Решение от 22 февраля 2023 г. по делу № А27-10550/2022

АРБИТРАЖНЫЙ СУД КЕМЕРОВСКОЙ ОБЛАСТИ

Красная ул., д.8, г. Кемерово, 650000

ИМЕНЕМ РОССИЙСКОЙ ФЕДЕРАЦИИ


Р Е Ш Е Н И Е

Дело № А27-10550/2022
город Кемерово
22 февраля 2023 года
Резолютивная часть решения оглашена 15 февраля 2023 года.

Решение в полном объеме изготовлено 22 февраля 2023 года.

Арбитражный суд Кемеровской области в составе судьи Кормилиной Ю.Ю.

при ведении аудиозаписи и протокола судебного заседания секретарем судебного заседания ФИО1,

рассмотрев в судебном заседании дело по заявлению индивидуального предпринимателя ФИО2, п. Загадное, Новокузнецкий район, Кемеровская область - Кузбасс (ОГРНИП 318420500042018, ИНН <***>)

к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Кемеровской области – Кузбассу, г. Кемерово, Кемеровская область – Кузбасс (ОГРН <***>, ИНН <***>)

о признании недействительным требования №5506-04/42 от 29.03.2022,

третьи лица:

1. Муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 67", Кемеровская область - Кузбасс, город Новокузнецк (ОГРН <***>, ИНН <***>);

2. Государственное бюджетное нетиповое общеобразовательное учреждение "Лицей №84 имени В.А. Власова", Кемеровская область - Кузбасс, город Новокузнецк (ОГРН <***>, ИНН <***>);

3. Муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 41", Кемеровская область - Кузбасс, город Новокузнецк (ОГРН <***>, ИНН <***>);

4. Муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 56", Кемеровская область - Кузбасс, город Новокузнецк (ОГРН <***>, ИНН <***>);

5. Муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 61 имени Ильгизара Александровича Касакина", Кемеровская область - Кузбасс, город Новокузнецк (ОГРН <***>, ИНН <***>);

6. Муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 36", Кемеровская область – Кузбасс, город Новокузнецк (ОГРН <***>, ИНН <***>);

7. Муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 102", Кемеровская область – Кузбасс, город Новокузнецк (ОГРН <***>, ИНН <***>);

8. Муниципальное бюджетное нетиповое общеобразовательное учреждение "Гимназия №62", Кемеровская область - Кузбасс, город Новокузнецк (ОГРН <***>, ИНН <***>);

9. Муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 90", город Кемерово (ОГРН <***>, ИНН <***>);

10. Муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 92 с углубленным изучением отдельных предметов", город Кемерово (ОГРН <***>, ИНН <***>);

11. Муниципальное бюджетное общеобразовательное учреждение "Гимназия № 17", город Кемерово (ОГРН <***>, ИНН <***>);

12. Муниципальное бюджетное общеобразовательное учреждение "Гимназия № 25", город Кемерово (ОГРН <***>, ИНН <***>);

13. Муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 55", город Кемерово (ОГРН <***>, ИНН <***>);

14. Муниципальное бюджетное общеобразовательное учреждение "Гимназия №72", Кемеровская область - Кузбасс, город Прокопьевск (ОГРН <***>, ИНН <***>);

15. Муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 48 имени М.Ю. Коломина", город Кемерово (ОГРН <***>, ИНН <***>);

16. Муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 19", город Кемерово (ОГРН <***>, ИНН <***>);

17. Муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 40 имени Катасонова С.А.", город Кемерово (ОГРН <***>, ИНН <***>);

18. Муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 107", Кемеровская область - Кузбасс, город Новокузнецк (ОГРН <***>, ИНН <***>);

19. Муниципальное бюджетное нетиповое общеобразовательное учреждение "Гимназия №59", Кемеровская область - Кузбасс, город Новокузнецк (ОГРН <***>, ИНН <***>);

20. Муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 45", город Кемерово (ОГРН <***>, ИНН <***>),

при участии:

от заявителя: ФИО3 (доверенность от 19.05.2022, паспорт, диплом) до перерыва – лично, после перерыва посредством веб-конференции;

от Управления Роскомнадзора по Кемеровской области Кузбассу: ФИО4 (доверенность от 09.01.2023 № 3, паспорт); до перерыва ФИО5 (доверенность от 23.01.2023 №5, паспорт)

от МНОУ "Гимназия №59": до перерыва ФИО6 – директор (приказ от 10.10.2017 №288-к, приказ от 10.10.2018 №293-к, паспорт)

от МБОУ "Средняя общеобразовательная школа № 102": до перерыва ФИО7 - директор (приказ от 01.09.2014 №242-к, паспорт)

у с т а н о в и л:

индивидуальный предприниматель ФИО2 (далее - ИП ФИО8, заявитель, предприниматель) обратился в Арбитражный суд Кемеровской области с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Кемеровской области – Кузбассу (далее - Управление Роскомнадзора) о признании недействительным требования №5506-04/42 от 29.03.2022.

Заявление принято к производству судьи Аникиной К.Е. Определением председателя пятого судебного состава от 30.09.2022 в связи с предполагаемым длительным отсутствием судьи, в целях соблюдения процессуальных сроков рассмотрения заявлений, произведена замена судьи. Дело распределено судье Кормилиной Ю.Ю.

В связи с необходимостью представления дополнительных документов и пояснений сторонами, судебное заседание неоднократно откладывалось.

Определением суда от 24.01.2023 к участию в деле в качестве третьих лиц, не заявляющих самостоятельных требований на предмет спора, в порядке статьи 51 Арбитражного процессуального кодекса Российской Федерации (далее - АПК РФ) привлечены: муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа №67", государственное бюджетное нетиповое общеобразовательное учреждение "Лицей №84 имени В.А. Власова", муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 41", муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа №56", муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа №61 имени Ильгизара Александровича Касакина", муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа №36", муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа №102", муниципальное бюджетное нетиповое общеобразовательное учреждение "Гимназия №62", муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа №90", муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 92 с углубленным изучением отдельных предметов", муниципальное бюджетное общеобразовательное учреждение "Гимназия №17", муниципальное бюджетное общеобразовательное учреждение "Гимназия № 25", муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа №55", муниципальное бюджетное общеобразовательное учреждение "Гимназия №72", муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 48 имени М.Ю. Коломина", муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 19", муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 40 имени Катасонова С.А.", муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 107", муниципальное бюджетное нетиповое общеобразовательное учреждение "Гимназия №59", муниципальное бюджетное общеобразовательное учреждение "Средняя общеобразовательная школа № 45".

В связи с привлечением третьих лиц определением суда от 24.01.2023 судебное разбирательство по делу отложено на 09.02.2023, в котором в порядке статьи 163 АПК РФ был объявлен перерыв до 15.02.2023.

В судебном заседании от 09.02.2023 заявитель требования поддержал. Указывает, что оспариваемое требование не содержит в себе нормативного обоснования. Письмо Минкомсвязи России от 28.08.2020 № ЛБ-С-074-24059 «О методических рекомендациях» не является нормативным правовым актом, и было разработано в рекомендательных целях для бюджетных образовательных учреждений.

Из буквального толкования положений части 1 статьи 9, части 1 статьи 11 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон о персональных данных), положений статей 17, 26, 28 Гражданского кодекса Российской Федерации (далее - ГК РФ), пункта 1 статьи 61 Семейного кодекса Российской Федерации (далее - СК РФ), следует, что закон допускает обработку персональных данных несовершеннолетних, в том числе и биометрических персональных данных, с согласия одного из родителей несовершеннолетнего. Согласия законных представителей несовершеннолетних на обработку их персональных данных и персональных данных их несовершеннолетних детей было получены.

Кроме того, видеоаналитические алгоритмы- с технологией распознавания лиц устроены таким образом, что в процессе аналитики переводят полученное видеоизображение в код объекта, который сравнивается с кодом исходного изображения. Аналитические алгоритмы могут выявить совпадение кодов исходного и анализируемого видеоизображения, лишь с определенной долей вероятности. Соответственно, данный процесс не является идентификацией личности.

Алгоритм распознавания лиц, используемый в биометрических терминалах, не сравнивает изображение, поступающее с биометрического терминала, с ранее предоставленной фотографией. В процессе обработки происходит сравнение кодов изображений на наличие/отсутствие совпадений.

Таким образом, при отсутствии процедуры идентификации личности, видеоизображения несовершеннолетних, получаемые биометрическим терминалом, не могут считаться биометрическими персональными данными. Соответственно, отсутствует необходимость получать письменное согласие субъекта на обработку биометрических персональных данных.

Управление Роскомнадзора против удовлетворения требований возразило. Указывает, что ИП ФИО8 не предоставлены сведения, подтверждающие наличие согласия в письменной форме субъектов персональных данных (несовершеннолетних) на обработку биометрических персональных

Настаивает, что в силу статьи 11 Закона о персональных данных, пункта 13 Методических рекомендаций, утв. письмом Минкомсвязи России от 28.08.2020 N ЛБ-С-074-24059, обработка биометрических персональных данных несовершеннолетних лиц, обучающихся в образовательных учреждениях, с согласия в письменной форме законного представителя субъекта персональных данных также не допускается.

Образовательными учреждениями приняты меры по прекращению обработки биометрических персональных данных несовершеннолетних, в связи с чем, оспариваемое требование является законным и не подлежит отмене.

Присутствовавшие до перерыва в судебном заседании представители МНОУ "Гимназия №59", МБОУ "Средняя общеобразовательная школа № 102" требования заявителя поддержали. Указывают, что система контроля и управления доступом с функцией распознавания лиц несовершеннолетних учащихся направлена в первую очередь на защиту прав несовершеннолетних, в том числе от несанкционированного доступа в здание посторонних лиц, позволяет оперативно принять меры в случае неявки ребенка на занятия или выяснить обстоятельство его нахождения в здании школы (вне его) на случай эвакуации. При установке системы были получены согласия родителей всех обучающихся.

Иные третьи лица, извещенные о времени и месте рассмотрения спора в порядке статей 122, 123 АПК РФ (реестры почтовых отправлений №№65097178481509, 65097178481493, 65097178481486, 65097178481479, 65097178481462, 65097178481455, 65097178481448, 65097178481431, 65097178481424, 65097178481400, 65097178481387, 65097178481370, 65097178481363, 65097178481356, 65097178481349, 65097178481332, 65097178481325, 65097178481318), явку представителей не обеспечили, отзывы на заявление не представили.

Рассмотрев и исследовав материалы дела, заслушав представителей лиц, участвующих в деле, суд установил следующее.

Заместителем руководителя Управлением Роскомнадзора вынесено требование о прекращении неправомерной обработки биометрических персональных данных от 29.03.2022 №5506-04/42, адресованное ИП ФИО8

Указанное требование, а также действия Управления Роскомнадзора по его вынесению обжалованы ИП ФИО8 в порядке подчиненности.

По результатам рассмотрения жалобы руководителем Управления Роскомнадзора сделан вывод о том, что требование №5506-04/42 от 29.03.2022 является законным и не подлежит отмене, нарушений требований действующего законодательства в действиях Управления Роскомнадзора не установлено.

ИП ФИО8 обратился с заявлением о признании недействительным требования о прекращении неправомерной обработки биометрических персональных данных от 29.03.2022 №5506-04/42 в судебном порядке.

В соответствии со ст. 198 АПК РФ, граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц, если полагают, что оспариваемый ненормативный правовой акт, решение и действие (бездействие) не соответствуют закону или иному нормативному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности.

Согласно ч. 4 ст. 200 АПК РФ при рассмотрении дел об оспаривании ненормативных правовых актов, решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц арбитражный суд в судебном заседании осуществляет проверку оспариваемого акта или его отдельных положений, оспариваемых решений и действий (бездействия) и устанавливает их соответствие закону или иному нормативному правовому акту, устанавливает наличие полномочий у органа или лица, которые приняли оспариваемый акт, решение или совершили оспариваемые действия (бездействие), а также устанавливает, нарушают ли оспариваемый акт, решение и действия (бездействие) права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности.

В силу п. 5 ст. 200 АПК РФ обязанность доказывания соответствия оспариваемого ненормативного правового акта закону или иному нормативному правовому акту, законности принятия оспариваемого решения, совершения оспариваемых действий (бездействия), наличия у органа или лица надлежащих полномочий на принятие оспариваемого акта, решения, совершение оспариваемых действий (бездействия), а также обстоятельств, послуживших основанием для принятия оспариваемого акта, решения, совершения оспариваемых действий (бездействия), возлагается на орган или лицо, которые приняли акт, решение или совершили действия (бездействие).

Таким образом, в круг обстоятельств, подлежащих установлению при рассмотрении дел об оспаривании ненормативных актов, действий (бездействия) госорганов входят проверка соответствия оспариваемого акта закону или иному нормативному правовому акту, проверка факта нарушения оспариваемым актом действием (бездействием) прав и законных интересов заявителя, а также соблюдение срока на подачу заявления в суд.

Оценив представленные доказательства и доводы лиц, участвующих в деле, суд установил следующее.

В соответствии с пунктом 22 части 5 статьи 2 Федерального закона от 31.07.2020 N 248-ФЗ "О государственном контроле (надзоре) и муниципальном контроле в Российской Федерации" положения указанного Федерального закона не применяются к организации и осуществлению государственного контроля и надзора за обработкой персональных данных, осуществляемых без взаимодействия с контролируемым лицом.

Федеральный государственный контроль (надзор) за обработкой персональных данных урегулирован нормами главы V Закона о защите персональных данных.

В соответствии с частью 1 статьи 23 Закона о защите персональных данных, пунктом 1 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утв. постановлением Правительства РФ от 16.03.2009 N 228, Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору в сфере средств массовой информации, в том числе электронных, и массовых коммуникаций, информационных технологий и связи, функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, а также функции по организации деятельности радиочастотной службы.

Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций является уполномоченным федеральным органом исполнительной власти по защите прав субъектов персональных данных.

В соответствии с пунктами 3, 4 части 3 статьи 23 Закона о защите персональных данных уполномоченный орган по защите прав субъектов персональных данных имеет право: требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных; принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований настоящего Федерального закона.

Пунктом 6.5 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утв. постановлением Правительства РФ от 16.03.2009 N 228, Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций с целью реализации полномочий в установленной сфере ведения имеет право в порядке и случаях, которые установлены законодательством Российской Федерации, применять в установленной сфере ведения меры профилактического и пресекательного характера, направленные на недопущение нарушений юридическими лицами и гражданами обязательных требований в этой сфере и (или) ликвидацию последствий таких нарушений.

Как следует из материалов дела, в соответствии с договорами возмездного оказания услуг, заключенными ИП ФИО8 (исполнитель) с образовательными учреждениями (заказчики), заявитель обязался оказать услуги по регистрации аккуанта заказчика и предоставлению доступа к Системе «ХРОНОС» - программно-аппаратной платформе, используемой для фиксации времени входя в здание (помещение) или выхода из него посетителей, включающая в себя соответствующую программу ЭВМ, оборудование, доступ в Систему при использовании всемирной системы объединенных компьютерных сетей для хранения и передачи информации (Интернет); провести обучение уполномоченного сотрудника по использованию Системы; обеспечить техническую поддержку на протяжении срока действия договора.

По договорам безвозмездного пользования оборудованием, заключенным ИП ФИО8 (ссудодатель) с образовательными учреждениями (ссудополучатели), последним в безвозмездное пользование было предоставлено оборудование: Биометрические терминалы распознавания лиц SpeedFace – V5L, производитель ZKTeco Co., Ltd.

В связи с поступлением информации об использовании системы контроля и управления доступом с функцией распознавания лиц и обработки биометрических персональных данных Управлением Роскомнадзора в адрес Министерства образования Кузбасса был направлен запрос исх. от 08.10.2021 №13986-04/42 об образовательных учреждениях на территории Кемеровской области-Кузбасса информационных систем автоматизированной регистрации и прохода на территорию (в помещения) с распознаванием лиц и документов, удостоверяющих личность (в том числе, информационных систем СКУД и «Facepass»).

Министерством образования Кузбасса представлен №9107/42 ответ вх. от 22.10.2021, содержащий перечень образовательных учреждений, в которых установлена система контроля и управления доступом с функцией распознавания лиц.

В адрес образовательных учреждений, в которых установлена система контроля и управления доступом с функцией распознавания лиц, Управлением Роскомнадзора направлены запросы об обработке биометрических персональных данных.

Согласно ответам образовательных учреждений, поступивших в адрес Управления Роскомнадзора, ИП ФИО8 осуществлялась обработка биометрических персональных данных несовершеннолетних лиц, обучающихся в образовательных учреждениях Кемеровской области - Кузбасса, по поручению образовательных учреждений.

Также получен ответ на запрос ИП ФИО8 от 22.12.2021 (вх. №11088/42 от 22.12.2021), в котором указано, что предпринимателем осуществляется обработка биометрических персональных данных несовершеннолетних лиц, обучающихся в образовательных учреждениях с использованием системы контроля и управления доступом с функцией распознавания. Обработка осуществляется в автоматическом режиме путем фиксации биометрическим терминалом с функцией распознавания лиц входа и выхода учащихся образовательных учреждений. При этом в результате обработки данных осуществляется сверка данных с фотографией учащегося, находящихся в базе данных оператора персональных данных. Ответственным за обработку является ИП ФИО8, который отвечает за работоспособность программного обеспечения, а также конфиденциальность персональных данных. ИП ФИО8 является оператором персональных данных и внесен в реестр операторов персональных данных (регистрационный №42-21-004163, приказ №150 от 19.08.2021). Согласие законных представителей на обработку персональных данных получено.

На основании полученных ответов Управлением Роскомнадзора установлено, что ИП ФИО8 осуществляется обработка биометрических данных несовершеннолетних лиц, обучающихся в образовательных учреждениях Кемеровской области – Кузбасса, по поручению образовательных учреждений, в том числе: МБОУ "Средняя общеобразовательная школа №67", ГБНОУ "Лицей №84 имени В.А. Власова", МБОУ "Средняя общеобразовательная школа №41", МБОУ "Средняя общеобразовательная школа №56", МБОУ "Средняя общеобразовательная школа №61 имени Ильгизара Александровича Касакина", МБОУ "Средняя общеобразовательная школа №36", МБОУ "Средняя общеобразовательная школа №102", МБНОУ "Гимназия №62", МБОУ "Средняя общеобразовательная школа №90", МБОУ "Средняя общеобразовательная школа № 92 с углубленным изучением отдельных предметов", МБОУ "Гимназия №17", МБОУ "Гимназия № 25", МБОУ "Средняя общеобразовательная школа №55", МБОУ "Гимназия №72", МБОУ "Средняя общеобразовательная школа № 48 имени М.Ю. Коломина", МБОУ "Средняя общеобразовательная школа №19", МБОУ "Средняя общеобразовательная школа № 40 имени Катасонова С.А.", МБОУ "Средняя общеобразовательная школа № 107", МБНОУ "Гимназия №59", МБОУ "Средняя общеобразовательная школа № 45".

Управление Роскомнадзора пришло к выводу о недоказанности образовательными учреждениями получения согласия в письменной форме субъектов персональных данных на обработку биометрических персональных данных, нарушении требований части 2 статьи 11 Закона о персональных данных. ИП ФИО8 предъявлено требование от 29.03.2022 №5506-04/42 о принятие мер по прекращению обработки биометрических персональных данных несовершеннолетних и уничтожению биометрических персональных данных несовершеннолетних с последующим информированием Управления Роскомнадзора об исполнении требования не позднее срока, установленного частью 4 статьи 20 Закона о персональных данных, с даты получения данного требования.

Согласно поступившей в адрес Управления Роскомнадзора от образовательных учреждений информации, образовательными учреждениями прекращено использование биометрических терминалов, установленных на системах контроля и управления доступом, путем демонтажа и возврата терминалов собственнику, обеспечено уничтожение биометрических персональных данных несовершеннолетних путем заявления соответствующего требования в адрес ИП ФИО8, который уведомил образовательные учреждения об уничтожении биометрических персональных данных несовершеннолетних путем удаления со всех носителей, в результате чего становится невозможным восстановление содержания данных.

Также согласно поступившему в адрес Управления Роскомнадзора ответу ИП ФИО8 от 28.04.2022 № 4611/42 был осуществлен демонтаж биометрических терминалов, ранее установленных в образовательных учреждениях, осуществлено уничтожение биометрических персональных данных несовершеннолетних.

Суд, оценив и исследовав материалы дела и доводы участвующих в деле лиц, не находит оснований для признания недействительным оспариваемого требования, исходя из следующего.

В соответствии с пунктом 1 статьи 3 Закона о персональных данных персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (пункт 2 статьи 3 Закона о персональных данных).

Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (пункт 3 статьи 3 Закона о персональных данных).

Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники (пункт 4 статьи 3 Закона о персональных данных).

В соответствии с пунктом 1 части 1 статьи 6 Закона о персональных данных обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в случае согласия субъекта персональных данных на обработку его персональных данных.

Особенности обработки специальных категорий персональных данных, а также биометрических персональных данных устанавливаются соответственно статьями 10 и 11 настоящего Федерального закона.

В соответствии с частью 1 статьи 9 Закона о персональных данных субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе.

Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.

Частью 6 статьи 9 Закона о персональных данных предусмотрено, что в случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных.

Требования к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, устанавливаются уполномоченным органом по защите прав субъектов персональных данных (часть 9 статьи 6 Закона о персональных данных).

В соответствии с частью 1 статьи 11 Закона о персональных данных сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.

Обработка биометрических персональных данных может осуществляться без согласия субъекта персональных данных в связи с реализацией международных договоров Российской Федерации о реадмиссии, в связи с осуществлением правосудия и исполнением судебных актов, в связи с проведением обязательной государственной дактилоскопической регистрации, а также в случаях, предусмотренных законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-разыскной деятельности, о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию, о гражданстве Российской Федерации, законодательством Российской Федерации о нотариате (часть 2 статьи 11 Закона о персональных данных).

Доводы предпринимателя о том, что при использовании системы «ХРОНОС» не происходит обработка биометрических персональных данных, поскольку при обработке биометрическими терминалами цифрового кода получаемого из фотоизображения несовершеннолетнего при входе и выходе из здания, аналитические алгоритмы могут выявить совпадение кодов исходного и анализируемого видеоизображения, лишь с определенной долей вероятности, то есть идентификация личности не производится, судом отклонены.

Как следует из ответа представителя в РФ производителя оборудования ООО «ЗКТеко биометрия и безопасность» от 05.08.2022 оборудование - биометрические контроллеры ZKTeco SpeedFace-V5(MF), ZKTeco SpeedFace-V5L, ZKTeco SpeedFaceV5L(MF), ZKTeco SpeedFace-V5 и ZKTeco SpeedFace-V5L(QR) оснащено камерой BFA100, которая при приближении к ней человека осуществляет фотофиксацию его изображения с одновременным моментальным переводом данного изображения в цифровой код, который невозможно преобразовать в дальнейшем в исходное изображение; далее оборудование сравнивает полученный цифровой код с имеющимся цифровым кодом на предмет их схожести, и при совпадении подает сигнал на соответствующее присоединенное устройство для выполнения поставленной задачи. Таким образом, происходит сравнение цифровых кодов, а не фотоизображений.

Исходя из определения, данного в статье 11 Закона о персональных данных, к биометрическим персональным данным относятся физиологические или биологические характеристики человека, в том числе изображение человека на фотографии и (или) видеозаписи, которые позволяют установить его личность и используются оператором для установления личности субъекта.

Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых и без использования средств автоматизации, включая сбор, использование, передачу (распространение, предоставление, доступ) персональных данных.

Из представленных документов и пояснений сторон и третьих лиц, явствует, что в данном случае сопоставление изображения лица с цифровым кодом позволяет произвести его идентификацию с теми персональными данными, которые имеются в образовательном учреждении и предоставлены оператору (включая фамилию, имя, отчество), то есть направлено на установление личности субъекта персональных данных.

Получение цифрового кода путем обработки фотографий, характеризующей физиологические и биологические особенности человека (относящейся к биометрическим персональным данным), является обработкой персональных данных и, соответственно, должна осуществляться в строгом соответствии со статьей 11 Закона о персональных данных.

Вывод о том, что использование фотографий для создания цифрового кода подпадает под понятие обработки персональных данных с позиции части 3 статьи 3 Закона о персональных данных содержится в Определении Верховного Суда РФ от 05.03.2018 N 307-КГ18-101 по делу N А42-342/2017.

Из текста приобщенных в дело согласий родителя (законного представителя) на обработку его персональных данных и данных его несовершеннолетнего ребенка явствует, что родителем (законным представителем) несовершеннолетнего дается согласие на обработку следующей информации, составляющей его персональные данные (фамилия, имя отчество, дата и место рождения, сведения о месте жительства, паспортные данные) и на обработку следующих персональных данных его ребенка (фамилия и имя, наименование образовательного учреждения, номер класса, фотография ребенка при входе/выходе в/из здания образовательного учреждения) в целях исполнения договора возмездного оказания услуг.

Указанное согласие предоставляется на осуществление любых действий в отношении перечисленных персональных данных и персональных данных ребенка, которые необходимы и желаемы для достижения целей, включая (без ограничения) сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу третьим лицам - обеспечивающим работу и функционирование сервисов, позволяющих родителю получать сведения о ребенке, предусмотренные договоров возмездного оказания услуг), обезличивание, блокирование, а также осуществление любых иных действий с персональными данными, предусмотренными Законом о персональных данных.

Из буквального содержания согласия, не следует, что родителем (законным представителем) дано согласие именно на обработку биометрических персональных данных.

Исходя из определения биометрических персональных данных, приведенного в статье 11 Закона о персональных данных, как сведений, характеризующих физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных, таковым будет являться изображение лица человека (в данном случае с использованием фотографии), а не фотография как таковая.

В соответствии с частью 1 статьи 9 Закона о персональных данных (в редакции, действовавшей в спорный период) согласие на обработку персональных данных должно быть конкретным, информированным и сознательным.

В соответствии с частью 9 статьи 9 Закона о персональных данных требования к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, устанавливаются уполномоченным органом по защите прав субъектов персональных данных.

Приказом Роскомнадзора от 24.02.2021 N 18 "Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения" (далее – Требования) установлено, что согласие на обработку персональных данных должно содержать категории и перечень персональных данных, на обработку которых дается согласие субъекта персональных данных: персональные данные; специальные категории персональных данных; биометрические персональные данные.

В данном случае представленные согласия не содержат указания на категорию персональных данных - биометрические персональные данные.

Суд приходит к выводу о том, что согласие на обработку фотографий не может рассматриваться как достаточное для подтверждения конкретного информированного согласия родителя на обработку биометрических данных ребенка, в том числе посредством использования его фотографии.

Кроме того, в нарушение требований пунктов 6, 7, 8 статьи 9 Закона о персональных данных в согласиях не указаны наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу (в частности лица (лиц), обеспечивающих работу и функционирование сервисов, позволяющих родителям получать сведения о ребенке), перечень действий с персональными данными, на совершение которых дается согласие (помимо оговоренных согласием указано на совершение любых иных действий с персональными данными), общее описание используемых оператором способов обработки персональных данных.

С учетом изложенного, вывод, изложенный в требовании от 29.03.2022 №5506-04/42 о том, что обработка ИП ФИО8 биометрических персональных данных не соответствует требованиям, предусмотренным части 2 статьи 11 Закона о персональных данных, является обоснованным.

Ссылка Управления Роскомнадзора на правовую позицию, изложенную в письме Минцифры России от 17.07.2020 N ОП-П24-070-19433, "О рассмотрении обращения", письме Роскомнадзора от 10.02.2020 N 08АП-6782 "О направлении информации по протоколу совещания", пункте 13 Методических рекомендаций, утв. письмом Минкомсвязи России от 28.08.2020 N ЛБ-С-074-24059, относительно возможности использования биометрических персональных только согласия самого субъекта, подлежит отклонению. Указанные акты не являются нормативно-правовыми и не носят обязательного характера для неограниченного круга лиц. При этом прямой запрет на использование биометрических персональных данных несовершеннолетних Законом о персональных данных не установлен.

Вместе с тем данное обстоятельство не привело к принятию незаконного требования.

Учитывая изложенное, суд отказывает в удовлетворении заявления ИП ФИО8 о признании недействительным требования Управления Роскомнадзора №5506-04/42 от 29.03.2022.

Расходы от уплаты государственной пошлины относятся на заявителя (статья 110 АПК РФ).

Руководствуясь статьями 167-170, 176, 180, 181, 200, 201 Арбитражного процессуального кодекса Российской Федерации, суд

р е ш и л:

в удовлетворении заявления отказать.

Расходы от уплаты государственной пошлины отнести за заявителя.

Решение может быть обжаловано в течение месяца со дня принятия в Седьмой арбитражный апелляционный суд. Апелляционная жалоба подается через Арбитражный суд Кемеровской области.


Судья Ю.Ю. Кормилина