Постановление от 10 октября 2023 г. по делу № А27-10550/2022

Арбитражный суд

Западно-Сибирского округа


ПОСТАНОВЛЕНИЕ

г. Тюмень Дело № А27-10550/2022


Резолютивная часть постановления объявлена 05 октября 2023 года.

Постановление изготовлено в полном объеме 10 октября 2023 года.


Арбитражный суд Западно-Сибирского округа в составе:

председательствующего Черноусовой О.Ю.

судей Дружининой Ю.Ф.

ФИО1

при ведении протокола судебного заседания с использованием систем веб-конференции, аудиозаписи помощником судьи Полукаровой С.А., рассмотрел в судебном заседании кассационную жалобу индивидуального предпринимателя ФИО2 на решение от 22.02.2023 Арбитражного суда Кемеровской области (судья Кормилина Ю.Ю.) и постановление от 17.05.2023 Седьмого арбитражного апелляционного суда (судьи Хайкина С.Н., Кривошеина С.В., Павлюк Т.В.) по делу№ А27-10550/2022 по заявлению индивидуального предпринимателя ФИО2 (ОГРНИП 318420500042018) к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Кемеровской области – Кузбассу (650991, <...>, ИНН <***>, ОГРН <***>) об оспаривании требования.

Другие лица, участвующие в деле: муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 67» (654080, <...>, ИНН <***>, ОГРН <***>), государственное бюджетное нетиповое общеобразовательное учреждение «Лицей № 84 имени В.А. Власова» (654027, <...>, ИНН <***>,ОГРН <***>), муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 41» (654079, <...>, ИНН <***>, ОГРН <***>), муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 56»(654084, <...>, ИНН <***>,ОГРН <***>), муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 61 имени Ильгизара АлександровичаКасакина» (654013, <...>, ИНН <***>, ОГРН <***>), муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 36» (654044, <...>, ИНН <***>, ОГРН <***>), муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательнаяшкола № 102» (654038, <...>,ИНН <***>, ОГРН <***>), муниципальное бюджетное нетиповое общеобразовательное учреждение «Гимназия № 62» (654007, город Новокузнецк,улица Тольятти, дом 39, ИНН <***>, ОГРН <***>), муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательнаяшкола № 90» (650021, <...>, ИНН <***>, ОГРН <***>), муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 92 с углубленным изучением отдельных предметов» (650065, <...>,ИНН <***>, ОГРН <***>), муниципальное бюджетное общеобразовательное учреждение «Гимназия № 17» (650055, <...>, ИНН <***>, ОГРН <***>), муниципальное бюджетное общеобразовательное учреждение «Гимназия № 25» (652423, городКемерово, бульвар Строителей, дом 44б, ИНН <***>, ОГРН <***>), муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 55» (650065, <...> дом 85а, ИНН <***>, ОГРН <***>), муниципальное бюджетное общеобразовательное учреждение «Гимназия № 72» (653039. Кемеровскаяобласть – Кузбасс, <...>, ИНН <***>, ОГРН <***>), муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 48 имени М.Ю. Коломина» (650065, <...>, ИНН <***>, ОГРН <***>), муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 19» (650001, <...>,ИНН <***>, ОГРН <***>), муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 40 имени Катасонова С.А.» (650000, <...>,ИНН <***>, ОГРН <***>), муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 107»(654044, <...>, ИНН <***>,ОГРН <***>), муниципальное бюджетное нетиповое общеобразовательное учреждение «Гимназия № 59» (654054, <...>,ИНН <***>, ОГРН <***>), муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 45» (650023, <...>, ИНН <***>, ОГРН <***>).

В заседании приняли участие (в режиме веб-конференции) представители:

от индивидуального предпринимателя ФИО2 – ФИО3 по доверенности от 30.06.2023;

от Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Кемеровской области – Кузбассу – ФИО4 по доверенности от 09.01.2023.

Суд установил:

индивидуальный предприниматель ФИО2 обратился в Арбитражный суд Кемеровской области с заявлением о признании недействительным требования Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Кемеровской области – Кузбассу (далее – управление) от 29.03.2022 № 5506-04/42.

К участию в деле в качестве третьих лиц, не заявляющих самостоятельных требований на предмет спора, привлечены муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 67», государственное бюджетное нетиповое общеобразовательное учреждение «Лицей № 84 имени В.А. Власова», муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 41», муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 56», муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 61 имени Ильгизара Александровича Касакина», муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 36», муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 102», муниципальное бюджетное нетиповое общеобразовательное учреждение «Гимназия № 62», муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа№ 90», муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 92 с углубленным изучением отдельных предметов», муниципальное бюджетное общеобразовательное учреждение «Гимназия № 17», муниципальное бюджетное общеобразовательное учреждение «Гимназия № 25», муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 55», муниципальное бюджетное общеобразовательное учреждение «Гимназия № 72», муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 48 имени М.Ю. Коломина», муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 19», муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 40 имени Катасонова С.А.», муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 107», муниципальное бюджетное нетиповое общеобразовательное учреждение «Гимназия № 59», муниципальное бюджетное общеобразовательное учреждение «Средняя общеобразовательная школа № 45»(далее – образовательные учреждения).

Решением от 22.02.2023 Арбитражного суда Кемеровской области, оставленнымбез изменения постановлением от 17.05.2023 Седьмого арбитражного апелляционного суда, в удовлетворении заявленного требования отказано.

В кассационной жалобе, поданной в Арбитражный суд Западно-Сибирского округа, ФИО2 просит отменить принятые по делу судебные акты, ссылаясьна нарушение норм права, несоответствие выводов судов обстоятельствам дела,и удовлетворить заявленное требование или направить дело на новое рассмотрение в суд первой инстанции.

По мнению подателя кассационной жалобы, при вынесении оспариваемого требования управление исходило из невозможности представления законным представителем несовершеннолетнего согласия на обработку биометрических персональных данных; требование содержит указание на нарушение предпринимателем части 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных), однако суды исходили из наличия нарушения части 1 данной статьи; в рассматриваемом случае достаточной мерой для устранения нарушения являлось приостановление оператором обработки персональных данных, а не прекращение такой обработки.

В отзыве на кассационную жалобу управление просит оставить обжалуемые судебные акты без изменения как соответствующие действующему законодательству.

Иные участвующие в деле лица отзывы на кассационную жалобу в порядкестатьи 279 Арбитражного процессуального кодекса Российской Федерации (далее –АПК РФ) не представили.

Проверив в соответствии со статьями 284, 286 АПК РФ обоснованность доводов, изложенных в кассационной жалобе, отзыве на нее и выступлениях присутствующихв заседании представителей участвующих в деле лиц, суд кассационной инстанции считает, что обжалуемые судебные акты подлежат оставлению без изменения.

Как следует из материалов дела и установлено судами, между образовательными учреждениями Кемеровской области – Кузбасса (заказчики) и предпринимателем ФИО2 (исполнитель) заключены договоры возмездного оказания услуг, согласно которым исполнитель обязался оказать услуги по регистрации аккуанта заказчикаи предоставлению доступа к Системе «ХРОНОС» – программно-аппаратной платформе, используемой для фиксации времени входя в здание (помещение) или выхода из него посетителей, включающая в себя соответствующую программу ЭВМ, оборудование, доступ в Систему при использовании всемирной системы объединенных компьютерных сетей для хранения и передачи информации (Интернет); провести обучение уполномоченного сотрудника по использованию Системы; обеспечить техническую поддержку на протяжении срока действия договоров.

В соответствии с заключенными ФИО2 с образовательными учреждениями договорами безвозмездного пользования оборудованием предприниматель предоставил биометрические терминалы распознавания лиц SpeedFace – V5L, производитель ZKTeco Co., Ltd.

Управление, установив нарушение требований Закона о персональных данных при обработке биометрических персональных данных несовершеннолетних лиц, обучающихся в образовательных учреждениях, направило предпринимателю требования от 29.03.2022 №5506-04/42 о принятии мер по прекращению обработки биометрических персональных данных несовершеннолетних и уничтожению биометрических персональных данных несовершеннолетних.

Не согласившись с указанным актом управления, ФИО2 обратился в суд с настоящим заявлением.

Суды первой и апелляционной инстанций, отказывая в удовлетворении заявленного требования, пришли к выводу о наличии у управления правовых оснований для вынесения оспариваемого акта, поскольку предпринимателем допущены нарушения требований законодательства при обработке биометрических персональных данных.

Оставляя без изменения принятые по делу судебные акты, суд округа исходитиз доводов кассационной жалобы и конкретных обстоятельств рассматриваемого спора.

Закон о персональных данных регулирует отношения, связанные с обработкой персональных данных с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, и определяет принципы, условия и правила обработки персональных данных (статьи 1 и 4, часть 1 статьи 6).

Согласно положениям статьи 3 Закона о персональных данных под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (пункт 1.1); оператором признается государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (пункт 2); обработкой персональных данных является любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (пункт 3).

По общему правилу обработка персональных данных допускается с согласия субъекта персональных данных (пункт 1 части 1 статьи 6 Закона о персональных данных).

В соответствии с частью 1 статьи 11 Закона о персональных данных сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 названной статьи.

В силу статьи 23 Закона о персональных данных, пунктов 1, 4, 5.1.1.7, 6.5 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного постановлением Правительства Российской Федерации от 16.03.2009 № 228, управление является территориальным органом Роскомнадзора, осуществляющим функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных; как уполномоченный федеральный орган исполнительной власти по защите прав субъектов персональных данных имеет право требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных; принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований Закона о персональных данных.

В рассматриваемом случае основанием для вынесения управлением оспариваемого требования послужил факт обработки предпринимателем ФИО2 биометрических персональных данных несовершеннолетних лиц, обучающихся в образовательных учреждениях Кемеровской области – Кузбасса, с нарушением требований части 2 статьи 11 Закона о персональных данных.

Судами первой и апелляционной инстанций установлено, что ФИО2 внесен в реестр операторов персональных данных (регистрационный № 42-21-004163 от 19.08.2021); вопреки доводам предпринимателя в рамках исполнения договоров возмездного оказания услуг, заключенных с образовательными учреждениями, им осуществлялась обработка биометрических персональных данных несовершеннолетних.

Согласно части 2 статьи 11 Закона о персональных данных обработка биометрических персональных данных может осуществляться без согласия субъекта персональных данных в связи с реализацией международных договоров Российской Федерации о реадмиссии, в связи с осуществлением правосудия и исполнением судебных актов, в связи с проведением обязательной государственной дактилоскопической регистрации, а также в случаях, предусмотренных законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-разыскной деятельности, о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию, о гражданстве Российской Федерации, законодательством Российской Федерации о нотариате.

Заявляя об отсутствии нарушения указанной нормы права, предприниматель ссылается на наличие у него предусмотренного частью 1 статьи 11 Закона о персональных данных согласия субъектов персональных данных, выданное в письменной форме законными представителями несовершеннолетних.

В силу статьи 9 Закона о персональных данных субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором (часть 1).

В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности:

1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);

3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;

4) цель обработки персональных данных;

5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;

7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;

8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;

9) подпись субъекта персональных данных (часть 4).

В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных (часть 6).

Судами первой и апелляционной инстанций установлено, что представленные предпринимателем ФИО2 согласия законных представителей несовершеннолетних на обработку персональных данных не отвечают вышеназванным требованиям (отсутствуют согласие на обработку биометрических персональных данных ребенка, в том числе посредством использования его фотографии; не указаны наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу, перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных).

Оснований, позволяющих проводить обработку биометрических персональных данных без согласия субъектов персональных данных, предпринимателем не приведено.

При таких обстоятельствах суды первой и апелляционной инстанций правомерно отказали в удовлетворении заявленного ФИО2 требования о признании недействительным оспариваемого акта управления.

Доводы подателя кассационной жалобы повторяют его позицию по спору, являлись предметом рассмотрения судов нижестоящих инстанций и не опровергают их выводы, сделанные на основании правильного применения норм права к установленным обстоятельствам дела. Вопреки позиции предпринимателя указание в требовании управления на принятие мер по прекращению обработки биометрических персональных данных несовершеннолетних не препятствовало ему приостановить такую обработку и возобновить ее после устранения нарушений Закона о персональных данных.

Суд кассационной инстанции не усматривает предусмотренных статьей 288 АПК РФ оснований для отмены или изменения обжалуемых судебных актов.

Руководствуясь пунктом 1 части 1 статьи 287, статьей 289 Арбитражного процессуального кодекса Российской Федерации, Арбитражный суд Западно-Сибирского округа

постановил:

решение от 22.02.2023 Арбитражного суда Кемеровской области и постановлениеот 17.05.2023 Седьмого арбитражного апелляционного суда по делу № А27-10550/2022 оставить без изменения, кассационную жалобу – без удовлетворения.

Постановление может быть обжаловано в Судебную коллегию Верховного Суда Российской Федерации в срок, не превышающий двух месяцев со дня его принятия,в порядке, предусмотренном статьей 291.1 Арбитражного процессуального кодекса Российской Федерации.


Председательствующий О.Ю. Черноусова


Судьи Ю.Ф. Дружинина


ФИО1