Постановление от 28 мая 2020 г. по делу № А51-8681/2019

АРБИТРАЖНЫЙ СУД

ДАЛЬНЕВОСТОЧНОГО ОКРУГА

Пушкина ул., д. 45, г. Хабаровск, 680000, официальный сайт: www.fasdvo.arbitr.ru


ПОСТАНОВЛЕНИЕ

№ Ф03-1734/2020
28 мая 2020 года
г. Хабаровск


Резолютивная часть постановления объявлена 27 мая 2020 года.

Полный текст постановления изготовлен 28 мая 2020 года.

Арбитражный суд Дальневосточного округа в составе:

председательствующего судьи Луговой И.М.,

судей Лесненко С.Ю., Ширяева И.В.,

при участии:

от индивидуального предпринимателя ФИО1 – представитель не явился;

от Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Приморскому краю – ФИО2, представитель по доверенности от 27.12.2019 № 37Д;

от Прокуратуры Приморского края – представитель не явился;

рассмотрев в проведенном с использованием систем видеоконференц-связи судебном заседании кассационную жалобу индивидуального предпринимателя ФИО1

на решение от 21.11.2019, постановление Пятого арбитражного апелляционного суда от 21.02.2020

по делу № А51-8681/2019 Арбитражного суда Приморского края

по иску (заявлению) (ОГРН , ИНН , адрес: )

по заявлению индивидуального предпринимателя ФИО1 (ОГРНИП 310253825200031, ИНН <***>)

к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Приморскому краю (ОГРН <***>, ИНН <***>, адрес: 690041, <...>)

при участии: Прокуратуры Приморского края (ОГРН <***>, ИНН <***>, адрес: 690091, <...>)

о признании недействительным требования

УСТАНОВИЛ:

индивидуальный предприниматель ФИО1 (далее - заявитель, предприниматель) обратился в Арбитражный суд Приморского края с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Приморскому краю (далее – управление, Роскомнадзор) о признании недействительным требования от 19.03.2019 №3828-05/25.

Решением суда от 21.11.2019, оставленным без изменений постановлением Пятого арбитражного апелляционного суда от 21.02.2020, в удовлетворении заявленных требований отказано.

Не согласившись с решением суда первой инстанции и постановлением суда апелляционной инстанции, предприниматель обратился в Арбитражный суд Дальневосточного округа с кассационной жалобой, в которой просит их отменить в связи с неправильным применением норм материального права, а также несоответствием выводов судов фактическим обстоятельствам дела и принять новый судебный акт об удовлетворении требований в полном объеме.

Заявитель, извещенный в установленном порядке о месте и времени рассмотрения дела, явку представителя не обеспечил, что в силу части 3 статьи 284 АПК РФ не препятствует рассмотрению дела в его отсутствие.

В жалобе настаивает, что управлением нарушена процедура проведения государственного контроля и надзора, установленная Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных» (далее - Закон), поскольку, во-первых, сам предприниматель обрабатывает персональные данные исключительно из перечня части 2 статьи 22 Закона, что дает ему право не уведомлять Роскомнадзор о намерении осуществлять обработку персональных данных. Во-вторых, так как доказательств об организации в отношении него проведения внеплановой проверки либо мероприятий по контролю без взаимодействия с операторами по «Правилам организации и осуществления государственного контроля и надзора за обработкой персональных данных», утвержденных Постановлением Правительства Российской Федерации от 13.02.2019 №146 (далее - Правила №146), управлением не представлено, истребование от него информации и направление в его адрес спорного требования, незаконно.

Роскомнадзор в отзыве и его представитель в судебном заседании проведенном посредством организации видеоконференц-связи с Арбитражным судом Приморского края, доводы жалобы отклонили, предлагая судебные акты оставить без изменений как законные и обоснованные.

Прокуратура Приморского края в отзыве согласилась с выводами судов, что оспариваемый запрос сделан управлением в рамках предоставленных полномочий, с соблюдением установленного порядка.

Изучив материалы дела, обсудив доводы кассационной жалобы, отзыва на неё, проверив в порядке и пределах статей 284, 286 АПК РФ правильность применения судами первой и апелляционной инстанций норм материального и процессуального права, суд кассационной инстанции приходит к выводу об отсутствии оснований для её удовлетворения.

Из материалов дела судами установлено, что ссылаясь на положения части 1 статьи 23 Закона и Положение о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного Постановлением Правительства Российской Федерации от 16.03.2009 №228 (далее – Положение о Роскомнадзоре), управление направило в адрес предпринимателя письмо от 19.03.2019 № 3828-05/25, в котором указало, что является уполномоченным органом по защите прав субъектов персональных данных и ведет реестр операторов, осуществляющих обработку персональных данных и в связи с реализацией возложенных на него полномочий и выявлением признаков деятельности, предполагающей обработку предпринимателем персональных данных, сообщило о том, что последний в соответствии с частью 1 статьи 22 Закона обязан уведомить уполномоченный орган о намерении осуществлять обработку персональных данных либо в случае наличия оснований, позволяющих обработку персональных данных без уведомления, просило на основании пункта 1 части 3 статьи 23 Закона предоставить следующие сведения:

- перечень персональных данных, обрабатываемых предпринимателем, и источники их получения;

- сведения о категориях лиц, чьи персональные данные обрабатывает предприниматель;

- цели и правовые основания осуществления предпринимателем обработки персональных данных, в том числе относительно передачи персональных данных третьим лицам;

- способы обработки предпринимателем персональных данных;

- использование информационных систем персональных данных, имеющих в соответствии с федеральными законами статус государственных автоматизированных информационных систем;

- информацию, подтверждающую принятие мер по соблюдению требований части 1 статьи 18.1 Закона;

- сведения о соблюдении требований части 5 статьи 18 Закона в части обеспечения размещения баз персональных данных на территории Российской Федерации.

Указанную информацию предложено представить в сроки, установленные частью 4 статьи 20 Закона – в течение 30 дней с даты получения запроса.

Полагая, что требование о предоставлении информации, изложенное в письме от 19.03.2019, является незаконным, предприниматель обратился с соответствующим заявлением в арбитражный суд, который прийдя к выводу о наличии у управления оснований и полномочий для направления оспариваемого письма, в удовлетворении требований отказал.

Выводы суда первой инстанции поддержаны апелляционным судом.

Суд округа соглашается с судами, которые правомерно приняли во внимание следующее.

Отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, органами местного самоуправления, иными муниципальными органами, юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным, регулируются положениями Закона.

Пунктом 2 статьи 3 Закона определено, что оператором является государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

В соответствии с пунктами 1, 3 статьи 3 Закона под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); обработка персональных данных представляется собой любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

В силу части 1 статьи 22 Закона оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.

Из буквального содержания приведенных норм Закона суды пришли к верному заключению о том, что оператором признается лицо, осуществляющее либо намеревающееся осуществлять обработку персональных данных, и Закон не связывает признание лица оператором с фактом включения (регистрации) такого лица в реестр операторов, осуществляющих обработку персональных данных. Поэтому правовое значение для квалификации деятельности лица в качестве деятельности оператора имеет факт осуществления этим лицом видов деятельности, при которых оно может обрабатывать персональные данные, а равно иметь намерение осуществлять такие виды деятельности.

Из выписки из ЕГРИП от 18.04.2019 следует, что основным видом деятельности заявителя является деятельность по коду 62.02 «деятельность консультативная и работы в области компьютерных технологий», дополнительными видами деятельности являются: 62.0 – «разработка компьютерного программного обеспечения, консультационные услуги в данной области и другие сопутствующие услуги»; 62.01 – «деятельность, связанная с использованием вычислительной техники и информационных технологий прочая» 63.11 – «деятельность по обработке данных, предоставление услуг по размещению информации и связанная с этим деятельность».

Таким образом, предприниматель вправе осуществлять деятельность по обработке персональных данных, следовательно, он является оператором в смысле положений статьи 3 Закона и обязан соблюдать правила, установленные данным Законом и принимаемыми в его развитие нормативными правовыми актами.

Вместе с этим в соответствии с частью 1 статьи 23 Закона уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям настоящего Федерального закона, определен федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи.

Таким органом в соответствии с пунктом 1 Положения о Роскомнадзоре, является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), которая осуществляет функции по контролю и надзору в сфере средств массовой информации, в том числе электронных, и массовых коммуникаций, информационных технологий и связи, функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, а также функции по организации деятельности радиочастотной службы.

Согласно пунктам 2, 6 Положения об Управлении Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Приморскому краю, утвержденного приказом Роскомнадзора от 25.01.2016 №70, на территории Приморского края функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных возложены на управление.

Пунктом 1 части 3 статьи 23 Закона, пунктом 8.1 Положения о Роскомнадзоре, закреплено, что уполномоченный орган, исполняя функции защиты прав субъектов персональных данных, имеет право запрашивать и получать на безвозмездной основе у федеральных органов исполнительной власти и их территориальных органов, органов исполнительной власти субъектов Российской Федерации и органов местного самоуправления, а также у юридических и физических лиц сведения и материалы, необходимые для выполнения полномочий в установленной сфере деятельности.

Данное право реализуется Роскомнадзором посредством направления оператору персональных данных запроса о предоставлении информации в отношении обработки персональных данных.

Указанному праву уполномоченного органа, по верным выводам судов, корреспондирует установленная частью 4 статьи 20 Закона обязанность оператора персональных данных сообщить в уполномоченный орган по запросу этого органа необходимую информацию в течение 30 дней с даты получения такого запроса.

Следовательно, учитывая, что ФИО1 в соответствии со статьей 3 Закона является оператором, что им не отрицалось, то он в силу требований статьи 20 Закона обязан предоставлять управлению по его мотивированному запросу сведения, касающиеся его деятельности по обработке персональных данных.

В связи с чем, основания для признания письма управления от 19.03.2019 № 3828-05/25 незаконным у судов отсутствовали.

При этом, вопреки утверждению подателя кассационной жалобы, судами верно отмечено, что право управления на истребование информации по правилам пункта 1 части 3 статьи 23 Закона, не тожественно действиям уполномоченного органа для случаев реализации их полномочий, перечисленных в пункте 3 Правил № 146, например (при организации и в проведении плановых и внеплановых проверок, принятию мер по пресечению и (или) устранению последствий выявленных нарушений; проведения мероприятий по контролю без взаимодействия с операторами; мероприятий по профилактике нарушений). Тем более, что, как правильно указал сам заявитель, доказательств совершения уполномоченным органом действий в процедуре исполнения Правил № 146, материалы дела не содержат. Следовательно, оспариваемый запрос направлен предпринимателю исходя из полномочий на получение информации, предоставленных названными нормами Закона и Положением о Роскомнадзоре.

Таким образом, истребуемая в запросе информация о наличии/отсутствии у предпринимателя, как оператора, обязанности по направлению в адрес уполномоченного органа уведомления, что предусмотрено частями 1, 3 статьи 22 Закона, по обоснованным выводам судов, в рассматриваемом случае прав и интересов заявителя не нарушает.

При установленных обстоятельствах, выводы судов о законности оспариваемого акта правомерны, соответствуют материалам дела.

Поскольку судами правильно установлены все имеющие существенное значение для разрешения спора обстоятельства, верно применены нормы материального права, нарушений процессуальных норм, в том числе влекущих безусловную отмену обжалуемых судебных актов, не выявлено, кассационная жалоба - удовлетворению, а решение и постановление - отмене, не подлежат.

Руководствуясь статьями 286-289 Арбитражного процессуального кодекса Российской Федерации, Арбитражный суд Дальневосточного округа

ПОСТАНОВИЛ:

решение от 21.11.2019, постановление Пятого арбитражного апелляционного суда от 21.02.2020 по делу № А51-8681/2019 Арбитражного суда Приморского края оставить без изменения, кассационную жалобу – без удовлетворения.

Постановление вступает в законную силу со дня его принятия и может быть обжаловано в Судебную коллегию Верховного Суда Российской Федерации в срок, не превышающий двух месяцев со дня его принятия, в порядке, предусмотренном статьей 291.1 Арбитражного процессуального кодекса Российской Федерации.

Председательствующий судья И.М. Луговая

Судьи С.Ю. Лесненко


И.В. Ширяев