Решение от 21 ноября 2017 г. по делу № А19-17054/2017

АРБИТРАЖНЫЙ СУД ИРКУТСКОЙ ОБЛАСТИ

Бульвар Гагарина, 70, Иркутск, 664025, тел. (3952)24-12-96; факс (3952) 24-15-99

дополнительное здание суда: ул. Дзержинского, 36А, Иркутск, 664011,

тел. (3952) 261-709; факс: (3952) 261-761

http://www.irkutsk.arbitr.ru

Именем Российской Федерации


Р Е Ш Е Н И Е

г. Иркутск Дело № А19-17054/17

21.11.2017 г.

Резолютивная часть решения объявлена в судебном заседании 16.11.2017 года.

Решение в полном объеме изготовлено 21.11.2017 года.

Арбитражный суд Иркутской области в составе судьи Назарьевой Л.В., при ведении протокола судебного заседания секретарем судебного заседания ФИО1, рассмотрев в судебном заседании дело по заявлению

Общества с ограниченной ответственностью «Маяк» (ОГРН <***>, ИНН <***>)

к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Иркутской области (ОГРН <***>, ИНН <***>, адрес: 664011, <...>)

о признании незаконным предписания от 28.07.2017 № П-38/5/115-нд/-/1/31,

при участии в судебном заседании:

от заявителя: ФИО2 представитель по доверенности,

от Роскомнадзора: ФИО3, представитель по доверенности, ФИО4, представитель по доверенности,

установил:

Общество с ограниченной ответственностью «Маяк» (далее – ООО «Маяк», заявитель, Общество) обратилось в Арбитражный суд Иркутской области с заявлением о признании незаконным предписания от 28.07.2017 № П-38/5/115-нд/-/1/31 вынесенного Управлением Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Иркутской области.

Представитель заявителя в судебном заседании требования поддержал по основаниям, изложенным в заявлении.

Представитель Роскомнадзора в судебном заседании заявленные требования не признал, ссылаясь на законность и обоснованность оспариваемого предписания

В судебном заседании 13.11.2017г. в порядке статьи 163 АПК РФ объявлялся перерыв до 11 час. 30 мин. 16.11.2017г. После перерыва судебное заседание продолжено в том же составе суда, при участии тех же представителей лиц участвующих в деле, поддержавших ранее изложенные позиции.

Как следует из материалов дела и установлено судом, Управлением Роскомнадзора по Иркутской области на основании приказа от 20.06.2017г. № 115-нд, от 14.07.2017г. № 143-нд в период с 03.07.2017г. по 28.07.2017г. проведена плановая проверка в отношении ООО «Маяк» по вопросам соблюдения обществом обязательных требований законодательства в области персональных данных.

В ходе проверки выявлен факт непредставления ООО «Маяк» уведомления по обработке персональных данных при осуществлении деятельности по обработке персональных данных, не попадающих под исключения предусмотренные частью 2 статьи 22 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных».

Данное нарушение зафиксировано в акте проверки от 28.07.2017г. № А-38/5/115-нд/125.

По результатам проверки Управлением Роскомнадзора по Иркутской области заявителю выдано предписание 28.07.2017г. № П-38/5/115-нд/-/1/31, согласно которому обществу предписано в срок до 22.08.2017г. устранить выявленное нарушение.

Заявитель полагая, что предписание нарушает его права и законные интересы, обратился в арбитражный суд с настоящим заявлением.

Заслушав представителей лиц, участвующих в деле, исследовав материалы дела, арбитражный суд пришел к следующим выводам.

В соответствии с частью 1 статьи 198 Арбитражного процессуального кодекса РФ граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц, если полагают, что оспариваемый ненормативный правовой акт, решение и действие (бездействие) не соответствуют закону или иному нормативному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности.

Согласно части 4 статьи 200 Арбитражного процессуального кодекса РФ при рассмотрении дел об оспаривании ненормативных правовых актов, решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц арбитражный суд в судебном заседании осуществляет проверку оспариваемого акта или его отдельных положений, оспариваемых решений и действий (бездействия) и устанавливает их соответствие закону или иному нормативному правовому акту, устанавливает наличие полномочий у органа или лица, которые приняли оспариваемый акт, решение или совершили оспариваемые действия (бездействие), а также устанавливает, нарушают ли оспариваемый акт, решение и действия (бездействие) права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности.

Следовательно, для признания арбитражным судом недействительным ненормативного правового акта, необходимо наличие одновременно двух юридически значимых обстоятельств, а именно: несоответствие его закону или иным нормативным правовым актам; нарушение оспариваемым актом прав и законных интересов заявителя в сфере предпринимательской и иной экономической деятельности.

В соответствии со статьей 65 АПК РФ каждое лицо, участвующее в деле, должно доказать обстоятельства, на которые оно ссылается как на основание своих требований и возражений. Обязанность доказывания обстоятельств, послуживших основанием для принятия государственными органами, органами местного самоуправления, иными органами, должностными лицами оспариваемых актов, решений, совершения действий (бездействия), возлагается на соответствующие орган или должностное лицо.

Отношения, связанные с обработкой персональных данных, осуществляемой в том числе юридическими лицами, с использованием средств автоматизации или без использования таких средств регулируются Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных).

В силу пункта 2 статьи 3 Закон о персональных данных ООО «Маяк» является оператором, то есть юридическим лицом, организующим и (или) осуществляющим обработку персональных данных, а также определяющим цели и содержание обработки персональных данных.

Персональными данным в силу пункта 1 названной статьи является любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

В соответствии с частью 1 статьи 22 Закона о персональных данных оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 данной статьи.

Согласно части 2 статьи 22 Закона о персональных данных оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:

1) обрабатываемых в соответствии с трудовым законодательством;

2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;

3) относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных;

4) сделанных субъектом персональных данных общедоступными;

5) включающих в себя только фамилии, имена и отчества субъектов персональных данных;

6) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;

7) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;

8) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных;

9) обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.

Как следует из материалов дела, в ходе проведения плановой проверки в отношении Общества Роскомнадзором установлено, что ООО «Маяк» в целях кадрового и бухгалтерского обеспечения, производит обработку персональных данных как не автоматизированным способом (включающим в себя хранение трудовых книжек, личных дел на работников, хранение договоров заключенных с физическими лицами), так и с использованием средств автоматизации:

1) используется система 1С «Зарплата и управление персоналом 8»;

2) в рамках предоставления услуги по дистанционной продаже сведений о физических лицах, обрабатываются в информационной системе 1С «Предприятия (Магазины)»;

3) используется система БСУВ «Биометрическая система учета времени».

По мнению контролирующего органа, вышеуказанная деятельность по обработке персональных данных хотя и проводится в рамках трудового законодательства, однако она проводится с использованием информационных систем, поэтому не подпадает под исключения предусмотренные частью 2 статьи 22 Закона о персональных данных.

Суд не может согласиться с выводом контролирующего органа по следующим основаниям.

Обработка персональных данных работников не требует согласия данных лиц и уведомления контролирующего органа, если персональные данные обрабатываются в целях предусмотренных трудовым законодательством, коллективным договором, а так же локальными актами работодателя.

Абзацем 17 статьи 22 Трудового кодекса Российской Федерации закреплена обязанность работодателя выплачивать в полном размере причитающуюся работникам заработную плату в сроки, установленные в соответствии с настоящим Кодексом, коллективным договором, правилами внутреннего трудового распорядка, трудовыми договорами.

В соответствии со статьей 91 Трудового кодекса Российской Федерации работодатель обязан вести учет времени, фактически отработанного каждым работником.

Таким образом, системы 1С «Зарплата и управление персоналом 8» и БСУВ «Биометрическая система учета времени» используются ООО «Маяк» в рамках трудовых договоров заключенных с физическими лицами (работниками), что в свою очередь подпадает под исключение предусмотренное пунктом 1 части 2 статьи 22 Закона о персональных данных, то есть обработка персональных данных осуществляется в соответствии с трудовым законодательством.

Также Роскомнадзор в оспариваемом предписании указывает на обработку Обществом персональных данных связанную с осуществлением работы по подбору персонала посредством размещения информации о вакансиях на специализированных сайтах в сети Интернет. Резюме в электронном виде хранятся на рабочих компьютерах в отделе подбора персонала.

В ходе судебного разбирательства представители Роскомнадзора пояснили, что работа по подбору персонала не регулируется трудовым законодательством, в связи с чем, обработка персональных данных связанная с осуществлением работы по подбору персонала не подпадает под исключения предусмотренные частью 2 статьи 22 Закона о персональных данных.

В соответствии со статьей 5 Трудового кодекса Российской Федерации регулирование трудовых отношений и иных непосредственно связанных с ними отношений в соответствии с Конституцией Российской Федерации, федеральными конституционными законами осуществляется: трудовым законодательством (включая законодательство об охране труда), состоящим из настоящего Кодекса, иных федеральных законов и законов субъектов Российской Федерации, иных нормативных правовых актов, содержащих нормы трудового права.

Следовательно, трудовые отношения регулируются не только Трудовым кодексом Российской Федерации, но и иными нормативными актами.

Действительно Трудовой кодекс Российской Федерации не регулирует правоотношения между кандидатом и будущим работником, вместе с тем указанные правоотношения регулируются Федеральным законом от 19.04.1991г. № 1032-1 «О занятости населения в Российской Федерации».

Довод контролирующего органа о том, что Федеральный закон от 19.04.1991г. № 1032-1 «О занятости населения в Российской Федерации» подлежит применению только специализированными организациями, не принимается судом во внимание, как не нашедший своего правового обоснования.

Таким образом, работодатель вправе осуществлять обработку персональных данных кандидатов на вакантные должности на законных основаниях, сохранять их резюме, формируя как бумажную, так и электронную базу соискателей «кадровый резерв», при наличии письменного согласия кандидатов на обработку персональных данных.

Нарушений в части отсутствия согласия кандидатов на обработку персональных данных в ходе проверки не установлено. В случае отказа в приеме на работу предоставленные кандидатом документы уничтожаются.

При этом суд обращает внимание, что на специализированных сайтах в сети Интернет ООО «Маяк» размещается информация о вакансиях, персональные данные соискателей на вакантные должности в сети Интернет Обществом не размещаются.

С учетом изложенного, суд приходит к выводу, что обработка персональных данных связанная с осуществлением работы по подбору персонала ведется в рамках трудового законодательства.

Также судом установлено и из материалов дела следует, что при оформлении заказа на сайте интернет – магазина клиентом указываются персональные данные, необходимые для доставки заказа. Под каждой формой, где клиент указывает свои персональные данные, указывается согласие посетителя сайта на обработку персональных данных.

Обработка информации по заказам осуществляется в программе 1С «Предприятия (Магазины)».

Указываемые клиентом данные используются непосредственно для заключения договора и оказания услуг конкретному лицу, оформившему заявку, хранение, распространение персональных данных либо передача их третьим лицам проверкой не установлено.

Роскомнадзор полагает, что хотя обработка персональных данных в отношении физических лиц посредством дистанционной продажи подпадает под исключение предусмотренное пунктом 2 части 2 статьи 22 Закона о персональных данных, однако с учетом того, что используются средства автоматизации 1С «Предприятия (Магазины)» осуществлять обработку персональных данных без подачи соответствующего уведомления запрещено.

Указанный довод Роскомнадзор не принимается судом во внимание поскольку частью 2 статьи 22 Закона о персональных данных прямо предусмотрен перечень из 9 случаев, когда оператор освобождается от обязанности представлять в уполномоченный орган уведомление об обработке персональных данных. Одним из таких случаев является обработка персональных данных полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договора с субъектом персональных данных (пункт 2 части 2 статьи 22 Закона о персональных данных).

Таким образом, для обработки персональных данных, полученных оператором в связи с заключением договора, вне зависимости от того, каким способом она осуществляется – без использования средств автоматизации или с использованием информационных систем в силу пункта 1 части 2 статьи 22 Закона о персональных данных не требуется уведомления уполномоченного органа.

Указанный правовой подход также изложен в Постановлении Четвертого апелляционного суда от 01.10.2012г. по делу №А19-7241/2012.

Исследовав и оценив представленные доказательства в совокупности, суд приходит к выводу о том, что контролирующим органом не представлено доказательств, свидетельствующих о нарушении ООО «Маяк» требований предусмотренных частью 1 статьи 22 Закона о персональных данных, указанных в рассматриваемом предписании. Доводы о других нарушениях, выявленных в ходе проверки, судом не рассматриваются, поскольку предметом судебного разбирательства является предписание и круг нарушений, которые явились основанием для его принятия.

В соответствии с пунктом 6.1 Административного регламента исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных утв. Приказом Минкомсвязи России от 14.11.2011 г. N 312 (далее – Административный регламент) должностные лица Роскомнадзора или его территориального органа при проведении проверок вправе в пределах своей компетенции выдавать обязательные для выполнения предписания об устранении выявленных нарушений в области персональных данных.

Исследовав оспариваемое предписание, суд также считает необходимым отметить, что предписание не содержит указания на способ устранения выявленных нарушений.

Контролирующий орган указывает, что Административный регламент не содержит требований относительно содержания предписания в части указания способа устранения нарушений.

Вместе с тем, суд полагает, что предписание выносится в случае выявления контролирующим органом по результатам проведения соответствующей проверки нарушений законодательства и в целях их устранения.

Важным требованием к данному виду ненормативного акта и одним из элементов его законности является исполнимость предписания, поскольку предписание исходит от государственного органа, обладающего властными полномочиями, носит обязательный характер и для его исполнения устанавливается определенный срок, за нарушение которого наступает административная ответственность (статья 19.5 Кодекса Российской Федерации об административных правонарушениях). Таким образом, предписание порождает определенные правовые последствия для конкретных граждан, индивидуальных предпринимателей и организаций, которым оно адресовано.

Суд, оценивая оспариваемый ненормативный правовой акт или его отдельные положения и устанавливая соответствие изложенных в предписании требований закону или иному нормативному правовому акту, не может исходить иначе как из буквального смысла использованных контролирующим органом формулировок.

Предписание должностного лица, содержащее законные требования, должно содержать четкие формулировки относительно конкретных действий, которые необходимо совершить исполнителю и которые должны быть направлены на прекращение и устранение выявленного нарушения.

Неконкретность предписания, исключает правильность уяснения субъектом, которому было адресовано властное требование, конкретного способа его исполнения.

По мнению суда, неопределенность оспариваемого предписания также является основанием для признания его недействительным.

Несоответствие ненормативного правового акта государственного органа закону и нарушение этим актом прав и законных интересов заявителя в сфере предпринимательской и иной экономической деятельности согласно части 2 статьи 201 Арбитражного процессуального кодекса Российской Федерации является основанием для признания такого акта недействительным.

При таких обстоятельствах заявленные требования ООО «Маяк» подлежат удовлетворению.

На основании пункта 3 части 4 статьи 201 Арбитражного процессуального кодекса Российской Федерации суд считает необходимым обязать Роскомнадзор устранить допущенные нарушения прав и законных интересов Общества в соответствии с нормами действующего законодательства.

В соответствии со статьями 101, 110 Арбитражного процессуального кодекса РФ судебные расходы в виде уплаченной ООО «Маяк» при подаче заявления в суд государственной пошлины в сумме 3 000 руб. по платежному поручению от 24.08.2017г. № 27756 подлежат взысканию в пользу заявителя с Роскомнадзора.

Руководствуясь статьями 167 – 170, 201 Арбитражного процессуального кодекса Российской Федерации, арбитражный суд

РЕШИЛ:

заявленные требования удовлетворить.

Признать недействительным предписание Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Иркутской области об устранении выявленных нарушений от 28.07.2017г. № П-38/5/115-нд/-/1/31, как несоответствующее Федеральному закону от 27.07.2006г. №152-ФЗ «О персональных данных».

Обязать Управление Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Иркутской области устранить допущенные нарушения прав и законных интересов Общества с ограниченной ответственностью «Маяк».

Взыскать с Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Иркутской области в пользу Общества с ограниченной ответственностью «Маяк» судебные расходы в размере 3 000 руб.

Решение может быть обжаловано в Четвёртый арбитражный апелляционный суд в течение месяца со дня его принятия.

Судья Л.В. Назарьева