жительства.
Доводы заявителя П. о том, что направленный ему ответ не содержит мотивированные ответы на все поставленные вопросы, судом были признаны несостоятельными, поскольку обращение рассмотрено по существу, ответ содержит разъяснения применительно к обстоятельствам, изложенным заявителем.
Ссылку заявителя в подтверждение своих доводов на ответ Национального центра защиты персональных данных от 06.12.2022 № 04/371-П суд оценил критически, поскольку обращение заявителя рассмотрено, ошибочный подход к применению действующего законодательства не может служить основанием для удовлетворения жалобы. При этом вопросы привлечения к административной ответственности за нарушение законодательства о защите персональных данных урегулированы административным законодательством. Заявитель в целях защиты прав в данной части обратился к должностному лицу органа внутренних дел по вопросу составления протокола об административном правонарушении.
Кроме того, вопросы привлечения сотрудников компании и руководителя по курации к дисциплинарной ответственности относятся к компетенции нанимателя, регулируются трудовым законодательством.
Соответственно, нарушений порядка рассмотрения обращения заявителя со стороны УП в ходе судебного разбирательства не установлено (решение суда Центрального района г. Минска от 28.12.2022, мотивировочная часть решения суда Центрального района г. Минска от 28.12.2023).
Решение суда № 2
Решение и позиция судебной коллегии по гражданским делам от 13.03.2023. Судебная коллегия по гражданским делам полагает, что при рассмотрении жалобы судом первой инстанции не были учтены все существенные обстоятельства по делу.
Так, в обращении заявитель П. просил установить сотрудников, которые допустили негативные оценочные суждения в его адрес, на каком основании они позволяют давать такие оценочные суждения, ознакомить с результатами проведенной проверки по его обращению. На указанные вопросы ответы заявителю не даны. Поэтому судебная коллегия считает, что указанный ответ является необоснованным, немотивированным, неполным применительно к содержанию вопросов заявителя, изложенных в обращении.
Кроме того, судом первой инстанции не дана оценка ответу Национального центра защиты персональных данных от 06.12.2022, из которого следует, что согласно абз. 9 ст. 1 Закона № 99-З персональными данными признается любая информация, относящаяся к идентифицированному физлицу. Поскольку индивидуальная характеристика «конфликтный» установлена в отношении заявителя, такая информация признается персональными данными и для ее обработки должно быть соответствующее правовое основание.
В этом же ответе установлен факт обработки УП персональных данных П. при отсутствии его согласия, подтверждено направление в адрес компании требования об удалении таких данных.
С учетом изложенного судебная коллегия пришла к выводу, что ответ УП на обращение П. не соответствует требованиям ст. 14, 18 Закона № 300-З, является неполным, немотивированным, не содержит конкретные формулировки, опровергающие или подтверждающие доводы заявителя, в связи с чем:
● решение суда было отменено;
● жалоба П. на ответ УП на обращение признана обоснованной;
● постановлено обязать УП рассмотреть обращение П. от 01.10.2022 в установленном порядке (определение судебной коллегии по гражданским делам Минского городского суда от 13.03.2023 по делу № 97ГПА2277/А).
Решение суда № 3
Решение и позиция суда от 29.06.2023. Согласно заявлению П. повторный ответ от 06.03.2023 он получил, но ответ носил формальный характер, не устранял указанные определением недостатки.
В ответе, по его мнению, усматривается, что все изложенные в его обращении вопросы повторно надлежащим образом не рассмотрены, истребуемые документы не представлены, соответственно, оснований считать его обращение рассмотренным по существу не имеется.
Также в своем заявлении П. указал, что в определении судебной коллегии по гражданским делам указано, что индивидуальная характеристика «конфликтный» установлена в отношении заявителя, такая информация признается персональными данными и для ее обработки требуется соответствующее правовое основание, какого-либо обоснования и мотивировки со ссылками на конкретные нарушения (несоблюдение) норм действующего законодательства о персональных данных заинтересованным лицом в своем ответе не приведено, указание УП в ответе на обращение на то, что отсутствует факт распространения персональных данных заявителя, по мнению П., не свидетельствует о получении им (УП) у П. согласия на обработку персональных данных.
На основании изложенного П. просил суд восстановить срок для подачи жалобы, признать жалобу обоснованной и обязать УП рассмотреть его обращение от 14.09.2022 в соответствии с требованиями Закона № 300-З и определением судебной коллегии по гражданским делам.
Районный суд пришел к выводу, что жалоба подлежит удовлетворению согласно ст. 14, 18, 20 Закона № 300-З (решение суда Центрального района г. Минска от 29.06.2023).
Суд также обязал УП рассмотреть обращение П. в установленном порядке.
Примечание от ИПС «Нормативка.by»
Вывод
1. Неправильное понимание персональных данных может привести не только к нарушениям законодательства о защите персональных данных, но и к нарушениям при рассмотрении обращений граждан.
2. За разъяснениями об отнесении информации к персональным данным обращаются не только организации и суды, но и обычные граждане, что косвенно указывает на повышение их правовой осведомленности о своих правах.
3. При работе с физлицами следует уделять повышенное внимание персональным данным (информации, которая относится к физлицам).
Так, исходя из рассмотренных судебных дел можно сделать вывод, что персональные данные могут создаваться оператором (организацией) самостоятельно, но при этом необходимо соответствующее правовое основание.
Указание в личном кабинете клиента (абонента) статуса «конфликтный» – это создание и дальнейшая обработка персональных данных, которая требует наличия согласия на обработку персональных данных.
Нарушение требований законодательства о защите персональных данных, в свою очередь, может повлечь негативные последствия для работников оператора (дисциплинарная ответственность (с учетом п. 10 ч. 1 ст. 47 Трудового кодекса), административная ответственность по ст. 23.7 Кодекса об административных правонарушениях и т.п.), а также повышенное внимание со стороны надзорного органа (Национального центра защиты персональных данных).
