провадження № 22-ц/824/6597/2023 суддя-доповідач у суді ІІ інстанції Фінагеєв В.О.
П О С Т А Н О В А

Іменем України

28 червня 2023 року м. Київ

Київський апеляційний суд

у складі колегії суддів судової палати з розгляду цивільних справ:

Головуючого судді Фінагеєва В.О.,

суддів Кашперської Т.Ц., Яворського М.А.,

за участю секретаря Лобоцької В.П.,

розглянувши в судовому засіданні цивільну справу за апеляційною скаргою ОСОБА_1 на рішення Печерського районного суду міста Києва від 16 січня 2023 року у справі за позовом ОСОБА_1 до Акціонерного товариства Комерційний банк «ПриватБанк» про захист персональних даних, -

В С Т А Н О В И В:

У серпні 2022 року ОСОБА_1 звернувся до суду з позовом та просив зобов`язати АТ КБ «ПриватБанк» знищити усі персональні дані позивача, які знаходяться у володінні та розпорядженні відповідача.

Позовні вимоги обґрунтовані тим, що 01 жовтня 2021 року ОСОБА_1 направив заяву на адресу АТ КБ «ПриватБанк» з вимогою про знищення його персональних даних. Листом від 13 жовтня 2021 року АТ КБ «ПриватБанк» відмовив у знищенні персональних даних позивача. Позивач вважає, що вказані дії відповідача є прямим порушенням приписів Закону України «Про захист персональних даних» та порушують права позивача, що стало підставою для звернення до суду із вказаним позовом.

Рішенням Печерського районного суду міста Києва від 16 січня 2023 року у задоволенні позову ОСОБА_1 відмовлено.

В апеляційній скарзі ОСОБА_1 просить скасувати рішення суду першої інстанції через порушення норм матеріального та процесуального права та ухвалити нове судове рішення, яким позов задовольнити.

В обґрунтування доводів апеляційної скарги позивач зазначає, що відповідачем на надано суду правового обґрунтування того, чому персональні дані позивача не можуть бути видалені, а лише наведене власне тлумачення норм законодавства. Відповідачем не надано доказів того, що ще не закінчився строк зберігання даних, визначених згодою позивача на обробку цих даних. Також, в оскаржуваному рішенні міститься посилання на те, що позивач не надав суду інформацію щодо незаконної обробки його персональних даних. Вказаний висновок є неправильним визначенням відповідно до встановлених судом обставин правовідносин та виходом судом за межі позовних вимог, адже ч. 2 ст. 15 Закону України «Про захист персональних даних» передбачає чотири випадки видалення або знищення персональних даних, які не містять відсилки до незаконності обробки даних, а тільки зобов`язують розпорядника даних їх видалити за настання певних юридичних фактів, якими у випадку позивача є вказані у п. 1, 2 вказаної норми закону юридичні факти. Позивач вказує, що не має жодних правовідносин з відповідачем, просить виконати вимоги прямої норми закону, однак, відповідач її не виконує.

Перевіривши законність і обґрунтованість рішення суду першої інстанції в межах доводів апеляційної скарги та вимог, заявлених у суді першої інстанції, апеляційний суд вважає за необхідне апеляційну скаргу залишити без задоволення, виходячи з наступного.

Відповідно до ст. 263 ЦПК України судове рішення повинно ґрунтуватися на засадах верховенства права, бути законним і обґрунтованим. Законним є рішення, ухвалене судом відповідно до норм матеріального права із дотриманням норм процесуального права.

Обґрунтованим є рішення, ухвалене на підставі повно і всебічно з`ясованих обставин, на які сторони посилаються як на підставу своїх вимог і заперечень, підтвердженими тими доказами, які були досліджені в судовому засіданні.

Судом встановлено, що 01 жовтня 2021 року ОСОБА_1 направив заяву на адресу АТ КБ «ПриватБанк» з вимогою про знищення персональних даних (а.с. 2).

Листом від 13 жовтня 2021 року №20.1.0.0.0/7-211011/12672 АТ КБ «ПриватБанк» відмовив у знищенні персональних даних ОСОБА_1 , оскільки строк зберігання юридичної справи рахунку становить 5 років після припинення відносин, тому банк зобов`язаний здійснювати зберігання та обробку персональних даних (а.с. 3-4).

27 жовтня 2021 року ОСОБА_1 повторно звернувся до АТ КБ «ПриватБанк» із заявою про знищення персональних даних (а.с. 5).

Листом від 04 листопада 2021 року №20.1.0.0.0/7-211103/ 18749 АТ КБ «ПриватБанк» відмовив у знищенні персональних даних ОСОБА_1 (а.с. 6).

08 листопада 2021 року ОСОБА_1 звернувся до АТ КБ «ПриватБанк» із заявою про знищення персональних даних (а.с. 7).

Листом від 29 листопада 2021 року №20.1.0.0.0/7-211124/17458 АТ КБ «ПриватБанк» відмовив у знищенні персональних даних ОСОБА_1 (а.с. 8).

Ухвалюючи рішення про відмову у задоволенні позову, суд першої інстанції виходив з того, що позовні вимоги є необґрунтованими та ґрунтуються виключно на судженнях позивача.

Апеляційний суд погоджується з висновками суду першої інстанції з наступних підстав.

Відповідно до ст. 19 Конституції України органи державної влади та органи місцевого самоврядування, їх посадові особи зобов`язані діяти лише на підставі, в межах повноважень та у спосіб, що передбачені Конституцією та Законами України.

Відповідно до ст. 32 Конституції України не допускається збирання, зберігання, використання та поширення конфіденційної інформації про особу без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.

Кожному гарантується судовий захист права спростувати недостовірну інформацію про себе і членів своєї сім`ї та права вимагати вилучення будь-якої інформації, а також право на відшкодування матеріальної і моральної шкоди, завданої збиранням, зберіганням, використанням та поширенням такої недостовірної інформації (ч. 4 ст. 32 Конституції України).

Відповідно до ст. 11 Закону України «Про інформацію» інформація про фізичну особу (персональні дані) - відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована. Не допускається збирання, зберігання, використання та поширення конфіденційної інформації про особу без її згоди, крім випадків, визначених законом і лише в інтересах національної безпеки, економічного добробуту та захисту прав людини. До конфіденційної інформації про фізичну особу належать, зокрема, дані про її національність, освіту, сімейний стан, релігійні переконання, стан здоров`я, а також адреса, дата і місце народження.

Відповідно до ст. 2 Закону України «Про захист персональних даних» персональні дані - відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована.

Обробка персональних даних - це дія або сукупність дій, таких як збирання, реєстрація, накопичення, зберігання, адаптування, зміна, поновлення, використання і поширення (розповсюдження, реалізація, передача) знеособлення, знищення персональних даних, у тому числі з використанням інформаційних (автоматизованих) систем.

Мета обробки персональних даних має бути сформульована в законах, інших нормативно-правових актах, положеннях, установчих чи інших документах, які регулюють діяльність володільця персональних даних, та відповідати законодавству про захист персональних даних. Обробка персональних даних здійснюється відкрито і прозоро із застосуванням засобів та у спосіб, що відповідають визначеним цілям такої обробки (ст. 6 Закону України «Про захист персональних даних».

Частиною 6 ст. 6 Закону України «Про захист персональних даних» визначено, що не допускається обробка даних про фізичну особу, які є конфіденційною інформацією, без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.

Персональні дані обробляються у формі, що допускає ідентифікацію фізичної особи, якої вони стосуються, не довше, ніж це необхідно для законних цілей, у яких вони збиралися або надалі оброблялися (ч. 8 ст. 6 Закону України «Про захист персональних даних»).

Так, відповідно до ст. 8 Закону України «Про захист персональних даних» суб`єкт персональних даних має право:

1) знати про джерела збирання, місцезнаходження своїх персональних даних, мету їх обробки, місцезнаходження або місце проживання (перебування) володільця чи розпорядника персональних даних або дати відповідне доручення щодо отримання цієї інформації уповноваженим ним особам, крім випадків, встановлених законом;

2) отримувати інформацію про умови надання доступу до персональних даних, зокрема інформацію про третіх осіб, яким передаються його персональні дані;

3) на доступ до своїх персональних даних;

4) отримувати не пізніш як за тридцять календарних днів з дня надходження запиту, крім випадків, передбачених законом, відповідь про те, чи обробляються його персональні дані, а також отримувати зміст таких персональних даних;

5) пред`являти вмотивовану вимогу володільцю персональних даних із запереченням проти обробки своїх персональних даних;

6) пред`являти вмотивовану вимогу щодо зміни або знищення своїх персональних даних будь-яким володільцем та розпорядником персональних даних, якщо ці дані обробляються незаконно чи є недостовірними;

7) на захист своїх персональних даних від незаконної обробки та випадкової втрати, знищення, пошкодження у зв`язку з умисним приховуванням, ненаданням чи несвоєчасним їх наданням, а також на захист від надання відомостей, що є недостовірними чи ганьблять честь, гідність та ділову репутацію фізичної особи;

8) звертатися із скаргами на обробку своїх персональних даних до Уповноваженого або до суду;

9) застосовувати засоби правового захисту в разі порушення законодавства про захист персональних даних;

10) вносити застереження стосовно обмеження права на обробку своїх персональних даних під час надання згоди;

11) відкликати згоду на обробку персональних даних;

12) знати механізм автоматичної обробки персональних даних;

13) на захист від автоматизованого рішення, яке має для нього правові наслідки.

Відповідно до ст. 81 ЦПК України, кожна сторона зобов`язана довести ті обставини, на які вона посилається як на підставу своїх вимог і заперечень. Доказуванню підлягають обставини, які мають значення для ухвалення рішення у справі і щодо яких у сторін та інших осіб, які беруть участь у справі, виникає спір. Доказування не може ґрунтуватись на припущеннях.

Звертаючись до суду з позовом, ОСОБА_1 вказує про те, що 01 жовтня 2021 року ним було направлено заяву до відповідача з вимогою про знищення персональних даних.

Зі змісту зазначеного листа вбачається, що в теперішній час між ним та АТ КБ «Приватбанк» жодних правовідносин не існує. При цьому, позивач не спростовує факту, що відносини між ним та відповідачем існували раніше, що свідчить про те, що позивачем було надано згоду на обробку його персональних даних.

Апеляційний суд погоджується з висновками суду першої інстанції, що позивач не надав суду інформації щодо незаконної обробки його персональних даних, оскільки при відкритті позивачем банківського рахунку в АТ КБ «ПриватБанк», як заначено у листі АТ КБ «ПриватБанк» інформація про позивача була отримана з дозволу останнього і без порушень вимог Закону України «Про захист персональних даних» та є достовірною.

В той же час, знищення персональних даних здійснюється з підстав, визначених статтею 15 Закону України «Про захист персональних даних». Так, персональні дані підлягають видаленню або знищенню у разі: 1) закінчення строку зберігання даних, визначеного згодою суб`єкта персональних даних на обробку цих даних або законом; 2) припинення правовідносин між суб`єктом персональних даних та володільцем чи розпорядником бази, якщо інше не передбачено законом; 3) видання відповідного припису Уповноваженого або визначених ним посадових осіб секретаріату Уповноваженого; 4) набрання законної сили рішенням суду щодо видалення або знищення персональних даних.

Зберігання документів щодо ідентифікації та вивчення клієнтів (у тому числі створених банком електронних документів), їх копії здійснюється у строки, встановлені п. 15 ч. 2 ст. 6 Закону України «Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та фінансуванню розповсюдження зброї масового знищення». Зокрема, суб`єкт первинного фінансового моніторингу зобов`язаний зберігати офіційні документи, інші документи (у тому числі створені суб`єктом первинного фінансового моніторингу електронні документи), їх копії щодо ідентифікації та верифікації осіб (клієнтів, представників клієнтів), а також осіб, яким суб`єктом первинного фінансового моніторингу було відмовлено у проведенні фінансових операцій, вивчення клієнта, уточнення інформації про клієнта, а також усі документи, що стосуються ділових відносин (проведення фінансової операції) з клієнтом (включаючи результати будь-якого аналізу під час проведення заходів щодо верифікації клієнта чи поглибленої перевірки клієнта), не менше п`яти років після завершення фінансової операції, завершення ділових відносин з клієнтом, а всі необхідні дані про фінансові операції (достатні для того, щоб простежити хід операції) - не менше п`яти років після завершення операції, закриття рахунка, припинення ділових відносин.

Зазначене свідчить про те, що знищення персональних даних може здійснюватися, в тому числі, і у разі припинення правовідносин між суб`єктом персональних даних та володільцем чи розпорядником персональних даних, але після завершення фінансової операції, закриття рахунка, припинення ділових відносин всі необхідні дані зберігаються ще не менше п`яти років.

Отже, колегія суддів погоджується з висновком суду першої інстанції про те, що відсутні правові підстави для задоволення позову щодо зобов`язання відповідача знищити його персональні дані, беручи до уваги, зокрема, і те, що позивач не довів належними та допустимими доказами того, що персональні дані, які отримані відповідачем, обробляються незаконно чи недостовірно.

Інші доводи апеляційної скарги висновків суду першої інстанції про відмову в задоволенні позову також не спростовують і не містять посилань на такі порушення, які б слугували підставою для скасування рішення суду.

Враховуючи зазначене, висновки суду першої інстанції по суті відповідають фактичним обставинам справи, судом повно з`ясовано обставини, що мають значення для справи, що у відповідності до ст. 375 ЦПК України є підставою для залишення рішення суду першої інстанції без змін, а апеляційної скарги без задоволення.

На підставі викладеного та керуючись статтями 374, 375, 381, 382-384 ЦПК України, апеляційний суд, -

П О С Т А Н О В И В:

Апеляційну скаргу ОСОБА_1 залишити без задоволення.

Рішення Печерського районного суду міста Києва від 16 січня 2023 року залишити без змін.

Постанова набирає законної сили з дня її прийняття та може бути оскаржена в касаційному порядку до Верховного Суду протягом тридцяти днів.

Повне судове рішення складено 03 липня 2023 року.

Головуючий Фінагеєв В.О.

Судді Кашперська Т.Ц.

Яворський М.А.