Суд счел завышенным срок хранения персональных данных клиента

Достаточно часто претензии граждан в отношении нарушений законодательства по защите персональных данных (ПДн) возникают как «довесок» к более серьезному спору с оператором персональных данных.

В сентябре 2021 года «Альфа-Банк» заключил с гражданином договор накопительного счета «Альфа-счет» путем присоединения к договору о комплексном банковском обслуживании физических лиц. В договоре были следующие сроки обработки ПДн:

• «Банк осуществляет обработку персональных данных клиента в течение всего срока действия соглашений, договоров, включая договор о комплексном банковском обслуживании физических лиц в АО «Альфа-Банк», заключенных с банком, а также в течение 10 лет с даты прекращения обязательств сторон по соглашениям» (п. 3.16.14);
• «Персональные данные Клиента подлежат уничтожению по истечении 10 (десяти) лет с даты прекращения обязательств Сторон по Договору» (п. 3.17).

Гражданин пожаловался на банк, и Управление Роспотребнадзора по Пермскому краю в январе 2022 года решило, что:

• срок обработки персональных данных клиента (в договоре) в течение 10 лет с даты прекращения обязательств явно завышен и противоречит Закону о персональных данных¹, т.к. этот закон требует:
  • ограничить обработку ПДн достижением конкретных, заранее определенных и законных целей и
  • уничтожить либо обезличить ПДн по достижении целей обработки или в случае утраты необходимости в достижении этих целей (если иное не предусмотрено федеральным законом);
• договор ущемляет права потребителя и «Альфа-Банк» виновен в совершении правонарушения по ч. 2 ст. 14.8 КоАП РФ, назначив штраф в размере 10 000 рублей.

Далее спор перешел в судебную плоскость, но в мае 2022 года Арбитражный суд г. Москвы (дело № А40-12838/2022-146-98) отказался оправдывать «Альфа-Банк». Это решение потом подтвердили Девятый арбитражный апелляционный суд в июле 2022 года и Арбитражный суд Московского округа в октябре 2022 года.

Обратите внимание: проигрыш спора мог быть связан не с тем, что банк был в принципе неправ, а с тем, что он не сумел убедительно объяснить суду, почему был необходим именно такой срок хранения документов с ПДн клиентов. Для сравнения, в Перечне документов кредитных организаций срок хранения:

• для документов с персональными данными клиентов – 5 лет ЭК (ЭПК) после полного исполнения обязательств по кредитному договору (а на практике эти 5 лет легко могут растянуться на все 25),
• а если эти документы включить в досье клиента, то в ряде случаев хранить их можно еще дольше, даже постоянно!

Наталья Храмцовская,
к.и.н., ведущий эксперт по управлению документацией компании
«ЭОС», эксперт ИСО