Добровільно-примусова згода на обробку персональних даних Укрпоштою: що вирішив суд

Вінницький апеляційний суд 24 червня 2020 року виніс постанову по досить цікавій справі № 127/13877/19 за позовом 14 осіб до АТ «Укрпошта» в особі Вінницької дирекції про визнання дій протиправними, зобов`язання вчинити дії, відшкодування моральної шкоди.

Справа цікава тим, що стосувалася надання згоди на обробку персональних даних, а точніше, питання добровільно-примусового надання таких даних.

Так, у травні 2019 року ці 14 осіб звернулися до суду з позовом до Укрпошти. Позовні вимоги були обґрунтовані тим, що при наданні послуг відповідач самовільно обробляє їх персональні дані, самовільно вносить у розрахункові квитанції повідомлення про надання ними згоди на обробку персональних даних, примушує називати номер мобільного телефону для здійснення відправлення листа, посилки чи бандеролі тощо, мотивуючи це вимогою автоматизованої комп`ютерної програми.

На думку позивачів, такі дії відповідача є протиправними, порушують Конституцію України, Закон України «Про захист персональних даних». Вони вважають, що обробка персональних даних без згоди, про яку в них не питали, а поставили перед фактом при наданні послуг, є недопустимою. Позивачі категорично проти обробки їх персональних даних, і своєї згоди на обробку персональних даних в автоматизованих системах вони не надавали. Зауважили, що відсутність добровільної згоди забороняє відповідачеві обробляти їх персональні дані, є неправомірним втручанням в їх особисте життя з боку держави, що також, на їх думку, визначено в постанові Великої Палати ВС від 19 вересня 2018 року у справі № 806/3265/17.

Позивачі зазначили, що не дозволяли Укрпошті обробляти їх персональні дані та передавати їх третім особам, банківським установам для відкриття рахунків, у тому числі, карткових. Вони вимагали надавати поштові послуги, використовуючи традиційні методи посвідчення особи – на паперових носіях без застосування автоматизованих систем (реєстрів), і для здійснення конкретної мети: надання поштових послуг, таких як прийом комунальних та інших платежів, виплати пенсій, соціальних та інших виплат, переказів, універсальних поштових послуг тощо.

Вважають, що існує реальна можливість надання поштових послуг, зокрема, по сплаті комунальних платежів, без застосування автоматизованих систем, з використанням паперових квитанцій по формі №47, без занесення інформації до автоматизованої системи.

Позивачі вважають, що права їх порушені, оскільки в разі надання ними згоди на обробку персональних даних вони добровільно передають відповідачу (втрачають) свою немайнову власність. Така згода на обробку персональних даних призводить до звуження обсягу прав людини, зокрема, права володіти своїми особистими (персональними) даними. Діючи всупереч чинному законодавству України, в тому числі Закону України «Про захист персональних даних», відповідач, на їх думку, не отримавши їх згоду на обробку персональних даних, самовільно здійснив обробку в автоматизованих системах, чим порушив їх немайнові права, відібравши у них їх немайнову власність, і здійснив втручання в особисте життя.

Також відповідач, на їх думку, змушує їх отримувати поштові послуги (виплата пенсій, оплата комунальних платежів, відправка листа чи посилки тощо) виключно з «добровільною» згодою на обробку персональних даних (ОПД) та відмовляє в наданні послуг при ненаданні такої згоди, відмовляє в наданні послуги, якщо не вказується номер мобільного телефону. Такі дії відповідача, на думку позивачів, порушують їх право як громадян України та споживачів поштових послуг.

З моменту виникнення спірних відносин відповідач не вжив жодних заходів щодо відновлення порушеного права позивачів, що стало підставою для звернення до суду з даним позовом та компенсації моральної шкоди.

Моральна шкода, як зазначили позивачі, полягає у спричиненні душевних страждань, застосуванні примусу, порушенні спокою. У відділеннях Укрпошти оператори відмовляли позивачам в одержанні поштових послуг, якщо вони вказували про заборону обробляти персональні дані або називати номер телефону. Вимога зазначити номер мобільного телефону ставила позивачів у безвихідне становище, оскільки у деяких позивачів телефон взагалі відсутній. Чинним законодавством не передбачено обов`язку громадянина мати мобільний телефон. Вимоги операторів Укрпошти надати мобільний номер, оскільки так запрограмована програма, на думку позивачів, є свавільними і незаконними. Дані обставини змушували позивачів ходити по відділеннях в надії, що трапиться оператор, який не відмовить у наданні послуг без зазначення номера телефону, а також не змусить дати «добровільну згоду» на обробку персональних даних. Позивачі оцінили завдану моральну шкоду на суму по 20 000 грн.

Отже, позивачі просили:

- визнати протиправними дії АТ «Укрпошта» в особі Вінницької дирекції щодо самовільного внесення персональних даних позивачів в електронні реєстри, щодо самовільного внесення у розрахункові квитанції повідомлення про надання позивачами згоди на обробку персональних даних, якої вони не надавали, щодо примусу позивачів вказувати номер мобільного телефону;

- зобов`язати відповідача заборонити обробку персональних даних позивачів, знищити персональні дані, що містяться в їх електронних реєстрах, та надавати позивачам послуги з прийому комунальних та інших платежів, виплати пенсій, соціальних та інших виплат, переказів, універсальних поштових послуг – на паперових носіях, без застосування автоматизованих систем, без передачі їх персональних даних третім особам, у тому числі банківським установам, за кордон, використовуючи традиційні методи посвідчення особи, згідно з виданими на її ім`я документами (паспорт, пенсійне посвідчення тощо), виключно для надання необхідної позивачам послуги;

-зобов`язати АТ «Укрпошта» виплатити моральну шкоду в розмірі по 20 000 грн кожному позивачу за привласнення їх персональних даних та незаконну їх обробку.

Рішенням Вінницького міського суду Вінницької області від 24 січня 2020 року позов задоволено частково.

Зобов`язано АТ «Укрпошта» видалити (знищити) персональні дані 14 позивачів з електронних баз даних (інформаційно-телекомунікаційних систем за отриманими послугами, надання яких передбачало обробку персональних даних) АТ «Укрпошта».

Зобов`язано АТ «Укрпошта» при наданні послуг (з прийому платежів, виплат, переказів, універсальних поштових послуг) 14-ти позивачам здійснювати ідентифікацію особи за паспортними даними та обробляти персональні дані без використання засобів автоматизації, виключно для надання відповідної послуги.

В решті позову – відмовлено.

Не погоджуючись із рішенням суду першої інстанції, позивачі подали апеляційну скаргу.

Основними доводами апеляційної скарги є те, що суд дійшов помилкового висновку про відмову в задоволенні позову про визнання дій відповідача протиправними з тих підстав, що позивачі мають право на відкликання згоди на обробку персональних даних, оскільки згоди на обробку персональних даних відповідачем при надання послуг позивачі не надавали. Відповідач підтверджує факт самовільної обробки персональних даних позивачів без їх згоди та належного інформування їх про це. На поштових відділеннях, де позивачі користувалися послугами АТ «Укрпошта», не було розміщено умов обробки персональних даних. Оператори не інформували позивачів про обробку персональних даних відповідно до Закону України «Про захист персональних даних». Відповідач незаконно вніс персональні дані позивачів до електронної бази та незаконно володіє ними.

Зазначають, що у квитанціях відповідача (які позивачі отримують на руки після сплати за послуги) в електронній системі наявний текст про те, що конкретний споживач надає добровільну згоду на обробку персональних даних в автоматизованій системі. Таке повідомлення, що споживач бачить вже після отримання на руки квитанції, унеможливлює сам факт надання ним добровільної поінформованої згоди на здійснення операції з опрацювання, що є порушенням абзацу 4 статті 2 Закону України «Про захист персональних даних».

Вказують, що позивачі не ставили вимоги зобов`язати відповідача здійснювати ідентифікацію за паспортними даними та обробляти персональні дані, тоді як позивачі просили суд зобов`язати відповідача знищити персональні дані, що містяться в їх електронних реєстрах, та надавати позивачам послуги, використовуючи традиційні методи посвідчення особи, згідно з виданими на їх ім`я документами (паспорт, пенсійне посвідчення тощо), виключно для надання необхідної послуги без застосування обробки персональних даних в автоматизованих системах відповідача.

Крім цього, АТ «Укрпошта» без відома позивачів і без їх згоди передавало, поширювало персональні дані невизначеному колу третіх осіб, а також за кордон, що є порушенням немайнових прав позивачів.

В апеляційній скарзі АТ «Укрпошта» просило скасувати рішення суду першої інстанції в частині задоволених позовних вимог та ухвалити нове, яким відмовити в задоволенні позову.

Основними доводами апеляційної скарги є те, що у справі відсутні докази того, що між частиною позивачів та відповідачем виникли правовідносини, з яких виник спір.

Суд першої інстанції не звернув увагу на те, що позивачі звернулися до відповідача про відкликання згоди на обробку персональних даних поза межами обробки персональних даних (звернення надіслано поштовим зв`язком уже після здійснення відповідних платежів, які передбачали обробку), а відкликання згоди можливе лише у випадку обробки персональних даних відповідно до пункту 1 частини першої статті 11 Закону України «Про захист персональних даних» та згідно з пунктом 6.5 Політики загальних засад обробки персональних даних в АТ «Укрпошта». Відкликання можливе лише на етапі поточної обробки персональних даних. Відкликання згоди на обробку персональних даних, які вже були оброблені в рамках наданої послуги, є неможливим.

Позивачами не доведено, що персональні дані, які отримані відповідачем, обробляються незаконно чи недостовірно, тоді як правом позивачів щодо знищення своїх персональних даних є пред`явлення вмотивованої вимоги щодо зміни або знищення своїх персональних даних будь-яким володільцем та розпорядником персональних даних, якщо ці дані обробляються незаконно чи є недостовірними.

Вінницький апеляційний суд дійшов висновку, що апеляційна скарга позивачів підлягає задоволенню частково, а апеляційна скарга «Укрпошти» підлягає задоволенню повністю, виходячи з наступного.

У справі встановлено наступні обставини.

Позивачі є споживачами послуг поштового зв`язку, що надаються АТ «Укрпошта».

Надання послуг поштового зв`язку, зокрема з приводу прийому платежів, виплат, переказів, універсальних поштових послуг, здійснюється виключно з обробкою персональних даних, враховуючи специфіку такої обробки у сфері надання послуг, а прізвище, ім`я та по батькові у сукупності з місцем фактичного проживання дає змогу в повному обсязі ідентифікувати споживача.

При оплаті за надані послуги оператор видав позивачам квитанції з автоматизованої системи з відміткою про надання згоди споживачем на обробку персональних даних з метою надання послуг АТ «Укрпошта» та здійснення пов`язаних з цим операцій відповідно до Закону України «Про захист персональних даних».

Не погоджуючись із такими діями відповідача, 25 лютого 2019 року позивачі звернулись до АТ «Укрпошта» з письмовими вимогами щодо виключення їх персональних даних з електронних баз даних на підставі статті 8 Закону України «Про захист персональних даних», внесених без їх згоди. Просили надавати їм послуги виключно за прізвищем, іменем, по батькові та місцем фактичного проживання без внесення їх персональних даних до автоматизованих реєстрів.

АТ «Укрпошта» надало письмові відповіді про те, що метою обробки персональних даних АТ є надання якісних послуг поштового зв`язку користувачам (суб`єктам персональних даних), обробка інформації, що становить профіль споживання послуг, врегулювання питань у сфері трудових правовідносин та при веденні господарської діяльності у порядку, визначеному законодавством. Обов`язок АТ «Укрпошта» обробляти персональні дані як володільця персональних даних передбачений Законом України «Про поштовий зв`язок». Персональні дані в АТ «Укрпошта» обробляються з використанням засобів автоматизації або без використання таких засобів, з урахуванням особливостей процесів надання послуг поштового зв`язку та рівня автоматизації таких процесів. Також АТ «Укрпошта» повідомило, що передає інформацію, отриману від користувачів послуг поштового зв`язку (суб`єктів персональних даних) в рамках надання послуг третім особам з метою належного виконання своїх обов`язків, за згодою суб`єкта персональних даних та відповідно до вимог законодавства. Передача персональних даних можлива виключно на договірній основі за умови належного їх зберігання та захисту третьою особою та/або розпорядником, а також чіткого визначення її/його відповідальності за забезпечення належного захисту при обробці персональних даних за виключенням випадків, прямо передбачених законодавством. Передача персональних даних іноземним суб`єктам відносин з метою обробки за кордон здійснюється з дотриманням умов, визначених у статті 29 Закону. Відкликання згоди на обробку персональних даних, які вже були оброблені в рамках наданої послуги, є неможливим. В разі відкликання згоди на обробку персональних даних, надання послуги поштового зв`язку припиняється, оскільки надання таких послуг неможливе без оброблення персональних даних користувачів таких послуг.

Крім того, на письмові звернення до Міністерства інфраструктури України щодо відмови в наданні згоди на збір персональних даних при наданні послуг поштового зв`язку АТ «Укрпошта» позивачі отримали відповіді від 14 березня 2019 року, що АТ «Укрпошта» є акціонерним товариством, 100% акцій якого належать державі. Управління корпоративними правами держави стосовно товариства здійснює Мінінфраструктури. З урахуванням відмови користувачів послуг на обробку персональних даних товариство забезпечить видалення наявних персональних даних в інформаційно-телекомунікаційних системах за отриманими послугами, надання яких передбачало обробку персональних даних.

У зв`язку з наданням позивачам ряду послуг, надання яких передбачало обробку персональних даних, такі дані позивачів зберігаються в електронних базах даних (інформаційно-телекомунікаційних системах за отриманими послугами) АТ «Укрпошта».

Задовольняючи частково позов, суд першої інстанції виходив з того, що позивачі є споживачами послуг поштового зв`язку та між сторонами виникли правовідносини щодо надання послуг поштивого зв`язку. Письмові вимоги позивачів на відкликання згоди на обробку персональних даних не були задоволені відповідачем, та останні мають безумовне право на відкликання згоди на обробку персональних даних, а тому є необхідність зобов`язати АТ «Укрпошта» видалити (знищити) персональні дані позивачів. Відповідачем створена можливість здійснювати ідентифікацію позивачів за паспортними даними при наданні ряду послуг поштового зв`язку (прийом платежів, виплат, універсальних поштових послуг, переказів) без використання засобів автоматизації.

Суд також зазначив, що письмові вимоги позивачів на відкликання згоди на обробку персональних даних не були задоволені відповідачем, тому їх право підлягає захисту в судовому порядку шляхом зобов`язання АТ «Укрпошта» видалити (знищити) персональні дані позивачів з електронних баз даних (інформаційно-телекомунікаційних систем за отриманими послугами, надання яких передбачало обробку персональних даних) АТ «Укрпошта». Вимоги позивачів щодо зобов`язання АТ «Укрпошта» при наданні послуг (з прийому платежів, виплат, переказів, універсальних поштових послуг) позивачам здійснювати ідентифікацію осіб за паспортними даними та обробляти персональні дані без використання засобів автоматизації, виключно для надання замовленої послуги, буде належним способом захисту їх прав. При цьому відповідач є єдиним національним оператором щодо надання послуг поштового зв`язку, і відповідачем створена така можливість.

Вимога позивачів про визнання дій АТ «Укрпошта» щодо самовільного внесення персональних даних у електронні реєстри, щодо самовільного внесення у розрахункові квитанції повідомлення про надання ними згоди на обробку персональних даних, якої вони не надавали, щодо примусу вказувати номер мобільного телефону задоволенню не підлягає, оскільки позивачами не доведено, що їх персональні дані при наданні послуг відповідачем були отримані самовільно і незаконно.

Оскільки позивачі підтвердили, що вони замовляли і отримували послуги АТ «Укрпошти», надаючи свої персональні дані, а доказів того, що відповідач здійснював таку обробку всупереч їх волі та в порушення статей 6, 7, 12, 13, 14 Закону України «Про захист персональних даних», немає, суд дійшов висновку, що підстав для задоволення вимог про визнання дій АТ «Укрпошта» протиправними немає.

Також є недоведеними вимоги позивачів щодо відшкодування моральної шкоди.

Позивачі не довели, що відповідач без їх згоди здійснює передачу їх персональних даних третім особам за кордон, крім того, такі вимоги позивачів є неконкретизованими, а спосіб захисту спрямований на майбутнє, тому позов у цій частині також задоволенню не підлягає.

Висновок суду першої інстанції про наявність правових підстав для часткового задоволення позовних вимог не ґрунтується на обставинах справи, зроблений з порушенням норм матеріального та процесуального права, з огляду на наступне.

З огляду на предмет та підстави позову суду необхідно було встановити, чи надавалась згода позивачів на обробку їх персональних даних.

Правові відносини, пов`язані із захистом і обробкою персональних даних, і спрямований на захист основоположних прав і свобод людини і громадянина, зокрема права на невтручання в особисте життя, у зв`язку з обробкою персональних даних визначено Законом України «Про захист персональних даних» (зі змінами) від 01 червня 2010 року № 2297-VI (далі – Закон № 2297-VI).

Цей Закон поширюється на діяльність з обробки персональних даних, яка здійснюється повністю або частково із застосуванням автоматизованих засобів, а також на обробку персональних даних, що містяться у картотеці чи призначені до внесення до картотеки, із застосуванням неавтоматизованих засобів.

Згідно з рішенням Конституційного Суду України від 20 січня 2012 року № 2-рп/2012, збирання, зберігання, використання та поширення конфіденційної інформації про особу без її згоди державою, органами місцевого самоврядування, юридичними або фізичними особами є втручанням в її особисте та сімейне життя. Таке втручання допускається винятково у визначених законом випадках.

Відповідно до частини п`ятої статті 6 Закону № 2297-VI, обробка персональних даних здійснюється виключно на підставі згоди особи або закону. Дане положення конкретизується статтею 11 Закону № 2297-VI.

Згідно з частиною першою статті 11 Закону № 2297-VI підставами для обробки персональних даних є: 1) згода суб`єкта персональних даних на обробку його персональних даних; 2) дозвіл на обробку персональних даних, наданий володільцю персональних даних відповідно до закону виключно для здійснення його повноважень; 3) укладення та виконання правочину, стороною якого є суб`єкт персональних даних або який укладено на користь суб`єкта персональних даних чи для здійснення заходів, що передують укладенню правочину на вимогу суб`єкта персональних даних; 4) захист життєво важливих інтересів суб`єкта персональних даних; 5) необхідність виконання обов`язку володільця персональних даних, який передбачений законом; 6) необхідність захисту законних інтересів володільця персональних даних або третьої особи, якій передаються персональні дані, крім випадків, коли потреби захисту основоположних прав і свобод суб`єкта персональних даних у зв`язку з обробкою його даних переважають такі інтереси.

Відповідно до статті 2 Закону № 2297-VI  згода суб`єкта персональних даних – добровільне волевиявлення фізичної особи (за умови її поінформованості) щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки, висловлене у письмовій формі або у формі, що дає змогу зробити висновок про надання згоди. У сфері електронної комерції згода суб`єкта персональних даних може бути надана під час реєстрації в інформаційно-телекомунікаційній системі суб`єкта електронної комерції шляхом проставлення відмітки про надання дозволу на обробку своїх персональних даних відповідно до сформульованої мети їх обробки, за умови, що така система не створює можливостей для обробки персональних даних до моменту проставлення відмітки.

За змістом статті 25 Закону № 2297-I обмеження дії статей 6, 7 і 8 цього Закону може здійснюватися у випадках, передбачених законом, наскільки це необхідно у демократичному суспільстві в інтересах національної безпеки, економічного добробуту або захисту прав і свобод суб`єктів персональних даних чи інших осіб.

Дозволяється обробка персональних даних без застосування положень цього Закону, якщо така обробка здійснюється: 1) фізичною особою виключно для особистих чи побутових потреб.

Згідно зі статтею 13 Закону України «Про послуги поштового зв`язку» послуги поштового зв`язку надаються на договірній основі згідно з Правилами надання послуг поштового зв`язку, що затверджуються Кабінетом Міністрів України, та повинні відповідати встановленим нормам якості.

У договорі про надання послуг поштового зв`язку, якщо він укладається у письмовій формі, та у квитанції, касовому чеку тощо, якщо договір укладається в усній формі, обов`язково зазначаються найменування оператора та об`єкта поштового зв`язку, які надають послуги, дата та вид послуги, її вартість. У договорі, стороною якого є національний оператор зв`язку, укладеному в будь-якій формі, має міститися попередження про недопущення пересилання письмової кореспонденції, виконаної і розтиражованої друкарським способом, без вихідних даних (тираж, назва друкарні, номер замовлення та інше). За недотримання цієї вимоги несе відповідальність оператор поштового зв`язку.

Договір про надання послуги поштового зв`язку вважається укладеним після оплати користувачем вартості цієї послуги, якщо інше не передбачене відповідними договорами.

Укладення та виконання правочину як підстава для обробки персональних даних фактично базується на основі згоди особи.

Це підтверджується тим, що як і згода в її класичному розумінні, правочин згідно з цивільним законодавством повинен відповідати низці вимог, які викладені в статті 203 Цивільного кодексу України, відповідно до частини 3 якої «волевиявлення учасника правочину має бути вільним і відповідати його внутрішній волі». Так, вільність волевиявлення фактично відповідає принципу добровільності і передбачає право особи вирішувати, вчиняти правочин чи ні. Відповідність внутрішній волі, хоч і не в повній мірі, але все ж охоплює принцип поінформованості, оскільки передбачає, що учасник правочину перед здійсненням волевиявлення повною мірою усвідомлює його правові наслідки. Укладення правочину як підстава обробки персональних даних, необхідних для виконання правочину, також передбачає, що перед вчиненням правочину суб`єкту надаватиметься передбачена статтею 12 інформація у такому ж вигляді, як і у випадку надання окремої згоди.

Різниця між правочином та згодою як окремою підставою для обробки персональних даних лише в тому, що сам по собі договір (незалежно від змісту його положень) є підставою для обробки даних особи, незалежно від надання чи ненадання окремої згоди.

Дійшовши висновку, що вимога позивачів про визнання дій відповідача щодо самовільного внесення персональних даних у електронні реєстри не знайшла свого підтвердження належними та допустимими доказами (тобто персональні дані позивачів при наданні послуг АТ «Укрпошта» отримало на законних підставах), суд першої інстанції не звернув уваги, що відповідно до статті 2 Закону України «Про захист персональних даних» збирання, реєстрація та накопичення персональних даних і є вже складовою обробки даних.

Таким чином, здійснюючи оплату наданих послуг поштового зв`язку, вказавши свої паспортні дані, адресу, надавши розрахункові книжки з плати комунальних послуг, у яких міститься конкретна інформація про особу, тощо, позивачі надали згоду на обробку своїх персональних даних – у формі, що дає змогу зробити про це висновок.

Наявність у наданих копіях накладних запису про те, що «Я, шляхом підписання накладної, надаю згоду АТ «Укрпошта» на обробку моїх персональних даних та надаю доступ до них третім особам з метою надання мені послуг АТ «Укрпошта», посвідчую про отримання повідомлення щодо включення інформації про мене до бази даних та отримав роз`яснення про свої права як суб`єкта персональних даних відповідно до Закону України «Про захист персональних даних», не доводить про порушення прав позивачів, оскільки відсутні докази того, що персональні дані оброблялись довше, ніж це необхідно для законних цілей чи з порушенням мети їх обробки.

Крім того, бланк накладної розроблений як стандартний, а отже може використовуватись при наданні послуг іншим споживачам, у тому числі у сфері електронної комерції. Обов`язку ставити підпис на накладній та надавати згоду на обробку персональних даних у письмовій формі немає.

Таким чином, встановивши, що у діях відповідача немає протиправних дій при отриманні та обробці персональних даних позивачів, а факт примусового зазначення номера мобільного телефону при отриманні послуг не доведено, суд першої інстанції прийшов вірного висновку про відмову в задоволенні позовних вимог в частині визнання дій АТ «Укрпошта» протиправними та стягненні моральної шкоди.

У свою чергу, не встановивши факту порушення будь-яких прав позивачів, суд першої інстанції дійшов необґрунтованого висновку про часткове задоволення позовних вимог у спосіб, який не відповідає інтересам позивачів та суперечить закону.

Стаття 15 Закону України «Про захист персональних даних» визначає випадки, при яких персональні дані підлягають видаленню або знищенню. У пункті 4 даної статті вказано, що персональні дані підлягають видаленню або знищенню у разі набрання законної сили рішення суду про видалення або знищення персональних даних.

Відповідно до пунктів 6, 11 частини другої статті 8 Закону України «Про захист персональних даних» суб`єкт персональних даних має право пред`являти вмотивовану вимогу щодо зміни або знищення своїх персональних даних будь-яким володільцем та розпорядником персональних даних, якщо ці дані обробляються незаконно чи є недостовірними, а також відкликати згоду на обробку персональних даних.

Отже, зобов`язавши відповідача видалити персональні дані позивачів, без встановлення факту їх незаконної чи недостовірної обробки, та без відповідної вимоги про це позивачів, а також без наявності спору про це, так як з такими заявами (про видалення даних) позивачі до відповідача не звертались, суд першої інстанції перебрав на себе повноваження іншого органу та вийшов за межі позовних вимог, чим порушив вимоги статей 13, 263 ЦПК України.

Крім того, суд першої інстанції не врахував, що без зазначення у резолютивній частині рішення суду ідентифікаційних даних позивачів, за якими їх можна безпомилково виділити серед інших, рішення суду не може бути виконаним, а отже є необґрунтованим, так як не відповідає завданню цивільного судочинства, визначеному цим Кодексом.

Доказів того, що після подання заяв про відмову від надання згоди на збір та обробку персональних даних відповідач протиправно збирав та обробляв персональні дані позивачів, суду надано не було.

Рішення суду в частині зобов`язання АТ «Укрпошта» при наданні послуг (з прийому платежів, виплат, переказів, універсальних поштових послуг) позивачам здійснювати ідентифікацію особи за паспортними даними та обробляти персональні дані без використання автоматизації, виключно для надання відповідної послуги, підлягає скасуванню з огляду на наступне.

Згідно зі статтею 1 Закону № 2759-III послуги поштового зв`язку – продукт діяльності оператора поштового зв`язку з приймання, обробки, перевезення та доставки (вручення) поштових відправлень, виконання доручень користувачів щодо поштових переказів, банківських операцій, спрямований на задоволення потреб користувачів.

Приймання платежів – це послуга, яка здійснюється відповідачем з метою зарахування отриманих від платників грошових коштів на рахунки Одержувача (будь-який суб`єкт господарювання або фізична особа, на користь якої АТ «Укрпошта» здійснює приймання від платників платежів у національній валюті або безготівковій формі) за житлово комунальні послуги, комунальні платежі, користування засобами зв`язку, кабельним телебаченням, інтернетом, на користь банківських установ у рахунок погашення кредиторської заборгованості, платежів до бюджету, податки тощо.

У свою чергу платником є особа, яка сплачує певну суму грошових коштів з метою їх зарахування на рахунок будь-якого суб`єкта господарювання або фізичної особи.

АТ «Укрпошта» приймає платежі за договорами, укладеними з компаніями-посередниками, які перебувають у договірних відносинах з постачальниками послуг, та об`єднує інформацію, необхідну для здійснення приймання платежів у єдину базу даних (база даних останніх є платники та одержувачі, які перебувають у договірних відносинах із компаніями-посередниками, яка містить інформацію, необхідну для здійснення переказу).

Приймання платежів здійснюється на підставі інформації, одержаної шляхом обміну даними між автоматизованими системами компаніями-посередниками та АТ «Укрпошта».

Платежі приймаються за рахунками, які виготовляються одержувачами, на користь якого приймається платіж, або на бланках рахунків для приймання платежів, виготовлених АТ «Укрпошта».

Платник при здійсненні оплати надає обов`язкові реквізити, які передбачені для виконання цієї операції (реквізити Одержувача), та лише при наявності рахунку на сплату платежів за згодою платника на рахунку зазначається його контактний телефон (примусово останній не витребовується).

Приймання платежів здійснюється працівниками поштового зв`язку у відділеннях поштового зв`язку, листоношами на доставних дільницях неавтоматизованих відділень поштового зв`язку.

У випадку неавтоматизованого відділення приймаються від платника рахунки на сплату платежів та вносяться дані за платежем (до програмного забезпечення, реєстратора розрахункових операцій (РРО), розрахункової книжки ф. 47 – залежно від рівня автоматизації відділення) та здійснюється приймання.

Згідно з вимогами Закону України «Про застосування реєстраторів розрахункових операцій» відповідач повинен здійснювати розрахункові операції з обов`язковим застосуванням реєстрів розрахункових операцій (РРО).

Тому, незалежно від рівня автоматизації відділення приймання платежів, їх перерахування вноситься виключно в програмне забезпечення (в автоматизованих – одразу при здійснені платежу, а у неавтоматизованих – за документами (паперовими формами)).

Таким чином, відповідач зобов`язаний здійснювати прийом платежів та вносити дані до програмного забезпечення, а тому здійснення останнього, повністю без застосування автоматизованих систем, є неможливим.

Згідно з частинами першою, другою статті 2 Закону України «Про запобігання легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та фінансуванню розповсюдження зброї масового знищення» від 14 жовтня 2014 року № 1702-VII (далі – Закон № 1702-VII) дія цього Закону поширюється на громадян України, іноземців та осіб без громадянства, фізичних осіб – підприємців, а також на юридичних осіб, їх філії, представництва та інші відокремлені підрозділи, що забезпечують проведення фінансових операцій на території України та за її межами відповідно до міжнародних договорів України, згода на обов`язковість яких надана Верховною Радою України. Виконання цього Закону не є порушенням Закону України «Про захист персональних даних» в частині обробки персональних даних. Обробка персональних даних відповідно до вимог цього Закону здійснюється без отримання згоди суб`єкта персональних даних.

Відповідно до пункту 5 статті 5 Закону № 1702-VII суб`єктами первинного фінансового моніторингу є: оператори поштового зв`язку, інші установи, які проводять фінансові операції з переказу коштів.

Також суд першої інстанції при ухваленні оскаржуваного рішення не звернув увагу на те, що частині позивачів взагалі не надали докази виникнення правовідносин між сторонами, жодного доказу щодо отримання послуг поштового зв`язку та відмови відповідачем здійснення останніх, за паспортними даними незалежно від відділення поштового зв`язку (автоматизована система чи неавтоматизована). Інша частина позивачів, обґрунтовуючи свої вимоги, також не довела, що відповідач відмовив у наданні послуг поштового зв`язку за паспортними даними (незалежно від рівня автоматизації відділення).

Таким чином, ухвалюючи рішення, суд першої інстанції фактично задовольнив вимоги, які суперечать одна одній, так як зобов`язавши знищити персональні дані позивачів, при цьому зобов`язав відповідача надати послуги поштового зв`язку з обробкою персональних даних без використання засобів автоматизації, що є несумісним, адже обробка персональних даних здійснюється як з використанням засобів автоматизації, так і без її застосування (згідно з рівнем автоматизації відділень).

Згідно зі статтею 1 Закону № 2759-III цей Закон поширюється на діяльність з обробки персональних даних, яка здійснюється повністю або частково із застосуванням автоматизованих засобів, а також на обробку персональних даних, що містяться у картотеці чи призначені до внесення до картотеки, із застосуванням неавтоматизованих засобів.

Згідно з частиною першою статті 6 Закону № 2297-VI, мета обробки персональних даних має бути сформульована в законах, інших нормативно-правових актах, положеннях, установчих чи інших документах, які регулюють діяльність володільця персональних даних, та відповідати законодавству про захист персональних даних.

Персональні дані – це відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована (стаття 2 Закону № 2297-VI).

Обробка персональних даних здійснюється для конкретних і законних цілей, визначених за згодою суб`єкта персональних даних, або у випадках, передбачених законами України, у порядку, встановленому законодавством. Не допускається обробка даних про фізичну особу, які є конфіденційною інформацією, без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини (частини п`ята, шоста статті 6 вказаного Закону).

Таким чином, принципами обробки персональних даних є відкритість і прозорість, відповідальність, адекватність та ненадмірність їх складу та змісту стосовно визначеної мети їх обробки, а підставою обробки персональних даних є згода суб`єкта персональних даних.

З огляду на наведене, суд апеляційної інстанції вважає, що позовні вимоги є недоведеними відповідно до частини третьої статті 81 ЦПК України, оскільки АТ «Укрпошта» не порушено прав та інтересів позивачів, а тому рішення місцевого суду в частині задоволених позовних вимог підлягає скасуванню, так як ухвалено з порушенням норм матеріального та процесуального права, а в частині відмовлених позовних вимог рішення підлягає залишенню без змін, так як в цій частині ухвалено з дотриманням норм матеріального права, а наведені аргументи апеляційної скарги позивачів не спростовують висновків суду першої інстанції в цій частині.

Позивачами не надано доказу щодо самовільного внесення операторами поштового зв`язку персональних даних у електронні реєстри, незаконного отримання відповідачем персональних даних позивачів. Натомість, позивачі ОСОБА_5, ОСОБА_3, ОСОБА_2, ОСОБА_7, ОСОБА_11 підтвердили, що замовляли і отримували послуги Укрпошти, надаючи свої персональні дані, а доказів того, що відповідач здійснював таку обробку з порушенням вимог Закону України «Про захист персональних даних», не надано.

Посилання позивачів в апеляційній скарзі на правову позицію, викладену в постанові Великої Палати Верховного Суду від 19 вересня 2018 року, справа № 806/3265/17 (Пз/9901/2/18), суд апеляційної інстанції вважає такими, що не дають правових підстав для задоволення позовних вимог, оскільки правовідносини у справі № 806/3265/17 не є подібними з даною справою.

Відповідно до пунктів 1, 4 частини першої статті 376 ЦПК України підставами для скасування судового рішення повністю або частково та ухвалення нового рішення у відповідній частині або зміни судового рішення є: неповне з`ясування обставин, що мають значення для справи; порушення норм процесуального права або неправильне застосування норм матеріального права.

За таких обставин аргументи апеляційної скарги позивачів частково заслуговують на увагу, а аргументи апеляційної скарги відповідача заслуговують на увагу повністю, рішення суду першої інстанції підлягає скасуванню в частині задоволених позовних вимог з ухваленням нового рішення про відмову в задоволенні цих позовних вимог. В іншій частині рішення суду першої інстанції слід залишити без змін.

Таким чином, апеляційну скаргу Укрпошти суд вирішив задовольнити, а рішення Вінницького міського суду Вінницької області від 24 січня 2020 року в частині задоволених позовних вимог позивачів та розподілу судових витрат у даній справі скасувати та ухвалити нове.

Позовні вимоги 14 позивачів до Укрпошти про зобов`язання видалити (знищити) персональні дані з електронних баз даних, зобов`язання при наданні послуг здійснювати ідентифікацію особи за паспортними даними та обробляти персональні дані без використання засобів автоматизації, виключно для надання відповідної послуги, залишити без задоволення.

Підписуйтесь на наш Telegram-канал, щоб бути в курсі найважливіших подій.