Решение от 16 июня 2020 г. по делу № А05-1153/2020

АРБИТРАЖНЫЙ СУД АРХАНГЕЛЬСКОЙ ОБЛАСТИ

ул. Логинова, д. 17, г. Архангельск, 163000, тел. (8182) 420-980, факс (8182) 420-799

E-mail: info@arhangelsk.arbitr.ru, http://arhangelsk.arbitr.ru

Именем Российской Федерации


РЕШЕНИЕ

Дело № А05-1153/2020
г. Архангельск
16 июня 2020 года


Резолютивная часть решения объявлена 08 июня 2020 года.

Полный текст решения изготовлен 16 июня 2020 года.

Арбитражный суд Архангельской области в составе судьи Быстрова И.В. при ведении протокола судебного заседания секретарём судебного заседания ФИО1

рассмотрел в открытом судебном заседании дело по заявлению муниципального учреждения муниципального образования «Город Архангельск» «Информационно-расчетный центр» (ОГРН <***>; адрес: Россия, 163069, <...>) к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Архангельской области и Ненецкому автономному округу (ОГРН <***>; адрес: Россия, 163000, <...>) о признании недействительным пункта 2 предписания об устранении выявленных нарушений от 02.12.2019 № П-29/4/73-нд/-/1/27.

В судебном заседании приняли участие представители:

от заявителя – Ермолина Е.С. (по доверенности от 08.06.2020);

от ответчика – ФИО3 (по доверенности от 10.01.2020 № 3-Д), ФИО4 (по доверенности от 27.02.2020 № 10-Д).

Суд установил:

муниципальное учреждение муниципального образования «Город Архангельск» «Информационно-расчётный центр» (далее – заявитель, Учреждение, МУ «ИРЦ») обратилось в Арбитражный суд Архангельской области с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Архангельской области и Ненецкому автономному округу (далее – ответчик, Управление) о признании недействительным пункта 2 предписания об устранении выявленных нарушений от 02.12.2019 № П-29/4/73-нд/-/1/27.

Ответчик представил отзыв, в котором, ссылаясь на законность оспариваемого предписания, просил отказать в удовлетворении заявления.

В судебном заседании представитель Учреждения ФИО2 на заявленном требовании настаивала по основаниям, указанным в заявлении, в возражениях на отзыв и в дополнениях к возражениям на отзыв.

Представители Управления ФИО3 и ФИО4 по доводам, приведённым в отзыве, возражали против удовлетворения заявления.

Заслушав объяснения представителей лиц, участвующих в деле, изучив и оценив доводы и возражения, приведённые в состязательных документах, представленных лицами, участвующими в деле, изучив и оценив представленные доказательства, суд установил, что поводом для обращения Общества в суд с рассматриваемым заявлением послужили следующие обстоятельства.

Как следует из материалов дела, на основании приказа временно исполняющей обязанности руководителя Управления ФИО5 от 16.10.2019 № 73-нд Управление в рамках государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных провело плановую выездную проверку в отношении МУ «ИРЦ».

По итогам проверки Управлением составлен акт от 02.12.2019 № А-29/4/73-нд/91, в котором зафиксированы выявленные нарушения обязательных требований, и Учреждению выдано предписание об устранении выявленных нарушений от 02.12.2019 № П-29/4/73-нд/-/1/27.

В пункте 2 описательно мотивировочной части названного предписания указано нарушение статьи 7 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ), выразившееся в том, что Учреждение нарушило требования конфиденциальности при обработке персональных данных граждан в части передачи данных регистрационного учёта в адрес ресурсоснабжающих организаций по их запросам для взыскания с должников задолженностей по оплате за коммунальные услуги в отсутствие согласия субъектов персональных данных или иных законных оснований.

Согласно предписанию указанные в нём нарушения необходимо устранить в срок до 02.03.2020.

Учреждение не согласилось с пунктом 2 названного предписания и обратилось в арбитражный суд с рассматриваемым заявлением. Доводы заявителя по существу сводятся к обоснованию отсутствия нарушения требований Закона № 152-ФЗ. По утверждению заявителя, передача ресурсоснабжающим организациям персональных данных без согласия субъектов персональных данных допускается в силу пунктов 5 и 7 части 1 статьи 6 Закона № 152-ФЗ.

Управление отклонило доводы заявителя, посчитав их необоснованными.

Суд при разрешении данного спора руководствуется следующим.

Право заинтересованного лица обратиться в арбитражный суд с заявлением об оспаривании затрагивающих его права и законные интересы в сфере предпринимательской и иной экономической деятельности ненормативных правовых актов, решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, организаций, наделённых федеральным законом отдельными государственными или иными публичными полномочиями, должностных лиц предусмотрено главой 24 Арбитражного процессуального кодекса Российской Федерации (далее – АПК РФ).

Согласно части 1 статьи 198 АПК РФ граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) органов, осуществляющих публичные полномочия, должностных лиц, если полагают, что оспариваемый ненормативный правовой акт, решение и действие (бездействие) не соответствуют закону или иному нормативному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности.

Как установлено частью 4 статьи 200 АПК РФ, при рассмотрении дел об оспаривании ненормативных правовых актов, решений и действий (бездействия) органов, осуществляющих публичные полномочия, должностных лиц арбитражный суд в судебном заседании осуществляет проверку оспариваемого акта или его отдельных положений, оспариваемых решений и действий (бездействия) и устанавливает их соответствие закону или иному нормативному правовому акту, устанавливает наличие полномочий у органа или лица, которые приняли оспариваемый акт, решение или совершили оспариваемые действия (бездействие), а также устанавливает, нарушают ли оспариваемый акт, решение и действия (бездействие) права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности.

Согласно части 5 этой же статьи обязанность доказывания соответствия оспариваемого ненормативного правового акта закону или иному нормативному правовому акту, законности принятия оспариваемого решения, совершения оспариваемых действий (бездействия), наличия у органа или лица надлежащих полномочий на принятие оспариваемого акта, решения, совершение оспариваемых действий (бездействия), а также обстоятельств, послуживших основанием для принятия оспариваемого акта, решения, совершения оспариваемых действий (бездействия), возлагается на орган или лицо, которые приняли акт, решение или совершили действия (бездействие).

Приведённые положения указывают на необходимость судебного контроля ненормативного правового акта, решения, действий (бездействия) на предмет: их соответствия закону или иному нормативному правовому акту и нарушения ими прав и законных интересов заявителей; незаконного возложения обязанностей или создания иных препятствий для осуществления предпринимательской и иной экономической деятельности.

Арбитражный суд, установив, что оспариваемый ненормативный правовой акт, решение и действия (бездействие) органов, осуществляющих публичные полномочия, должностных лиц не соответствуют закону или иному нормативному правовому акту и нарушают права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности, принимает решение о признании ненормативного правового акта недействительным, решений и действий (бездействия) незаконными (часть 2 статьи 201 АПК РФ).

В случае, если арбитражный суд установит, что оспариваемый ненормативный правовой акт, решения и действия (бездействие) органов, осуществляющих публичные полномочия, должностных лиц соответствуют закону или иному нормативному правовому акту и не нарушают права и законные интересы заявителя, суд принимает решение об отказе в удовлетворении заявленного требования (часть 3 статьи 201 АПК РФ).

Таким образом, ненормативный правовой акт может быть признан недействительным, а решение и действия (бездействие) незаконными только при наличии одновременно двух условий, а именно: несоответствия таких акта, решения, действий (бездействия) закону или иному нормативному правовому акту и нарушения прав и законных интересов граждан и юридических лиц.

Проверив предписание об устранении выявленных нарушений от 02.12.2019 № П-29/4/73-нд/-/1/27 в оспариваемой части на соответствие действующему законодательству, в том числе Закону № 152-ФЗ, суд не находит оснований для удовлетворения заявления.

Отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, органами местного самоуправления, иными муниципальными органами, юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным, регулируются Законом № 152-ФЗ.

Согласно статье 2 Закона № 152-ФЗ целью этого Федерального закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

Как указано в пунктах 1 – 3, 5, 6 статьи 3 Закона № 152-ФЗ персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных; распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц; предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

В силу статьи 7 Закона № 152-ФЗ операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Согласно части 1 статьи 23 Закона № 152-ФЗ уполномоченным органом по защите прав субъектов персональных данных является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных.

В соответствии с пунктом 1 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утверждённого постановлением Правительства Российской Федерации от 16.03.2009 № 228 (далее – Положение № 228), Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору в сфере средств массовой информации, в том числе электронных, и массовых коммуникаций, информационных технологий и связи, функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных.

Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций является уполномоченным федеральным органом исполнительной власти по защите прав субъектов персональных данных.

В силу пункта 5 Положения № 228 Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций в числе прочих полномочий обеспечивает, организует и осуществляет государственный контроль и надзор за соответствием обработки персональных данных требованиям Федерального закона «О персональных данных» и принятых в соответствии с ним нормативных правовых актов.

Согласно пункту 4 этого же Положения Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций осуществляет свою деятельность непосредственно и через свои территориальные органы во взаимодействии с другими федеральными органами исполнительной власти, органами исполнительной власти субъектов Российской Федерации, органами местного самоуправления, общественными объединениями и иными организациями.

В соответствии с частью 1.1 статьи 23 Закона № 152-ФЗ уполномоченный орган по защите прав субъектов персональных данных обеспечивает, организует и осуществляет государственный контроль и надзор за соответствием обработки персональных данных требованиям данного Федерального закона и принятых в соответствии с ним нормативных правовых актов (государственный контроль и надзор за обработкой персональных данных). Порядок организации и проведения проверок юридических лиц и индивидуальных предпринимателей, являющихся операторами, уполномоченным органом по защите прав субъектов персональных данных, а также порядок организации и осуществления государственного контроля и надзора за обработкой персональных данных иными лицами, являющимися операторами, устанавливается Правительством Российской Федерации.

Порядок организации и проведения проверок юридических лиц и индивидуальных предпринимателей, являющихся операторами персональных данных, а также порядок организации и осуществления государственного контроля и надзора за обработкой персональных данных иными лицами, являющимися операторами персональных данных, установлены Правилами организации и осуществления государственного контроля и надзора за обработкой персональных данных, утверждёнными постановлением Правительства Российской Федерации от 13.02.2019 № 146 (далее – Правила № 146).

В соответствии с подпунктом «в» пункта 21 Правил № 146 должностные лица при осуществлении государственного контроля и надзора вправе выдавать по итогам проведения проверки предписание об устранении выявленных нарушений.

В случае выявления по результатам проверки нарушения требований оператору вместе с актом проверки выдается предписание об устранении выявленных нарушений (пункт 46 Правил № 146).

Согласно пункту 47 Правил № 146 в предписании об устранении выявленных нарушений содержится описание нарушений с указанием соответствующих требований и определяется срок устранения нарушений, не превышающий 6 месяцев со дня выдачи предписания об устранении выявленных нарушений.

Оператор, которому было выдано предписание об устранении выявленных нарушений, исполняет его в установленный срок и представляет в орган по контролю и надзору информацию о результатах исполнения предписания с приложением документов, подтверждающих устранение указанных в предписании нарушений (пункт 48 Правил № 146).

Таким образом, Управление, являясь территориальным органом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций, вправе осуществлять государственный контроль и надзор за соответствием обработки персональных данных требованиям Закона № 152-ФЗ и принятых в соответствии с ним нормативных правовых актов, а в случае выявления по результатам проверки нарушений требований вправе выдать оператору предписание об устранении выявленных нарушений.

Следовательно, оспариваемое предписание выдано Управлением при наличии у него таких полномочий.

В данном случае, оспаривая пункт 2 этого предписания, заявитель настаивает на отсутствии нарушения требований статьи 7 Закона № 152-ФЗ.

Суд находит эти доводы заявителя необоснованными.

Как установлено Управлением в ходе проверки и не оспаривается заявителем, последний, являясь оператором, передавал персональные данные граждан ресурсоснабжающим организациям без согласия субъектов персональных данных. Тем самым заявитель нарушил требования статьи 7 Закона № 152-ФЗ, в силу которой операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

В ходе проверки Учреждение не представило доказательства наличия законных оснований для передачи ресурсоснабжающим организациям поквартирных карточек и справок о регистрации, содержащих персональные данные собственников и пользователей жилых помещений.

Доводы заявителя о том, что право на передачу персональных данных без согласия субъекта персональных данных вытекает из положений пунктов 5 и 7 части 1 статьи 6 Закона № 152-ФЗ, а также из положений Правил предоставления коммунальных услуг собственникам и пользователям помещений в многоквартирных домах и жилых домов, утверждённых постановлением Правительства Российской Федерации от 06.05.2011 № 354, суд признаёт необоснованными, поскольку к спорным отношениям эти нормы не применимы.

Предписание в оспариваемой части выдано Управлением заявителю при наличии правовых и фактических оснований. Данное предписание является законным, обоснованным и исполнимым. Законных оснований для признания предписания в оспариваемой части недействительным не имеется.

В соответствии со статьёй 110 АПК РФ расходы по уплате государственной пошлины по настоящему делу подлежат отнесению на заявителя.

Руководствуясь статьями 110, 197 – 201 Арбитражного процессуального кодекса Российской Федерации, Арбитражный суд Архангельской области

РЕШИЛ:

отказать муниципальному учреждению муниципального образования «Город Архангельск» «Информационно-расчетный центр» в удовлетворении заявления о признании недействительным проверенного на соответствие Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных» пункта 2 предписания Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Архангельской области и Ненецкому автономному округу об устранении выявленных нарушений от 02.12.2019 № П-29/4/73-нд/-/1/27.

Настоящее решение может быть обжаловано в Четырнадцатый арбитражный апелляционный суд путём подачи апелляционной жалобы через Арбитражный суд Архангельской области в срок, не превышающий одного месяца со дня его принятия.

Судья И.В. Быстров